Emirjon Senja
Vitet e fundit, në Shqipëri janë hedhur në qarkullim sasi të mëdha të dhënash personale dhe dokumentesh institucionale.
Rrjedhjet e vitit 2021, nga databaza e zgjedhësve që kishte PS, te pagat dhe targat e automjeteve, ekspozuan informacione që deri atëherë qytetarët prisnin të ruheshin me kujdes nga institucionet që i administronin.
Në këto materiale përfshiheshin numra telefoni, të dhëna identifikimi, të ardhura dhe vlerësime për preferencat partiake. Sulmet kibernetike ndaj sistemeve shtetërore në korrik dhe shtator 2022 e zgjeruan më tej pasigurinë, por edhe debatin mbi sigurinë dhe kontrollin e informacionit.
Raporti i përbashkët i FBI-së dhe CISA-s dokumentoi hyrjen e paautorizuar në sistemet shtetërore, nxjerrjen e përmbajtjes së postës elektronike dhe publikimin e materialeve nga autorët e sulmit.
Edhe pasi platforma e sulmuar ose shërbimi rikthehet në punë, të dhënat e rrjedhura mund të vazhdojnë të qarkullojnë dhe të keqpërdoren. Prandaj, krahas rikthimit të shërbimit, duhet të sqarohet si janë prekur qytetarët dhe çfarë masash duhen marrë për t’i mbrojtur.
Zhvillimi i inteligjencës artificiale e shton rëndësinë e këtij problemi. Në vlerësimin e vitit 2025, Qendra Kombëtare e Sigurisë Kibernetike e Mbretërisë së Bashkuar vëren se AI-ja mund të ndihmojë zbulimin e dobësive, mashtrimin e përdoruesve dhe përpunimin e të dhënave të nxjerra nga sisteme të cenuara. Kjo kërkon vëmendje si ndaj depërtimit fillestar në sistem, ashtu edhe ndaj mënyrave të mëvonshme të shfrytëzimit të informacionit.
Siguria kibernetike bëhet çështje komunikimi sepse qytetari varet nga shpjegimet që merr për të kuptuar nëse është prekur dhe si duhet të veprojë.
Ai zakonisht nuk mund ta verifikojë vetë çfarë ka ndodhur brenda një platforme shtërore.
Institucioni zotëron informacionin teknik, ndërsa media e shqyrton atë, e lidh me provat e tjera dhe e bën të kuptueshëm për publikun. Një komunikim i paqartë mund ta lërë personin pa udhëzime të dobishme; një publikim i pakujdesshëm mund ta ekspozojë sërish.
Prandaj, pyetja është si të sigurohet informimi publik duke mbrojtur njëkohësisht personat e prekur.
Kjo analizë krahason legjislacionin shqiptar me standardet e Bashkimit Europian dhe i lidh ato me reagimet publike ndaj sulmeve të vitit 2022.
Ligjet e miratuara më 2024 përdoren si pikë referimi për praktikën e tanishme, pa i zbatuar prapaveprueshëm ndaj ngjarjeve të atëhershme.
Detyrimi institucional për informim
Pas një sulmi, institucioni duhet t’u japë përgjigje në dy fronte dy që zhvillohen njëkohësisht: Ekipeve që punojnë për të kufizuar incidentin dhe njerëzve që mund të pësojnë pasojat e tij. Specialisti kërkon të dhëna teknike për të ndërhyrë, ndërsa qytetari kërkon të dijë nëse është prekur, çfarë rrezikon dhe çfarë mund të bëjë.
Për këtë arsye, komunikimi me publikun duhet të jetë pjesë e menaxhimit të incidentit që në fillim. Kjo nevojë shpjegon edhe pse legjislacioni i dallon njoftimet sipas marrësit dhe qëllimit të tyre.
Neni 23 i ligjit nr. 25/2024 kërkon që operatorët e infrastrukturave kritike dhe të rëndësishme të informacionit t’i raportojnë incidentet pranë ekipeve përgjegjëse, CSIRT-it Kombëtar dhe atij sektorial, brenda katër orëve nga identifikimi.
Për incidentet e rëndësishme kërkohet përditësim dhe vlerësim fillestar brenda 72 orëve. Neni 23 i direktivës NIS2 parashikon, për subjektet që mbulon, paralajmërim brenda 24 orëve nga marrja dijeni për incidentin e rëndësishëm dhe njoftim më të plotë brenda 72 orëve.
Afati fillestar shqiptar është më i shkurtër, megjithëse fushat e detyrimit dhe pikënisjet e afateve nuk përputhen plotësisht.
Këto janë detyrime raportimi te autoritetet. Informimi i publikut trajtohet veçmas. Neni 26 i ligjit shqiptar parashikon njoftimin nga CSIRT-i Kombëtar, ose me kërkesën e tij nga operatori, në rrethana që lidhen me parandalimin, trajtimin e incidentit ose interesin publik.
Operatorët duhet gjithashtu t’i njoftojnë pa vonesë përdoruesit potencialisht të prekur nga një incident i rëndësishëm për masat mbrojtëse që mund të marrin. NIS2 parashikon informimin e përdoruesve në rrethanat përkatëse dhe mundësinë e informimit publik kur ai është i nevojshëm.
Një rrjedhje të dhënash aktivizon edhe rregullat e privatësisë. Neni 29 i ligjit nr. 124/2024 kërkon njoftimin e Komisionerit brenda 72 orëve nga marrja dijeni, përveç rasteve kur cenimi nuk ka gjasa të rrezikojë të drejtat dhe liritë. Personat e prekur informohen kur ka gjasa për rrezik të lartë, sipas kushteve dhe përjashtimeve ligjore. Dallim të ngjashëm midis njoftimit të autoritetit dhe atij të personit bëjnë nenet 33 dhe 34 të GDPR-së.
Ky dallim ka pasoja praktike.
Një institucion mund ta ketë raportuar incidentin brenda afatit dhe t’i ketë dorëzuar autoritetit një përshkrim teknik të plotë, ndërkohë që personat e prekur ende nuk dinë nëse janë ekspozuar fjalëkalimet apo dokumentet e tyre të identifikimit.
Procedura e raportimit i jep autoritetit mundësinë të reagojë; dobia e komunikimit matet edhe me aftësinë e qytetarit për të marrë masa. Përputhshmëria procedurale dhe informimi i kuptueshëm kërkojnë, kështu, vlerësime të veçanta.
Një njoftim i dobishëm shpjegon çfarë dihet për të dhënat e prekua, çfarë mbetet në verifikim dhe ku mund të kërkohet ndihmë. Kur është ekspozuar një fjalëkalim, udhëzimi duhet të tregojë nevojën për ndryshimin e tij dhe masat përkatëse të sigurimit të llogarisë.
Kur janë publikuar të dhëna identifikimi, komunikimi duhet të sqarojë rrezikun e keqpërdorimit dhe mënyrën e raportimit të veprimeve të dyshimta. Institucioni mund ta pranojë se verifikimi vijon dhe të japë përditësime, pa paraqitur siguri që ende nuk e ka.
Teoria e komunikimit të krizës e Coombs-it ndihmon të dallohet informacioni që u nevojitet njerëzve për t’u mbrojtur nga strategjitë për ruajtjen e reputacionit institucional [9].
Një deklaratë mbi rikthimin e shërbimeve mund të jetë e saktë dhe e nevojshme, por t’u përgjigjet vetëm pjesërisht shqetësimeve të personave që kanë të dhëna në atë sistem.
Prej kësaj qasjeje rrjedh nevoja që komunikimi të organizohet edhe rreth pyetjeve të tyre, me shpjegime që mund të kontrollohen dhe me korrigjime të dukshme kur informacioni ndryshon.
Interesi publik dhe qasja e redaksive të lajmeve
Për median, fakti që një dokument gjendet në internet nuk legjitimon automatikisht kthimin në lajm të të gjithë përmbajtjes së tij. Redaksia duhet të shpjegojë çfarë zbulon materiali dhe pse publiku ka nevojë ta dijë duke bërë edhe një analizë se çfarë i vlere të shtuar i jep lajmit një detaj duke pyetur veten nëse duhet integruar apo jo.
Neni 43 i ligjit nr. 124/2024 njeh hapësirë për gazetarinë kur të dhënat janë të nevojshme për materialin dhe publikimi i shërben interesit publik, sipas kushteve të dispozitës [7]. Kjo mbron mundësinë për të hetuar çështje të rëndësishme, duke kërkuar njëkohësisht që ndërhyrja në privatësi të jetë e arsyetuar dhe e kufizuar në atë që nevojitet.
Ndërkohë sa i përket aplikimit në BE, neni 85 i GDPR-së kërkon që shtetet ta harmonizojnë mbrojtjen e të dhënave me lirinë e shprehjes përmes legjislacionit të tyre [8].
Pra, nuk ekziston një përjashtim i përgjithshëm që e vendos çdo publikim mediatik jashtë rregullave të privatësisë. Ligji shqiptar i përcakton drejtpërdrejt kushtet e përjashtimit gazetaresk, ndërsa zgjidhjet kombëtare brenda BE-së mund të ndryshojnë.
Për redaksinë, çështja mbetet konkrete: Çfarë humbet nga vlera e lajmit nëse një e dhënë personale hiqet?
Shoemaker dhe Vos, në trajtimin e tyre të gatekeeping-ut, e shohin median si përzgjedhëse dhe formësuese të informacionit që arrin te publiku. Pas një rrjedhjeje informacioni të pautorizuar, ky rol bëhet veçanërisht i rëndësishëm.
Redaksia vendos cilat dokumente meritojnë verifikim, çfarë prove mbështet një pretendim dhe cilat hollësi duhen hequr. Publikimi i një baze të plotë të dhënash dhe një investigim i mbështetur në atë bazë janë vendime editoriale me pasoja të ndryshme.
Një dokument i rrjedhur mund të zbulojë abuzim me detyrën, shpërdorim fondesh ose dështim të sigurisë. Në këto raste, publikimi mund të ketë interes të qartë publik edhe kur materiali është siguruar fillimisht në mënyrë të paligjshme nga një palë tjetër. Vlerësimi duhet të shqyrtojë veprimet e vetë gazetarit dhe mënyrën e përdorimit të dokumentit. Marrja e informacionit dhe përhapja e çdo elementi identifikues brenda tij nuk janë i njëjti vendim.
Për shembull, raportimi mbi databazën e patronazhistëve mund të mbështetet në një fragment të verifikuar dhe të redaktuar. Emrat, preferencat politike, adresat ose kontaktet që nuk i shtojnë gjë historisë, mund të hiqen ose retushohen.
Një e dhënë që dokumenton drejtpërdrejt një konflikt interesi të një funksionari mund të jetë e nevojshme për ta kuptuar çështjen. Mbulimi i emrit nuk mjafton nëse personi identifikohet nga detajet e tjera.
Për të miturit dhe viktimat, neni 43 parashikon kufizime të posaçme identifikimi [7].
Verifikimi kërkon gjithashtu kujdes ndaj vetë burimit të rrjedhjes. Një dokument autentik mund të jetë shkëputur nga një korrespondencë më e gjatë ose të jetë publikuar në një rend që ndryshon kuptimin e tij.
Gazetari duhet të kontrollojë datën, plotësinë dhe kontekstin, si edhe t’u japë mundësi përgjigjeje personave apo institucioneve që përfshihen. Pretendimi i autorëve të sulmit duhet paraqitur si pretendim deri në verifikim. Përndryshe, përzgjedhja e tyre mund të bëhet përzgjedhja e redaksisë.
Mësimet nga reagimi ndaj sulmeve në Shqipëri
Komunikimi zyrtar i 29 korrikut 2022, i publikuar nga qeveria, theksonte rikuperimin e sistemeve dhe mbështetjen e partnerëve.
Në të shpjegohej edhe mungesa e gazetarëve dhe e pyetjeve në sallë, e lidhur nga ministrja me protokollet e sigurisë dhe një kërkesë të Microsoft-it. Ky format nxjerr një problem të komunikimit të krizës: Një deklaratë e bën mesazhin publik, por mundësia për pyetje i lejon medias të kërkojë sqarime për çështjet që deklarata nuk i mbulon.
Ruajtja e hollësive operative mund të jetë e nevojshme gjatë një sulmi. Megjithatë, institucioni duhet të shpjegojë kufirin e këtij konfidencialiteti dhe të ofrojë një mënyrë për përditësime e pyetje.
Për median, dallimi mes rikthimit të shërbimit dhe cenimit të konfidencialitetit duhet të udhëheqë kërkesat për informacion. Një sistem mund të funksionojë sërish ndërkohë që mbetet për t’u sqaruar shtrirja e materialeve të nxjerra prej tij.
Një problem tjetër u shfaq pas urdhrit të 19 shtatorit 2022 për ndalimin e publikimit të materialeve të hakuara. Në deklaratën e përbashkët të publikuar më 23 shtator, Federata Europiane e Gazetarëve dhe organizata të tjera kundërshtuan ndalimin e përgjithshëm dhe kërcënimin me ndjekje penale për raportime në interes publik.
Njëkohësisht, ato kërkuan trajtim etik të materialeve dhe respektim të privatësisë e të shqetësimeve të sigurisë. Qëndrimi i tyre e vendoste përgjegjësinë te vlerësimi i publikimit konkret, duke kundërshtuar një kufizim që përfshinte çdo material pavarësisht përmbajtjes.
Nga ky rast del në pah nevoja për një standard që mbron hetimin gazetaresk dhe kërkon arsyetim për publikimin konkret. Institucioni duhet të shpjegojë se çfarë ka ndodhur, cilat pasoja po verifikon dhe mbi çfarë baze kërkon kufizimin e një informacioni.
Media duhet ta shqyrtojë këtë shpjegim kundrejt provave që siguron, pa e marrë as versionin zyrtar dhe as materialin e sulmuesit si të mirëqënë. Debati mbi përgjegjësinë institucionale mund të zhvillohet edhe kur dokumenti i përdorur si provë publikohet pjesërisht, me të dhënat e panevojshme të mbuluara.
Këtë problem e trajton edhe botimi i Institutit Shqiptar të Medias, “Liria e shprehjes dhe privatësia në media” (2026). Studimi e dallon interesin publik nga kurioziteti i publikut dhe, në analizën e databazës së pagave, tërheq vëmendjen ndaj ekspozimit të individëve edhe kur emri nuk publikohet, por jepen elemente të tjera identifikuese. Ai rekomandon gjithashtu dokumentimin e arsyetimeve editoriale kur përdoren përjashtimet për gazetarinë.
Kjo e lidh përgjegjësinë me procesin e marrjes së vendimit dhe me pasojat e përmbajtjes së publikuar.
Për një redaksi, kjo mund të përkthehet në një arsyetim të shkurtër për dokumentet që zgjidhen si prova, kontrollet që janë kryer dhe hollësitë që janë hequr.
Kur materiali prek një funksionar, lidhja me ushtrimin e detyrës duhet të jetë e qartë; të dhënat e familjarëve ose personave të tjerë kërkojnë vlerësim më vete.
Një shpjegim për lexuesin mbi verifikimin dhe redaktimin e dokumentit ndihmon të kuptohet pse materiali botohet në atë formë. Kështu, interesi publik bëhet kriter i dukshëm i punës editoriale, që mund të shqyrtohet edhe pas publikimit.
Krahasimi Shqipëri–BE tregon se detyrimi për informim dhe mbrojtja e privatësisë kanë tashmë mbështetje ligjore.
Sfida është zbatimi i tyre në kushte urgjence, kur institucioni kërkon të menaxhojë incidentin dhe media duhet të verifikojë shpejt një material me pasoja të mundshme për shumë njerëz.
Përgjegjësia institucionale vlerësohet edhe nga informacioni që u mundëson qytetarëve të mbrohen e të kërkojnë llogari.
Përgjegjësia e medias qëndron te shndërrimi i materialit të rrjedhur në informacion të verifikuar, duke kufizuar ekspozimin e panevojshëm. Raportimi e përmbush interesin publik kur zbulon përgjegjësitë dhe ruan kujdesin ndaj personave që mbartin pasojat e rrjedhjes. /skyweb.al
Ky shkrim botohet në kuadrin e një serie artikujsh me temë “Media dhe Integrimi Evropian” të Institutit Shqiptar të Medias.
