A zbatohet GDPR-ja për kompanitë shqiptare që eksportojnë në BE?

Një kompani IT në Tiranë ka nënshkruar prej muajsh një kontratë me një klient nga Milano, duke ofruar mbështetje teknike dhe zhvillim softueri për platformën e tij e-commerce. Kur departamenti ligjor i klientit italian dërgon një pyetësor standard due diligence dhe kërkon të konfirmohet «zbatueshmëria e GDPR-së» për të dhënat e klientëve fundorë që ekipi në Tiranë trajton çdo ditë, përgjigja e parë e menaxherit është: «Jemi në rregull, kemi ligjin e ri 124/2024, që është plotësisht i përafruar me GDPR-në.» Kjo përgjigje është pjesërisht e vërtetë dhe pjesërisht rrezikshme — sepse ngatërron dy pyetje krejt të ndryshme.

E para pyetje është nëse legjislacioni shqiptar i mbrojtjes së të dhënave është i përafruar me GDPR-në — përgjigja këtu është po, dhe në një masë të pashembullt për rajonin. E dyta pyetje, krejt e ndarë, është nëse vetë GDPR-ja, si rregullore e Bashkimit Evropian, zbatohet drejtpërdrejt për veprimtarinë konkrete të kompanisë suaj drejt BE-së. Të kesh një ligj kombëtar të mirë nuk të përgjigjet automatikisht kësaj pyetjeje të dytë — dhe pikërisht aty qëndron boshllëku që shumë biznese shqiptare eksportuese nuk e shohin derisa ta pyesë një klient evropian.

Ligji Nr. 124/2024: përafrimi më i thellë në rajon, por ligj shqiptar

Ligji Nr. 124/2024 «Për mbrojtjen e të dhënave personale» hyri në fuqi në shkurt 2025, duke zëvendësuar ligjin e vjetër të vitit 2008. Është përshkruar zyrtarisht si plotësisht i përafruar me GDPR-në dhe me Direktivën e BE-së për Zbatimin e Ligjit (Law Enforcement Directive), duke e bërë kuadrin shqiptar të mbrojtjes së të dhënave më të freskët dhe më të afërt me standardin evropian krahasuar me kuadrot e vjetra që ende përdoren në disa vende të tjera kandidate të rajonit. Ky nuk është thjesht kozmetikë ligjor: ligji sjell parime të njohshme nga GDPR-ja — minimizimi i të dhënave, bazat ligjore për përpunim, të drejtat e subjekteve, njoftimi i shkeljeve — nën mbikëqyrjen e Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (IDP).

Por ky ligj mbetet, siç e thotë edhe emri, një ligj i Republikës së Shqipërisë. Ai rregullon përpunimin e të dhënave personale që bie nën juridiksionin shqiptar — tipikisht të dhënat e punonjësve, klientëve dhe përdoruesve në Shqipëri, dhe përpunimin e kryer nga kontrollues të vendosur në Shqipëri për veprimtari brenda juridiksionit të vet. Nuk është një zëvendësim i GDPR-së për veprimtarinë që kompania juaj kryen drejtpërdrejt drejt personave në BE — ajo mbetet e rregulluar nga vetë GDPR-ja, si instrument juridik i veçantë, i pavarur nga sa i përafruar është ligji juaj vendas.

GDPR-ja zbatohet veçmas, sipas nenit 3(2)

Neni 3(2) i GDPR-së parashikon një fushëveprim jashtterritorial: rregullorja zbatohet për një kompani të vendosur jashtë BE-së — pra edhe për një kompani shqiptare — sapo ajo (a) ofron mallra ose shërbime për persona që ndodhen në BE, qoftë edhe falas, ose (b) monitoron sjelljen e tyre, për shembull përmes cookies, profilizimit apo analitikës së sjelljes në internet. Testi nuk pyet ku është regjistruar kompania apo çfarë ligji vendas ndjek — pyet çfarë bën kompania me të dhënat e njerëzve që ndodhen fizikisht në BE.

• Platformë e-commerce, remitancë ose fintech që u shet ose transferon para drejtpërdrejt klientëve në BE (përfshirë diasporën shqiptare në Itali, Greqi apo Gjermani) — zakonisht bie qartë nën nenin 3(2), sepse ofron shërbime drejtpërdrejt personave në BE.
• Platformë turizmi (rezervime, tur-operator, agjenci online) që shet drejtpërdrejt udhëtarëve evropianë — po ashtu rast tipik i «ofrimit të shërbimeve» sipas nenit 3(2).
• Kompani IT ose BPO që trajton, në emër të një klienti italian ose evropian, të dhëna të klientëve fundorë të atij klienti në BE — roli këtu shpesh është i përpunuesit (processor), por kontrata me klientin evropian zakonisht kërkon respektim të drejtpërdrejtë të GDPR-së, jo vetëm të ligjit shqiptar.
• Prodhues teksili ose këpucësh që punon «fason» për marka evropiane — zakonisht përpunon kryesisht të dhëna të kontakteve korporative dhe të punonjësve, jo të konsumatorëve fundorë; rreziku në GDPR këtu është më i ulët, por rritet nëse kompania mban edhe një kanal shitjeje online drejtpërdrejt te konsumatorë në BE.

Çfarë shtesë kërkon GDPR-ja: përfaqësuesi sipas nenit 27

Kur GDPR-ja zbatohet për veprimtarinë tuaj sipas nenit 3(2) dhe kompania nuk ka asnjë vendosje (establishment) në BE, neni 27 i GDPR-së kërkon në parim caktimin e një përfaqësuesi me bazë në BE — një pikë kontakti zyrtare për autoritetet e mbrojtjes së të dhënave dhe për vetë subjektet e të dhënave. Ka përjashtime të ngushta, kryesisht për përpunim vetëm rastësor, në shkallë të vogël dhe pa kategori të veçanta të dhënash — nëse kompania juaj bën përpunim sistematik ose në vëllim, siç zakonisht ndodh me një platformë online apo shërbim BPO të vazhdueshëm, këto përjashtime rrallë aplikohen.

Kush mbikëqyr çfarë

IDP është autoriteti kompetent për zbatimin e Ligjit 124/2024 brenda Shqipërisë — pra për përpunimin që bie nën juridiksionin shqiptar. Nuk ka mandat mbi zbatimin e vetë GDPR-së për veprimtarinë tuaj drejt BE-së: atje, kompetenca i takon autoritetit të mbrojtjes së të dhënave në vendin e BE-së ku ndodhen personat e prekur, ose autoritetit kryesor sipas rregullave të GDPR-së. Në praktikë, mos u mbështetni te marrëdhënia juaj me IDP-në si mburojë për pjesën e veprimtarisë që bie nën GDPR — janë dy regjime mbikëqyrjeje të ndara.

Sa kushton gabimi

• Deri në 20 milionë euro ose 4% të xhiros vjetore globale (më e larta nga të dyja) — për shkeljet më të rënda të GDPR-së, si parimet themelore të përpunimit ose të drejtat e subjekteve.
• Deri në 10 milionë euro ose 2% të xhiros globale — për shkelje të tjera, si mungesa e vlerësimeve të ndikimit apo e regjistrave të përpunimit kur kërkohen.

Për një kompani të vogël shqiptare, gjoba maksimale rrallë është rreziku më real në vitet e para. Rreziku më i menjëhershëm është tregtar: klientë evropianë — veçanërisht italianë, në rastin e sektorit IT/BPO — po shtojnë gjithnjë e më shumë klauza GDPR në kontrata dhe në pyetësorët e tyre të due diligence. Mospërgjigja qartë mund të kushtojë rinovimin e një kontrate, jo vetëm një gjobë hipotetike.

Çfarë të kontrolloni tani

• Identifikoni çdo veprimtari ku kompania ofron drejtpërdrejt mallra/shërbime për persona në BE ose monitoron sjelljen e tyre online.
• Për secilën, përcaktoni nëse jeni kontrollues apo përpunues (processor) i të dhënave, dhe çfarë thotë kontrata me klientin evropian për këtë.
• Verifikoni nëse ju nevojitet një përfaqësues sipas nenit 27 të GDPR-së, veçanërisht nëse përpunimi është sistematik dhe jo thjesht rastësor.
• Mos e ngatërroni pajtueshmërinë me Ligjin 124/2024 me pajtueshmërinë me vetë GDPR-në — mbajini si dy dosje të ndara, edhe kur mbivendosen.
• Kontrolloni nëse klientë aktualë ose të mundshëm në BE kanë shtuar tashmë klauza GDPR në kontrata ose pyetësorë sigurie.

Informacioni më sipër është i përgjithshëm dhe nuk përbën këshillë ligjore — situata konkrete e çdo kompanie varet nga veprimtaria, klientët dhe kontratat e saj specifike. Në platformën e Komplya-s, dallojmë qartë përmbajtjen e rishikuar nga specialistë nga materiali që ende është draft, në mënyrë që të dini gjithmonë sa mund t'i besoni.

Mënyra më e shpejtë për të kuptuar nëse GDPR-ja zbatohet vërtet, përveç Ligjit 124/2024, është të kaloni veprimtarinë tuaj drejt BE-së pikë për pikë. Plotësoni pyetësorin tonë të shkurtër të zbatueshmërisë për të parë cilat detyrime të GDPR-së prekin realisht kompaninë tuaj.