Loi n° 124/2024 « Relative à la protection des données à caractère personnel »
🔑 Nouvelles obligations des responsables du traitement et des sous-traitants
La Loi n° 124/2024 introduit de nouvelles obligations importantes pour les responsables du traitement et les sous-traitants, notamment :
- Mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un traitement licite et sécurisé des données à caractère personnel, telles que la pseudonymisation, la minimisation des données et d’autres mesures de sécurité ;
- Appliquer les principes de la protection des données dès la conception (Privacy by Design) et de la protection des données par défaut (Privacy by Default) ;
- Notifier toute violation de données à caractère personnel au Commissaire au droit à l’information et à la protection des données à caractère personnel dans un délai maximal de 72 heures après en avoir pris connaissance et, lorsque cela est nécessaire, informer également les personnes concernées ;
- Réaliser une Analyse d’Impact relative à la Protection des Données (AIPD/DPIA) avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes ;
- Consulter préalablement le Commissaire lorsque le traitement présente un risque élevé ;
- Désigner un Délégué à la Protection des Données (DPO) lorsque la loi l’exige ;
- Garantir en permanence la conformité avec les dispositions de la loi ;
- Élaborer et mettre en œuvre des codes de conduite ;
- Recourir, à titre volontaire, à une certification délivrée par des organismes accrédités afin de démontrer la conformité à la législation.
🌍 Transfert international des données à caractère personnel
Les données à caractère personnel ne peuvent être transférées en dehors de la République d’Albanie que si le pays ou l’organisation internationale destinataire garantit un niveau de protection adéquat ou si des garanties juridiques appropriées sont prévues conformément à la loi.
⚖️ Sanctions
Le non-respect des obligations en matière de protection des données à caractère personnel peut entraîner des amendes administratives pouvant atteindre 1 milliard de leks albanais (ALL) ou 2 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé étant retenu.
Pour les violations les plus graves, notamment le non-respect des principes fondamentaux du traitement, l’atteinte aux droits des personnes concernées ou les transferts internationaux illicites de données, les sanctions peuvent atteindre 2 milliards de leks albanais (ALL) ou 4 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé étant retenu.
Pour toute information complémentaire ou pour un accompagnement dans votre mise en conformité, n’hésitez pas à nous contacter.
