Të dhënat personale në një platformë IoT: çfarë konsiderohet të dhëna personale dhe si duhet të trajtohen

Informacion i përgjithshëm, deri në tetor 2026. Ky artikull nuk përbën këshillë ligjore. Mënyra se si zbatohet legjislacioni për mbrojtjen e të dhënave varet nga faktet e çdo projekti. Për pyetje specifike, konsultohuni me një avokat të kualifikuar ose me personin tuaj të kontaktit për mbrojtjen e të dhënave.

Një sensor në një fushë mat tokën. Një matës i zgjuar mat energjinë elektrike. Asnjëri prej tyre nuk mat një person. Pra, a ka mes tyre të dhëna personale? Shpesh jo — por shpesh më shumë nga sa pritet. Ja si e mendojmë ne këtë çështje.

Kuadri ligjor

Ligji Nr. 124/2024 "Për mbrojtjen e të dhënave personale" i Shqipërisë, i miratuar në dhjetor 2024 dhe në fuqi që nga fillimi i vitit 2025, përshkruhet nga burime të studiove ligjore dhe të autoritetit rregullator si i përafruar me Rregulloren e Përgjithshme të BE-së për Mbrojtjen e të Dhënave (GDPR). Ai zëvendësoi ligjin e mëparshëm të vitit 2008. Mbikëqyrjen e tij e ushtron Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (idp.al), i cili është i pavarur. Meqenëse ndjek konceptet e GDPR-së, qasja praktike më poshtë vlen për të dyja regjimet — dhe për klientët dhe investitorët në Bashkimin Evropian (BE), të cilët e presin këtë.

Kur bëhen të dhënat e infrastrukturës të dhëna personale?

Të dhënat personale janë informacion që lidhet me një person fizik të identifikuar ose të identifikueshëm. Testi është nëse të dhënat mund të lidhen me një person, drejtpërdrejt ose tërthorazi — jo nëse ato janë mbledhur si të dhëna personale.

Zakonisht jo personale: presioni i një pompe, niveli i një rezervuari, temperatura e një inverteri, lagështia e një serre.
Mund të jenë personale: konsumi i energjisë elektrike i një familjeje (mund të tregojë kur ndodhen njerëzit në shtëpi), vendndodhja e saktë dhe modelet e funksionimit të fermës së një tregtari individual, historiku i hyrjeve në sistem dhe i veprimeve të një operatori, një karikues automjeti i lidhur me një përdorues të emërtuar.
Shpesh anashkalohet: të dhënat e një kompanie për një person juridik nuk janë të dhëna personale, por një tregtar individual ose fermer individual është person fizik dhe informacioni për fermën e tij mund të lidhet me të.

Kombinimi i grupeve të të dhënave e ndryshon gjithashtu pamjen. Vendndodhja + orari + konsumi mund të identifikojnë dikë edhe kur secila fushë më vete nuk do ta bënte këtë.

Kush është përgjegjës? Kontrolluesit dhe përpunuesit

Kontrolluesi vendos pse dhe si përpunohen të dhënat personale.
Përpunuesi i përpunon ato sipas udhëzimeve të kontrolluesit.

Në një platformë B2B, klienti zakonisht mbetet kontrollues për të dhënat që lidhen me objektin dhe stafin e vet, ndërsa ofruesi i platformës vepron si përpunues në bazë të një marrëveshjeje me shkrim për përpunimin e të dhënave (DPA). Për të dhënat e llogarive të vetë platformës — emrat e përdoruesve, adresat e emailit, regjistrat e hyrjeve, kërkesat për mbështetje — ofruesi është zakonisht kontrollues. Rolet duhet të përcaktohen qartë në kontratë dhe të mos lihen në hamendje.

Parimet që duhet të formësojnë projektimin

Ligjshmëria, drejtësia, transparenca. Kini një bazë ligjore dhe informoni njerëzit se çfarë ndodh me të dhënat e tyre.
Kufizimi i qëllimit. Të dhënat e mbledhura për të operuar një sistem ujitjeje nuk duhet të kthehen në heshtje në të dhëna për marketing.
Minimizimi i të dhënave. Mblidhni atë që nevojitet për kontrollin dhe raportimin. A ju duhen matjet në nivel familjeje çdo sekondë, apo mjafton një interval 15-minutësh?
Saktësia. Korrigjoni gabimet; sinjalizoni të dhënat jo të besueshme të sensorëve në vend që t'i lini të drejtojnë vendimet.
Kufizimi i ruajtjes. Ruani të dhënat e papërpunuara me rezolucion të lartë për një afat të përcaktuar, pastaj agregojini ose fshijini.
Siguria. Kriptim gjatë transmetimit dhe gjatë ruajtjes, kontroll i qasjes, regjistra auditimi — shihni mbrojtjen e infrastrukturës së lidhur.
Llogaridhënia. Jini në gjendje të dëshmoni përputhshmërinë tuaj: regjistra, politika, vendime.

Privatësia që nga projektimi (privacy by design), në praktikë

Ndani identitetin nga telemetria. Ruani identifikuesit veçmas dhe pseudonimizoni të dhënat aty ku analiza nuk ka nevojë për emra.
Qasje e bazuar te rolet, me privilegj minimal, e zbatuar në anën e serverit, me të dhënat e çdo klienti të izoluara nga të tjerët.
Afate ruajtjeje për çdo lloj të dhënash — telemetria e papërpunuar, të dhënat e agreguara, regjistrat e auditimit, kopjet rezervë.
Shmangni saktësinë e panevojshme. Rrumbullakoni ose përgjithësoni vendndodhjet në raporte dhe në materialet publike.
Mendoni për njerëzit pas regjistrave. Gjurmët e auditimit të operatorëve mbrojnë sistemin dhe janë gjithashtu të dhëna për punonjësit — dokumentoni qëllimin dhe mbajini proporcionale.

Përpunimi ndërkufitar

Shërbimet cloud mund t'i përpunojnë të dhënat jashtë Shqipërisë, përfshirë në Zonën Ekonomike Evropiane. Duhet të dini ku ruhen dhe përpunohen të dhënat, kush janë nënpërpunuesit dhe cilat garanci ligjore mbulojnë çdo transferim. Kontratat me ofruesit duhet ta pasqyrojnë këtë.

Të drejtat e individëve dhe incidentet

Individët mund të kenë të drejtën e qasjes, të korrigjimit, të fshirjes, të kufizimit, të kundërshtimit dhe të bartshmërisë, si dhe të drejtën për t'u ankuar te rregullatori. Kini një rrugë të thjeshtë dhe të njohur për trajtimin e kërkesave. Për cenimet e të dhënave, regjimet e ngjashme me GDPR-në presin raportim të shpejtë — GDPR përcakton 72 orë për njoftimin e autoritetit mbikëqyrës kur kërkohet. Meqenëse legjislacioni shqiptar është i përafruar me GDPR-në, planifikoni një afat të krahasueshëm dhe konfirmoni dispozitat e sakta që zbatohen. Vendosni paraprakisht kush heton, kush vendos dhe kush njofton.

Çfarë do të thotë kjo për greecon.earth

Qasja jonë ndaj të dhënave personale në faqen e internetit është paraqitur në Njoftimin e privatësisë: ne mbledhim të dhënat e kontaktit që na dërgoni dhe regjistrat teknikë standardë, nuk i shesim të dhënat personale, dhe njoftimi shpjegon të drejtat tuaja dhe si t'i ushtroni ato. Për pyetje mbi privatësinë, shkruani në privacy@greecon.earth.

Mbrojtja e mirë e të dhënave të infrastrukturës është kryesisht inxhinieri e mirë: mblidhni më pak, mbrojini mirë dhe mbani një regjistër të qartë.