الوضع بتاريخ 14.09.2026. الحالة: اعتُمد ولم يدخل حيز التنفيذ بعد. النص: Zakon o zaštiti podataka o ličnosti (قانون حماية البيانات الشخصية)، "Sl. list CG" 133/2026، القيد 2294؛ أقرّته السكوبشتينا في 04.09.2026 (EPA 1164 XXVIII)، ومرسوم الإصدار رقم 01-009/26-1569/2 بتاريخ 08.09.2026، ونُشر في 11.09.2026. يتألف القانون من 106 مواد، ويحلّ محل قانون 2008 ولا يكتفي بتعديله. يدخل حيز التنفيذ في اليوم الثامن بعد النشر، أي 19.09.2026، ويُطبَّق بعد ستة أشهر، أي من 19.03.2027 (المادة 106).
المستثمر الخليجي الذي يملك شركة عقارية أو سياحية في الجبل الأسود بنى ملف حماية البيانات فيها غالباً بإحدى طريقتين: نسخ برنامج GDPR المعتمد في المجموعة، أو ضبط الملف على قانون 2008 الذي كان سقف غرامته على الشخص الاعتباري 20.000 يورو. الطريقة الثانية كان لها منطق. ابتداءً من 19.03.2027 لم يعد لها منطق: يصبح السقف 2.000.000 يورو أو 4% من رقم الأعمال السنوي العالمي، أيهما أعلى. أما الطريقة الأولى ففيها فخ خاص بها في المادة 104.
ما يقوله النص
يمتد نطاق القانون خارج الحدود. فهو يسري على المعالجة في إطار نشاط مقر عمل في الجبل الأسود أينما جرت المعالجة (المادة 3 الفقرة 1)، ويسري كذلك على شركة لا مقر لها في الجبل الأسود إذا ارتبطت المعالجة بعرض سلع أو خدمات على أشخاص في الجبل الأسود، بمقابل أو دونه، أو بمراقبة سلوكهم هناك (المادة 3 الفقرة 2). وعلى هذه الشركة أن تعيّن كتابةً ممثلاً في الجبل الأسود (المادة 28 الفقرة 1)، باستثناء المعالجة العرضية التي لا يُرجَّح أن تنشئ خطراً، والهيئات العامة (المادة 28 الفقرة 2).
صار أجل الرد على طلب الشخص مكتوباً: دون تأخير غير مبرر، وفي موعد أقصاه شهر من تاريخ الاستلام، مع جواز التمديد شهرين آخرين بشرط إبلاغ الشخص بالتمديد وأسبابه خلال الشهر الأول (المادة 13 الفقرة 3). الرد مجاني، وعبء إثبات أن الطلب لا أساس له بوضوح أو مفرط يقع على الشركة (المادة 13).
أربعة التزامات تحمل أجلاً أو رقماً. يُبلَّغ الوكالة بخرق أمن البيانات دون تأخير غير مبرر، وإن أمكن خلال 72 ساعة من العلم به (المادة 34). ويُلزم تعيين مسؤول حماية البيانات في الهيئات العامة، وعند المراقبة المنتظمة والمنهجية على نطاق واسع، وعند معالجة الفئات الخاصة وبيانات الإدانات الجنائية على نطاق واسع (المادة 38 الفقرة 1). وسجل أنشطة المعالجة إلزامي، وإعفاء المنشآت التي يقل عدد عامليها عن 250 يسقط متى كانت المعالجة غير عرضية (المادة 31). وعلى كل شركة إنشاء قناة للإبلاغ السري عن مخالفات القانون (المادة 82 الفقرة 1).
| المخالفة | السقف أو النطاق | المادة |
|---|---|---|
| التزامات المواد 9 و12 و26-40 (الممثل، السجل، الأمن، إخطار 72 ساعة، تقييم الأثر، المسؤول) | حتى 1.000.000 يورو أو للشركة حتى 2% من رقم الأعمال السنوي العالمي، أيهما أعلى | 88 الفقرة 1 |
| المبادئ والموافقة (6-8)، حقوق صاحب البيانات (13-23)، النقل خلافاً للمواد 46-50 | حتى 2.000.000 يورو أو 4%، أيهما أعلى | 88 الفقرة 2 |
| عدم التعاون مع الوكالة أو عدم الامتثال لقرارها | حتى 2.000.000 يورو أو 4% | 88 الفقرة 3 |
| عدم الإخطار خلال 72 ساعة، إفشاء السر، منع المفتش من الدخول، غياب قناة الإبلاغ | الشخص الاعتباري 150-2.000 يورو (مخالفة) | 89 الفقرة 1 |
| أجهزة الدولة والإدارة المحلية والمؤسسات العامة | لا تُفرض غرامة إدارية | 88 الفقرة 4 |
تفرض الوكالة الغرامة الإدارية بنفسها، ويُطعن فيها أمام القضاء الإداري (المادتان 87 و90).
عند نقل البيانات تنكسر نماذج المجموعات. قرار كفاية الحماية في دولة ثالثة تتخذه حكومة الجبل الأسود بعد رأي الوكالة، لا المفوضية الأوروبية (المادة 46 الفقرة 1). وتعدّد المادة 47 الفقرة 2 الضمانات التي لا تحتاج إلى موافقة مستقلة، والبند 3 منها هو الشروط التعاقدية القياسية الصادرة عن المفوضية الأوروبية. لكن المادة 104 تؤجل هذا البند إلى يوم انضمام الجبل الأسود إلى الاتحاد الأوروبي. تبقى الشروط التعاقدية مع متلقٍّ في الخارج ممكنة وفق المادة 47 الفقرة 3، ولكن بموافقة الوكالة. ولا يُعترف بحكم أجنبي يطلب نقل البيانات إلا إذا استند إلى اتفاق دولي نافذ (المادة 49).
الأحكام الانتقالية: يتوقف سجل مجموعات البيانات في 19.03.2027 (المادة 99)، وتُواءَم القوانين الأخرى حتى 01.12.2026 (المادة 102)، ويُلغى قانون 2008 في 19.03.2027 باستثناء مواده 35-40a الخاصة بالمراقبة بالكاميرات (المادة 105).
ما لا يقوله النص
يقع عدم الإخطار خلال 72 ساعة تحت المادة 88 الفقرة 1 والمادة 89 الفقرة 1 البند 1 معاً. تمنع المادة 89 فرض الغرامة الإدارية وعقوبة المخالفة معاً عن الخرق نفسه، لكنها لا تقول بأي معيار تختار الوكالة بين 1.000.000 يورو وبين 150-2.000 يورو. لا نستطيع أن نبيّن هذا المعيار. والمادة 98 تترك للقانون القديم الإجراءات غير المنتهية في 19.03.2027 فقط، ولا تعالج خرقاً وقع قبل ذلك وبدأ إجراؤه بعده. كما لا تقول المادة 104 هل يُعدّ عقد قائم على شروط المفوضية شروطاً تعاقدية بموجب المادة 47 الفقرة 3 تحتاج إلى موافقة.
قراءتنا
قبل 19.03.2027 نرى ثلاث خطوات. أولاً، فحص المادة 3 الفقرة 2، وإن انطبقت عليكم فتعيين الممثل كتابةً وفق المادة 28. ثانياً، حصر كل تدفق بيانات يخرج من الجبل الأسود وتمييز ما يستند منه إلى شروط المفوضية؛ فما دامت المادة 104 تعلّق البند 3، نقرأ هذا العقد على أنه شروط تعاقدية وفق المادة 47 الفقرة 3 وننصح بطلب موافقة الوكالة. ثالثاً، كتابة إجراء الـ72 ساعة وقناة الإبلاغ مستندَين لكل منهما مسؤول، لأن كليهما يرتب مسؤولية وفق المادة 89. ويبقى الامتثال لقانون 2008 واجباً حتى ذلك اليوم.
ما الذي لم يتغيّر
تبقى الجهة الرقابية هي Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (المادة 52). وحتى 19.03.2027 يسري قانون 2008 بسقف 20.000 يورو، وقد شرحناه بالإنجليزية في Montenegro is not a GDPR country. معالجة الشرطة والنيابة للبيانات لأغراض جنائية خارج هذا القانون (المادة 2 الفقرة 2 البند 2)، وينظمها القانون 132/2026 الذي تناولناه في مقالنا عن بيانات الشرطة. ولا تزال الوكالة لا تراقب المحاكم في عملها القضائي (المادة 63 الفقرة 2). ولا يصبح GDPR قانوناً في الجبل الأسود، فالأحكام المرتبطة بقانون الاتحاد تنتظر الانضمام (المادة 104).
كيف تتحقق
النص الرسمي على موقع Službeni list: sluzbenilist.me/propisi/398066. في بطاقة القيد: النشر 11.09.2026، دخول حيز التنفيذ 19.09.2026، بدء التطبيق 19.03.2027. رقم القيد 2294 في الزاوية العليا اليسرى من الصفحة الأولى، والنص في 45 صفحة، والمواد 102-106 في الأخيرة. ملف البرلمان في صفحة القانون لدى السكوبشتينا: 23-3/26-12/11، EPA 1164 XXVIII، الحالة Usvojen. أضاف تعديل حكومي مادة رابعة جديدة وغيّر الترقيم، فاعتمدوا الترقيم المنشور فقط. وسنسجل الخطوات اللاحقة المؤرخة في المستجدات القانونية.
