Bizneset që përdorin kamera sigurie mbeten përgjegjëse për ruajtjen dhe sigurinë e pamjeve edhe në rastet kur instalimi, mirëmbajtja apo ruajtja e regjistrimeve u është besuar kompanive të tjera. Ky është një nga mesazhet kryesore të Besnik Dervishit, Komisioner për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale, i cili në një intervistë shpjegon në hollësi se çfarë kërkon kuadri ligjor nga subjektet private që vendosin sisteme video-survejimi në ambientet e tyre.

Përhapja gjithnjë e më e madhe e kamerave të sigurisë në dyqane, zyra, banka, fabrika dhe ambiente të tjera pune ka sjellë me vete edhe detyrime të qarta për mbrojtjen e privatësisë dhe të të dhënave personale. Ligji nr. 124/2024 "Për mbrojtjen e të dhënave personale" dhe Udhëzimi nr. 3/2025 përcaktojnë rregullat për vendosjen e kamerave, qëllimin e regjistrimit, afatet brenda të cilave mund të ruhen pamjet, kufizimin e aksesit dhe masat e sigurisë që duhet të zbatojnë bizneset.

Sipas Komisionerit, përdorimi i kamerave duhet të jetë i nevojshëm dhe proporcional, ndërsa çdo akses në regjistrime duhet të kufizohet dhe të dokumentohet, në mënyrë që të parandalohet keqpërdorimi i tyre. Gjatë periudhës 2025 – tetor 2026, institucioni ka trajtuar 65 ankesa që lidhen me video-survejimin, ku janë evidentuar shkelje dhe mangësi në zbatimin e kuadrit ligjor. Për këto raste janë dhënë 45 rekomandime dhe janë nxjerrë 10 vendime.

Çfarë duhet të dokumentojë një biznes përpara se të instalojë kamerat

Ligji nr. 124/2024 dhe Udhëzimi nr. 3, datë 30.04.2025, kërkojnë që përdorimi i kamerave të mbështetet në një bazë ligjore, të ketë një qëllim të përcaktuar dhe të jetë i nevojshëm e proporcional. Pyetja praktike për shumë biznese është se çfarë duhet të kenë në dorë përpara se të vendosin një sistem CCTV, në mënyrë që të provojnë se ekziston një interes i ligjshëm dhe se i njëjti qëllim nuk mund të arrihet me një mjet më pak ndërhyrës.

Komisioneri Dervishi i referohet konkretisht nenit 2 të Udhëzimit nr. 3, datë 30.04.2025 "Për përpunimin e të dhënave personale nga sistemet e video-survejimit". Sipas kësaj dispozite, përpara instalimit të sistemit CCTV, kontrolluesi, pra subjekti që vendos dhe përdor kamerat, duhet të dokumentojë në një akt të brendshëm një sërë elementësh:

  • Llojin dhe specifikimet e kamerave, si dhe vendosjen e tyre në përputhje me qëllimin për të cilin do të përdoren;
  • Qëllimin e regjistrimit, i cili duhet të specifikohet qartë dhe të jetë në përputhje me interesat ligjorë të kontrolluesit, për shembull mbrojtja kundër vjedhjes;
  • Zonat e sakta që do të jenë nën mbikëqyrje;
  • Afatin e ruajtjes së të dhënave të regjistruara;
  • Personat që do të kenë akses në të dhënat e regjistruara, ku rrethi i tyre duhet të kufizohet dhe të jetë sa më i ngushtë që të jetë e mundur;
  • Masat e sigurisë që do të zbatohen për të mbrojtur sistemet e regjistrimit dhe pajisjet e transmetimit që ruajnë të dhënat nga aksesi, ndryshimi, shkatërrimi, humbja ose përpunimi i paautorizuar apo aksidental.

Komisioneri nënvizon se siguria nuk kufizohet vetëm te masat fizike. Ajo lidhet edhe me mënyrën se si organizohet puna brenda subjektit, në mënyrë që rreziku të minimizohet. Kjo nënkupton, për shembull, që personeli të ketë akses në të dhënat personale vetëm për aq sa i nevojitet për të kryer detyrat e punës, si dhe që punonjësit të trajnohen rregullisht për mbrojtjen e të dhënave personale dhe për përgjegjësitë që mbajnë.

Si provohet interesi i ligjshëm

Interesi i ligjshëm është një nga kriteret ligjore për përpunimin e të dhënave personale, sipas parashikimeve të nenit 7 të ligjit nr. 124/2024. Sipas Dervishit, kontrolluesi duhet të provojë dhe të dokumentojë se ky interes është real dhe legjitim. Ai duhet të justifikohet nga një nevojë e veçantë për të mbrojtur të drejtat e vetë kontrolluesit ose të personave të tretë. Si shembuj përmenden vjedhja ose kërcënimi për sigurinë fizike apo mendore të personave që ndodhen brenda zonës së mbikëqyrur, siç parashikohet në pikën 3 të nenit 2 të Udhëzimit nr. 3.

Nuk mjafton që biznesi të deklarojë thjesht se nuk ka mjete të tjera në dispozicion. Për të provuar domosdoshmërinë e kamerave dhe faktin se nuk ekziston një mjet më pak ndërhyrës, kontrolluesi duhet të bëjë një vlerësim konkret të alternativave, pra një analizë krahasuese të masave alternative. Po ashtu, ai mund të administrojë evidenca konkrete që justifikojnë ekzistencën e këtij interesi, si incidente, vjedhje, denoncime apo dëmtime të ndodhura më parë.

Pëlqimi apo interesi i ligjshëm

Një tjetër çështje që ngre pikëpyetje te bizneset është nëse mund të mbështeten te pëlqimi i personave që filmohen. Komisioneri shpjegon se, në shumicën e rasteve, kontrolluesi e ka të pamundur të identifikojë paraprakisht individët që do të kalojnë në zonën e survejuar, për t'u kërkuar më parë pëlqimin e tyre. Kjo situatë parashikohet në pikën 2 të nenit 2 të Udhëzimit nr. 3.

Në këto kushte, kontrolluesi legjitimohet të vendosë sisteme CCTV nëse përpunimi kryhet për përmbushjen e një detyrimi ligjor, sipas shkronjës "c" të pikës 1 të nenit 7 të Ligjit, ose për interesat e ligjshëm të tij apo të një pale të tretë. Ky i fundit, i parashikuar në shkronjën "dh" të pikës 1 të nenit 7 të Ligjit, ka një përjashtim të rëndësishëm: ai nuk vlen kur interesat ose të drejtat dhe liritë themelore të subjektit të të dhënave, që kërkojnë mbrojtje të të dhënave personale, kanë përparësi mbi këto interesa, veçanërisht kur subjekti i të dhënave është i mitur.

Kufiri mes sigurisë dhe monitorimit të punonjësve

Një nga pikat më të ndjeshme në përdorimin e kamerave në vendin e punës është dallimi midis përdorimit të tyre për sigurinë e njerëzve dhe pronës dhe përdorimit për të monitoruar punonjësit. Bizneset shpesh pyesin nëse mund të filmohet një post pune dhe nëse pamjet e mbledhura për siguri mund të shfrytëzohen më pas për të vlerësuar performancën, sjelljen apo për të marrë masa disiplinore ndaj një punonjësi.

Sipas Komisionerit Dervishi, kufiri përcaktohet nga qëllimi i instalimit të kamerës, i cili duhet të jetë i qartë përpara se kamera të vendoset. Ky qëllim duhet të jetë specifik, i ligjshëm dhe i përcaktuar qartë në momentin e instalimit, në përputhje me parimin e përpunimit sipas qëllimit, të parashikuar në pikën 2 të nenit 6 të Ligjit.

Udhëzimi nr. 3 përcakton se përpunimi i të dhënave përmes sistemit CCTV mund të lejohet vetëm nëse qëllimi për të cilin është instaluar sistemi nuk mund të arrihet në ndonjë mënyrë tjetër. Gjithashtu, ai ndalon instalimin e kamerave në ambiente që përdoren ekskluzivisht për qëllime private, si tualetet, dushet, dhomat e zhveshjes etj.

Në këtë kuptim, shpjegon Komisioneri, përdorimi i CCTV nuk mund të justifikohet vetëm me qëllimin e përgjithshëm të mbikëqyrjes, kur i njëjti synim mund të arrihet me mjete që ndërhyjnë më pak në të drejtën për privatësi dhe në mbrojtjen e të dhënave personale.

Për më tepër, përdorimi i pamjeve për qëllime të ndryshme nga ai i përcaktuar fillimisht, që në këtë rast është siguria, bie ndesh me pikën 2 të nenit 6 të Ligjit. Kjo dispozitë përcakton se të dhënat personale nuk përpunohen më tej për një qëllim tjetër që nuk përputhet me qëllimin fillestar.

Monitorimi i performancës, veçanërisht problematik

Komisioneri thekson se monitorimi i vazhdueshëm me qëllim vlerësimin e performancës në punë, matjen e shpejtësisë, të kohës së punës ose të produktivitetit individual është veçanërisht problematik dhe nuk mund të justifikohet thjesht me interesin e punëdhënësit.

Megjithatë, në varësi të rrethanave, mund të ekzistojnë raste të kufizuara kur një përdorim i tillë mund të justifikohet. Dervishi sjell dy shembuj praktikë:

  • Monitorimi i transaksioneve në arkat bankare. Në këtë rast, pamjet përdoren për të garantuar sigurinë e transaksioneve financiare, për të parandaluar mashtrimet dhe për të hetuar parregullsi ose transaksione të dyshimta, me synim mbrojtjen e klientëve dhe të pasurisë së bankës.
  • Garantimi i sigurisë ushqimore dhe i shëndetit publik. Kamerat në ambientet e prodhimit dhe përpunimit të ushqimit përdoren për të hetuar incidente që mund të cenojnë sigurinë ushqimore, për të verifikuar respektimin e procedurave të higjienës, si dhe për të mbrojtur shëndetin publik dhe të drejtat e konsumatorëve.

Edhe në këto raste, sipas Komisionerit, përdorimi i kamerave për të vlerësuar performancën e punonjësve mund të justifikohet vetëm nëse plotësohen disa kushte njëherësh: përdorimi duhet të jetë i nevojshëm dhe proporcional me qëllimin e ligjshëm, duhet të ekzistojë bazë ligjore, duhet të respektohen parimet e transparencës dhe të kufizimit të qëllimit, dhe kontrolluesi duhet ta argumentojë këtë përdorim në çdo rast të veçantë.

Shikimi "live" i kamerave nga telefoni

Udhëzimi nr. 3 parashikon ndalimin e mbikëqyrjes dhe transmetimit në kohë reale të imazheve përmes internetit ose shërbimeve të komunikimit elektronik, kur personat mund të identifikohen lehtësisht. Kjo dispozitë prek drejtpërdrejt një praktikë shumë të zakonshme: pronari ose administratori i një biznesi që i ndjek kamerat "live" nga telefoni, nga shtëpia ose nga një vend tjetër.

Komisioneri Dervishi sqaron se Udhëzimi nr. 3 përmban një ndalim specifik për transmetimin në kohë reale të imazheve të regjistruara nga sistemi CCTV. Edhe nëse kamera është vendosur për qëllime sigurie, kjo nuk e bën automatikisht të lejueshëm transmetimin live. Në këtë kontekst, praktikat e transmetimit live, si shikimi i kamerave në kohë reale nga telefoni ose nga një vend tjetër, bien nën këtë ndalim.

Megjithatë, ai bën një dallim të rëndësishëm. Parashikimi i Udhëzimit nr. 3 për aksesin në distancë lidhet me transmetimin ose mbikëqyrjen live. Aksesi në distancë nuk nënkupton domosdoshmërisht mbikëqyrje në kohë reale; mund të ketë akses në distancë edhe në pamje të regjistruara.

Qasja e EDPB-së

Komisioneri i referohet edhe Bordit Evropian për Mbrojtjen e të Dhënave (EDPB), i cili në Guidelines 3/2019 e trajton veçmas konceptin e "live monitoring" dhe e dallon atë nga regjistrimi i pamjeve. Të dyja konsiderohen forma të përpunimit të të dhënave personale. EDPB e sheh monitorimin live si përpunim të të dhënave personale edhe kur pamjet nuk regjistrohen.

Për rrjedhojë, fakti që një sistem CCTV vetëm transmeton pamjen në kohë reale pa e ruajtur atë nuk do të thotë se GDPR nuk zbatohet. Në të njëjtën mënyrë, kjo nuk e përjashton zbatimin e kuadrit rregullator vendas, pra të ligjit nr. 124/2024 dhe të akteve nënligjore përkatëse. Ka përpunim, shpjegon Dervishi, sepse personat mund të identifikohen përmes imazhit.

Në çdo rast, EDPB e trajton monitorimin live si përpunim që duhet të ketë bazë ligjore, qëllim të përcaktuar, transparencë dhe të jetë i nevojshëm. Përveç kësaj, duhet të shqyrtohet se kush ka akses, cilat janë masat e sigurisë dhe nëse ky transmetim është proporcional.

Kush ka të drejtë t'i shohë pamjet

Një çështje me rëndësi praktike për bizneset është se kush duhet të ketë akses në pamjet e kamerave brenda subjektit dhe deri ku shtrihet përgjegjësia e kontrolluesit kur në sistem hyjnë edhe kompani të jashtme, si instaluesi i kamerave, mirëmbajtësi i sistemit, ofruesi i shërbimit cloud apo prodhuesi i pajisjeve.

Komisioneri thekson se Udhëzimi nr. 3 ka parashikuar në mënyrë taksative që rrethi i personave me akses në të dhënat e regjistruara duhet të kufizohet dhe të jetë sa më i ngushtë që të jetë e mundur, sipas shkronjës "b" të pikës 4 të nenit 2. Gjithashtu, çdo akses në të dhënat e regjistruara duhet të dokumentohet, në mënyrë që të mundësohet një kontroll i mëvonshëm, siç kërkon shkronja "c" e së njëjtës dispozitë.

Në praktikë, kjo do të thotë se akses duhet të kenë vetëm personat për të cilët ai është i nevojshëm për përmbushjen e një funksioni të caktuar. Çdo hyrje në sistem duhet të lërë gjurmë që mundëson verifikimin e mëvonshëm.

Marrëdhënia me kompanitë e jashtme

Kur kompanitë e jashtme ose palët e treta përpunojnë të dhëna personale për llogari të kontrolluesit, krijohet një marrëdhënie kontrollues-përpunues. Sipas Dervishit, kjo marrëdhënie duhet të formalizohet dhe të rregullohet sipas parashikimeve të Udhëzimit nr. 19, datë 03.08.2012 "Mbi rregullimin e marrëdhënieve mes kontrolluesit dhe përpunuesit në rastet e delegimit të përpunimit të të dhënave dhe përdorimin e një kontrate tip në rastet e këtij delegimi", i ndryshuar.

Në bazë të këtij udhëzimi, marrëveshja ose kontrata ndërmjet palëve duhet të përcaktojë qartë, ndër të tjera:

  • objektin dhe qëllimin e përpunimit;
  • llojin e të dhënave personale;
  • kohëzgjatjen e përpunimit;
  • kategoritë e personave;
  • masat e sigurisë.

Thelbi i qëndrimit të Komisionerit është se fakti që kontrolluesi ia ka deleguar instalimin, mirëmbajtjen ose hostimin një kompanie tjetër nuk e shkarkon atë nga përgjegjësia për të garantuar kontrollin mbi aksesin në pamjet CCTV. Kur kompania e jashtme ka nevoja teknike për të hyrë në sistem, ky akses duhet të jetë i nevojshëm, i kufizuar dhe i kontrollueshëm. Për rrjedhojë, edhe ky akses duhet të dokumentohet, kërkesë që shprehet në shkronjën "c" të pikës 4 të nenit 3 të Udhëzimit nr. 3.

Sa kohë mund të ruhen pamjet

Udhëzimi parashikon, në përgjithësi, ruajtjen e pamjeve për 72 orë për sistemet që mbikëqyren vazhdimisht dhe, në raste të tjera, deri në 30 ditë. Shumë biznese i interpretojnë këto shifra si afate standarde që mund të zgjidhen lirisht, në varësi të kapacitetit të pajisjeve.

Komisioneri Dervishi e kundërshton këtë qasje. Sipas tij, afatet 72 orë dhe 30 ditë nuk janë dy afate automatike që biznesi apo kontrolluesi mund t'i zgjedhë sipas kapacitetit teknik të pajisjes së video-survejimit. Në çdo rast mbizotëron parimi i kufizimit të ruajtjes në kohë, i parashikuar në nenin 6 të Ligjit. Ky parim nënkupton se të dhënat personale mbahen në një formë që lejon identifikimin e subjekteve vetëm për një periudhë jo më të gjatë sesa është e nevojshme për qëllimin për të cilin përpunohen.

Periudha e ruajtjes duhet të përcaktohet individualisht për qëllimin konkret, ndërsa barra e provës për përputhshmërinë bie mbi kontrolluesin. Udhëzimi, gjithashtu, përcakton se të dhënat duhet të ruhen për një afat sa më të shkurtër që të jetë e mundur, në funksion të garantimit të sigurisë së tyre.

Udhëzimi lejon ruajtjen deri në 30 ditë në rastet përkatëse, por, siç thekson Komisioneri, kjo nuk përbën një të drejtë automatike për çdo kontrollues që t'i mbajë pamjet për gjithë këtë periudhë. Kontrolluesi duhet të shpjegojë dhe të demonstrojë qëllimin e ruajtjes dhe arsyen pse një periudhë më e shkurtër nuk do të ishte e mjaftueshme.

Kur ndodh një incident

Në rast incidenti, nëse kontrolluesi identifikon një segment të caktuar të regjistrimit si provë, ai mund ta ruajë veçmas për aq kohë sa është e nevojshme për qëllimin konkret që lidhet me incidentin. Si shembuj përmenden hetimi, ushtrimi ose mbrojtja e një të drejte, apo vënia e materialit në dispozicion të autoriteteve kompetente.

Dervishi shton se edhe sipas EDPB-së, nëse është konstatuar një dëm, regjistrimi mund të ketë nevojë të ruhet për një periudhë më të gjatë, në mënyrë që të merren masat përkatëse. Përveç kësaj, kontrolluesi, në referim të nenit 3 të Udhëzimit nr. 3, mund të përcaktojë një afat më të gjatë ruajtjeje kur kjo parashikohet në një akt normativ ose rregullator të posaçëm.

Në çdo rast, përcaktimi i një afati në përputhje me parashikimet ligjore i takon kontrolluesit, i cili duhet të bëjë edhe arsyetimin dhe argumentimin ligjor përkatës. Zyra e Komisionerit, nga ana e saj, ushtron funksionin mbikëqyrës.

Çfarë informacioni u detyrohet punonjësve, klientëve dhe vizitorëve

Shumë biznese mendojnë se detyrimi i tyre përmbushet me vendosjen e një tabele që njofton praninë e kamerave. Pyetja është nëse kjo mjafton, apo nëse personat që hyjnë në zonën e survejuar duhet të kenë mundësi të dinë edhe qëllimin, bazën ligjore, afatin e ruajtjes, personat me akses dhe mënyrën se si mund të ushtrojnë të drejtat e tyre për akses, kundërshtim apo fshirje.

Komisioneri shpjegon se këtu bëhet fjalë për të drejtën e informimit dhe për detyrimin e transparencës së kontrolluesit, sipas nenit 13 të Ligjit, si dhe për të drejtën e aksesit të subjektit të të dhënave, sipas nenit 14 të Ligjit.

Sipas tij, detyrimi për transparencë nuk përmbushet vetëm me tabelën e njoftimit. Informacioni në tabelën në hyrje të zonës së survejuar duhet t'i bëjë të qartë subjektit të të dhënave:

  • faktin që po kryhet video-survejim;
  • identitetin e kontrolluesit;
  • qëllimin e përpunimit;
  • mundësinë për të marrë informacion të plotë rreth përpunimit;
  • organin publik ku mund të ushtrojë të drejtën e ankimit.

Informacioni duhet të jetë i plotë dhe në një format të aksesueshëm për subjektin e të dhënave. Një nga mënyrat për ta siguruar këtë është faqja zyrtare e kontrolluesit, përmes politikës së privatësisë. Kjo politikë, sipas nenit 13, duhet të përfshijë ndër të tjera bazën ligjore të përpunimit, kategoritë e të dhënave personale që përpunohen, periudhën e mbajtjes së të dhënave, marrësit ose kategoritë e marrësve, të drejtat e subjektit dhe mënyrën e ushtrimit të tyre.

Për punonjësit, informacioni duhet të jepet nëpërmjet akteve të brendshme rregullatore, në funksion të mbrojtjes së të dhënave personale.

Kërkesa për të parë një video ku shfaqen edhe të tjerë

Një situatë që bizneset e hasin shpesh është kërkesa e një individi për të parë një video ku shfaqen edhe persona të tjerë. Sipas Dervishit, nëse pamjet përmbajnë të dhëna personale që lidhen me individin që bën kërkesën, atëherë jemi përpara së drejtës për akses, të parashikuar në nenin 14 të Ligjit.

Në këtë rast, kontrolluesi nuk duhet ta refuzojë kërkesën automatikisht. Ai duhet të bëjë një balancim midis së drejtës për akses dhe së drejtës për privatësi të personave të tjerë. Gjithashtu, duhet të vlerësojë ndikimin që dhënia e videos do të kishte mbi personat e tjerë. Nëse dhënia e videos është teknikisht dhe proporcionalisht e mundur, kontrolluesi duhet të aplikojë masa që e bëjnë të pamundur identifikimin e personave të tjerë, si për shembull turbullimi (blurring) ose maskimi i tyre.

Rrjedhja e pamjeve dhe afati 72-orësh

Kamerat mund të bëhen burim rreziku kur pamjet vidhen, shkarkohen nga persona të paautorizuar, publikohen ose kur sistemi komprometohet nga një sulm kibernetik. Bizneset duhet të dinë kur një situatë e tillë përbën "cenim të të dhënave personale" që duhet t'i njoftohet Komisionerit brenda 72 orëve dhe kur lind detyrimi për të njoftuar personat që shfaqen në pamje.

Komisioneri sqaron se neni 29 i Ligjit parashikon shprehimisht që, në rast cenimi të të dhënave personale, kontrolluesi njofton Komisionerin sa më shpejt të jetë e mundur, por jo më vonë se 72 orë pas marrjes dijeni për cenimin. I vetmi rast kur ky njoftim nuk kryhet është kur nuk ka gjasa që cenimi të rrezikojë të drejtat dhe liritë e subjekteve të të dhënave.

Vetë koncepti i cenimit përcaktohet në nenin 5 të Ligjit, sipas të cilit:

"'Cenim i të dhënave personale' është çdo cenim i sigurisë, që mund të shkaktojë në mënyrë aksidentale ose të paligjshme shkatërrimin, humbjen, ndryshimin, përhapjen ose aksesin e paautorizuar të të dhënave personale të ruajtura, të transmetuara ose të përpunuara në ndonjë mënyrë tjetër".

Detyrimi për të njoftuar vetë subjektet e të dhënave vlerësohet në një nivel më të lartë. Ai lind kur cenimi mund të sjellë një rrezik të lartë për të drejtat dhe liritë e tyre. Për këtë arsye, sipas Dervishit, çdo incident duhet të vlerësohet dhe të dokumentohet nga kontrolluesi në mënyrë të individualizuar. Nëse cenimi përbën rrezik të lartë, subjektet e prekura duhet të informohen pa vonesë, në mënyrë që të mund të marrin masat e nevojshme për mbrojtjen e të drejtave dhe interesave të tyre.

Masat minimale për kamerat IP

Me përhapjen e kamerave IP, të lidhura në rrjet, lindin pyetje për masat minimale teknike dhe organizative që bizneset duhet të zbatojnë. Ndër to përmenden kufizimi i privilegjeve të administratorëve, regjistrat e aksesit, enkriptimi, përditësimi i pajisjeve, ndarja e rrjetit të kamerave nga pjesa tjetër e rrjetit të kompanisë dhe kontrolli mbi aksesin e kompanisë instaluese. Po ashtu, shtrohet pyetja se kush mban përgjegjësi kur rrjedhja ndodh për shkak të një konfigurimi të dobët ose të kredencialeve që kanë mbetur në duart e instaluesit.

Komisioneri shpjegon se pamjet fotografike dhe filmike të regjistruara nga sistemet e video-survejimit (CCTV/IP) përbëjnë të dhëna personale për sa kohë që mundësojnë identifikimin e drejtpërdrejtë ose të tërthortë të individëve. Biznesi që përcakton qëllimet dhe mjetet e përdorimit të këtyre sistemeve ka cilësinë e kontrolluesit të të dhënave personale dhe, rrjedhimisht, mban përgjegjësinë kryesore për ligjshmërinë dhe sigurinë e përpunimit të tyre.

Duke qenë pajisje të lidhura në rrjet, kamerat IP mund të ekspozohen ndaj rreziqeve të aksesit të paautorizuar, ndërhyrjeve nga distanca ose cenimeve të tjera të sigurisë, veçanërisht kur nuk janë konfiguruar dhe administruar në mënyrë të sigurt. Prandaj, në zbatim të ligjit nr. 124/2024 "Për mbrojtjen e të dhënave personale", kontrolluesi duhet të garantojë një përpunim të ligjshëm, të kufizuar në qëllimin e parashikuar dhe të mbrojtur me masa të përshtatshme teknike dhe organizative.

Vlerësimi i ndikimit (DPIA): kur bëhet i detyrueshëm

Ligji i ri parashikon vlerësimin e ndikimit në mbrojtjen e të dhënave (DPIA) për përpunime që mund të krijojnë rrezik të lartë. Bizneset pyesin nëse monitorimi sistematik i punonjësve, survejimi në shkallë të gjerë i hapësirave të aksesueshme nga publiku, regjistrimi i zërit, njohja e fytyrës apo përdorimi i Inteligjencës Artificiale për të analizuar sjelljen e personave konsiderohen me rrezik të lartë, si dhe kur duhet të konsultohen paraprakisht me Komisionerin.

Komisioneri Dervishi bën të ditur se, ndonëse ligji parashikon DPIA-në, neni 31 që e rregullon atë nuk ka hyrë ende në fuqi. Sipas kësaj dispozite, DPIA kërkohet kur përpunimi, duke marrë parasysh natyrën, objektin, kontekstin dhe qëllimet, mund të krijojë rrezik të lartë për të drejtat dhe liritë e individëve.

Ligji përmend si një nga rastet tipike "monitorimin sistematik të një zone të aksesueshme nga publiku në një shkallë të gjerë". Kjo do të thotë që, për një sistem CCTV që monitoron në mënyrë sistematike dhe në shkallë të gjerë një hapësirë publike, kontrolluesi duhet detyrimisht të kryejë vlerësimin e ndikimit të veprimeve të parashikuara të përpunimit përpara se të instalojë kamerat.

Sipas Komisionerit, ky vlerësim duhet të përmbajë:

  1. një përshkrim të veprimeve të parashikuara të përpunimit dhe të qëllimeve të tyre;
  2. një vlerësim të nevojës dhe proporcionalitetit të veprimeve në raport me qëllimin e përpunimit;
  3. një vlerësim të rreziqeve për të drejtat dhe liritë themelore të individëve;
  4. masat e parashikuara për trajtimin e rreziqeve, përfshirë masat dhe mekanizmat e sigurisë për mbrojtjen e të dhënave personale dhe zbatimin e Ligjit.

Sa i përket monitorimit të ambienteve ku punonjësit ushtrojnë veprimtarinë e tyre, nëse ky monitorim kryhet në mënyrë sistematike dhe të thelluar, atëherë ky kriter është relevant për kryerjen e DPIA-së. Kryerja e saj është detyrim i kontrolluesit, në zbatim të nenit 31 të Ligjit, pas hyrjes së tij në fuqi.

Konsultimi paraprak me Komisionerin, nga ana tjetër, nuk kërkohet në çdo rast kur kryhet një DPIA. Ai bëhet i nevojshëm vetëm kur, pas kryerjes së vlerësimit dhe marrjes së masave të përshtatshme për zvogëlimin ose eliminimin e rreziqeve, përpunimi vazhdon të paraqesë rrezik të lartë për të drejtat dhe liritë themelore, në përputhje me parashikimet e nenit 32 të Ligjit.

65 ankesa, 45 rekomandime dhe 10 vendime

Komisioneri ndau edhe të dhëna mbi punën e institucionit që nga hyrja në fuqi e ligjit nr. 124/2024 dhe Udhëzimit nr. 3/2025. Gjatë vitit 2025, Zyra e Komisionerit ka trajtuar 35 ankesa lidhur me përpunimin e të dhënave personale përmes sistemeve të video-survejimit. Në periudhën janar–tetor 2026 janë trajtuar 30 ankesa të tjera, duke e çuar totalin në 65 ankesa që nga hyrja në fuqi e Ligjit.

Hetimet administrative kanë nxjerrë në pah problematika që lidhen kryesisht me:

  • pozicionimin e kamerave;
  • bazën ligjore të përpunimit;
  • informimin e subjekteve të të dhënave;
  • afatet e ruajtjes së pamjeve;
  • administrimin e aksesit;
  • masat teknike dhe organizative të sigurisë;
  • mungesën ose mangësitë në procedurat e brendshme për përdorimin e sistemeve të video-survejimit.

Për të adresuar këto problematika dhe për të garantuar përputhshmërinë me legjislacionin për mbrojtjen e të dhënave personale, Zyra e Komisionerit ka dhënë 45 rekomandime dhe ka nxjerrë 10 vendime. Sipas institucionit, këto masa kanë synuar forcimin e sigurisë, rritjen e transparencës dhe garantimin e një përpunimi të ligjshëm, të drejtë dhe proporcional të të dhënave personale përmes sistemeve të video-survejimit.

Çfarë duhet të mbajnë parasysh bizneset

Nga shpjegimet e Komisionerit Dervishi dalin disa parime që bizneset duhet t'i kenë parasysh në çdo fazë të përdorimit të kamerave. Së pari, vendimi për të vendosur një sistem CCTV duhet të paraprihet nga një akt i brendshëm që dokumenton qëllimin, zonat e mbikëqyrura, afatin e ruajtjes, personat me akses dhe masat e sigurisë, si dhe nga një analizë konkrete e alternativave më pak ndërhyrëse.

Së dyti, pamjet e mbledhura për siguri nuk mund të shndërrohen lirisht në mjet për vlerësimin e performancës apo për masa disiplinore, përveç rasteve të kufizuara dhe të argumentuara, si në arkat bankare apo në ambientet e përpunimit të ushqimit, gjithmonë brenda kufijve të nevojës dhe proporcionalitetit.

Së treti, transmetimi live i pamjeve ku personat identifikohen lehtësisht bie nën ndalimin e Udhëzimit nr. 3, ndërsa aksesi në distancë në pamje të regjistruara trajtohet si çështje më vete. Së katërti, aksesi duhet të jetë i kufizuar në rrethin më të ngushtë të mundshëm dhe çdo hyrje në sistem, përfshirë atë të kompanive të jashtme, duhet të dokumentohet. Marrëdhënia me instaluesit, mirëmbajtësit apo ofruesit e shërbimeve duhet të rregullohet me kontratë, por kjo nuk e zhvendos përgjegjësinë nga biznesi.

Së pesti, afatet e ruajtjes nuk zgjidhen sipas kapacitetit të pajisjeve, por justifikohen sipas qëllimit, ndërsa transparenca kërkon më shumë se një tabelë njoftimi. Së fundi, çdo rrjedhje apo komprometim i pamjeve duhet vlerësuar menjëherë, me detyrimin për njoftim të Komisionerit brenda 72 orëve dhe, në rastet me rrezik të lartë, edhe të personave të prekur.