Absolutisht, këtu është artikulli i rishkruar në shqip standard, duke ruajtur kuptimin, tonin dhe stilin origjinal, si dhe duke përmirësuar qartësinë dhe rrjedhshmërinë:
Përputhshmëria me ligjin e ri të të dhënave nuk është çështje juridike, por operacionale
Nga Henri Hila, themelues dhe drejtor ekzekutiv i PrivaxisOS
Në javët e para të vitit 2026, Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale ka kryer inspektime pranë ofruesve të shërbimeve në disa sektorë, duke përfshirë teknologjinë e informacionit, qendrat e thirrjeve, agjencitë turistike dhe qendrat mjekësore. Tre kompani IT u gjobitën me gjithsej rreth 95 mijë euro. Gjatë gjithë vitit 2025, ndaj subjekteve private ishin vendosur vetëm dy gjoba. Në vetëm dy muajt e parë të vitit 2026 u vendosën gjashtë. Ky nuk është thjesht një ndryshim statistikor, por një ndryshim faze.
Ligji nr. 124/2024 “Për mbrojtjen e të dhënave personale” hyri në fuqi në fillim të vitit 2025 dhe solli në legjislacionin shqiptar arkitekturën e Rregullores së Përgjithshme të Mbrojtjes së të Dhënave të Bashkimit Evropian (GDPR). Viti i parë ka shërbyer, në praktikë, si një periudhë ndërgjegjësimi: autoriteti mbikëqyrës shpjegoi, udhëzoi dhe bëri pyetje. Periudha kalimtare mbyllet në janar 2027. Nga ajo pikë e tutje, pyetja që do t’i bëhet një kompanie nuk do të jetë nëse e njeh ligjin, por nëse mund të provojë se e zbaton atë.
Këtu qëndron keqkuptimi më i shtrenjtë i momentit. Shumë organizata e kanë trajtuar ligjin si një projekt juridik. Kanë marrë një opinion, kanë publikuar një njoftim privatësie në faqen e internetit, kanë caktuar një person përgjegjës dhe e kanë konsideruar çështjen të mbyllur. Por detyrimet e ligjit nuk janë dokumente statike. Janë procese që rrjedhin çdo ditë.
Kur një qytetar kërkon të dijë çfarë të dhënash mban për të një bankë, një spital apo një operator telefonie, neni 12 i ligjit i jep kompanisë 30 ditë kohë për t’u përgjigjur, me mundësi zgjatjeje deri në 60 ditë gjithsej, por vetëm nëse zgjatja i komunikohet subjektit të të dhënave brenda 30 ditëve të para. Ky është një afat që nis të ecë pa kërkuar leje.
Neni 27 kërkon një regjistër të veprimtarive të përpunimit: çfarë të dhënash mblidhen, për çfarë qëllimi, mbi çfarë baze ligjore, me kë ndahen, sa kohë ruhen dhe a dalin jashtë vendit. Ky regjistër nuk është një dokument që shkruhet një herë e përgjithmonë. Ai vjetërohet sa herë që kompania nis një sistem të ri, ndryshon një furnitor ose hap një kanal të ri marketingu.
Përjashtimi për kontrolluesit ose përpunuesit me më pak se 250 punonjës është shumë më i ngushtë sesa besohet: nuk vlen kur përpunimi nuk është i rastësishëm, kur paraqet rrezik, ose kur përfshin të dhëna të ndjeshme apo të dhëna për dënime penale.
Neni 28 kërkon masa sigurie të përshtatshme dhe të dokumentuara. Neni 29 kërkon njoftimin e Komisionerit brenda 72 orëve nga marrja dijeni për një cenim. Nenet 33 dhe 34 përcaktojnë figurën dhe detyrat e Nëpunësit të Mbrojtjes së të Dhënave. Me përfundimin e periudhës kalimtare, hyjnë plotësisht në zbatim edhe vlerësimi i ndikimit në mbrojtjen e të dhënave (VNMD) dhe konsultimi paraprak, sipas neneve 31 dhe 32. Asnjë prej këtyre detyrimeve nuk mbyllet me një opinion juridik. Të gjitha kërkojnë infrastrukturë.
Ka edhe një element të dytë, që shpesh anashkalohet. Neni 22 vendos parimin e llogaridhënies: kontrolluesi nuk duhet vetëm të veprojë siç kërkon ligji, por duhet të jetë në gjendje ta demonstrojë këtë. Prova nuk prodhohet nga qëllimi i mirë. Prodhohet nga një sistem që regjistron kush bëri çfarë, kur dhe mbi çfarë baze. Një tabelë Excel dhe një kuti postare elektronike mund të mbijetojnë deri në inspektimin e parë. Ky është boshllëku që teknologjia e përputhshmërisë synon të mbulojë, dhe që tregu shqiptar po nis ta plotësojë me zgjidhje të ndërtuara brenda vendit.
PrivaxisOS, një platformë e zhvilluar në Shqipëri për ligjin shqiptar, është një shembull i kësaj kategorie.
Si duket kjo në praktikë:
- Një klient i një banke paraqet të martën një kërkesë aksesi nga formulari publik i faqes, në shqip, pa krijuar llogari.
- Verifikimi me email konfirmon se kërkesa është e tija dhe jo e dikujt që pretendon të jetë ai.
- Në atë çast nis afati i nenit 12 dhe kërkesa shfaqet në panelin e brendshëm me datën e saktë të skadimit.
- Përgjegjësi ia cakton dikujt, kërkon një sqarim, dokumenton arsyen kur afati zgjatet dhe njofton klientin brenda 30 ditëve të para, siç kërkon ligji.
- Klienti ndjek statusin në një faqe të tijën, pa asnjë telefonatë.
- Gjashtë muaj më vonë, kur inspektori pyet se si u trajtua ajo kërkesë, përgjigjja nuk është kujtesa e dikujt: është një kronologji e regjistruar e çdo veprimi, me emrin e personit, orën dhe bazën ligjore.
E njëjta logjikë vlen për regjistrin e nenit 27: çdo njësi biznesi mban veprimtaritë e veta, Nëpunësi i Mbrojtjes së të Dhënave i miraton, dhe zërat e miratuar mbyllen për redaktim derisa të rihapet cikli vjetor. Nuk është dokument që rishkruhet në prag të inspektimit.
Po ashtu, faqja e internetit skanohet periodikisht për cookie dhe gjurmues të palëve të treta, sepse shpesh problemi i parë që gjen inspektori nuk ndodhet në sistemet e brendshme, por në ballinën e kompanisë.
Detaji që ka rëndësi këtu nuk është teknologjia. Është fakti që faqet drejtuar qytetarit janë në shqip si parazgjedhje. Një e drejtë që qytetari duhet ta ushtrojë në gjuhë të huaj është një e drejtë e pjesshme.
Efekti mbi ekosistemin shkon përtej kompanive të veçanta. Kur regjistri nxjerr në pah se çdo furnitor duhet të ketë kontratë përpunimi sipas nenit 26, presioni kalon në zinxhirin e shërbimeve: agjencitë, qendrat e thirrjeve, ofruesit e IT-së dhe platformat e marketingut detyrohen të ngrenë standardin e tyre.
Nëpunësi i Mbrojtjes së të Dhënave kalon nga titull formal në rol operativ me mjete pune. Dhe Shqipëria, në rrugën e integrimit evropian, ndërton kapacitet vendas në vend që ta importojë atë.
Mbeten pak muaj deri në fund të periudhës kalimtare. Gjobat e këtij viti tregojnë se autoriteti nuk po pret janarin 2027 për të nisur punën. Pyetja praktike për çdo drejtues sot nuk është nëse ligji zbatohet për kompaninë e tij. Është nëse, kur inspektori të kërkojë provën, kompania mund ta nxjerrë atë brenda ditës.