法规简介

阿尔巴尼亚2024年个人数据保护法(第124/2024号),2024年12月19日议会通过,2025年1月17日官报第9号公布,2月1日正式生效。该法废止2008年第9887号旧法,实现阿尔巴尼亚与EU GDPR及执法指令(Directive 2016/680)的全面对齐。信息与数据保护专员办公室(IDP)自2018年起即推动此项对齐。核心规定:完全采用GDPR的物域及地域适用范围(含域外效力——向阿国境内提供商品/服务或监测阿国境内行为的外国控制者同样受管辖);确立所有数据主体权利(查阅/更正/删除/限制处理/可携/反对/不受自动化决策);强制特定情形下进行DPIA并任命DPO;数据泄露须72小时内通知IDP;跨境传输需充分性认定或适当保障措施(标准合同条款/克减例外);合法处理须具法律基础(同意/合同/法定义务/合法利益等);16岁以下未成年人须父母同意。罚款完全采纳GDPR巨额标准(最高全球营业额4%),但IDP已发布指南尝试使罚款计算更适合阿尔巴尼亚国情。IDP执法活跃(2022年即审查370起投诉、作出17项决定、施加63项行政处罚),2026年初显著加大执法:前两个月即开出6张罚单(是此前一年总量的3倍),被罚实体涉及IT服务/呼叫中心/旅行社/医疗中心等。