Situación a fecha 14.09.2026. Estado: Aprobado, aún no en vigor. Norma: Zakon o zaštiti podataka o ličnosti (ley de protección de datos personales), "Sl. list CG" 133/2026, acto 2294; aprobada por la Skupština el 4 de septiembre de 2026 (EPA 1164 XXVIII), decreto de promulgación 01-009/26-1569/2 de 8 de septiembre de 2026, publicada el 11 de septiembre de 2026. Tiene 106 artículos y sustituye a la ley de 2008, no se limita a modificarla. Entra en vigor el octavo día tras su publicación, el 19 de septiembre de 2026, y se aplica seis meses después, desde el 19 de marzo de 2027 (art. 106).
La empresa española con filial en Montenegro suele tener allí su documentación de datos montada de una de dos maneras: copiada del programa RGPD del grupo o dimensionada según la ley de 2008, cuya multa máxima para una persona jurídica era de 20.000 €. El segundo cálculo tenía lógica. Desde el 19 de marzo de 2027 deja de tenerla: el techo pasa a 2.000.000 € o el 4 % del volumen de negocio anual mundial, lo que sea mayor. El primer enfoque tiene su propia trampa, en el artículo 104.
Qué dice el texto
El ámbito cruza la frontera. La ley se aplica al tratamiento en el marco de las actividades de un establecimiento en Montenegro, sea cual sea el lugar del tratamiento (art. 3.1), y también a la empresa sin establecimiento en Montenegro cuando el tratamiento está ligado a ofrecer bienes o servicios a personas en Montenegro, con o sin pago, o a observar su comportamiento allí (art. 3.2). Esa empresa debe designar por escrito un representante en Montenegro (art. 28.1), salvo tratamiento ocasional sin riesgo probable y organismos públicos (art. 28.2).
El plazo para responder a una solicitud ya está escrito: sin dilación indebida y a más tardar en un mes desde la recepción, prorrogable dos meses más si se informa de la prórroga y sus motivos dentro del primer mes (art. 13.3). La respuesta es gratuita y la carga de probar que una solicitud es manifiestamente infundada o excesiva recae en el responsable (art. 13).
Cuatro obligaciones llevan plazo o cifra. Las brechas se notifican a la Agencia sin dilación indebida y, si es posible, en 72 horas desde que se conocen (art. 34). El delegado de protección de datos es obligatorio en organismos públicos, con observación habitual y sistemática a gran escala y con tratamiento a gran escala de categorías especiales y datos penales (art. 38.1). El registro de actividades es obligatorio; la exención para menos de 250 empleados cae si el tratamiento no es ocasional (art. 31). Y todo responsable debe crear un canal de denuncia confidencial de infracciones de la ley (art. 82.1).
| Infracción | Techo o horquilla | Artículo |
|---|---|---|
| Obligaciones de los arts. 9, 12 y 26-40 (representante, registro, seguridad, aviso en 72 horas, evaluación de impacto, delegado) | hasta 1.000.000 € o, para una sociedad, el 2 % del volumen de negocio anual mundial, lo que sea mayor | art. 88.1 |
| Principios y consentimiento (arts. 6-8), derechos del interesado (arts. 13-23), transferencias contrarias a los arts. 46-50 | hasta 2.000.000 € o el 4 %, lo que sea mayor | art. 88.2 |
| No cooperar con la Agencia o incumplir su acto | hasta 2.000.000 € o el 4 % | art. 88.3 |
| Falta de aviso en 72 horas, secreto, negar acceso al inspector, sin canal de denuncia | persona jurídica 150-2.000 € (infracción leve) | art. 89.1 |
| Órganos del Estado, administración local, instituciones públicas | no se impone multa administrativa | art. 88.4 |
La multa administrativa la impone la propia Agencia y se recurre ante la jurisdicción contencioso-administrativa (arts. 87 y 90).
En las transferencias se rompen las plantillas de grupo. La decisión de adecuación la adopta el Gobierno de Montenegro tras el dictamen de la Agencia, no la Comisión Europea (art. 46.1). El artículo 47.2 enumera garantías sin autorización específica, y el punto 3 son las cláusulas contractuales tipo de la Comisión Europea. El artículo 104 aplaza ese punto hasta el día de la adhesión de Montenegro a la UE. Las cláusulas contractuales con un destinatario en el extranjero siguen siendo posibles por el artículo 47.3, pero con autorización de la Agencia. Una sentencia extranjera que exija datos solo se reconoce si se basa en un acuerdo internacional vigente (art. 49).
Transitorias: el registro de ficheros deja de llevarse el 19 de marzo de 2027 (art. 99); las demás leyes se adaptan antes del 1 de diciembre de 2026 (art. 102); la ley de 2008 queda derogada el 19 de marzo de 2027, salvo sus artículos 35-40a sobre videovigilancia (art. 105).
Qué no dice el texto
La falta de aviso en 72 horas cae a la vez en el art. 88.1 y en el art. 89.1, punto 1. El art. 89 impide imponer por la misma infracción la multa administrativa y la sanción por infracción leve, pero no dice con qué criterio elige la Agencia entre 1.000.000 € y 150-2.000 €. Ese criterio no podemos mostrarlo. El art. 98 deja a la ley antigua solo los procedimientos no concluidos el 19 de marzo de 2027; sobre una infracción anterior con procedimiento iniciado después, el texto calla. Y el art. 104 no dice si un contrato vigente basado en las cláusulas de la Comisión cuenta como cláusulas del art. 47.3 que requieren autorización.
Nuestra lectura
Antes del 19 de marzo de 2027 haríamos tres cosas. Revisar el art. 3.2 y, si le afecta, designar por escrito el representante del art. 28. Listar cada flujo de datos que sale de Montenegro y marcar los basados en cláusulas de la Comisión: mientras el art. 104 mantenga suspendido el punto 3, leemos ese contrato como cláusulas del art. 47.3 y proponemos pedir la autorización de la Agencia. Redactar el procedimiento de 72 horas y el canal de denuncia como documentos con responsable, porque ambos generan responsabilidad por el art. 89. El cumplimiento de la ley de 2008 sigue siendo exigible hasta ese día.
Lo que no cambia
La autoridad de control sigue siendo la Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (art. 52). Hasta el 19 de marzo de 2027 rige la ley de 2008 con su techo de 20.000 €, que explicamos en inglés en Montenegro is not a GDPR country. El tratamiento por policía y fiscalía con fines penales queda fuera de esta ley (art. 2.2.2) y lo regula la ley 132/2026, que tratamos en nuestro texto sobre datos policiales. La Agencia sigue sin supervisar a los tribunales en su función jurisdiccional (art. 63.2). El RGPD no pasa a ser Derecho montenegrino: las disposiciones ligadas al Derecho de la UE esperan a la adhesión (art. 104).
Cómo verificarlo
El texto oficial está en la web del Službeni list: sluzbenilist.me/propisi/398066. La ficha indica publicación 11.09.2026, entrada en vigor 19.09.2026 y aplicación desde 19.03.2027. El número de acto 2294 figura en la esquina superior izquierda de la primera página; el texto ocupa 45 páginas y los arts. 102-106 están en la última. El expediente parlamentario está en la página del acto de la Skupština: n.º 23-3/26-12/11, EPA 1164 XXVIII, estado Usvojen. Una enmienda del Gobierno insertó un nuevo art. 4 y desplazó la numeración, así que cite solo la versión publicada. Los siguientes pasos fechados irán a Novedades legales.
