Pyetja që më bëhet më shpesh nga administratorët e shoqërive, që kur Komisioneri filloi të vendosë gjoba, është e thjeshtë: "A më duhet DPO?" Përgjigjja varet nga tre nene të Ligjit nr. 124/2024 "Për mbrojtjen e të dhënave personale", miratuar më 19.12.2024 dhe në fuqi që nga fillimi i vitit 2025. Ky shkrim i shpjegon ato tre nene ashtu siç i zbatoj në praktikë, si avokat dhe si Nëpunës i Mbrojtjes së të Dhënave (DPO) për shoqëri shqiptare dhe italiane që nga viti 2014.
1. Kur është i detyrueshëm DPO
Neni 33, pika 1, parashikon tre raste. Kontrolluesi dhe përpunuesi, pra edhe shoqëria që përpunon të dhëna për llogari të klientëve të saj, caktojnë një Nëpunës të Mbrojtjes së të Dhënave kur:
- a) përpunimi kryhet nga një autoritet ose organ publik, me përjashtim të gjykatave në veprimtarinë gjyqësore;
- b) aktivitetet kryesore kërkojnë monitorim të rregullt e sistematik të subjekteve në shkallë të gjerë;
- c) aktivitetet kryesore sjellin përpunimin në shkallë të gjerë të të dhënave sensitive ose penale.
Ligji nuk jep numra. Fjalët kyçe janë "aktivitet kryesor" dhe "shkallë e gjerë", dhe interpretohen sipas udhëzimeve evropiane për DPO-në (WP 243), të cilat Komisioneri i ndjek. Në praktikë, shkronja "b" prek call center-at dhe shoqëritë e teleshitjes, platformat online dhe aplikacionet që ndjekin sjelljen e përdoruesve, shoqëritë e sigurimeve dhe institucionet financiare, operatorët e telekomunikacionit, shoqëritë me sisteme të gjera videovëzhgimi ose gjeolokalizimi të flotës. Shkronja "c" prek spitalet, klinikat, laboratorët, shkollat private, shoqëritë e sigurimit shëndetësor dhe të jetës, dhe çdo biznes që trajton të dhëna shëndetësore ose biometrike si pjesë të aktivitetit të tij.
Një grup shoqërish mund të caktojë një DPO të vetëm, me kusht që të jetë lehtësisht i arritshëm nga secili anëtar i grupit (neni 33, pika 2). Kjo është zgjidhja që përdorin zakonisht grupet italiane me shoqëri bijë në Shqipëri.
Dy sqarime që shmangin gabimet më të shpeshta. E para: përjashtimi për shoqëritë me më pak se 250 të punësuar, që shumë e citojnë, vlen për regjistrin e veprimtarive të përpunimit (neni 27, pika 4), jo për DPO-në; një klinikë me 15 punonjës mund ta ketë DPO-në të detyrueshme. E dyta: kush e cakton DPO-në vullnetarisht (neni 33, pika 3) i nënshtrohet të njëjtave rregulla për pozicionin dhe pavarësinë e tij, sikundër ta kishte të detyrueshme.
2. Kush mund të jetë DPO
Neni 34, pika 2, kërkon tre gjëra: aftësi profesionale të certifikuara, njohuri të mira të ligjit dhe të praktikave të mbrojtjes së të dhënave, dhe aftësi për të përmbushur detyrat e nenit 34. Ligji lejon shprehimisht dy modele:
- DPO i brendshëm, një person i punësuar pranë kontrolluesit ose përpunuesit;
- DPO i jashtëm, një person me të cilin lidhet një kontratë shërbimi.
Pika delikate është konflikti i interesit. DPO mund të mbajë edhe detyra të tjera, por kontrolluesi duhet të sigurojë që ato të mos bien ndesh me rolin. Praktika evropiane, që Komisioneri e ndjek, e përjashton nga roli këdo që vendos vetë qëllimet dhe mjetet e përpunimit: administratorin, drejtorin e IT-së, drejtorin e burimeve njerëzore, drejtorin e marketingut. Në një shoqëri të mesme shqiptare, personi i vetëm i brendshëm pa konflikt interesi shpesh nuk ekziston, dhe kjo është arsyeja praktike pse DPO i jashtëm është bërë modeli mbizotërues.
Ligji nuk kërkon që DPO të jetë rezident në Shqipëri. Kërkon që të jetë i arritshëm për subjektet dhe për Komisionerin, të njohë ligjin shqiptar dhe praktikën e Komisionerit, dhe të komunikojë në gjuhën e punonjësve dhe të klientëve. Për një shoqëri italiane me degë në Tiranë, një DPO që punon në të dyja gjuhët dhe në të dy regjimet (GDPR dhe Ligji 124/2024) zgjidh njëkohësisht detyrimin shqiptar dhe atë evropian.
3. Çfarë bën DPO dhe çfarë i detyrohet shoqëria
Detyrat janë të listuara në nenin 34, pika 1: këshillon organet drejtuese, merr pjesë në vlerësimet e ndikimit (DPIA) sipas nenit 31, informon dhe trajnon stafin, monitoron përputhshmërinë me ligjin dhe me politikat e brendshme, përfshirë auditimet, dhe shërben si pikë kontakti për Komisionerin.
Pjesa që administratorët e nënvlerësojnë janë detyrimet e shoqërisë ndaj DPO-së:
- Publikimi i kontakteve të DPO-së dhe njoftimi i Komisionerit për caktimin (neni 34, pika 3). Pa njoftim, për Komisionerin DPO nuk ekziston.
- Përfshirja në kohë në çdo çështje që lidhet me të dhënat dhe burimet e nevojshme (pika 4). Një DPO që mëson për një projekt të ri pasi ai ka nisur nuk e përmbush funksionin.
- Pavarësia (pika 5): DPO nuk merr udhëzime për ushtrimin e detyrave, nuk shkarkohet dhe nuk ndëshkohet për shkak të tyre, dhe raporton drejtpërdrejt para nivelit më të lartë drejtues.
- Konfidencialiteti i DPO-së për gjithçka që mëson në detyrë (pika 4).
Çfarë rrezikohet kur DPO mungon
Nenet 33 dhe 34 bëjnë pjesë në kapitullin III të pjesës II të ligjit. Shkelja e detyrimeve të këtij kapitulli dënohet sipas nenit 94, pika 1, me gjobë deri në 1.000.000.000 lekë ose, për shoqëritë tregtare, deri në 2% të xhiros vjetore globale, cilado është më e lartë. Masa konkrete varet nga rrethanat e nenit 93: natyra dhe kohëzgjatja e shkeljes, bashkëpunimi me Komisionerin, shkeljet e mëparshme. Sikundër shpjegova te shkrimi për vendimet e para me gjobë, mungesa e DPO-së rrallë del si shkelje e vetme; ajo shfaqet bashkë me mungesën e regjistrit, të informimit dhe të kontratave me përpunuesit, dhe e rëndon tablonë e përgjithshme.
Pesë hapa për ta bërë siç duhet
- Vlerësim me shkrim nëse plotësohet njëri nga tre rastet e nenit 33. Edhe përfundimi "nuk kemi detyrim" duhet dokumentuar, sepse Komisioneri e pyet.
- Vendim i administratorit për caktimin e DPO-së, me emër, kontakte dhe përshkrim të pozicionit.
- Kontratë shërbimi për DPO-në e jashtme, ose shtesë e kontratës së punës për atë të brendshëm, me garancitë e pavarësisë së nenit 34.
- Njoftim i Komisionerit dhe publikim i kontakteve të DPO-së te politika e privatësisë dhe te informimet për punonjësit e klientët.
- Përfshirje e DPO-së në regjistrin e veprimtarive, në DPIA-të dhe në procedurën e cenimit të të dhënave, që roli të mos mbetet në letër.
Tre pyetje që marr rregullisht
A mund të jetë avokati i shoqërisë edhe DPO? Po, nëse nuk vendos vetë për qëllimet e përpunimit dhe nëse përfaqësimi në çështje të tjera nuk krijon konflikt interesi me monitorimin e përputhshmërisë. Në praktikë, avokati i jashtëm me formim në mbrojtjen e të dhënave është një nga profilet më të përshtatshme, pikërisht sepse nuk është pjesë e strukturës drejtuese.
A mund të mbulojë një DPO disa shoqëri? Po, si për grupet (neni 33, pika 2) ashtu edhe për shoqëri të palidhura me kontrata të veçanta shërbimi, me kusht që të ketë kohë dhe burime reale për secilën.
Çfarë ndodh kur DPO-ja largohet? Caktohet një tjetër pa vonesë, njoftohet sërish Komisioneri dhe përditësohen kontaktet e publikuara. Periudha pa DPO është periudhë e shkeljes.
OnLaw Office dhe ITAKA7, shoqëria e specializuar në privacy që kam bashkëthemeluar, ofrojnë shërbimin e DPO-së së jashtme për shoqëri shqiptare dhe italiane, nga vlerësimi fillestar deri te njoftimi i Komisionerit dhe monitorimi i vazhdueshëm. Na kontaktoni nëse doni të dini, me shkrim dhe brenda pak ditësh, nëse shoqëria juaj e ka detyrimin.
