Situazione al 14 settembre 2026. Stato: Approvato, non ancora in vigore. Atto: Zakon o zaštiti podataka o ličnosti (legge sulla protezione dei dati personali), "Sl. list CG" 133/2026, atto 2294; approvata dalla Skupština il 4 settembre 2026 (EPA 1164 XXVIII), decreto di promulgazione 01-009/26-1569/2 dell'8 settembre 2026, pubblicata l'11 settembre 2026. Ha 106 articoli e sostituisce la legge del 2008, non si limita a modificarla. Entra in vigore l'ottavo giorno dalla pubblicazione, il 19 settembre 2026, e si applica sei mesi dopo, dal 19 marzo 2027 (art. 106).
L'azienda italiana con una controllata in Montenegro ha di solito impostato lì la documentazione sui dati in uno di due modi: copiando il programma GDPR del gruppo, oppure tarandola sulla legge del 2008, dove la sanzione massima per una persona giuridica era di 20.000 €. Il secondo calcolo reggeva. Dal 19 marzo 2027 non regge più: il tetto sale a 2.000.000 € o al 4% del fatturato mondiale annuo, se superiore. Il primo approccio ha una trappola sua, all'articolo 104.
Che cosa dice il testo
L'ambito supera il confine. La legge si applica al trattamento nell'ambito delle attività di una sede in Montenegro, ovunque avvenga il trattamento (art. 3, co. 1), e anche alla società senza sede in Montenegro quando il trattamento riguarda l'offerta di beni o servizi a persone in Montenegro, a pagamento o no, o il monitoraggio del loro comportamento lì (art. 3, co. 2). Quella società deve designare per iscritto un rappresentante in Montenegro (art. 28, co. 1), salvo trattamento occasionale senza rischio probabile e organismi pubblici (art. 28, co. 2).
Il termine per rispondere a una richiesta ora è scritto: senza ingiustificato ritardo e al più tardi entro un mese dal ricevimento, prorogabile di altri due mesi, informando della proroga e dei motivi entro il primo mese (art. 13, co. 3). La risposta è gratuita e l'onere di provare che una richiesta è manifestamente infondata o eccessiva grava sul titolare (art. 13).
Quattro obblighi portano un termine o un numero. La violazione si notifica all'Agenzia senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza (art. 34). Il responsabile della protezione dei dati è obbligatorio per gli organismi pubblici, per il monitoraggio regolare e sistematico su larga scala e per il trattamento su larga scala di categorie particolari e dati penali (art. 38, co. 1). Il registro delle attività è obbligatorio; l'esenzione sotto i 250 dipendenti cade se il trattamento non è occasionale (art. 31). E ogni titolare istituisce un canale di segnalazione riservata delle violazioni della legge (art. 82, co. 1).
| Violazione | Tetto o forbice | Articolo |
|---|---|---|
| Obblighi degli artt. 9, 12 e 26-40 (rappresentante, registro, sicurezza, notifica in 72 ore, valutazione d'impatto, responsabile) | fino a 1.000.000 € o, per una società, il 2% del fatturato mondiale annuo, se superiore | art. 88, co. 1 |
| Principi e consenso (artt. 6-8), diritti dell'interessato (artt. 13-23), trasferimenti contrari agli artt. 46-50 | fino a 2.000.000 € o il 4%, se superiore | art. 88, co. 2 |
| Mancata cooperazione con l'Agenzia o inosservanza del suo atto | fino a 2.000.000 € o il 4% | art. 88, co. 3 |
| Mancata notifica in 72 ore, segreto, accesso negato all'ispettore, nessun canale di segnalazione | persona giuridica 150-2.000 € (contravvenzione) | art. 89, co. 1 |
| Organi dello Stato, enti locali, istituzioni pubbliche | nessuna sanzione amministrativa | art. 88, co. 4 |
La sanzione amministrativa la irroga l'Agenzia stessa e si impugna davanti al giudice amministrativo (artt. 87 e 90).
Sui trasferimenti i modelli di gruppo si rompono. La decisione di adeguatezza la adotta il Governo del Montenegro previo parere dell'Agenzia, non la Commissione europea (art. 46, co. 1). L'art. 47, co. 2 elenca le garanzie senza autorizzazione specifica, e il punto 3 sono le clausole contrattuali tipo della Commissione europea. L'art. 104 rinvia quel punto al giorno dell'adesione del Montenegro all'UE. Clausole contrattuali con un destinatario all'estero restano possibili ai sensi dell'art. 47, co. 3, ma con l'autorizzazione dell'Agenzia. Una sentenza straniera che chiede dati è riconosciuta solo sulla base di un accordo internazionale in vigore (art. 49).
Norme transitorie: il registro delle raccolte di dati cessa il 19 marzo 2027 (art. 99); le altre leggi si adeguano entro il 1° dicembre 2026 (art. 102); la legge del 2008 cessa il 19 marzo 2027, salvo gli artt. 35-40a sulla videosorveglianza (art. 105).
Che cosa il testo non dice
La mancata notifica in 72 ore rientra insieme nell'art. 88, co. 1 e nell'art. 89, co. 1, punto 1. L'art. 89 vieta di irrogare per la stessa violazione la sanzione amministrativa e quella contravvenzionale, ma non dice con quale criterio l'Agenzia sceglie tra 1.000.000 € e 150-2.000 €. Quel criterio non possiamo mostrarlo. L'art. 98 lascia alla vecchia legge solo i procedimenti non conclusi al 19 marzo 2027; su una violazione anteriore con procedimento avviato dopo, il testo tace. E l'art. 104 non dice se un contratto in essere basato sulle clausole della Commissione conti come clausole dell'art. 47, co. 3 soggette ad autorizzazione.
La nostra lettura
Prima del 19 marzo 2027 faremmo tre cose. Verificare l'art. 3, co. 2 e, se La riguarda, designare per iscritto il rappresentante dell'art. 28. Elencare ogni flusso di dati in uscita dal Montenegro e segnare quelli basati sulle clausole della Commissione: finché l'art. 104 tiene sospeso il punto 3, leggiamo quel contratto come clausole dell'art. 47, co. 3 e proponiamo di chiedere l'autorizzazione dell'Agenzia. Scrivere la procedura delle 72 ore e il canale di segnalazione come documenti con un responsabile, perché entrambi comportano responsabilità ai sensi dell'art. 89. La conformità alla legge del 2008 resta dovuta fino a quel giorno.
Cosa non cambia
L'autorità di controllo resta l'Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (art. 52). Fino al 19 marzo 2027 vale la legge del 2008 con il tetto di 20.000 €, che abbiamo descritto in inglese in Montenegro is not a GDPR country. I trattamenti di polizia e procura a fini penali restano fuori da questa legge (art. 2, co. 2, punto 2) e sono disciplinati dalla legge 132/2026, trattata nella nostra nota sui dati di polizia. L'Agenzia continua a non vigilare sui tribunali nell'esercizio della funzione giurisdizionale (art. 63, co. 2). Il GDPR non diventa diritto montenegrino: le norme legate al diritto UE attendono l'adesione (art. 104).
Come verificare
Il testo ufficiale è sul sito del Službeni list: sluzbenilist.me/propisi/398066. La scheda riporta pubblicazione 11.09.2026, entrata in vigore 19.09.2026 e applicazione dal 19.03.2027. Il numero d'atto 2294 è in alto a sinistra della prima pagina; il testo occupa 45 pagine e gli artt. 102-106 sono nell'ultima. Il fascicolo parlamentare è sulla pagina dell'atto della Skupština: n. 23-3/26-12/11, EPA 1164 XXVIII, stato Usvojen. Un emendamento del Governo ha inserito un nuovo art. 4 e spostato la numerazione, quindi citi solo la versione pubblicata. I prossimi passaggi datati saranno in Aggiornamenti normativi.
