Ligji i ri për Mbrojtjen e të Dhënave Personale – Avokatja Denisa Dedej na tregon gjithçka që duhet të kemi parasysh!

Në muajin Shkurt 2025, ka hyrë në fuqi Ligji Nr. 124/2024 për Mbrojtjen e të Dhënave Personale në Shqipëri. Ky ligj, i harmonizuar me Rregulloren e Përgjithshme për Mbrojtjen e të Dhënave (GDPR – BE 679/2016), vendos kërkesa të reja për të gjitha subjektet që përpunojnë të dhëna personale, duke përfshirë bizneset private dhe institucionet publike. Për të kuptuar më shumë rreth këtyre, ne kemi zhviluar një intervstë me Denisa Dedej, avokate.

• Çfarë është GDPR dhe cilat janë detyrimet që lindin prej saj?

GDPR (Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave – BE 2016/679) është ligji kryesor i BE-së për mbrojtjen e të dhënave personale dhe zbatohet për të gjitha organizatat që përpunojnë të dhëna të individëve brenda BE-së, ose që ofrojnë shërbime për individë brenda BE-së, pavarësisht se ku ndodhen ata.

Detyrimet kryesore të GDPR

•  Përpunimi i të dhënave me përgjegjësi – të dhënat duhet të përpunohen në mënyrë të ligjshme, transparente dhe vetëm për qëllime të qarta. Duhet të mblidhet vetëm informacioni i nevojshëm, të jetë i saktë dhe të ruhet i sigurt.
•  Bazat ligjore për përpunimin – të dhënat mund të përpunohen vetëm nëse ka një arsye të vlefshme, si: Pëlqimi i personit; Detyrimi ligjor ;  Kontrata (p.sh., të dhënat e klientëve për një shërbim); Interesi publik ose legjitim (p.sh., masat e sigurisë në një kompani)
• Të drejtat e individëve – çdo person ka të drejtë të: Kërkojë informacion mbi të dhënat e tij;  Korrigjojë të dhënat e pasakta; Kërkojë fshirjen e të dhënave të tij; Transferojë të dhënat te një palë tjetër; Kundërshtojë përpunimin e të dhënave për qëllime të caktuara
• Transparenca – individët duhet të informohen qartë dhe në mënyrë të kuptueshme se si përdoren të dhënat e tyre.
•  Siguria – bizneset dhe organizatat duhet të marrin masa për të mbrojtur të dhënat nga humbja, vjedhja apo keqpërdorimi dhe të njoftojnë autoritetet brenda 72 orëve në rast të një shkeljeje të sigurisë.
•  Emërimi i një DPO (Oficer për Mbrojtjen e të Dhënave) – disa organizata, sidomos ato që përpunojnë shumë të dhëna personale, duhet të caktojnë një ekspert për të mbikëqyrur pajtueshmërinë me GDPR.
•  Transferimi i të dhënave jashtë BE-së – ndalohet përveç nëse vendi i marrësit ka masa të mjaftueshme mbrojtjeje.
•  Gjobat dhe sanksionet – shkeljet e GDPR mund të ndëshkohen me gjoba deri në 20 milionë euro ose 4% të të ardhurave vjetore globale të kompanisë.

Lexo edhe: Thirrja e fundit! Edvin Stefani: Ja si mund ta plotësoni DIVA-n! Ka penalitete për ata që nuk e bëjnë

2.Ekonomia shqiptare në shumë drejtime po punon që ta përafrohet me normativa të BE-së, në kuadër të procesit të integrimit të vendit në Union. A nënkupton kjo që duhet të ketë ndyshime edhe në përshtatjen e ligjit për Mbrojtjen e të Dhënave?

Ligji nr. 124/2024 për mbrojtjen e të dhënave personale ka hyrë në fuqi në shkurt 2025 dhe përfaqëson një hap të rëndësishëm për përafrimin e legjislacionit shqiptar me rregullat e Gdpr të Bashkimit Europian. 

Ky ligj sjell rritje të mbrojtjes së të dhënave personale, duke forcuar të drejtat e individëve dhe duke rritur përgjegjësitë për organizatat që përpunojnë të dhëna. Ai përfshin detyrime më të rrepta për sigurinë e të dhënave dhe përputhshmërinë me standardet ndërkombëtare, duke i dhënë Shqipërisë mundësinë të përmbushë kërkesat e BE-së dhe të mundësojë transferimin e të dhënave në një mjedis të sigurt ndërkombëtar.

3.Nëse po, cilat janë hapat e ardhshëm që duhet të ndërrmerren?

Pas hyrjes në fuqi të Ligjit nr. 124/2024 për mbrojtjen e të dhënave personale, disa hapa të rëndësishëm duhet të ndërmerren për të siguruar përputhshmërinë dhe zbatimin e tij efektiv. Ja disa nga hapat kyç:

• Përditësimi i politikave dhe procedurave të brendshme: Organizatat duhet të rivlerësojnë dhe përditësojnë politikat dhe procedurat e tyre të mbrojtjes së të dhënave për t’u përputhur me kërkesat e ligjit të ri. Kjo mund të përfshijë krijimin e procedurave për mbledhjen, përpunimin, ruajtjen dhe fshirjen e të dhënave personale.
• Trajnimi i stafit: Është e rëndësishme që të gjithë punonjësit, përfshirë menaxherët dhe drejtorët, të jenë të trajnuar për të kuptuar dhe zbatuar detyrimet e ligjit. Kjo mund të përfshijë trajnim në lidhje me të drejtat e individëve, proceset e kërkesave për të dhëna dhe mënyrën e menaxhimit të shkeljeve të mundshme.
• Emërimi i një DPO (Oficer për Mbrojtjen e të Dhënave): Organizatat që përpunojnë të dhëna në masë të madhe, ose që kanë aktivitete që kërkojnë mbrojtjen e të dhënave të ndjeshme, duhet të emërojnë një Oficer për Mbrojtjen e të Dhënave (DPO), i cili do të ketë përgjegjësinë për monitorimin e zbatimit të ligjit dhe këshillimin e organizatës në lidhje me praktikat e mbrojtjes së të dhënave. (Bizneset që ofrojnë shërbime financiare, banka, sigurime, spitalet, kompani që merren me informacionin shëndetësor, kompani që përpunojnë të dhëna personale të shumë individëve siç janë platformat e marketingut digjital, kompanitë që menaxhojnë të dhënat e punonjësve, etj.)
• Rishikimi i marrëveshjeve me palë të treta: Çdo kontratë që përfshin ndarjen e të dhënave me palë të treta duhet të rishikohet dhe përditësohet për të siguruar që këto palë respektojnë gjithashtu standardet e mbrojtjes së të dhënave, duke përfshirë marrëveshjet për përpunimin e të dhënave.
• Krijimi i një procedure për raportimin e shkeljeve: Ligji kërkon që shkeljet e të dhënave të raportohen brenda 72 orëve. Kjo do të kërkojë krijimin e një procedure të qartë dhe efikase për të identifikuar, regjistruar dhe raportuar çdo incident të mundshëm të sigurisë që ndikon në të dhënat personale.
• Monitorimi dhe mbikëqyrja e vazhdueshme: Pas zbatimit të ligjit, është e rëndësishme të monitorohen vazhdimisht praktikat e përpunimit të të dhënave dhe të merren masa parandaluese nëse identifikohen rreziqe të mundshme për mbrojtjen e të dhënave personale.

4.Çfarë duhet të ketë parasysh sot një biznes që ruan të dhënat e klientëve, përdoruesve në një database, që nga adresa e email-it deri tek gjurmët e pagesave online? Çfarë masash duhet të ndërmarr që të jetë ligjërisht ‘ mbrojtur’? 

Një biznes që ruan të dhënat e klientëve duhet të ndërmarrë masat e mëposhtme për të qenë në përputhje me Ligjin për mbrojtjen e të dhënave dhe GDPR:

• Siguria teknike: Kriptimi i të dhënave, përdorimi i firewall-it dhe menaxhimi i aksesit të sigurt për të parandaluar hyrjen e paautorizuar.
• Pëlqimi dhe transparenca: Sigurimi i pëlqimit të qartë të përdoruesve për mblidhjen dhe përdorimin e të dhënave, dhe informimi për mënyrën e përpunimit.
• Ruajtja dhe fshirja e të dhënave: Të dhënat duhet të ruhen për aq kohë sa është e nevojshme dhe të fshihen pas kësaj periudhe.
• Trajnimi i stafit: Edukimi i punonjësve mbi praktikat e mbrojtjes së të dhënave dhe GDPR.
• Menaxhimi i shkeljeve të të dhënave: Krijimi i një procedure për raportimin e shkeljeve dhe veprimeve pas tyre brenda 72 orëve.
• Transferimi i të dhënave: Sigurimi që çdo transferim të dhënash jashtë vendit të bëhet në përputhje me kërkesat e ligjit.
• DPO (Oficer për Mbrojtjen e të Dhënave): Nëse është e nevojshme, emërimi i një DPO për të mbikëqyrur përputhshmërinë me ligjin dhe ofruar këshilla për praktikat e mbrojtjes së të dhënave.

5.A janë bizneset shqiptare mjaftueshëm të informuar për GDPR? Cilat janë sfidat që ju hasni në përditshmëri në këtë drejtim ?

Kohët e fundit, bizneset shqiptare kanë filluar të kuptojnë rëndësinë e GDPR, por ende nuk janë mjaftueshëm të informuara dhe të përgatitura për ta zbatuar plotësisht ligjin. Sidomos, bizneset që vijnë nga jashtë janë më të njohura me kërkesat e ligjit, pasi ata shpesh janë të detyruar të zbatojnë GDPR në shtetet e tyre të origjinës. 

Nga ana tjetër, shumë banka dhe institucione financiare janë tashmë në përputhshmëri me ligjin, duke u siguruar që praktikat e tyre të përputhen me standardet ndërkombëtare të mbrojtjes së të dhënave. Por, ende ka shumë punë për të bërë për të siguruar që çdo biznes, pavarësisht përmasave dhe origjinës, të kuptojë dhe zbatojë plotësisht këto rregulla.

Sfidat kryesore që hasen në përditshmëri në lidhje me GDPR janë:

1. Mungesa e njohurive: Shumë biznese ende nuk janë mjaftueshëm të informuara për kërkesat e ligjit.
2. Kompleksiteti i ligjit: GDPR është një ligj i ndërlikuar, duke krijuar pasiguri për implementimin e tij.
3. Kostoja dhe burimet: Implementimi i masave të sigurisë kërkon burime që janë shpesh të vështira për t’u siguruar, veçanërisht për bizneset e vogla.
4. Shkeljet e mundshme të të dhënave: Bizneset kanë vështirësi në mbrojtjen e të dhënave nga sulmet kibernetike dhe shkeljet.
5. Përshtatja me ligjin ndërkombëtar: Përshtatja e legjislacionit shqiptar me GDPR është sfiduese për bizneset që operojnë në nivel ndërkombëtar.

Për ta përmbyllur këtë intervistë, është e qartë se përafrimi i ligjit shqiptar me standardet e GDPR përbën një hap të rëndësishëm drejt integrimit evropian dhe krijimit të një ambienti më të sigurt për të dhënat personale në vend. Sipas avokates Denisa Dedej, ndërgjegjësimi i bizneseve shqiptare për rëndësinë e mbrojtjes së të dhënave është në rritje, por ende kërkohet më shumë informim, edukim dhe përgatitje për zbatimin efektiv të ligjit të ri. Përmirësimi i politikave të privatësisë, trajnimi i stafit, dhe krijimi i procedurave të qarta për raportimin e shkeljeve mbeten sfida kryesore për të arritur përputhshmërinë e plotë me GDPR. Bizneset shqiptare duhet të kuptojnë se mbrojtja e të dhënave personale nuk është vetëm një detyrim ligjor, por edhe një mundësi për të fituar besimin e klientëve dhe për të përmirësuar reputacionin e tyre në tregun e brendshëm dhe ndërkombëtar.