Ligji nr. 124/2024 "Për mbrojtjen e të dhënave personale" e përafron Shqipërinë me GDPR-në. Shumë kompani u lehtësuan kur mësuan se nuk kanë më nevojë ta njoftojnë Komisionerin për përpunimin e të dhënave. Por ligji i ri kërkon më shumë, jo më pak: në vend të një formulari, kompania duhet të jetë në gjendje të provojë vetë se e respekton ligjin. Gjobat mund të arrijnë deri në 2 miliardë lekë ose 4% të xhiros vjetore globale.
Këto janë detyrimet që shohim më shpesh të anashkaluara:
Regjistri i veprimtarive të përpunimit. Zëvendëson njoftimin. Tregon çfarë të dhënash përpunoni, pse, për sa kohë dhe kujt ua jepni. Komisioneri mund ta kërkojë në çdo kohë.
Kontratat me përpunuesit. Kontabilisti i jashtëm, ofruesi i cloud-it, kompania e pagave ose e sigurisë përpunojnë të dhëna në emrin tuaj. Me secilin duhet një marrëveshje me shkrim, me përmbajtjen që kërkon ligji.
Cenimet e të dhënave. Një email i dërguar gabim ose një laptop i humbur mund të jetë cenim që duhet njoftuar te Komisioneri brenda afatit të shkurtër të ligjit, dhe nganjëherë edhe te personat e prekur. Procedura duhet të jetë gati para se të ndodhë cenimi.
Vlerësimi i ndikimit. Kamerat në shkallë të gjerë, të dhënat biometrike ose monitorimi i punonjësve kërkojnë një vlerësim paraprak të rrezikut.
Transferimet jashtë vendit. Shërbimet cloud dhe programet që i ruajnë të dhënat jashtë Shqipërisë kërkojnë një bazë ligjore për transferimin.
Njoftimet e privatësisë. Klientët, punonjësit dhe kandidatët për punë duhet të informohen qartë dhe në kohë.
Zyrtari për mbrojtjen e të dhënave. I detyrueshëm për autoritetet publike dhe për subjektet që monitorojnë sistematikisht persona në shkallë të gjerë ose përpunojnë kategori të veçanta të dhënash.
Ku të nisni. Një kontroll i shkurtër i këtyre shtatë pikave tregon shpejt ku qëndron kompania. Për qendrat e thirrjeve dhe firmat IT që punojnë për klientë në BE, kontrata me klientin shpesh kërkon tashmë standardet e GDPR-së; ligji shqiptar i bën ato detyrim edhe në vend.