Pothuajse çdo biznes në Shqipëri ka kamera. Shumë pak kanë vendimin me shkrim që i legjitimon ato.

Ky nuk është detaj formal. Udhëzimi nr. 03, datë 30.04.2025, rregullon përpunimin e të dhënave personale nga sistemet e video survejimit. Është nxjerrë nga Komisioneri në mbështetje të neneve 82, 85 dhe 97 të Ligjit 124/2024, ngarkon të gjithë kontrolluesit dhe përpunuesit publikë e privatë në territorin e Republikës, dhe moszbatimi i tij përbën shkelje të Ligjit që sanksionohet sipas nenit 94. Ai shfuqizon udhëzimin e vitit 2010 që e paraprinte.

Më poshtë është ajo që kërkon në praktikë.

Pamjet janë të dhëna personale

Regjistrimet e ruajtura në një sistem CCTV janë të dhëna personale me kusht që individi të mund të identifikohet drejtpërdrejt ose tërthorazi prej tyre. Udhëzimi është specifik se si: kur imazhi ose tingulli zbulon karakteristika dalluese si fytyra, tiparet fizike ose zëri, duke bërë të mundur identifikimin e plotë kur krahasohen me të dhëna të tjera të disponueshme.

Prandaj zbatohet i gjithë ligji: baza ligjore, siguria, afatet e ruajtjes dhe të drejtat e subjekteve sipas Neneve 12-21, ekuivalenti shqiptar i Neneve 12-22 të GDPR. Udhëzimi shton edhe një ndalim të vetin: regjistrimet që përmbajnë të dhëna personale nuk mund të shpërndahen, përveç rasteve kur parashikohet me ligj.

Interesi legjitim është më i ngushtë nga ç'mendohet

Udhëzimi thotë hapur se përpunimi me CCTV përbën një ndërhyrje serioze në jetën private të individit, dhe se kontrolluesi mund t'i përpunojë këto të dhëna vetëm kur legjitimohet sipas nenit 7 të Ligjit. Në praktikë kjo do të thotë ose një detyrim ligjor, ose interesi i ligjshëm i kontrolluesit. Udhëzimi pranon diçka që shumica e udhëzuesve e kalon shpejt: pëlqimi rrallë është i mundur këtu, sepse kontrolluesi nuk mund t'i identifikojë paraprakisht të gjithë ata që do të kalojnë në zonë.

Kur mbështeteni te interesi legjitim, duhet të plotësohen bashkë katër kushte:

  • të keni të drejtë të vendosni se kush lejohet të hyjë dhe të qëndrojë brenda zonës nën vëzhgim, pra e drejta mbi ambientin;
  • përdorimi të justifikohet nga një nevojë e veçantë për të mbrojtur kontrolluesin ose persona të tretë, si rreziku nga vjedhja ose kërcënimi ndaj sigurisë fizike apo mendore të personave brenda zonës;
  • qëllimi i regjistrimit të specifikohet qartë dhe në përputhje me interesat ligjore të kontrolluesit, për shembull mbrojtja e pronës kundër vjedhjes;
  • qëllimi të mos mund të arrihet në ndonjë mënyrë tjetër.

Vini re sa specifik është ky formulim. Nuk është "interes legjitim" në kuptimin e gjerë: është mbrojtja nga vjedhja ose kërcënimi ndaj sigurisë, me provën se asgjë më pak ndërhyrëse nuk e bënte punën. Udhëzimi kërkon gjithashtu, në çdo rast, garancinë se nuk ekzistonte një rrugë më pak ndërhyrëse drejt të njëjtit qëllim.

Ndalohet instalimi në ambiente që përdoren ekskluzivisht për qëllime private: tualete, dushe, dhoma zhveshjeje. Ndalohet gjithashtu mbikëqyrja dhe transmetimi në kohë reale i imazheve të regjistruara nëpërmjet internetit ose shërbimeve të komunikimit elektronik, kur personat mund të identifikohen lehtë. Kamera e lidhur me një aplikacion që e sheh kushdo me lidhjen është pikërisht rasti që ky rregull ndalon.

Vendimi me shkrim që nuk e ka askush

Ky është detyrimi që pothuajse askush nuk e përmbush. Përpara fillimit të përpunimit, organi vendimmarrës i kontrolluesit duhet të marrë dhe të dokumentojë një akt të brendshëm që përcakton:

  • llojin, specifikimet e kamerave dhe vendosjen e tyre, në përputhje me qëllimin për të cilin do të përdoren;
  • zonat e sakta që do të jenë nën mbikëqyrje.

Pozicioni i kamerave nuk duhet të jetë i tillë që të përfshijë imazhe nga mjedise që nuk përputhen me qëllimin e mbikëqyrjes. Me fjalë të tjera, një kamerë e vendosur për të mbrojtur arkën nuk duhet të mbulojë edhe tavolinat e punonjësve. Pa atë dokument nuk ka si të provohet as qëllimi, as proporcionaliteti, dhe është gjetja më e lehtë që një inspektor mund të konstatojë.

Aksesi: i kufizuar, i dokumentuar dhe konfidencial edhe më pas

Rrethi i personave që kanë akses në të dhënat e regjistruara duhet të jetë sa më i ngushtë. Përtej kësaj, udhëzimi kërkon që çdo akses i marrë në të dhënat e regjistruara të dokumentohet, për qëllime të një kontrolli të mundshëm të mëvonshëm. Kjo do të thotë një regjistër aksesi: kush i pa pamjet, kur dhe pse. Nëse sistemi juaj nuk e mban këtë gjurmë, detyrimi nuk është i përmbushur.

Të dhënat e regjistruara për parandalimin e rrezikut nuk përdoren për qëllime të tjera, përveç rasteve që parashikohen me ligj, për shembull për interesa të rëndësishme publike si lufta kundër krimit. Dhe kushdo që ka akses është i detyruar ta ruajë konfidencialitetin edhe pas përfundimit të marrëdhënies së punës.

Afatet e ruajtjes: 72 orë, ose deri në 30 ditë

Afati i ruajtjes nuk duhet të kalojë periudhën e nevojshme për qëllimin. Në përgjithësi, të dhënat mund të mbahen:

  • për një periudhë prej 72 orësh, që është rregulli bazë kur ambientet mbikëqyren vazhdimisht nga një person;
  • për një periudhë më të gjatë, nëse mjediset e kontrolluara nuk janë nën mbikëqyrje të vazhdueshme, megjithatë jo më shumë se 30 ditë, me mundësi zgjatjeje për festat zyrtare;
  • për periudha më të gjata vetëm kur parashikohet me akt normativ ose rregullator të posaçëm.

Pas përfundimit të periudhës së ligjshme, kontrolluesi duhet të ndërmarrë masa për fshirjen e këtyre të dhënave. Fshirja nuk është opsionale dhe nuk mjafton që sistemi t'i mbishkruajë "kur të mbushet disku": afati duhet të jetë i konfiguruar dhe i zbatuar. Kur ka ndodhur një incident sigurie, të dhënat duhet t'u vihen në dispozicion autoriteteve kompetente.

Një përjashtim i rëndësishëm dhe pak i njohur. Nëse një subjekt i të dhënave kërkon akses te pamjet e tij, ato nuk mund të fshihen pasi kontrolluesi e ka marrë kërkesën. Kërkesa e ngrin afatin e ruajtjes. Një organizatë që fshin sipas rutinës pasi ka marrë një kërkesë, krijon një problem të dytë mbi të parin.

Ndërtesat e banimit: 75% e banorëve

Sistemet CCTV mund të instalohen në ndërtesa banimi vetëm me miratimin e të paktën 75% të banorëve, në përputhje me legjislacionin për administrimin e bashkëpronësisë, dhe në ambientet e përbashkëta vetëm për qëllime të mbrojtjes së sigurisë së njerëzve dhe pronës. Ndalohet vënia në dispozicion e imazheve të banorëve dhe të veprimtarive të tyre te palët e treta, përveç rasteve kur kjo kërkohet nga autoritetet kompetente.

Informimi: tabela standarde ekziston

Subjektet e të dhënave duhet të informohen qartë për ekzistencën dhe qëllimin e sistemit, me një njoftim të vendosur në zonën e monitoruar. Kontrolluesi është i detyruar të vendosë modelin standard të tabelës informuese të miratuar nga Komisioneri, i cili i bashkëlidhet vetë udhëzimit. Nuk ka arsye të përdoret një tabelë e improvizuar, dhe një tabelë e improvizuar është boshllëk i dukshëm e i fotografueshëm.

Kërkesat për akses dhe palët e treta

Kur dikush kërkon të shohë pamjet ku shfaqet, dhe aksesi do të përmbushet duke i treguar subjektit materialin e regjistruar, kontrolluesi duhet të marrë parasysh interesat e mbrojtjes së të dhënave të palëve të treta në të njëjtin material, duke bërë të mundur anonimizimin e videos përmes errësimit të imazheve të tyre.

Në praktikë ju duhet një mënyrë e zbatueshme për të turbulluar fytyrat e të tjerëve. Pa të, kërkesa ose refuzohet pa bazë, ose përmbushet duke zbuluar të dhënat e dikujt tjetër. Të dyja janë shkelje.

Lista e kontrollit

  1. A ekziston vendimi i brendshëm me shkrim që miraton sistemin, me llojin, specifikimet, vendosjen e kamerave dhe zonat e sakta?
  2. A është qëllimi i specifikuar, dhe a mbulojnë kamerat vetëm atë që qëllimi justifikon?
  3. A ka kamera në ambiente ekskluzivisht private?
  4. A transmetohen pamjet në kohë reale në internet, aty ku personat identifikohen lehtë?
  5. A është afati i ruajtjes i konfiguruar në 72 orë, ose i arsyetuar deri në 30 ditë?
  6. A dokumentohet çdo akses te pamjet?
  7. A është vendosur tabela standarde e Komisionerit në zonën e monitoruar?
  8. A keni një mënyrë për të anonimizuar palët e treta në një kërkesë aksesi?
  9. Për ndërtesat e banimit: a ekziston miratimi i 75% të banorëve?

Nëse ndonjëra prej tyre mungon, kjo nuk është çështje për më vonë. Udhëzimi është në fuqi dhe moszbatimi sanksionohet sipas nenit 94 të Ligjit 124/2024.