Situación a fecha 12.09.2026. Estado: Aprobado, aún no en vigor. Norma: Zakon o zaštiti podataka o ličnosti koje obrađuju nadležni organi u svrhu sprečavanja, istraživanja, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija (ley de protección de los datos personales tratados por las autoridades competentes en materia penal), «Sl. list CG» 132/2026, acto 2261; aprobada por la Skupština el 4 de septiembre de 2026 (EPA 1165 XXVIII), decreto de promulgación de 8 de septiembre de 2026, publicación el 9 de septiembre de 2026. Sesenta artículos, una ley autónoma y no una reforma. Entra en vigor al octavo día de su publicación, es decir el 17 de septiembre de 2026, y se aplica seis meses después, desde el 17 de marzo de 2027 (art. 60).
La pregunta nos llega siempre con la misma forma. Si se ha abierto un registro sobre mí, qué contiene y a quién se ha enviado copia. Esas preguntas no tenían hasta ahora destinatario escrito en el ámbito penal. La nueva ley lo nombra, y con el mismo texto enumera los casos en que la respuesta no llegará.
Qué dice el texto
La ley separa el tratamiento que realizan la policía y la fiscalía del régimen general de protección de datos. Sus destinatarias son las nadležni organi: las autoridades competentes para la prevención, investigación, detección o enjuiciamiento de infracciones penales o para la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública, así como cualquier otro organismo al que la ley atribuya potestades públicas con esos fines (art. 5, apartado 8). El criterio territorial se ancla en la autoridad y no en el servidor: si la autoridad está establecida en Montenegro, no importa si el tratamiento se realiza en su territorio (art. 3).
El derecho de acceso está en el artículo 16. Puede pedir la confirmación de si se tratan datos suyos y, en caso afirmativo, los datos mismos y siete extremos: la finalidad y la base jurídica, las categorías de datos, los destinatarios a los que se han comunicado —el texto dice aquí «en particular destinatarios en otros Estados u organizaciones internacionales»—, el plazo de conservación o los criterios para fijarlo, su derecho a solicitar rectificación, supresión o limitación, el derecho a reclamar ante la autoridad de control y toda la información disponible sobre el origen de los datos. La respuesta se da por regla general en la forma en que se presentó la solicitud y sin coste, y las medidas adoptadas se comunican por escrito (art. 14). La carga de probar que una solicitud es manifiestamente infundada o excesiva recae en la autoridad (art. 14.7).
El límite está en el artículo 17. El acceso puede restringirse total o parcialmente por los cinco motivos del artículo 15.3: evitar que se obstaculicen las investigaciones y comprobaciones, evitar el perjuicio al enjuiciamiento o a la ejecución de sanciones, la seguridad pública, la seguridad nacional y los derechos y libertades de terceros. La denegación debe ser escrita y motivada, pero el apartado 4 del mismo artículo exime a la autoridad de dar los motivos cuando comunicarlos pusiera en peligro alguno de esos cinco fines. Una respuesta del tipo «no podemos decírselo, ni podemos decirle por qué» queda por tanto dentro del texto.
| Qué puede pedir | Hoy | Desde el 17 de marzo de 2027 | Artículo |
|---|---|---|---|
| Si existe un registro y qué contiene | No hay procedimiento escrito | Confirmación, acceso y siete extremos | art. 16 |
| A quién se comunicaron los datos | — | Destinatarios, en particular en el extranjero | art. 16.3 |
| Motivos de la denegación | — | Por escrito; los motivos pueden omitirse por cinco causas | art. 17.1-4 |
| Qué hacer ante la denegación | — | Ejercicio del derecho a través de la autoridad de control | art. 19 |
| Reclamación | — | La autoridad de control informa en 90 días como máximo | art. 53.2 |
| Silencio | — | Transcurridos 90 días queda abierta la vía contencioso-administrativa | art. 54 |
| Quién consultó el expediente | — | Acceso, comunicación y transferencia se registran con ambas identidades | art. 27 |
El artículo 19 es la bisagra de toda la ley. Cuando la autoridad no le responde directamente, el derecho no desaparece: cambia de manos. Lo ejerce a través de la autoridad de control, que comprueba en su lugar y debe comunicarle al menos que ha realizado las verificaciones o la supervisión necesarias, además de informarle del recurso judicial. El expediente no lo ve. Sabe que lo ha visto alguien independiente. Advertirle de esta vía corresponde a la propia autoridad que trata los datos (art. 19.2).
El capítulo quinto regula la salida de los datos del país y para el lector extranjero es la parte más dura. La regla general exige cuatro condiciones a la vez: que la transferencia sea necesaria para los fines del artículo 1, que el destinatario sea una autoridad pública competente para esos fines en el otro Estado, que si los datos proceden de un Estado miembro de la Unión Europea la transferencia ulterior fuera de la Unión cuente con su autorización previa, y que concurra una de las bases de los artículos 38, 39 o 40 (art. 37). El artículo 41 construye la excepción. En casos individuales y específicos, cuando la autoridad aprecie que acudir a la autoridad competente del tercer Estado no sería eficaz por retraso o por imposibilidad de ejercer derechos, los datos pueden ir directamente a un destinatario privado establecido allí. Cinco condiciones se aplican conjuntamente y la transferencia se documenta. El artículo 40.2 tira en sentido contrario: en casos individuales no se transfieren los datos si los derechos y libertades fundamentales de la persona prevalecen sobre el interés público.
Qué no dice el texto
En esta ley no hay cuantía de sanción. El artículo 58 remite la responsabilidad y las penas a «la ley reguladora de la protección de datos personales, que se aplica desde la fecha de inicio de aplicación de la presente ley». En la misma sesión, el 4 de septiembre de 2026, la Skupština aprobó también la ley general de protección de datos personales, cuyo decreto de promulgación se firmó el 8 de septiembre de 2026 (EPA 1164, 106 artículos). A 12.09.2026 el último número del boletín oficial es el 132/2026 y esa ley general no figura en él. Al no estar publicada, tampoco pueden calcularse sus propios plazos. No podemos mostrar, por tanto, qué régimen sancionador estará operativo el 17 de marzo de 2027.
La segunda laguna es el artículo 20. Cuando los datos figuran en una resolución judicial o en el expediente de unas comprobaciones, una investigación o un proceso penal, los derechos de los artículos 15, 16 y 18 se ejercen «conforme a normas especiales», es decir, conforme a la ley de enjuiciamiento criminal. Qué norma prevalece cuando las respuestas difieren no está escrito. En tercer lugar, el artículo 19 abre la vía a través de la autoridad de control pero no fija plazo para ella; el único plazo escrito en la ley son los 90 días del artículo 53.
Una observación más. No encontramos en este texto una nota a pie que remita a ninguna directiva de la Unión Europea y, en el mismo número, cuatro leyes llevan en el título la marca de armonización mientras que esta no la lleva. Por eso no escribimos que la ley transponga una directiva concreta. Escribimos lo que dice.
Nuestra lectura
A partir del 17 de marzo de 2027 presentaríamos la solicitud por escrito y citaríamos expresamente el artículo 16: como la forma de la respuesta sigue a la de la solicitud (art. 14.2), una petición escrita arrastra una respuesta escrita. Si llega la denegación, pida dos cosas: copia escrita de la resolución y que los motivos fácticos y jurídicos registrados conforme al artículo 17.6 se pongan a disposición de la autoridad de control. Aunque a usted no le comuniquen los motivos, esa constancia existe en la autoridad y el control puede reclamarla.
En el lado societario el precepto con el que se trabaja es el artículo 27. Quién consultó, cuándo y a quién envió copia se responde en los registros, y su examen es lo que se pide a la autoridad de control. Hasta esa fecha la vía práctica no cambia: si su nombre está en un expediente, el acceso pasa por el proceso penal y por el abogado defensor, no por la normativa de protección de datos.
Lo que no cambia
Hasta el 17 de marzo de 2027 no nace un procedimiento escrito de acceso a los datos policiales; hasta entonces rige la ley general de protección de datos personales de 2008. El acceso al expediente penal sigue rigiéndose por la ley de enjuiciamiento criminal y no por esta ley (art. 20). El certificado de antecedentes penales (uvjerenje o nekažnjavanju) es un procedimiento aparte y aquí no se regula. El ámbito tampoco se amplía: las destinatarias son las autoridades que tratan datos para los fines del artículo 1, de modo que el tratamiento por un empleador o un banco no es objeto de este texto. Tres preceptos —art. 11.2 y 11.3, art. 32.7 y art. 50— tampoco empezarán a aplicarse el 17 de marzo de 2027; la ley los reserva para el día de la adhesión de Montenegro a la Unión Europea (art. 59).
Cómo verificarlo
El texto oficial está en la web del boletín: sluzbenilist.me/propisi/397967. El número de acto en el ángulo superior izquierdo de la primera plana es el 2261 y el texto ocupa 20 planas. El número completo está en el índice del 132/2026, donde consta como fecha de publicación el 9 de septiembre de 2026. Los preceptos que buscar son los artículos 16 (acceso), 17 (restricción), 19 (a través de la autoridad de control), 27 (registros), 37 a 41 (transferencias), 53 y 54 (reclamación y recurso) y 59 y 60 (aplicación diferida y entrada en vigor). El número de expediente parlamentario es 23-3/26-13, EPA 1165 XXVIII; el del decreto, 01-009/26-1566/2.
La reforma de la ley de enjuiciamiento criminal del mismo número, es decir los derechos del extranjero detenido, la explicamos en nuestra nota sobre las reglas que rigen desde el 17 de septiembre. Cuando la ley general reciba su número de boletín lo dejaremos anotado en la página de Novedades legales.
