Çfarë kërkon Ligji 124/2024 për mbrojtjen e të dhënave nga hostingu i faqes suaj?

Një udhëzues praktik për kompanitë shqiptare që mbajnë faqe, dyqane online ose aplikacione SaaS: çfarë detyrimesh krijon ligji i ri për marrëdhënien me ofruesin e hostingut dhe çfarë duhet të kontrolloni para se të nënshkruani.

Përgjigje e shkurtër

  1. 1Ligji nr. 124/2024 është miratuar më 19.12.2024, është shpallur me dekretin nr. 5 të datës 15.1.2025 dhe shfuqizon Ligjin nr. 9887/2008; ai është i përafruar plotësisht me GDPR-në.
  2. 2Kompania juaj është kontrollues, ndërsa ofruesi i hostingut që ruan të dhënat e klientëve është përpunues — marrëdhënia duhet të bazohet në një kontratë me shkrim (neni 26).
  3. 3Përpunuesi nuk mund të angazhojë një nënpërpunues tjetër pa autorizimin paraprak me shkrim të kontrolluesit (neni 26, paragrafi 2).
  4. 4Në rast cenimi të të dhënave, kontrolluesi njofton Komisionerin sa më shpejt, por jo më vonë se 72 orë; përpunuesi njofton kontrolluesin menjëherë (neni 29).
  5. 5Kur serverat janë jashtë Shqipërisë, transferimi lejohet vetëm me nivel të përshtatshëm mbrojtjeje, të përcaktuar me vendim të Komisionerit, ose me garanci specifike (nenet 39–40).

Çfarë thotë ligji: nenet që prekin hostingun

Ligji nr. 124/2024 "Për mbrojtjen e të dhënave personale" u miratua nga Kuvendi më 19.12.2024 dhe u shpall me dekretin nr. 5, datë 15.1.2025, të Presidentit të Republikës. Shënimi në krye të tekstit deklaron përafrimin e plotë me Rregulloren (BE) 2016/679 (GDPR) dhe Direktivën (BE) 2016/680. Autoriteti mbikëqyrës është Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (IDP).

Sipas nenit 4, ligji zbatohet për kontrolluesit dhe përpunuesit e vendosur në Shqipëri, pavarësisht nëse përpunimi bëhet brenda apo jashtë vendit. Pra, fakti që faqja juaj është në një server në Gjermani nuk ju nxjerr nga fusha e ligjit.

Neni 26 kërkon që kontrolluesi të përdorë vetëm përpunues që ofrojnë garanci të mjaftueshme për masat teknike dhe organizative, dhe që përpunimi të bazohet në një kontratë me shkrim. Neni 30 shton se detyrimi i konfidencialitetit duhet të parashikohet në çdo kontratë me përpunuesin.

Neni 29 vendos afatin e njoftimit: kontrolluesi njofton Komisionerin jo më vonë se 72 orë pasi merr dijeni për cenimin, dhe shpjegon arsyet nëse vonon. Përpunuesi — pra hostingu — njofton kontrolluesin menjëherë.

Kapitulli IV (nenet 39 e në vijim) rregullon transferimet ndërkombëtare. Neni 40 lejon transferimin drejt vendeve me nivel të përshtatshëm mbrojtjeje, i cili përcaktohet me vendim të Komisionerit. Kontrolloni vendimet e publikuara nga IDP për vendin ku ndodhen serverat tuaj.

Shembuj nga praktika shqiptare

Një dyqan online në Tiranë ruan emra, adresa dhe numra telefoni të blerësve në bazën e të dhënave të hostingut. Dyqani është kontrollues, hostingu përpunues; nevojitet kontratë përpunimi dhe procedurë për njoftimin e cenimit brenda 72 orëve.

Një ekip outsourcing IT në Tiranë që zhvillon softuer për klientë europianë mund të jetë vetë përpunues për ta dhe kontrollues për të dhënat e punonjësve të vet — dy role, dy grupe kontratash.

Një kompani logjistike në Durrës me portal gjurmimi dërgesash përdor një server VPS jashtë vendit: para migrimit duhet të dokumentojë bazën ligjore të transferimit sipas neneve 39–40.

Gabime të zakonshme

  • Të mendosh se hostingu "s'ka lidhje" me ligjin: çdo server që ruan formularë, porosi apo llogari përdoruesish përpunon të dhëna personale.
  • Të mos kesh kontratë përpunimi me ofruesin, ose të kesh vetëm kushtet e përgjithshme të pranuara me një klik, pa listë nënpërpunuesish.
  • Të mos dish ku ndodhen fizikisht serverat dhe kopjet rezervë — kjo është pyetja e parë për çdo transferim ndërkombëtar.
  • Të mos kesh procedurë të shkruar për cenimet: 72 orët fillojnë nga momenti kur merrni dijeni, jo nga momenti kur e keni analizuar incidentin.

Si ju ndihmon 4hosting

Serverat e 4hosting ndodhen në qendër të dhënash në Bashkimin Europian (Frankfurt), jo në Shqipëri — e themi qartë, sepse kjo është e dhëna që ju duhet për vlerësimin e transferimit. Ofrojmë kontratë përpunimi të të dhënave (DPA) sipas nenit 28 të GDPR-së, klauzola standarde kontraktuale për transferimet dhe punojmë në përafrim me ISO 27001.

Çdo abonament VPS, server i dedikuar ose GPU, dhe planet cPanel nga cPanel Advanced e lart, përfshin çdo muaj orë shërbimesh DevOps dhe CyberSecurity: hardening serverash, backup kundër ransomware, WAF dhe mbrojtje DDoS, logim të centralizuar dhe plan reagimi ndaj incidenteve.

4hosting nuk është certifikues pajtueshmërie dhe nuk nënshkruan pajtueshmërinë ligjore në emrin tuaj — vlerësimin final e bën kompania juaj, mundësisht me një jurist.

Pyetje të shpeshta

Kur hyn në fuqi Ligji 124/2024?

Sipas nenit 101, ligji hyn në fuqi 15 ditë pas botimit në Fletoren Zyrtare. Disa dispozita, përfshirë nenin 29 paragrafi 3 (informimi i subjekteve të të dhënave për cenimin), hyjnë në fuqi dy vjet pas botimit.

A duhet që serverat të jenë në Shqipëri?

Jo. Ligji nuk kërkon ruajtje brenda vendit, por transferimi jashtë Shqipërisë duhet të ketë bazë ligjore: vendim përshtatshmërie të Komisionerit ose garanci specifike, si klauzolat standarde të miratuara prej tij.

A e certifikon 4hosting pajtueshmërinë time me ligjin?

Jo. 4hosting ofron infrastrukturën dhe kontratën e përpunimit; pajtueshmëria e aktivitetit tuaj mbetet përgjegjësi e kompanisë suaj si kontrollues.

Shihni gjithashtu