Privatësia: të dhënat tuaja, kush i mbledh dhe çfarë të drejtash keni

Privatësia nuk ka të bëjë me faktin nëse keni diçka për të fshehur. Ka të bëjë me atë se kush ka të drejtë të dijë gjëra për ju dhe çfarë lejohet të bëjë me këtë informacion.

Mendoni një ditë të zakonshme. E zhbllokoni telefonin me fytyrën tuaj. Kontrolloni mesazhet, shfletoni rrjetet sociale, kërkoni një adresë në hartë. Paguani kafen me kartë, skanoni kartën e besnikërisë në supermarket, hyni në llogarinë bankare, ndoshta edhe në e-Albania. Kaloni para kamerave, telefoni komunikon me antenat celulare, një duzinë aplikacionesh përditësohen në heshtje në sfond.

Deri në mbrëmje, dhjetëra organizata mbajnë copëza të jetës suaj: ku keni qenë, me kë keni folur, çfarë keni blerë, çfarë keni kërkuar, si dukeni. Pjesa më e madhe e kësaj është e ligjshme. Një pjesë është e dobishme për ju. Pothuajse asgjë nuk është nën kontrollin tuaj.

Ky artikull shpjegon, me gjuhë të thjeshtë, çfarë janë të dhënat personale, kush i mbledh dhe pse, çfarë kërkon ligji nga organizatat që i mbajnë dhe çfarë mund të bëni ju, duke filluar që sot.

Çfarë konsiderohet e dhënë personale

E dhënë personale është çdo informacion që lidhet me një person të identifikuar ose të identifikueshëm. Përkufizimi është qëllimisht i gjerë.

Shembujt e dukshëm: emri, numri personal i identitetit, adresa e banimit, numri i telefonit, adresa e email-it, data e lindjes, fotografia.

Shembujt më pak të dukshëm: adresa IP, ID-ja e reklamave e telefonit tuaj, historiku i vendndodhjes, cookies që e njohin shfletuesin tuaj, zëri juaj në një telefonatë të regjistruar, targa e makinës, transaksionet bankare. Edhe të dhëna që duken anonime mund të bëhen personale kur kombinohen: një datë lindjeje, një kod postar dhe gjinia mjaftojnë për të veçuar shumicën e njerëzve.

Disa kategori gëzojnë mbrojtje të veçantë, sepse keqpërdorimi i tyre mund të shkaktojë dëme të rënda: të dhënat shëndetësore, të dhënat biometrike (fytyra, gjurma e gishtit), të dhënat gjenetike, bindjet fetare ose filozofike, opinionet politike, anëtarësia në sindikata, jeta seksuale ose orientimi seksual dhe origjina racore ose etnike. Ligji i quan “të dhëna sensitive” dhe përpunimi i tyre është i ndaluar, përveçse kur zbatohet një përjashtim i përcaktuar shprehimisht (Neni 9). Të dhënat për dënimet dhe veprat penale kanë rregullin e tyre: mund të përpunohen vetëm nën kontrollin e autoritetit kompetent ose kur ligji e autorizon (Neni 10).

Disa terma që ia vlen t'i njihni, sepse i gjeni në çdo njoftim privatësie që do të lexoni:

• Subjekti i të dhënave: ju, personi të cilit i përkasin të dhënat.
• Kontrolluesi: organizata që vendos pse dhe si përdoren të dhënat tuaja (banka juaj, punëdhënësi juaj, aplikacioni që keni instaluar).
• Përpunuesi: një kompani që i përpunon të dhënat në emër të kontrolluesit (një ofrues cloud, një shërbim për listën e pagave, një platformë për email marketing).
• Përpunimi: çdo veprim me të dhënat. Mbledhja, ruajtja, leximi, ndarja, analizimi dhe fshirja, të gjitha llogariten.

Kush i mbledh të dhënat tuaja dhe pse

Telefoni juaj dhe aplikacionet. Çdo leje që jepni (vendndodhja, kontaktet, mikrofoni, kamera, fotografitë) është një kanal të dhënash. Një aplikacion falas “elektrik dore” që kërkon akses te kontaktet tuaja nuk e bën këtë për të mirën tuaj. Modeli i biznesit i shumicës së aplikacioneve falas është reklama, dhe reklama funksionon me të dhëna.

Platformat dhe rrjetet e reklamave. Rrjetet sociale, motorët e kërkimit dhe kompanitë e teknologjisë së reklamave (ad-tech) pas tyre ndërtojnë profile nga ajo që klikoni, shikoni, ndaleni për të parë dhe kërkoni. Gjurmuesit (trackers) e vendosur në faqe web të zakonshme ua raportojnë vizitat tuaja. Tregtarët e të dhënave (data brokers) i blejnë, i bashkojnë dhe i rishesin këto profile.

Operatorët celularë dhe bankat. Ata janë të detyruar me ligj të mbajnë disa regjistra (kush i telefonoi kujt, kush i pagoi kujt, verifikimi i identitetit kur hapni një llogari). Të dhënat tuaja i përdorin edhe për marketing dhe për vendime kreditimi.

Punëdhënësi juaj. Dosja e burimeve njerëzore, lista e pagave, email-i i punës, regjistrat e aksesit dhe, në disa vende pune, programe monitorimi.

Shteti. Gjendja civile, tatimet, shëndetësia, automjetet, sigurimet shoqërore dhe listat e zgjedhësve, gjithnjë e më të aksesueshme përmes portaleve online. Këto janë ndër bazat e të dhënave më të ndjeshme në çdo vend, sepse janë të plota, të sakta dhe të lidhura me identitetin tuaj zyrtar.

Të gjithë të tjerët. Dyqanet online, aplikacionet e dërgesave, palestrat, hotelet, shkollat, klinikat, siguruesit, karta e besnikërisë që skanuat këtë mëngjes.

Nëse një shërbim është falas, zakonisht po paguani me të dhëna. Por edhe shërbimet me pagesë mbledhin të dhëna. Pyetja nuk është kurrë nëse të dhënat mblidhen. Pyetja është nëse mbledhja është proporcionale, transparente dhe nën kontrollin tuaj.

Pse ka rëndësi: dëmet janë konkrete

Dëmet nga cenimi i privatësisë rrallë ngjajnë me sulmet kibernetike të filmave. Ato duken kështu:

Mashtrimi me identitet. Me emrin, numrin personal, datën e lindjes dhe adresën tuaj, një kriminel mund të hapë llogari, të marrë kredi të vogla ose të bindë operatorin celular të lëshojë një kartë SIM të re dhe të marrë kontrollin e numrit tuaj, bashkë me kodet SMS të bankës (sulmi i njohur si SIM swap).

Mashtrime më bindëse. Phishing-u funksionon kur tingëllon i besueshëm. Dikush që ju telefonon dhe e di pagën tuaj, punëdhënësin dhe targën e makinës është shumë më bindës se dikush që nuk i di. Bazat e të dhënave të rrjedhura i bëjnë mashtrimet e përditshme më efektive për vite me radhë.

Profilizimi dhe diskriminimi. Vendimet për kredi, sigurime, strehim ose punësim mbështeten gjithnjë e më shumë në të dhëna që ju nuk i keni parë kurrë dhe nuk mund t'i korrigjoni.

Siguria fizike. Një adresë banimi e rrjedhur ose vendndodhja në kohë reale është problem sigurie për këdo që ka një përndjekës, një ish-partner të dhunshëm ose një profil publik.

Humbja e përhershme e kontrollit. Të dhënat nuk kthehen mbrapsht. Pasi një bazë të dhënash rrjedh, ajo qarkullon pafundësisht, bashkohet me rrjedhje të tjera dhe rishfaqet sa herë që dikush i gjen një përdorim të ri.

Rregullatorët e marrin seriozisht. Deri në mars 2026, autoritetet evropiane të mbrojtjes së të dhënave kishin vendosur 2.685 gjoba sipas GDPR, me vlerë totale rreth 6,11 miliardë euro. Gjobat më të mëdha u vendosën ndaj Meta (1,2 miliardë euro, 2023) dhe TikTok (530 milionë euro, 2025). Arsyeja më e shpeshtë për një gjobë është edhe më elementarja: përpunimi i të dhënave personale pa një bazë ligjore të vlefshme.

Çfarë ka ndodhur në Shqipëri

Shqiptarët nuk kanë nevojë ta imagjinojnë një rrjedhje të dhënash. E kanë përjetuar disa herë.

Në prill 2021, dy javë para zgjedhjeve parlamentare, u publikua online një bazë të dhënash me të dhënat personale të rreth 910.000 qytetarëve, afërsisht një e treta e popullsisë. Ajo përmbante emra, numra personalë, adresa, numra telefoni, të dhëna për vendin e punës dhe, për shumë prej tyre, shënime për preferencën politike.

Në dhjetor 2021, brenda pak ditësh pasuan tre rrjedhje të tjera: pagat, pozicionet e punës dhe numrat personalë të janarit 2021 për rreth 637.000 të punësuar në sektorin publik dhe privat, të marra nga administrata tatimore; një skedar i dytë me pagat e prillit 2021, i shpërndarë përmes WhatsApp; dhe regjistri i automjeteve për 530.452 qytetarë dhe 61.513 kompani e institucione, me targa, markë dhe ngjyrë. Prokuroria arrestoi katër persona në janar 2022, dy prej tyre punonjës IT të drejtorisë së tatimeve.

Në fund të vitit 2022, Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale gjobiti Drejtorinë e Përgjithshme të Tatimeve me 3 milionë lekë, për gjashtë shkelje, dhe Drejtorinë e Përgjithshme të Shërbimeve të Transportit Rrugor me 1 milion lekë për mosmbrojtjen e këtyre të dhënave. Ligji i atëhershëm, Ligji nr. 9887/2008, parashikonte gjoba shumë të ulëta: për mosmarrjen e masave të sigurisë, një person juridik mund të gjobitej me jo më shumë se 300.000 lekë për një shkelje (Neni 39). Tre milionë lekë për pagat e 637.000 personave.

Në korrik 2022, një sulm kibernetik shtetëror, i atribuuar Iranit, nxori jashtë funksionit portalin e-Albania dhe dhjetëra shërbime qeveritare, dhe sulmuesit publikuan më pas të dhëna të marra nga sistemet shtetërore. Shqipëria ndërpreu marrëdhëniet diplomatike me Iranin për këtë arsye.

Ata skedarë nuk janë zhdukur kurrë. Shumë nga telefonatat dhe mesazhet e dyshimta që marrin shqiptarët sot janë bindëse pikërisht sepse mbështeten në të dhëna që kanë rrjedhur vite më parë.

Rregullat që duhet të respektojnë organizatat

Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave (GDPR) është ligji i Bashkimit Evropian për mbrojtjen e të dhënave dhe pika e referimit në mbarë botën. Ligji i ri shqiptar, Ligji nr. 124/2024 “Për mbrojtjen e të dhënave personale”, është ndërtuar mbi të njëjtin model dhe ndan me të shtatë parimet që çdo organizatë që përpunon të dhëna personale duhet t'i respektojë (Neni 6; GDPR, Neni 5):

1. Ligjshmëria, drejtësia dhe transparenca. Duhet të ekzistojë një arsye ligjore për përpunimin e të dhënave tuaja dhe ju duhet të informoheni për të.
2. Përpunimi në përputhje me qëllimin. Të dhënat e mbledhura për një qëllim nuk mund të përdoren në heshtje për një tjetër.
3. Minimizimi i të dhënave. Vetëm aq sa nevojitet, asgjë më tepër.
4. Saktësia. Të dhënat e gabuara duhet të korrigjohen.
5. Kufizimi i ruajtjes në kohë. Të dhënat duhet të fshihen kur nuk nevojiten më.
6. Integriteti dhe konfidencialiteti. Të dhënat duhet të mbrohen nga cenimet, me masa të përshtatshme sigurie.
7. Përgjegjshmëria. Organizata duhet të jetë në gjendje të provojë të gjitha sa më sipër.

Për të përpunuar të dhënat tuaja, një organizatë ka nevojë për një nga gjashtë bazat ligjore: pëlqimin tuaj, një kontratë me ju, një detyrim ligjor, interesat tuaja jetike, një detyrë me interes publik ose interesat e veta të ligjshme, me kusht që këto të mos kenë përparësi mbi të drejtat tuaja (Neni 7; GDPR, Neni 6).

Pëlqimi ka rregullat e veta. Duhet të jepet lirisht, të jetë specifik, i informuar dhe i qartë. Kutitë e shënuara paraprakisht nuk vlejnë. Heshtja nuk vlen. Tërheqja e pëlqimit duhet të jetë po aq e lehtë sa dhënia e tij dhe një shërbim nuk mund të kushtëzohet me pëlqimin për të dhëna që shërbimit në fakt nuk i nevojiten (Neni 8(3)-(5)). Për shërbimet online që u drejtohen fëmijëve, pëlqimi i një të mituri vlen nga mosha 16 vjeç; nën këtë moshë duhet pëlqimi i prindit ose i kujdestarit (Neni 8(6)).

Organizatat duhet t'i sigurojnë të dhënat që mbajnë dhe, kur një cenim i të dhënave personale mund të rrezikojë të drejtat tuaja, të njoftojnë autoritetin e mbrojtjes së të dhënave (në Shqipëri, Komisionerin) brenda 72 orëve nga marrja dijeni. Kur cenimi ka të ngjarë t'ju vërë në rrezik të lartë, duhet t'ju informojnë edhe drejtpërdrejt (në Shqipëri ky detyrim zbatohet nga 17 janari 2027, siç shpjegojmë më poshtë). Nëpunësi i mbrojtjes së të dhënave personale (DPO) është i detyrueshëm për autoritetet publike dhe për organizatat veprimtaria kryesore e të cilave përfshin monitorimin e rregullt dhe sistematik të personave në shkallë të gjerë, ose përpunimin në shkallë të gjerë të të dhënave sensitive ose penale.

Gjobat janë ato që e bënë GDPR të famshme: deri në 20 milionë euro ose 4% e xhiros vjetore globale, cilado që është më e lartë, për shkeljet më të rënda. Ligji shqiptar i ka përkthyer në lekë, siç do ta shohim më poshtë.

Të drejtat tuaja

Kjo është pjesa që shumica e njerëzve nuk e përdor kurrë, dhe është pjesa që ju jep fuqi.

Si t'i ushtroni: i shkruani organizatës, mundësisht DPO-së ose kontaktit të privatësisë të përmendur në njoftimin e saj të privatësisë, thoni cilën të drejtë po ushtroni dhe ruani një kopje. Organizata ka 30 ditë për t'u përgjigjur, afat që mund të zgjatet deri në 60 ditë për kërkesa komplekse, duke ju njoftuar për arsyet (Neni 12(4)). Përgjigjja është falas, dhe kopja e parë e të dhënave tuaja gjithashtu (Neni 12(5), Neni 14(2)). Sipas GDPR, afati është një muaj, i zgjatshëm me dy muaj të tjerë. Nëse organizata ju injoron ose refuzon pa një arsye të vlefshme, ankohuni te Komisioneri.

A ju mbron GDPR nëse nuk jeni në BE?

Më shpesh nga sa mendojnë njerëzit. GDPR zbatohet në tre situata:

• Ju ndodheni në BE. Ka rëndësi vendndodhja juaj në momentin e përpunimit, jo shtetësia. Kushdo që jeton, punon ose studion në një vend të BE-së është i mbuluar.
• Organizata është e vendosur në BE. Kur një kompani me seli në BE përpunon të dhënat tuaja, GDPR zbatohet kudo që të jeni ju. Disa nga platformat më të mëdha u shërbejnë përdoruesve jashtë Amerikës së Veriut përmes shoqërive të tyre evropiane, kështu që detyrimet e GDPR shpesh zbatohen për të dhënat tuaja edhe kur nuk jeni në Evropë.
• Një organizatë jashtë BE-së u drejtohet personave në BE. Një kompani kudo në botë që ofron mallra ose shërbime për persona në BE, ose që monitoron sjelljen e tyre, i nënshtrohet GDPR për këtë veprimtari.

Pasoja praktike për një biznes shqiptar: nëse u shisni klientëve në BE, pritni vizitorë nga BE-ja në faqen tuaj web ose keni një faqe që i drejtohet diasporës, GDPR zbatohet për ju krahas ligjit shqiptar.

Shqipëria: Ligji nr. 124/2024 dhe Komisioneri

Për gati shtatëmbëdhjetë vjet, rregullat e mbrojtjes së të dhënave në Shqipëri vinin nga Ligji nr. 9887 i vitit 2008. Kjo ndryshoi më 1 shkurt 2025, kur hyri në fuqi Ligji nr. 124/2024 “Për mbrojtjen e të dhënave personale”. Kuvendi e miratoi më 19 dhjetor 2024, ligji u botua në Fletoren Zyrtare nr. 9, datë 17 janar 2025, dhe hyri në fuqi 15 ditë më vonë (Neni 101(1)).

Ligji i ri përafrohet pothuajse plotësisht me GDPR dhe është ndërtuar në mënyrë të tillë që ditën kur Shqipëria të anëtarësohet në BE, GDPR të zbatohet drejtpërdrejt dhe shumica e dispozitave të ligjit kombëtar të shfuqizohen (Neni 100). Mbeten në fuqi vetëm pjesët për përpunimin nga autoritetet kompetente në fushën penale dhe për Komisionerin. Deri atëherë, ai është rregullorja për çdo organizatë në Shqipëri që përpunon të dhëna personale.

Çfarë ndryshon për ju si qytetar:

• Të drejtat tuaja janë të drejtat e GDPR. Informim, akses, korrigjim, fshirje, kufizim, transferueshmëri, kundërshtim dhe mbrojtje nga vendimet thjesht automatike (Nenet 13-20), me afat përgjigjeje prej 30 ditësh (Neni 12).
• Pëlqimi duhet të jetë i vërtetë. I dhënë lirisht, i informuar, specifik, i provueshëm nga organizata dhe po aq i lehtë për t'u tërhequr sa për t'u dhënë (Neni 8). Një shërbim nuk mund të kushtëzohet me pëlqimin për të dhëna që nuk i nevojiten. Shërbimet online mund t'i përpunojnë të dhënat e një fëmije me pëlqimin e tij vetëm nga mosha 16 vjeç; nën këtë moshë duhet të japë pëlqimin prindi ose kujdestari (Neni 8(6)).
• Cenimet duhet të raportohen. Një organizatë që pëson një cenim të të dhënave personale duhet të njoftojë Komisionerin brenda 72 orëve (Neni 29(1)). Detyrimi për t'i informuar drejtpërdrejt personat e prekur kur rreziku për ta është i lartë (Neni 29(3)) është një nga pak dispozitat që hyjnë në fuqi dy vjet pas botimit, më 17 janar 2027, bashkë me kërkesat për vlerësimin e ndikimit në mbrojtjen e të dhënave dhe për konsultimin paraprak (Neni 101(2)).
• Nëpunësi i mbrojtjes së të dhënave është i detyrueshëm për autoritetet publike, për organizatat veprimtaria kryesore e të cilave përfshin monitorimin e rregullt të personave në shkallë të gjerë dhe për ato që përpunojnë në shkallë të gjerë të dhëna sensitive ose të dhëna për vepra penale (Neni 33(1)).
• Gjobat janë gjobat e GDPR. Deri në 1 miliard lekë ose, për shoqëritë tregtare, 2% e xhiros vjetore globale, cilado që është më e lartë, për shkeljen e detyrimeve organizative, dhe deri në 2 miliardë lekë ose 4% për shkeljen e parimeve të përpunimit, të të drejtave të subjekteve të të dhënave ose të rregullave për transferimet ndërkombëtare (Neni 94). Komisioneri miratoi metodologjinë për llogaritjen e sanksioneve në korrik 2025 (Udhëzimi nr. 06, datë 16.07.2025). Krahasojeni me gjobën prej 3 milionë lekësh për rrjedhjen e pagave në vitin 2021.

Autoriteti që mbikëqyr zbatimin e ligjit është Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (idp.al). Çdo person që beson se të dhënat e tij po përpunohen në kundërshtim me ligjin mund të paraqesë ankesë te Komisioneri, edhe në rrugë elektronike, dhe procedura është falas (Neni 86).

Dy ligje mund të zbatohen njëkohësisht për bizneset shqiptare: Ligji nr. 124/2024 për të gjithë, dhe GDPR gjithashtu për ata që u shërbejnë klientëve në BE, përfshirë diasporën.

Dhjetë gjëra që mund të bëni që sot

1. Kontrolloni lejet e aplikacioneve. Vendoseni vendndodhjen në “vetëm gjatë përdorimit” ose “asnjëherë” për aplikacionet që nuk e kanë të nevojshme. Hiquani aksesin te kontaktet, mikrofoni dhe kamera aplikacioneve që nuk kanë asnjë arsye ta kenë.
2. Çaktivizoni personalizimin e reklamave. Në iPhone, refuzoni kërkesat për gjurmim dhe çaktivizoni reklamat e personalizuara te Settings. Në Android, fshini ose rivendosni ID-në e reklamave.
3. Përdorni një menaxher fjalëkalimesh dhe autentifikimin me dy faktorë. Fjalëkalimet e rrjedhura provohen kundër llogarive tuaja të tjera brenda pak orësh. Fjalëkalimet unike dhe 2FA e këpusin këtë zinxhir.
4. Kontrolloni nëse email-i juaj ka rrjedhur tashmë. Have I Been Pwned (haveibeenpwned.com) ju tregon në cilat cenime të njohura përfshihet adresa juaj. Ndryshoni së pari ato fjalëkalime.
5. Mos e dorëzoni kartën e identitetit nëse ligji nuk e kërkon. Një dyqan, një palestër ose një faqe web rrallë ka nevojë për një fotografi të kartës suaj të identitetit. Pyesni pse, dhe pyesni sa kohë e ruajnë.
6. Lexojeni kutinë e pëlqimit, pastaj hiqeni shenjën. Pëlqimi për marketing është opsional sipas ligjit. Në faqet web, refuzoni cookies jo thelbësore; opsioni “refuzo” duhet të jetë po aq i lehtë sa “prano”.
7. Ushtroni një të drejtë këtë muaj. Dërgoni një kërkesë për akses te një kompani që mban shumë të dhëna për ju. Përgjigjja shpesh është zbuluese, dhe u kujton organizatave se dikush po i vëzhgon.
8. Mbyllini profilet tuaja sociale. Bëjini private listën e miqve, numrin e telefonit dhe datën e lindjes. Mos postoni kurrë kartat e imbarkimit, dokumentet ose vendndodhjen tuaj në kohë reale.
9. Trajtojini me dyshim ata që ju telefonojnë dhe “dinë gjëra për ju”. Fakti që dikush i di të dhënat tuaja nuk provon se është i besueshëm. Mbylleni telefonin dhe telefonojeni organizatën në numrin e saj zyrtar.
10. Mbajini pajisjet të përditësuara. Shumica e programeve spyware dhe malware shfrytëzojnë dobësi që tashmë kanë një patch. Përditësimet e mbyllin derën. E kemi shpjeguar pse në artikullin tonë për Pegasus.

Nëse drejtoni një biznes

Gjithçka më sipër vlen edhe për ju, nga ana tjetër e tryezës. Nëse mbani të dhëna për klientët, punonjësit ose vizitorët e faqes suaj web, ju jeni kontrollues dhe detyrimet janë tuajat:

• të dini çfarë të dhënash personale mbani, ku ruhen dhe pse (regjistri i aktiviteteve të përpunimit);
• të keni një bazë ligjore për çdo përdorim dhe një njoftim privatësie që e shpjegon me gjuhë të thjeshtë;
• të merrni pëlqim të vërtetë dhe të ruani provën e tij;
• t'i mbroni të dhënat me masa të përshtatshme teknike dhe organizative;
• të keni një plan për rastin e një cenimi, sepse afati prej 72 orësh fillon kur merrni dijeni;
• të keni kontrata me çdo përpunues që i përpunon të dhënat në emrin tuaj;
• të caktoni një nëpunës të mbrojtjes së të dhënave kur ligji e kërkon.

Asgjë nga këto nuk kërkon një departament ligjor. Kërkon një hartë të të dhënave tuaja, disa dokumente dhe disa zakone. Ekipi ynë i privatësisë dhe mbrojtjes së të dhënave e bën këtë me bizneset çdo javë, nga inventari i parë deri te roli i DPO-së.

Burime

1. Ligji nr. 124/2024 “Për mbrojtjen e të dhënave personale”, teksti i plotë (idp.al): https://idp.al/wp-content/uploads/2025/07/ligj-2024-12-19-124.pdf
2. Rregullorja (BE) 2016/679 (GDPR), teksti i plotë në EUR-Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj
3. Komisioni Evropian, mbrojtja e të dhënave në BE: https://commission.europa.eu/law/law-topic/data-protection_en
4. CMS, GDPR Enforcement Tracker Report 2026, shifrat (të dhëna deri më 1 mars 2026): https://cms.law/int/publication/gdpr-enforcement-tracker-report/numbers-and-figures
5. Komisioneri, Udhëzimi nr. 06, datë 16.07.2025, për miratimin e metodologjisë së sanksioneve administrative: https://idp.al/wp-content/uploads/2025/07/Udhezim-nr.-06-date-16.07.2025-per-Miratimin-e-Metodologjise-te-sanksioneve-administrative-dhe-Metodologjia.pdf
6. KPMG Albania, “New law on personal data protection” (shkurt 2025): https://kpmg.com/al/en/insights/2025/02/new-law-on--personal-data-protection-.html
7. Exit.al, rrjedhja e të dhënave personale të mbi 910.000 shqiptarëve (prill 2021): https://exit.al/en/2021/04/16/exit-explains-the-leak-of-over-910000-albanians-personal-data-to-politicians/
8. Balkan Insight, “Massive data leaks in Albania pose public security question” (dhjetor 2021): https://balkaninsight.com/2021/12/23/massive-data-leaks-in-albania-pose-public-security-question/
9. ACQJ, “Të dhënat personale: kronikë e një krimi inekzistent”, hetim mbi rrjedhjet e vitit 2021: https://acqj.al/en/te-dhenat-personale-kronike-e-nje-krimi-inekzistent-hetimi-i-rrjedhjeve-te-te-dhenave-personale-shume-pak-shume-vone8355-2/
10. Shqiptarja.com, gjobat e Komisionerit ndaj Tatimeve dhe DPSHTRR (dhjetor 2022): https://shqiptarja.com/lajm/dalja-e-tw-dhwnave-personale-me-pagat-dhe-targat-e-makinave-komisioneri-i-tw-dhwnave-personale-gjobit-tatimet-dhe-dpshtrr