Ligji nr. 124/2024 "Për mbrojtjen e të dhënave personale" e përafron Shqipërinë me Rregulloren e Përgjithshme të Bashkimit Evropian (BE) për Mbrojtjen e të Dhënave (GDPR). Shumë kompani u lehtësuan kur mësuan se nuk kanë më nevojë ta njoftojnë Komisionerin për përpunimin e të dhënave. Por ligji i ri kërkon më shumë, jo më pak: në vend të një formulari, kompania duhet të jetë në gjendje të provojë vetë se e respekton ligjin. Gjobat mund të arrijnë deri në 2 miliardë lekë ose 4% të xhiros vjetore globale.
Këto janë detyrimet që shohim më shpesh të anashkaluara:
1. Regjistri i veprimtarive të përpunimit (record of processing activities, RoPA). Zëvendëson njoftimin. Tregon çfarë të dhënash përpunoni, pse, për sa kohë dhe kujt ua jepni. Komisioneri mund ta kërkojë në çdo kohë.
2. Kontratat me përpunuesit (data processing agreement, DPA). Kontabilisti i jashtëm, ofruesi i cloud-it, kompania e pagave ose e sigurisë përpunojnë të dhëna në emrin tuaj. Me secilin duhet një marrëveshje me shkrim, me përmbajtjen që kërkon ligji.
3. Cenimet e të dhënave (data breach). Një email i dërguar gabim ose një laptop i humbur mund të jetë cenim që duhet njoftuar te Komisioneri brenda afatit të shkurtër të ligjit, dhe nganjëherë edhe te personat e prekur. Procedura duhet të jetë gati para se të ndodhë cenimi.
4. Vlerësimi i ndikimit (data protection impact assessment, DPIA). Kamerat në shkallë të gjerë, të dhënat biometrike ose monitorimi i punonjësve kërkojnë një vlerësim paraprak të rrezikut.
5. Transferimet jashtë vendit. Shërbimet cloud dhe programet që i ruajnë të dhënat jashtë Shqipërisë kërkojnë një bazë ligjore për transferimin.
6. Njoftimet e privatësisë. Klientët, punonjësit dhe kandidatët për punë duhet të informohen qartë dhe në kohë.
7. Nëpunësi i mbrojtjes së të dhënave (data protection officer, DPO). I detyrueshëm për autoritetet publike dhe për subjektet që monitorojnë sistematikisht persona në shkallë të gjerë ose përpunojnë në shkallë të gjerë të dhëna sensitive ose penale.
Ku të nisni. Një kontroll i shkurtër i këtyre shtatë pikave tregon shpejt ku qëndron kompania. Për qendrat e thirrjeve dhe firmat e teknologjisë së informacionit (IT) që punojnë për klientë në BE, kontrata me klientin shpesh kërkon tashmë standardet e GDPR-së; ligji shqiptar i bën ato detyrim edhe në vend.