Nuk mjafton të thuash që je në përputhje. Duhet të jesh në gjendje ta vërtetosh.
Gjatë vitit 2026, sektori i ndërtimit u përfshi në disa vendime të Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale.
Duke lexuar vendimet një pas një, del në pah një shqetësim i përsëritur: problemi rrallë ishte se kompanitë nuk dinin çfarë duhej bërë. Problemi ishte se nuk mund t'i provonin veprimet e tyre.
Mes “kemi një dokument” dhe “mund të provojmë që e zbatojmë” qëndron një diferencë që në këto raste u mat në miliona lekë.
Përputhshmëria nuk matet vetëm nga ekzistenca e dokumentacionit. Organizata duhet të jetë në gjendje të demonstrojë se kontrollet, procedurat dhe masat e saj zbatohen realisht.
570,000 lekë për dokumentacionin që mungonte
Gjatë kontrollit u konstatuan mangësi që, marrë veç e veç, mund të duken të vogla, por së bashku tregojnë mungesën e një sistemi të dokumentuar dhe të zbatueshëm.
- Nuk dokumentohej se çfarë veprimtarish përpunimi kryheshin.
- Rregullorja e brendshme për mbrojtjen e të dhënave mungonte ose ishte e pamjaftueshme.
- Masat teknike dhe organizative për sigurinë nuk ishin vendosur.
- Punonjësit me akses në të dhëna nuk kishin nënshkruar deklarata konfidencialiteti.
- Nëpunësi për mbrojtjen e të dhënave nuk ishte caktuar dhe njoftuar.
Për shkelje të neneve 27, 28, 30 dhe 33 të Ligjit nr. 124/2024.
35.11 milionë lekë
Në rastin e dytë problematika ishte më e gjerë, dhe pesha e gjobës e reflekton këtë.
- Fotografi dhe video të personave u publikuan në Instagram pa prova të dokumentuara për pëlqimin.
- Me përpunuesin nuk ekzistonte një marrëveshje e rregullt me masat teknike dhe organizative të përcaktuara.
- Dokumentacioni për aktivitetet e përpunimit ishte i pjesshëm.
- Zbatimi efektiv i masave teknike dhe organizative nuk mund të provohej.
- Nëpunësi për mbrojtjen e të dhënave nuk ishte njoftuar formalisht.
Kamerat dhe afatet e harruara
Vendimi fillestar evidentoi një grup problemesh që shumë kantiere dhe zyra i njohin nga afër.
- Fotografi dhe video në Facebook e Instagram, pa prova të pëlqimit.
- CCTV e vendosur në mënyrë joproporcionale, duke përfshirë ambiente publike, rrugë kalimi dhe poste pune.
- Imazhe dhe video të ruajtura përtej afatit 30-ditor.
- Dokumentacion dhe procedura të pamjaftueshme.
- Masa teknike që nuk garantonin nivelin e kërkuar të sigurisë.
- Nëpunësi për mbrojtjen e të dhënave ishte i panjoftuar.
Përputhshmëria duhet të jetë e provueshme.
Përputhshmëria nuk është një dosje me politika në raftin e zyrës. Është aftësia për të treguar, në momentin që pyeteni:
Prandaj një politikë e shkruar por e pazbatuar nuk mjafton.
Një kontratë me përpunuesin e hartuar pas kontrollit nuk mbulon periudhën kur ajo mungonte.
Dhe një dokument që ekziston, por që nuk gjendet kur kërkohet, në praktikë sjell të njëjtin problem si mosekzistenca.
Në mbrojtjen e të dhënave, distanca mes “e kemi” dhe “e kemi, e kemi zbatuar, dhe ja prova” është pikërisht distanca mes dokumentacionit dhe përputhshmërisë.
Nëse do t'ju vinte kontrolli nesër
Pesë pyetje të thjeshta mund të tregojnë nëse dokumentacioni juaj është vetëm formal apo nëse organizata mund ta provojë realisht përputhshmërinë.
A mund të paraqitni brenda ditës regjistrin e veprimtarive të përpunimit?
Për fotot e punonjësve në rrjete sociale, ku ruhen provat e pëlqimit?
Kamerat mbulojnë vetëm atë që është e nevojshme dhe fshihen brenda 30 ditësh?
Marrëveshjet me përpunuesit janë nënshkruar përpara se përpunimi të nisë?
Nëpunësi për mbrojtjen e të dhënave është caktuar dhe njoftuar formalisht?
Nga dokumentacioni te prova
Në mbrojtjen e të dhënave, të vërtetosh është detyrim.