Situation au 14 septembre 2026. Statut : Adopté, pas encore en vigueur. Texte : Zakon o zaštiti podataka o ličnosti (loi sur la protection des données à caractère personnel), « Sl. list CG » 133/2026, acte 2294 ; adoptée par la Skupština le 4 septembre 2026 (EPA 1164 XXVIII), décret de promulgation 01-009/26-1569/2 du 8 septembre 2026, publiée le 11 septembre 2026. Elle compte 106 articles et remplace la loi de 2008 au lieu de la modifier. Elle entre en vigueur le huitième jour après sa publication, le 19 septembre 2026, et s'applique six mois plus tard, à partir du 19 mars 2027 (art. 106).
La société française qui gère une résidence ou un chantier naval à Tivat par une filiale locale a souvent bâti son dossier de données de l'une de deux façons : en recopiant le programme RGPD du groupe, ou en le calibrant sur la loi de 2008, dont l'amende maximale pour une personne morale était de 20 000 €. Le second calcul se défendait. À partir du 19 mars 2027, plus du tout : le plafond devient 2 000 000 € ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La première approche a son propre piège, à l'article 104.
Ce que dit le texte
Le champ déborde la frontière. La loi s'applique au traitement effectué dans le cadre des activités d'un établissement au Monténégro, où que le traitement ait lieu (art. 3, al. 1), ainsi qu'à la société sans établissement au Monténégro dont le traitement est lié à l'offre de biens ou de services à des personnes au Monténégro, payante ou non, ou au suivi de leur comportement sur place (art. 3, al. 2). Cette société doit désigner par écrit un représentant au Monténégro (art. 28, al. 1), sauf traitement occasionnel sans risque probable et organismes publics (art. 28, al. 2).
Le délai de réponse à une demande est désormais écrit : sans retard injustifié et au plus tard un mois après réception, prolongeable de deux mois, la prolongation et ses motifs étant notifiés dans le premier mois (art. 13, al. 3). La réponse est gratuite, et la charge de prouver qu'une demande est manifestement infondée ou excessive pèse sur le responsable (art. 13).
Quatre obligations portent un délai ou un chiffre. Une violation est notifiée à l'Agence sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance (art. 34). Le délégué à la protection des données est obligatoire pour les organismes publics, pour le suivi régulier et systématique à grande échelle et pour le traitement à grande échelle de catégories particulières et de données pénales (art. 38, al. 1). Le registre des activités est obligatoire ; l'exemption sous 250 salariés tombe dès que le traitement n'est pas occasionnel (art. 31). Chaque responsable met en place un canal de signalement confidentiel des violations de la loi (art. 82, al. 1).
| Manquement | Plafond ou fourchette | Article |
|---|---|---|
| Obligations des art. 9, 12 et 26-40 (représentant, registre, sécurité, notification en 72 heures, analyse d'impact, délégué) | jusqu'à 1 000 000 € ou, pour une société, 2 % du chiffre d'affaires annuel mondial, le plus élevé | art. 88, al. 1 |
| Principes et consentement (art. 6-8), droits de la personne (art. 13-23), transferts contraires aux art. 46-50 | jusqu'à 2 000 000 € ou 4 %, le plus élevé | art. 88, al. 2 |
| Refus de coopérer avec l'Agence ou de respecter son acte | jusqu'à 2 000 000 € ou 4 % | art. 88, al. 3 |
| Défaut de notification en 72 heures, secret, refus d'accès au contrôleur, absence de canal | personne morale 150-2 000 € (contravention) | art. 89, al. 1 |
| Organes de l'État, collectivités locales, établissements publics | pas d'amende administrative | art. 88, al. 4 |
L'amende administrative est prononcée par l'Agence elle-même et se conteste devant le juge administratif (art. 87 et 90).
C'est sur les transferts que les modèles de groupe cèdent. La décision d'adéquation est prise par le Gouvernement du Monténégro après avis de l'Agence, non par la Commission européenne (art. 46, al. 1). L'article 47, al. 2 énumère les garanties sans autorisation spécifique, et le point 3 correspond aux clauses contractuelles types de la Commission européenne. L'article 104 reporte ce point au jour de l'adhésion du Monténégro à l'Union. Des clauses contractuelles avec un destinataire à l'étranger restent possibles au titre de l'article 47, al. 3, mais avec l'autorisation de l'Agence. Un jugement étranger exigeant des données n'est reconnu que sur la base d'un accord international en vigueur (art. 49).
Dispositions transitoires : le registre des fichiers cesse d'être tenu le 19 mars 2027 (art. 99) ; les autres lois sont mises en conformité avant le 1er décembre 2026 (art. 102) ; la loi de 2008 cesse de s'appliquer le 19 mars 2027, sauf ses articles 35 à 40a sur la vidéosurveillance (art. 105).
Ce que le texte ne dit pas
Le défaut de notification en 72 heures relève à la fois de l'art. 88, al. 1 et de l'art. 89, al. 1, point 1. L'article 89 interdit de cumuler pour le même manquement l'amende administrative et la sanction contraventionnelle, mais ne dit pas selon quel critère l'Agence choisit entre 1 000 000 € et 150-2 000 €. Ce critère, nous ne pouvons pas le montrer. L'article 98 laisse à l'ancienne loi les seules procédures non définitivement closes au 19 mars 2027 ; sur un manquement antérieur dont la procédure s'ouvre après, le texte est muet. Et l'article 104 ne dit pas si un contrat existant fondé sur les clauses de la Commission vaut clauses contractuelles de l'art. 47, al. 3 soumises à autorisation.
Notre lecture
Avant le 19 mars 2027, nous ferions trois choses. Examiner l'art. 3, al. 2 et, s'il vous vise, désigner par écrit le représentant de l'art. 28. Recenser chaque flux de données sortant du Monténégro et repérer ceux qui reposent sur les clauses de la Commission : tant que l'article 104 suspend le point 3, nous lisons ce contrat comme des clauses de l'art. 47, al. 3 et proposons d'en demander l'autorisation à l'Agence. Rédiger la procédure des 72 heures et le canal de signalement comme des documents avec un responsable, car les deux engagent la responsabilité au titre de l'art. 89. Le respect de la loi de 2008 reste exigible jusqu'à cette date.
Ce qui ne change pas
L'autorité de contrôle reste l'Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (art. 52). Jusqu'au 19 mars 2027 s'applique la loi de 2008 avec son plafond de 20 000 €, que nous décrivons en anglais dans Montenegro is not a GDPR country. Les traitements de la police et du parquet à des fins pénales sortent de cette loi (art. 2, al. 2, point 2) et relèvent de la loi 132/2026, présentée dans notre note sur les données de police. L'Agence ne contrôle toujours pas les juridictions dans leur fonction juridictionnelle (art. 63, al. 2). Le RGPD ne devient pas du droit monténégrin : les dispositions liées au droit de l'Union attendent l'adhésion (art. 104).
Comment vérifier
Le texte officiel est sur le site du Službeni list : sluzbenilist.me/propisi/398066. La fiche indique publication 11.09.2026, entrée en vigueur 19.09.2026, application à partir du 19.03.2027. Le numéro d'acte 2294 figure en haut à gauche de la première page ; le texte compte 45 pages, les art. 102 à 106 sur la dernière. Le dossier parlementaire est sur la page de l'acte à la Skupština : n° 23-3/26-12/11, EPA 1164 XXVIII, statut Usvojen. Un amendement du Gouvernement a inséré un nouvel article 4 et décalé la numérotation ; citez uniquement la version publiée. Les étapes datées suivantes seront consignées dans Veille juridique.
