Guida · 9 minuti
GDPR in Albania: cosa cambia con la legge 124/2024
Chi apre una società in Albania dà spesso per scontato che la protezione dei dati sia una questione minore. Dal 2025 non lo è più: il quadro normativo albanese è stato riscritto sul modello europeo.
In breve
La legge albanese 124/2024 sulla protezione dei dati personali, in vigore dai primi giorni del 2025, sostituisce la legge 9887/2008 ed è dichiaratamente allineata al GDPR: stessi principi e diritti, notifica delle violazioni entro 72 ore, registro dei trattamenti al posto della notifica preventiva, obblighi sul responsabile della protezione dei dati e sanzioni della stessa scala di quelle europee.
Per sedici anni la protezione dei dati in Albania è stata regolata dalla legge 9887 del 2008, un testo che precedeva il GDPR e che nella pratica veniva percepito come un adempimento leggero. Con la legge 124/2024, approvata dal Parlamento a fine 2024, pubblicata in Gazzetta a gennaio 2025 ed entrata in vigore nei giorni immediatamente successivi, quel quadro è stato sostituito da un testo costruito sul modello del regolamento europeo.
Non è un allineamento di facciata. Cambiano i principi di riferimento, i diritti riconosciuti agli interessati, gli obblighi documentali, le regole sui trasferimenti verso altri Paesi e soprattutto l'entità delle sanzioni, che seguono la stessa scala del GDPR. Per un'azienda che opera a Tirana, questo significa che la domanda non è più se occuparsene, ma quando.
Cosa cambia in concreto
I punti che toccano più da vicino un'azienda con un ufficio e dei dipendenti.
Stessi principi del GDPR
Liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza, e il principio di responsabilizzazione: devi poter dimostrare di rispettare gli altri.
Ambito esteso anche fuori dall'Albania
La legge si applica anche a chi non è stabilito in Albania ma offre beni o servizi a persone che si trovano nel Paese o ne monitora il comportamento. In quei casi è prevista la designazione di un rappresentante in Albania.
Registro dei trattamenti al posto della notifica
Sparisce l'obbligo generale di notificare i trattamenti all'autorità. Al suo posto arriva l'obbligo di tenere un registro aggiornato di quello che si fa con i dati, da esibire su richiesta.
Notifica delle violazioni
Le violazioni vanno documentate e comunicate all'autorità senza ingiustificato ritardo e, dove possibile, entro 72 ore. Se il rischio per le persone è elevato, vanno informate anche loro.
Responsabile della protezione dei dati
La normativa disciplina la figura del DPO e i casi in cui va designato, sia per il settore pubblico sia per quello privato, con un registro elettronico tenuto dall'autorità. Verifica con il tuo consulente se la tua organizzazione rientra tra i casi previsti.
Sanzioni sulla scala europea
Il massimale è espresso, come nel GDPR, in una cifra assoluta molto elevata o in una percentuale del fatturato annuo mondiale, applicando la maggiore delle due.
Perché riguarda anche chi ha la società qui e i clienti altrove
Molti imprenditori italiani con una Sh.p.k. a Tirana ragionano come se la società fosse fuori dal perimetro europeo. Non funziona così su due fronti. Da un lato, se tratti dati di persone che si trovano nell'Unione europea offrendo loro beni o servizi, il GDPR continua ad applicarsi a quei trattamenti indipendentemente da dove sei stabilito. Dall'altro, la legge albanese si applica comunque all'attività svolta in Albania, a partire dai dati dei tuoi dipendenti.
La conseguenza pratica è che mantenere due standard diversi non conviene a nessuno. Impostare i sistemi sul livello più alto costa poco di più all'inizio e toglie una categoria intera di problemi dopo.
Dalla norma alla configurazione
Come si traducono gli obblighi in cose che si fanno sui sistemi.
| Obbligo | Traduzione tecnica |
|---|---|
| Integrità e riservatezza | Account personali, autenticazione a più fattori, dischi cifrati, permessi per ruolo |
| Limitazione della conservazione | Criteri di cancellazione su archivi e backup, invece di tenere tutto per sempre |
| Notifica delle violazioni entro 72 ore | Log conservati, procedura di risposta e qualcuno che sa dove guardare la sera stessa |
| Registro dei trattamenti | Inventario di dove stanno i dati, chi vi accede e con quali sistemi |
| Sicurezza dei trasferimenti | Scelta consapevole di dove sono i server dei servizi usati e delle copie di backup |
| Responsabilizzazione | Documentazione scritta delle misure adottate, aggiornata quando cambiano |
Questa guida ha scopo informativo e non è una consulenza legale. Le valutazioni sulla tua situazione specifica vanno fatte con un avvocato o un consulente privacy.
Da dove partire se non è stato fatto niente
Nell'ordine: account personali per tutti, autenticazione a più fattori sugli accessi critici, cifratura dei dischi, procedura di disattivazione per chi lascia l'azienda, backup protetto con criteri di conservazione. Sono cinque interventi che coprono la maggior parte del rischio reale e si fanno in poche settimane.
Domande frequenti
È stata approvata a fine 2024, pubblicata in Gazzetta ufficiale a gennaio 2025 ed è entrata in vigore nei giorni immediatamente successivi, sostituendo la legge 9887/2008. Alcune disposizioni specifiche, fra cui quelle sulla valutazione d'impatto obbligatoria, hanno un'entrata in vigore differita.
Servizi collegati
Compliance GDPR
La configurazione tecnica che regge a un controllo, non una checklist sulla carta.
Vedi il servizioBackup e disaster recovery
Copie dei dati verificate e un piano di ripristino che è stato provato davvero.
Vedi il servizioAprire un ufficio in Albania
Il pezzo che i consulenti societari non coprono: l'ufficio fisico.
Vedi il servizioContatti
Dicci quante postazioni e quando ti servono.
Ti rispondiamo con una proposta concreta: hardware, rete, backup e supporto, in acquisto o a noleggio. Nessun impegno.