Fino a pochi mesi fa, un'ispezione del Commissario terminava quasi sempre con una raccomandazione. Oggi può terminare con una multa da centinaia di migliaia di euro.
Le decisioni del 12.06.2026 — circa 1 milione di euro di sanzioni contro Agi Kons, Progeen e la catena farmaceutica Ditë e Natë — segnano probabilmente il più importante cambio di rotta mai avvenuto nella prassi albanese sulla protezione dei dati personali.
Lo schema che ha funzionato per anni
Per anni il mercato ha imparato una lezione semplice: il rischio privacy in Albania era limitato.
Arrivava il Commissario. Venivano rilevate violazioni. Arrivava una raccomandazione. Si correggevano alcuni documenti. Tutto finiva lì.
Il 12 giugno 2026 questo schema si è definitivamente rotto.
Come è stata preparata la svolta
La Legge n. 124/2024 ha dotato il Commissario di un nuovo regime sanzionatorio, mentre l'Istruzione n. 06/2025 ha fissato la metodologia oggettiva per il calcolo delle multe. Questo ha creato la base giuridica perché le nuove sanzioni fossero non solo più alte, ma anche più difendibili davanti al controllo giurisdizionale.
Le prime prove non si sono fatte attendere. A gennaio 2026, tre società IT sono state multate per circa 95 mila euro complessivi — le abbiamo analizzate nell'articolo sulle cinque lezioni delle decisioni di gennaio.
Ad aprile 2026, quattro società edili hanno ricevuto raccomandazioni. Senza multe — ma con l'avvertimento espresso nel testo: in caso di mancata attuazione, si applicano gli artt. 92-94. Si sono salvate perché hanno collaborato durante l'indagine.
Era l'ultimo preavviso, messo per iscritto.
12 giugno: le tre decisioni
Agi Kons (costruzioni): 24 milioni di Lekë per gli artt. 6, 7 e 8 — foto e video di dipendenti pubblicati su Instagram senza prova del consenso — più 11,11 milioni di Lekë per carenze di sicurezza e per il rapporto non formalizzato con la società che mantiene il sito web. Totale: 35,11 milioni di Lekë, circa 360 mila euro.
Progeen (costruzioni): 3 milioni di Lekë per mancata informativa agli interessati e 18 milioni di Lekë per gli artt. 27, 28 e 33 — registro dei trattamenti, sicurezza, DPO. Totale: 21 milioni di Lekë, circa 220 mila euro.
Ditë e Natë (farmacie): sanzione per gli artt. 6, 7, 8 e 13 — conservazione illimitata dei dati dei clienti, telecamere che riprendevano anche spazi pubblici, pubblicazioni su Instagram senza consenso, informative incomplete.
La stessa lista, uno strumento diverso
Confrontate ora la lista di giugno con quella di aprile: social senza consenso, CCTV su spazi pubblici, conservazione indefinita, DPA mancanti, DPO non nominato.
È la stessa lista. Ciò che ad aprile ha ricevuto una raccomandazione, a giugno ha ricevuto una multa.
Questo non è un cambiamento quantitativo. È un cambiamento di filosofia.
Perché la rotta è cambiata
Lo ha detto lo stesso Commissario: le decisioni di giugno segnano il passaggio dalla fase di educazione e orientamento all'applicazione effettiva dei meccanismi punitivi. Un'autorità che si limita a raccomandare non supera il test di equivalenza con le omologhe europee — e l'Albania è in un processo di integrazione.
Le campagne sono settoriali e progressive: IT a gennaio, edilizia ad aprile e giugno, ora anche la farmaceutica. I settori a contatto massivo con il pubblico — sanità privata, istruzione, turismo, commercio — hanno ogni ragione di considerarsi i prossimi.
E il messaggio silenzioso della prassi è chiaro: chi collabora durante l'indagine riceve una raccomandazione; chi non collabora, paga.
Cosa significa per la vostra azienda
Da questo momento, il mancato rispetto delle regole non è più un problema formale, ma un rischio finanziario reale.
I punti multati a giugno hanno ormai un prezzo pubblicato: foto e video dei dipendenti sui social senza modulo di consenso, telecamere che riprendono la strada, tempi di conservazione non documentati, DPA mancanti con i responsabili — compreso chi vi mantiene il sito web — e DPO non nominato dove richiesto.
Se avete ricevuto una raccomandazione, trattatela come una multa preliminare sotto condizione sospensiva: le scadenze sono reali e la notifica al Commissario va accompagnata da prove, non da promesse.
In conclusione
Le decisioni del 12 giugno 2026 non vanno lette soltanto come tre procedimenti amministrativi contro tre società. Costituiscono il segnale più chiaro che il periodo della tolleranza è finito.
Ogni titolare che continua ad affidarsi alle prassi del passato si assume oggi un rischio economico e reputazionale molto più grande di quello di pochi mesi fa.
Se desiderate verificare il livello di conformità della vostra organizzazione alla Legge n. 124/2024 prima di un'ispezione, potete contattare il nostro studio per un audit preliminare di conformità.