Stand per 14 september 2026. Status: Aangenomen, nog niet in werking. Regeling: Zakon o zaštiti podataka o ličnosti (wet bescherming persoonsgegevens), "Sl. list CG" 133/2026, akte 2294; aangenomen door de Skupština op 4 september 2026 (EPA 1164 XXVIII), afkondigingsdecreet 01-009/26-1569/2 van 8 september 2026, gepubliceerd op 11 september 2026. De wet telt 106 artikelen en vervangt de wet van 2008 in plaats van die te wijzigen. Zij treedt in werking op de achtste dag na publicatie, 19 september 2026, en is zes maanden later van toepassing, vanaf 19 maart 2027 (art. 106).
Een Nederlands bedrijf met een Montenegrijnse dochter heeft het privacydossier daar meestal op een van twee manieren opgezet: gekopieerd uit het AVG-programma van de groep, of afgestemd op de wet van 2008, waarin de maximale boete voor een rechtspersoon € 20.000 was. De tweede rekensom was verdedigbaar. Vanaf 19 maart 2027 niet meer: het plafond wordt € 2.000.000 of 4% van de wereldwijde jaaromzet, als dat hoger is. De eerste aanpak heeft een eigen valkuil, in artikel 104.
Wat de tekst zegt
De reikwijdte gaat over de grens. De wet geldt voor verwerking in het kader van de activiteiten van een vestiging in Montenegro, waar de verwerking ook plaatsvindt (art. 3 lid 1), en voor een bedrijf zonder vestiging in Montenegro als de verwerking samenhangt met het aanbieden van goederen of diensten aan personen in Montenegro, betaald of niet, of met het volgen van hun gedrag daar (art. 3 lid 2). Zo'n bedrijf moet schriftelijk een vertegenwoordiger in Montenegro aanwijzen (art. 28 lid 1), behalve bij incidentele verwerking zonder waarschijnlijk risico en bij overheidsinstanties (art. 28 lid 2).
De termijn voor een antwoord op een verzoek staat nu in de wet: zonder onnodige vertraging en uiterlijk binnen een maand na ontvangst, te verlengen met nog twee maanden, waarover binnen de eerste maand met redenen wordt geïnformeerd (art. 13 lid 3). Het antwoord is kosteloos en de bewijslast dat een verzoek kennelijk ongegrond of buitensporig is, ligt bij de verwerkingsverantwoordelijke (art. 13).
Vier plichten dragen een termijn of getal. Een datalek wordt zonder onnodige vertraging en zo mogelijk binnen 72 uur na ontdekking aan het Agentschap gemeld (art. 34). Een functionaris voor gegevensbescherming is verplicht voor overheidsinstanties, bij regelmatige en stelselmatige observatie op grote schaal en bij grootschalige verwerking van bijzondere categorieën en strafrechtelijke gegevens (art. 38 lid 1). Het register van verwerkingen is verplicht; de vrijstelling onder 250 werknemers vervalt zodra de verwerking niet incidenteel is (art. 31). En iedere verantwoordelijke richt een kanaal in voor vertrouwelijke melding van schendingen van de wet (art. 82 lid 1).
| Schending | Plafond of bandbreedte | Artikel |
|---|---|---|
| Plichten uit art. 9, 12 en 26-40 (vertegenwoordiger, register, beveiliging, melding binnen 72 uur, DPIA, functionaris) | tot € 1.000.000 of, voor een vennootschap, 2% van de wereldwijde jaaromzet, het hoogste bedrag | art. 88 lid 1 |
| Beginselen en toestemming (art. 6-8), rechten van betrokkenen (art. 13-23), doorgifte in strijd met art. 46-50 | tot € 2.000.000 of 4%, het hoogste bedrag | art. 88 lid 2 |
| Niet meewerken met het Agentschap of zijn besluit niet naleven | tot € 2.000.000 of 4% | art. 88 lid 3 |
| Geen melding binnen 72 uur, geheimhouding, inspecteur geen toegang, geen meldkanaal | rechtspersoon € 150-2.000 (overtreding) | art. 89 lid 1 |
| Staatsorganen, lokale overheden, publieke instellingen | geen bestuurlijke boete | art. 88 lid 4 |
De bestuurlijke boete legt het Agentschap zelf op; bezwaar loopt via de bestuursrechter (art. 87 en 90).
Bij doorgifte breken de groepsmodellen. Het adequaatheidsbesluit wordt genomen door de regering van Montenegro na advies van het Agentschap, niet door de Europese Commissie (art. 46 lid 1). Artikel 47 lid 2 somt waarborgen op waarvoor geen aparte goedkeuring nodig is, en punt 3 zijn de modelcontractbepalingen van de Europese Commissie. Artikel 104 schuift dat punt door tot de dag waarop Montenegro tot de EU toetreedt. Contractbepalingen met een ontvanger in het buitenland blijven mogelijk op grond van artikel 47 lid 3, maar met goedkeuring van het Agentschap. Een buitenlands vonnis dat gegevens opeist, wordt alleen erkend op basis van een geldend internationaal verdrag (art. 49).
Overgangsrecht: het register van gegevensverzamelingen wordt vanaf 19 maart 2027 niet meer bijgehouden (art. 99); andere wetten worden vóór 1 december 2026 aangepast (art. 102); de wet van 2008 vervalt op 19 maart 2027, behalve de artikelen 35-40a over cameratoezicht (art. 105).
Wat de tekst niet zegt
Een gemiste melding binnen 72 uur valt tegelijk onder art. 88 lid 1 en art. 89 lid 1 punt 1. Artikel 89 verbiedt voor dezelfde schending zowel de bestuurlijke boete als de overtredingssanctie op te leggen, maar zegt niet volgens welk criterium het Agentschap kiest tussen € 1.000.000 en € 150-2.000. Dat criterium kunnen wij niet laten zien. Artikel 98 laat alleen procedures die op 19 maart 2027 nog niet onherroepelijk zijn aan de oude wet; over een eerdere schending waarvan de procedure later begint, zwijgt de tekst. En artikel 104 zegt niet of een bestaand contract op basis van de Commissiebepalingen geldt als contractbepalingen uit art. 47 lid 3 waarvoor goedkeuring nodig is.
Onze lezing
Vóór 19 maart 2027 zouden wij drie dingen doen. Art. 3 lid 2 toetsen en, als het op u van toepassing is, schriftelijk de vertegenwoordiger van art. 28 aanwijzen. Iedere gegevensstroom uit Montenegro in kaart brengen en de stromen op basis van Commissiebepalingen markeren: zolang artikel 104 punt 3 opschort, lezen wij zo'n contract als contractbepalingen uit art. 47 lid 3 en adviseren wij goedkeuring van het Agentschap te vragen. De 72-uursprocedure en het meldkanaal vastleggen als documenten met een eigenaar, omdat beide aansprakelijkheid onder art. 89 meebrengen. Naleving van de wet van 2008 blijft tot die dag verplicht.
Wat niet verandert
De toezichthouder blijft het Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (art. 52). Tot 19 maart 2027 geldt de wet van 2008 met het plafond van € 20.000, die wij in het Engels beschrijven in Montenegro is not a GDPR country. Verwerking door politie en openbaar ministerie voor strafrechtelijke doeleinden valt buiten deze wet (art. 2 lid 2 punt 2) en wordt geregeld door wet 132/2026, die wij bespreken in onze notitie over politiegegevens. Het Agentschap houdt nog steeds geen toezicht op rechters in hun rechtsprekende taak (art. 63 lid 2). De AVG wordt geen Montenegrijns recht: bepalingen die aan EU-recht zijn gekoppeld wachten op toetreding (art. 104).
Hoe u dit controleert
De officiële tekst staat op de site van de Službeni list: sluzbenilist.me/propisi/398066. De registerkaart vermeldt publicatie 11.09.2026, inwerkingtreding 19.09.2026 en toepassing vanaf 19.03.2027. Aktenummer 2294 staat linksboven op de eerste pagina; de tekst beslaat 45 pagina's, met art. 102-106 op de laatste. Het parlementaire dossier staat op de aktepagina van de Skupština: nr. 23-3/26-12/11, EPA 1164 XXVIII, status Usvojen. Een regeringsamendement voegde een nieuw artikel 4 in en verschoof de nummering; citeer dus alleen de gepubliceerde versie. Volgende gedateerde stappen komen onder Juridische updates.
