מצב נכון ליום 14.09.2026. סטטוס: אושר, טרם בתוקף. דבר החקיקה: Zakon o zaštiti podataka o ličnosti (חוק הגנת מידע אישי), "Sl. list CG" 133/2026, אקט 2294; התקבל בסקופשטינה ב-04.09.2026 (EPA 1164 XXVIII), צו פרסום 01-009/26-1569/2 מיום 08.09.2026, פורסם ב-11.09.2026. בחוק 106 סעיפים, והוא מחליף את חוק 2008 ואינו רק מתקן אותו. הוא נכנס לתוקף ביום השמיני לאחר הפרסום, 19.09.2026, וחל שישה חודשים לאחר מכן, מ-19.03.2027 (סעיף 106).
חברות ישראליות שפועלות במונטנגרו דרך חברה מקומית, בנדל"ן, בתיירות או בפיתוח תוכנה, בנו לרוב את תיק הפרטיות שלהן באחת משתי דרכים: העתקה של תוכנית GDPR של הקבוצה, או התאמה לחוק 2008, שבו הקנס המרבי לתאגיד היה 20,000 אירו. הדרך השנייה הייתה חשבון סביר. מ-19.03.2027 כבר לא: התקרה עולה ל-2,000,000 אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם. בדרך הראשונה יש מלכודת משלה, בסעיף 104.
מה הטקסט אומר
החוק חל גם מעבר לגבול. הוא חל על עיבוד במסגרת פעילות של מקום עסקים במונטנגרו, בלי קשר למקום שבו מתבצע העיבוד (סעיף 3(1)), וגם על חברה ללא מקום עסקים במונטנגרו כשהעיבוד קשור להצעת סחורות או שירותים לאנשים במונטנגרו, בתשלום או בלי, או למעקב אחר התנהגותם שם (סעיף 3(2)). חברה כזו חייבת למנות בכתב נציג במונטנגרו (סעיף 28(1)), למעט עיבוד מזדמן בלי סיכון סביר וגופים ציבוריים (סעיף 28(2)).
מועד התשובה לפניית אדם כתוב עכשיו בחוק: בלי עיכוב מיותר ולא יאוחר מחודש מקבלת הבקשה, עם אפשרות הארכה בחודשיים נוספים, בהודעה על ההארכה ונימוקיה בתוך החודש הראשון (סעיף 13(3)). התשובה ללא תשלום, ונטל ההוכחה שבקשה מופרכת או מופרזת מוטל על החברה (סעיף 13).
ארבע חובות נושאות מועד או מספר. על אירוע אבטחה מודיעים לסוכנות בלי עיכוב מיותר ובמידת האפשר תוך 72 שעות מרגע שנודע עליו (סעיף 34). ממונה הגנת מידע חובה בגופים ציבוריים, במעקב שיטתי בהיקף גדול ובעיבוד בהיקף גדול של קטגוריות מיוחדות ומידע פלילי (סעיף 38(1)). רישום פעולות עיבוד חובה, והפטור לחברות עם פחות מ-250 עובדים נופל כשהעיבוד אינו מזדמן (סעיף 31). וכל חברה חייבת להקים ערוץ לדיווח חסוי על הפרות החוק (סעיף 82(1)).
| הפרה | תקרה או טווח | סעיף |
|---|---|---|
| חובות לפי סעיפים 9, 12 ו-26-40 (נציג, רישום, אבטחה, הודעה תוך 72 שעות, הערכת השפעה, ממונה) | עד 1,000,000 אירו או לחברה עד 2% מהמחזור השנתי העולמי, הגבוה מביניהם | 88(1) |
| עקרונות והסכמה (6-8), זכויות נושא המידע (13-23), העברה בניגוד ל-46-50 | עד 2,000,000 אירו או 4%, הגבוה מביניהם | 88(2) |
| אי-שיתוף פעולה עם הסוכנות או אי-ציות להוראתה | עד 2,000,000 אירו או 4% | 88(3) |
| אי-הודעה תוך 72 שעות, הפרת סודיות, מניעת גישה מהמפקח, היעדר ערוץ דיווח | לתאגיד 150-2,000 אירו (עבירה מנהלית) | 89(1) |
| רשויות מדינה, שלטון מקומי, מוסדות ציבוריים | לא מוטל קנס מנהלי | 88(4) |
את הקנס המנהלי מטילה הסוכנות עצמה, והערעור עליו לבית המשפט המנהלי (סעיפים 87, 90).
בהעברת מידע נשברות התבניות. החלטת הלימות לגבי מדינה שלישית מקבלת ממשלת מונטנגרו לאחר חוות דעת הסוכנות, ולא הנציבות האירופית (סעיף 46(1)). סעיף 47(2) מונה אמצעי הגנה שאינם דורשים אישור נפרד, ופסקה 3 ברשימה היא הסעיפים החוזיים התקניים של הנציבות. סעיף 104 דוחה את הפסקה הזו עד יום הצטרפות מונטנגרו לאיחוד האירופי. סעיפים חוזיים עם נמען בחו"ל עדיין אפשריים לפי סעיף 47(3), אך באישור הסוכנות. פסק דין זר שדורש העברת מידע מוכר רק על סמך הסכם בינלאומי בתוקף (סעיף 49).
מעבר: מרשם מאגרי המידע מפסיק להתנהל ב-19.03.2027 (סעיף 99); חוקים אחרים יותאמו עד 01.12.2026 (סעיף 102); חוק 2008 פוקע ב-19.03.2027, למעט סעיפי צילומי המעקב 35-40a (סעיף 105).
מה הטקסט אינו אומר
אי-הודעה תוך 72 שעות נופלת גם תחת סעיף 88(1) וגם תחת סעיף 89(1)(1). סעיף 89 אוסר להטיל על אותה הפרה גם קנס מנהלי וגם סנקציה על עבירה, אך אינו אומר לפי איזו אמת מידה הסוכנות בוחרת בין 1,000,000 אירו לבין 150-2,000 אירו. את אמת המידה הזו איננו יכולים להראות. סעיף 98 משאיר לחוק הישן רק הליכים שלא הסתיימו ב-19.03.2027; על הפרה שנעשתה קודם אך ההליך בה נפתח אחר כך, הטקסט שותק. וסעיף 104 אינו אומר אם חוזה קיים על בסיס סעיפי הנציבות נחשב סעיפים חוזיים לפי סעיף 47(3) שדורשים אישור.
הקריאה שלנו
לפני 19.03.2027 היינו עושים שלושה דברים. לבדוק את סעיף 3(2) ואם הוא חל עליכם, למנות נציג בכתב לפי סעיף 28. למפות כל זרימת מידע שיוצאת ממונטנגרו ולסמן את אלה שנשענות על סעיפי הנציבות; כל עוד סעיף 104 מעכב את פסקה 3, אנו קוראים חוזה כזה כסעיפים חוזיים לפי סעיף 47(3) וממליצים לבקש את אישור הסוכנות. ולכתוב את נוהל 72 השעות ואת ערוץ הדיווח כמסמכים עם אחראי, כי שניהם גוררים אחריות לפי סעיף 89. הציות לחוק 2008 נשאר חובה עד אותו יום.
מה לא משתנה
רשות הפיקוח נשארת Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (סעיף 52). עד 19.03.2027 חל חוק 2008 עם תקרה של 20,000 אירו; תיארנו אותו באנגלית ב-Montenegro is not a GDPR country. עיבוד מידע בידי המשטרה והתביעה למטרות פליליות אינו בחוק הזה (סעיף 2(2)(2)) אלא בחוק 132/2026, שעליו כתבנו במאמר על נתוני משטרה. הסוכנות עדיין אינה מפקחת על בתי משפט בפעילותם השיפוטית (סעיף 63(2)). ה-GDPR אינו הופך לדין מונטנגרי: ההוראות הקשורות לדין האיחוד ממתינות להצטרפות (סעיף 104).
איך לאמת
הנוסח הרשמי באתר Službeni list: sluzbenilist.me/propisi/398066. ברשומה: פורסם 11.09.2026, בתוקף 19.09.2026, חל מ-19.03.2027. מספר האקט 2294 מופיע בפינה השמאלית העליונה של העמוד הראשון; הנוסח בן 45 עמודים, וסעיפים 102-106 בעמוד האחרון. תיק הפרלמנט בדף האקט של הסקופשטינה: 23-3/26-12/11, EPA 1164 XXVIII, סטטוס Usvojen. תיקון ממשלתי הוסיף סעיף 4 חדש והזיז את המספור, לכן צטטו רק את הנוסח שפורסם. צעדים נוספים עם תאריכים יופיעו בעדכוני חקיקה.
