Situazione al 12 settembre 2026. Stato: Approvato, non ancora in vigore. Atto: Zakon o zaštiti podataka o ličnosti koje obrađuju nadležni organi u svrhu sprečavanja, istraživanja, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija (legge sulla protezione dei dati personali trattati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o di esecuzione di sanzioni penali), «Sl. list CG» 132/2026, atto 2261; approvata dalla Skupština il 4 settembre 2026 (EPA 1165 XXVIII), decreto di promulgazione dell'8 settembre 2026, pubblicazione il 9 settembre 2026. Sessanta articoli, una legge autonoma e non una modifica. Entra in vigore l'ottavo giorno dalla pubblicazione, cioè il 17 settembre 2026, e si applica sei mesi dopo, dal 17 marzo 2027 (art. 60).
La domanda arriva sempre nella stessa forma. È stato aperto un registro a mio nome, che cosa contiene e a chi ne è stata inviata copia. Finora, in materia penale, queste domande non avevano un destinatario scritto. La nuova legge lo indica — e con lo stesso testo elenca i casi in cui la risposta non arriverà. Le due metà si leggono insieme.
Che cosa dice il testo
La legge separa il trattamento svolto da polizia e procura dal regime generale di protezione dei dati. I destinatari sono i nadležni organi: le autorità competenti per la prevenzione, l'indagine, l'accertamento o il perseguimento dei reati o per l'esecuzione delle sanzioni penali, compresa la protezione da minacce alla sicurezza pubblica, nonché ogni altro organismo cui la legge affidi pubblici poteri per tali finalità (art. 5, n. 8). Il criterio territoriale si aggancia all'autorità e non al server: se l'autorità è stabilita in Montenegro, non rileva se il trattamento avvenga sul suo territorio (art. 3).
Il diritto di accesso è nell'articolo 16. Può chiedere conferma che dati che la riguardano siano trattati e, in caso affermativo, i dati stessi e sette elementi: finalità e base giuridica, categorie di dati, destinatari ai quali i dati sono stati comunicati — il testo dice qui «in particolare destinatari in altri Stati o in organizzazioni internazionali» —, periodo di conservazione o criteri per determinarlo, il suo diritto di chiedere rettifica, cancellazione o limitazione, il diritto di reclamo all'autorità di controllo e ogni informazione disponibile sull'origine dei dati. La risposta è data di regola nella forma in cui è stata presentata la richiesta e senza spese, e le misure adottate sono comunicate per iscritto (art. 14). L'onere di provare che una richiesta è manifestamente infondata o eccessiva grava sull'autorità (art. 14, c. 7).
Il limite sta nell'articolo 17. L'accesso può essere limitato in tutto o in parte per i cinque motivi dell'articolo 15, c. 3: evitare l'ostacolo a indagini e verifiche, evitare pregiudizio al perseguimento o all'esecuzione delle sanzioni, sicurezza pubblica, sicurezza nazionale e diritti e libertà altrui. Il diniego deve essere scritto e motivato — ma il comma 4 dello stesso articolo esonera l'autorità dall'indicare i motivi quando la loro stessa comunicazione metterebbe in pericolo una di quelle cinque finalità. Una risposta del tipo «non possiamo dirglielo, né possiamo dirle perché» resta dunque dentro il testo.
| Che cosa può chiedere | Oggi | Dal 17 marzo 2027 | Articolo |
|---|---|---|---|
| Se esiste un registro e che cosa contiene | Nessuna procedura scritta | Conferma, accesso e sette elementi | art. 16 |
| A chi sono stati comunicati i dati | — | Destinatari, in particolare all'estero | art. 16, n. 3 |
| Motivi del diniego | — | Per iscritto; i motivi possono essere omessi per cinque cause | art. 17, c. 1-4 |
| Che fare in caso di diniego | — | Esercizio del diritto tramite l'autorità di controllo | art. 19 |
| Reclamo | — | L'autorità di controllo informa entro 90 giorni al massimo | art. 53, c. 2 |
| Silenzio | — | Decorsi 90 giorni è aperto il ricorso amministrativo | art. 54 |
| Chi ha consultato il fascicolo | — | Accesso, comunicazione e trasferimento sono registrati con entrambe le identità | art. 27 |
L'articolo 19 è la cerniera dell'intera legge. Quando l'autorità non le risponde direttamente, il diritto non scompare: cambia mano. Lo esercita tramite l'autorità di controllo, che verifica al suo posto e deve comunicarle almeno di aver svolto le verifiche o la vigilanza necessarie, oltre a informarla del rimedio giurisdizionale. Il fascicolo non lo vede. Apprende che qualcuno di indipendente lo ha visto. Segnalarle questa via spetta all'autorità che tratta i dati (art. 19, c. 2).
Il capo quinto disciplina l'uscita dei dati dal Paese e per il lettore straniero è la parte più dura. La regola generale richiede quattro condizioni insieme: il trasferimento deve essere necessario per le finalità dell'articolo 1, il destinatario deve essere un'autorità pubblica competente per quelle finalità nell'altro Stato, se i dati provengono da uno Stato membro dell'Unione europea il trasferimento successivo fuori dall'Unione richiede la sua autorizzazione preventiva, e deve ricorrere una delle basi degli articoli 38, 39 o 40 (art. 37). L'articolo 41 costruisce l'eccezione. In casi individuali e specifici, quando l'autorità valuti che passare per l'autorità competente dello Stato terzo non sarebbe efficace per ritardo o per impossibilità di esercitare diritti, i dati possono andare direttamente a un destinatario privato ivi stabilito. Cinque condizioni si applicano congiuntamente e il trasferimento è documentato. L'articolo 40, c. 2 tira in senso opposto: nei casi individuali i dati non sono trasferiti se i diritti e le libertà fondamentali della persona prevalgono sull'interesse pubblico.
Che cosa il testo non dice
In questa legge non c'è un importo di sanzione. L'articolo 58 rinvia responsabilità e pene alla «legge che disciplina la protezione dei dati personali, che si applica dalla data di inizio di applicazione della presente legge». Nella stessa seduta, il 4 settembre 2026, la Skupština ha approvato anche la legge generale sulla protezione dei dati personali, il cui decreto di promulgazione è stato firmato l'8 settembre 2026 (EPA 1164, 106 articoli). Al 12 settembre 2026 l'ultimo numero della gazzetta è il 132/2026 e quella legge generale non vi compare. Non essendo pubblicata, nemmeno i suoi termini possono essere calcolati. Non possiamo quindi mostrare quale regime sanzionatorio sarà operativo il 17 marzo 2027.
La seconda lacuna è l'articolo 20. Quando i dati si trovano in una decisione giudiziaria o nel fascicolo di verifiche, indagini o di un procedimento penale, i diritti degli articoli 15, 16 e 18 si esercitano «in conformità a norme speciali», cioè secondo il codice di procedura penale. Quale atto prevalga quando le risposte divergono non è scritto. In terzo luogo, l'articolo 19 apre la via attraverso l'autorità di controllo senza fissarle un termine; l'unico termine scritto nella legge sono i 90 giorni dell'articolo 53.
Un'ultima osservazione. In questo testo non abbiamo trovato una nota che rinvii a una direttiva dell'Unione europea e, nello stesso numero, quattro leggi recano nel titolo il segno di armonizzazione mentre questa non lo reca. Per questo non scriviamo che la legge recepisce una determinata direttiva. Scriviamo che cosa vi è scritto.
La nostra lettura
Dal 17 marzo 2027 presenteremmo la richiesta per iscritto richiamando espressamente l'articolo 16: poiché la forma della risposta segue quella della richiesta (art. 14, c. 2), una richiesta scritta trascina una risposta scritta. Se arriva il diniego, chieda due cose: copia scritta della decisione e che i motivi di fatto e di diritto registrati ai sensi dell'articolo 17, c. 6 siano messi a disposizione dell'autorità di controllo. Anche quando i motivi non le vengono comunicati, quella registrazione esiste presso l'autorità e il controllo può richiederla.
Sul versante societario la norma con cui si lavora è l'articolo 27. Chi ha consultato, quando, e a chi è andata copia: la risposta sta nei registri, ed è il loro esame che si chiede all'autorità di controllo. Fino a quella data la via pratica non cambia: se il suo nome è in un fascicolo, l'accesso passa per il processo penale e per il difensore, non per la normativa sulla protezione dei dati.
Cosa non cambia
Fino al 17 marzo 2027 in materia di dati di polizia non nasce alcuna procedura scritta di accesso; fino ad allora vige la legge generale sulla protezione dei dati personali del 2008. L'esame del fascicolo penale continua a seguire il codice di procedura penale e non questa legge (art. 20). Il certificato del casellario giudiziale (uvjerenje o nekažnjavanju) è una procedura distinta e qui non è regolata. Neppure l'ambito si allarga: i destinatari sono le autorità che trattano dati per le finalità dell'articolo 1, sicché il trattamento da parte di un datore di lavoro o di una banca non è oggetto di questo testo. Tre disposizioni — art. 11, c. 2 e 3, art. 32, c. 7 e art. 50 — non inizieranno ad applicarsi nemmeno il 17 marzo 2027; la legge le riserva al giorno dell'adesione del Montenegro all'Unione europea (art. 59).
Come verificare
Il testo ufficiale è sul sito della gazzetta: sluzbenilist.me/propisi/397967. Il numero d'atto in alto a sinistra della prima pagina di composizione è 2261 e il testo occupa 20 pagine. Il numero completo è nell'indice del 132/2026, dove come data di pubblicazione compare il 9 settembre 2026. Le disposizioni da cercare sono gli articoli 16 (accesso), 17 (limitazione), 19 (tramite l'autorità di controllo), 27 (registri), da 37 a 41 (trasferimenti), 53 e 54 (reclamo e ricorso) e 59 e 60 (applicazione differita ed entrata in vigore). Il numero del fascicolo parlamentare è 23-3/26-13, EPA 1165 XXVIII; quello del decreto, 01-009/26-1566/2.
La modifica del codice di procedura penale pubblicata nello stesso numero, cioè i diritti dello straniero in stato di fermo, è illustrata nella nostra nota sulle regole in vigore dal 17 settembre. Quando la legge generale riceverà il proprio numero di gazzetta lo annoteremo nella pagina Aggiornamenti normativi.
