Është e lehtë të humbasësh fillin se ku qëndrojnë vërtet gjërat me ligjin shqiptar për mbrojtjen e të dhënave. Ligji bazë është në fuqi, por jo çdo dispozitë zbatohet ende; legjislacioni dytësor ka ardhur me valë; dhe zbatimi ka ndryshuar marsh në heshtje.

Për një DPO ose drejtues juridik që përpiqet të vendosë sa urgjentisht duhet vepruar, pamja duket më e turbullt nga ç'duhet. Titujt njoftuan një ligj të ri në fillim të 2025-s dhe pastaj heshtën, ndërsa puna e vërtetë e ndërtimit të regjimit vazhdoi muaj pas muaji.

Përmbledhtazi: themeli është plotësisht në fuqi, viti i parë i qetë ka mbaruar dhe pjesët që mbeten në horizont shpërblejnë kompanitë që janë tashmë të përgatitura. Por detaji ka rëndësi, sepse "shtyrë për në 2027" është keqlexuar gjerësisht si hapësirë frymëmarrjeje mbi detyrime që, në fakt, janë në fuqi sot.

Çfarë ka ndodhur tashmë

Dhjetor 2024 deri janar 2025: ligji mbërrin. Ligji nr. 124/2024 u miratua më 19 dhjetor 2024, u botua në Fletoren Zyrtare më 17 janar 2025 dhe hyri në fuqi më 31 janar 2025. Disa burime e datojnë hyrjen në fuqi më 1 shkurt 2025, duke zbatuar rregullin e pesëmbëdhjetë ditëve nga botimi; dallimi e zhvendos fundin e periudhës së tranzicionit me po aq. Shfuqizoi ligjin e vitit 2008 dhe e rivendosi regjimin shqiptar mbi një themel të përafruar me GDPR. Ky nuk është përditësim kozmetik: është ligj strukturalisht i ri, me detyrime të reja për regjistrat e përpunimit, vlerësimet e ndikimit, njoftimin e cenimeve dhe rolin e nëpunësit të mbrojtjes së të dhënave, si dhe një tavan sanksionesh në nivelin e GDPR. Çdo punë pajtueshmërie e ankoruar te ligji i 2008-s duhet rindërtuar, jo rifreskuar.

Gjatë 2025-s: nis legjislacioni dytësor. Një ligj bazë vendos parimet; detaji operacional vjen nga udhëzimet e Komisionerit. Këtu një kompani mëson çfarë kërkon vërtet një rregull në praktikë, dhe gjatë 2025-s këto instrumente erdhën në mënyrë të njëpasnjëshme.

  • Udhëzimi nr. 04/2025 për marketingun e drejtpërdrejtë. Ai që ekipet e marketingut B2C dhe B2B duhet ta lexojnë me kujdes. Vendos standarde pëlqimi të përafruara me GDPR, trajton profilizimin dhe imponon mbrojtje të shtuar për fëmijët nën 18 vjeç. Në praktikë rregullon fushatat me email e SMS, bazat e të dhënave të kontakteve dhe shënjestrimin e sjelljes. Nëse kapja e pëlqimit, çregjistrimi ose listat e blera të kontakteve janë ndërtuar nën regjimin e vjetër, pikërisht këtu vihen në provë.
  • Udhëzuesi nr. 05/2025 për përpunimin nga autoritetet kompetente. Trajton zbatimin e ligjit, prokurorinë dhe gjykatat. Shumica e kompanive private nuk lidhen drejtpërdrejt me të, por ka rëndësi për këdo që merr kërkesa të dhënash nga këto autoritete ose përpunon të dhëna në emër të tyre.
  • Udhëzimi nr. 07/2025 (nëntor 2025) për të dhënat personale në media. Zëvendëson udhëzimet e vjetra për gazetarinë dhe rregullon si shfaqen të dhënat personale në raportim e përmbajtje mediatike. Thelbësor për organizatat mediatike dhe i rëndësishëm për çdo kompani me funksion komunikimi, PR ose përmbajtjeje që publikon informacion për persona të identifikueshëm.
  • Udhëzimet nr. 08 dhe nr. 09/2025 (20 nëntor 2025): regjimi i certifikimit. Këto krijojnë mekanizmin për vulat dhe markat e mbrojtjes së të dhënave dhe vendosin kriteret për akreditimin e organizmave certifikues. Çfarë do të thotë kjo në praktikë e kemi trajtuar te shkrimi ynë për regjimin e ri të certifikimit.

Ndërkohë, aktet nënligjore të regjimit të vjetër të 2008-s mbeten në fuqi derisa të zëvendësohen një nga një. Rregullorja sot është përzierje instrumentesh të reja dhe të trashëguara, dhe pjesë e punës së pajtueshmërisë është të dish cili është cili.

Fundi i 2025-s drejt 2026-s: zbatimi ndryshon marsh. Për pjesën më të madhe të 2025-s Komisioneri theksoi udhëzimin mbi ndëshkimin. Ai qëndrim ka ndryshuar: dy gjoba u vendosën në gjithë vitin 2025 dhe gjashtë vetëm në dy muajt e parë të 2026-s. Numrat absolutë janë të vegjël, por kalimi nga një autoritet këshillues në një autoritet zbatues tashmë duket në të dhëna, dhe ndodhi më shpejt nga sa do të parashikonte një lexim i drejtë i 2025-s.

Kronologjia me një vështrim

Sekuenca e datave shkon kështu. Ligji u miratua më 19 dhjetor 2024, u botua më 17 janar 2025 dhe hyri në fuqi më 31 janar 2025, duke shfuqizuar ligjin e 2008-s. Gjatë 2025-s, Komisioneri nxori Udhëzimin 04/2025 për marketingun e drejtpërdrejtë, Udhëzuesin 05/2025 për autoritetet kompetente dhe, në nëntor 2025, Udhëzimin 07/2025 për median plus, më 20 nëntor 2025, Udhëzimet 08 dhe 09/2025 për certifikimin. Zbatimi kaloi nga dy gjoba gjatë 2025-s në gjashtë në dy muajt e parë të 2026-s. Duke parë përpara, organizmat e parë certifikues pritet të akreditohen gjatë 2026-s, ndërsa një grup i përcaktuar dispozitash mbetet i shtyrë për në janar 2027.

Lexuar nga lart poshtë, është historia e një regjimi që mbërriti në letër në fillim të 2025-s dhe u bë operacionalisht real gjatë tetëmbëdhjetë muajve në vijim.

Çfarë mbetet e shtyrë, dhe çfarë nuk do të thotë kjo

Jo çdo pjesë e ligjit hyri në fuqi ditën e parë. Një grup dispozitash është shtyrë për në janar 2027: komunikimi i cenimit drejtpërdrejt te individët e prekur, detyrimi për vlerësimin e ndikimit dhe konsultimi paraprak, kodet e sjelljes me organizmat e tyre monitorues, si dhe zërat e njëjtë në gjurmën e autoriteteve kompetente. Krahas tyre, ligji parashikon një periudhë tranzicioni dhe përshtatjeje prej rreth dy vjetësh nga hyrja në fuqi.

Kjo është pjesa më e keqkuptuar e kronologjisë, prandaj ia vlen të thuhet troç. Shtyrja nuk është faljë e detyrimeve themelore. Regjistrat e përpunimit, të drejtat e subjekteve, masat e sigurisë, njoftimi i Komisionerit brenda 72 orësh dhe emërimi i DPO-s zbatohen tani.

Ajo që është shtyrë është më e ngushtë: detyrimi i veçantë për të komunikuar një cenim drejtpërdrejt te individët e prekur, i cili është i ndryshëm nga njoftimi i Komisionerit dhe ai detyrim është tashmë në fuqi; detyrimi për vlerësimin e ndikimit dhe konsultimi paraprak; kodet e sjelljes me organizmat monitorues; dhe rregullat për autoritetet kompetente. Themeli është plotësisht në fuqi. Vetëm disa mekanizma të mëvonshëm rrinë në orën e 2027-s.

Trajtimi i gjithë regjimit sikur të nisë në 2027 është keqleximi më i kushtueshëm që një kompani mund të bëjë tani.

Çfarë duhet ta keni tashmë, dhe çfarë vjen ende

Ndihmon ta ndani pamjen në dy pjesë.

Në fuqi sot, dhe prandaj aty ku qëndron rreziku i inspektimit: një regjistër i mirëmbajtur i aktiviteteve të përpunimit, një proces funksional për trajtimin e kërkesave të subjekteve brenda afateve ligjore, një procedurë cenimi e aftë të njoftojë Komisionerin brenda 72 orësh, masa të përshtatshme sigurie, baza ligjore të dokumentuara për çdo aktivitet përpunimi, pëlqim marketingu që plotëson Udhëzimin 04/2025 dhe një DPO i caktuar aty ku ligji e kërkon. Nëse ndonjë prej tyre mungon në mesin e 2026-s, mangësia nuk është rrezik i së ardhmes. Është i tashëm.

Ende në vijim, dhe prandaj aty ku përgatitja e hershme kthehet në avantazh: komunikimi i cenimit drejtpërdrejt te individët dhe kodet e sjelljes që vijnë me dispozitat e 2027-s, udhëzime të tjera dytësore ndërsa regjimi piqet, dhe ekosistemi i certifikimit që bëhet operacional ndërsa organizmat akreditohen gjatë 2026-s.

Përtej kësaj, pritet që Komisioneri të vazhdojë të nxjerrë legjislacion dytësor dhe vendime të publikuara. Çdo udhëzim i ri e ngushton hendekun mes tekstit të modeluar mbi GDPR dhe praktikës operacionale shqiptare, dhe çdo vendim i publikuar sinjalizon se çfarë po i jep përparësi autoriteti: cilët sektorë, cilat mangësi, cilat detyrime. Leximi i atyre vendimeve sapo dalin është një nga mënyrat më të lira për të qëndruar përpara zbatimit.

Ku e lë kjo kompaninë tuaj

Përmbledhja e ndershme e mesit të 2026-s është kjo: hapësira e dhënë nga një vit i parë i ngadaltë ka mbaruar, detyrimet themelore janë ende plotësisht në fuqi, zbatimi po përshpejtohet dhe shtresa e certifikimit që do të shpërblejë lëvizësit e hershëm po ndërtohet pikërisht tani. Nuk ka pjesë të kësaj kronologjie që të argumentojë pritjen.

Kompanitë në pozitën më të mirë nuk janë ato që gjetën një shkurtore. Janë ato që e trajtuan 2025-n si vitin për të ndërtuar themelet, regjistrin, proceset e kërkesave, vlerësimet, procedurën e cenimit, në mënyrë që 2026-a të jetë përsosje dhe jo vrap për të kapur hapin. Nëse organizata juaj nuk është ende në atë pozitë, puna është e njohur mirë dhe plotësisht e arritshme. Pika e kronologjisë është thjesht se dritarja për ta bërë me qetësi, përpara presionit, është ajo që është e hapur tani.

Doni të dini ku qëndron kompania juaj ndaj detyrimeve që janë në fuqi sot? Shkarkoni listën e kontrollit për përputhshmërinë me Ligjin 124/2024 ose rezervoni një bisedë 30-minutëshe.