Stan na 14 września 2026 roku. Status: Przyjęto, jeszcze nie obowiązuje. Akt: Zakon o zaštiti podataka o ličnosti (ustawa o ochronie danych osobowych), „Sl. list CG" 133/2026, akt 2294; uchwalona przez Skupsztinę 4 września 2026 roku (EPA 1164 XXVIII), ukaz 01-009/26-1569/2 z 8 września 2026 roku, ogłoszona 11 września 2026 roku. Ma 106 artykułów i zastępuje ustawę z 2008 roku, a nie tylko ją zmienia. Wchodzi w życie ósmego dnia od ogłoszenia, 19 września 2026 roku, a stosuje się ją sześć miesięcy później, od 19 marca 2027 roku (art. 106).
Polska spółka z czarnogórską córką zwykle układa tam dokumentację danych osobowych na jeden z dwóch sposobów: kopiuje program RODO grupy albo dopasowuje ją do ustawy z 2008 roku, w której maksymalna kara dla osoby prawnej wynosiła 20 000 euro. Drugi rachunek był rozsądny. Od 19 marca 2027 roku nie jest: limit rośnie do 2 000 000 euro lub 4% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Pierwszy sposób ma własną pułapkę, w art. 104.
Co mówi tekst
Zakres sięga poza granice. Ustawa obejmuje przetwarzanie w ramach działalności siedziby w Czarnogórze, bez względu na miejsce przetwarzania (art. 3 ust. 1), oraz spółkę bez siedziby w Czarnogórze, gdy przetwarzanie wiąże się z oferowaniem towarów lub usług osobom w Czarnogórze, odpłatnie lub nie, albo z monitorowaniem ich zachowania na jej terytorium (art. 3 ust. 2). Taka spółka musi wyznaczyć na piśmie przedstawiciela w Czarnogórze (art. 28 ust. 1), z wyjątkiem okazjonalnego przetwarzania bez prawdopodobnego ryzyka i organów publicznych (art. 28 ust. 2).
Termin odpowiedzi na żądanie jest teraz zapisany: bez zbędnej zwłoki, najpóźniej w miesiąc od otrzymania, z możliwością wydłużenia o kolejne dwa miesiące, o czym informuje się w pierwszym miesiącu (art. 13 ust. 3). Odpowiedź jest bezpłatna, a ciężar dowodu, że żądanie jest ewidentnie nieuzasadnione lub nadmierne, spoczywa na administratorze (art. 13).
Cztery obowiązki mają termin lub liczbę. Naruszenie zgłasza się Agencji bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 34). Inspektor ochrony danych jest obowiązkowy w organach publicznych, przy regularnym i systematycznym monitorowaniu na dużą skalę oraz przy przetwarzaniu na dużą skalę danych szczególnych kategorii i danych o skazaniach (art. 38 ust. 1). Rejestr czynności przetwarzania jest obowiązkowy; zwolnienie dla podmiotów poniżej 250 pracowników przestaje działać, gdy przetwarzanie nie jest okazjonalne (art. 31). Każdy administrator tworzy kanał poufnego zgłaszania naruszeń ustawy (art. 82 ust. 1).
| Naruszenie | Limit lub widełki | Artykuł |
|---|---|---|
| Obowiązki z art. 9, 12 i 26-40 (przedstawiciel, rejestr, bezpieczeństwo, zgłoszenie w 72 godziny, ocena skutków, inspektor) | do 1 000 000 euro lub dla spółki do 2% światowego rocznego obrotu, kwota wyższa | art. 88 ust. 1 |
| Zasady i zgoda (art. 6-8), prawa osoby (art. 13-23), przekazanie wbrew art. 46-50 | do 2 000 000 euro lub 4%, kwota wyższa | art. 88 ust. 2 |
| Brak współpracy z Agencją lub niewykonanie jej aktu | do 2 000 000 euro lub 4% | art. 88 ust. 3 |
| Brak zgłoszenia w 72 godziny, naruszenie tajemnicy, niewpuszczenie kontrolera, brak kanału zgłoszeń | osoba prawna 150-2 000 euro (wykroczenie) | art. 89 ust. 1 |
| Organy państwa, samorząd, instytucje publiczne | kara administracyjna nie jest nakładana | art. 88 ust. 4 |
Karę administracyjną nakłada sama Agencja; odwołanie przysługuje do sądu administracyjnego (art. 87, 90).
Przy przekazywaniu danych szablony grupy się łamią. O odpowiednim stopniu ochrony w państwie trzecim decyduje rząd Czarnogóry po opinii Agencji, a nie Komisja Europejska (art. 46 ust. 1). Art. 47 ust. 2 wymienia zabezpieczenia niewymagające odrębnej zgody, a pkt 3 to standardowe klauzule umowne Komisji Europejskiej. Art. 104 odkłada ten punkt do dnia przystąpienia Czarnogóry do UE. Klauzule umowne z odbiorcą za granicą są możliwe na podstawie art. 47 ust. 3, ale za zgodą Agencji. Zagraniczny wyrok żądający danych uznaje się tylko na podstawie obowiązującej umowy międzynarodowej (art. 49).
Przepisy przejściowe: rejestr zbiorów danych przestaje być prowadzony 19 marca 2027 roku (art. 99); inne ustawy dostosowuje się do 1 grudnia 2026 roku (art. 102); ustawa z 2008 roku traci moc 19 marca 2027 roku, z wyjątkiem art. 35-40a o monitoringu wizyjnym (art. 105).
Czego tekst nie mówi
Brak zgłoszenia w 72 godziny mieści się jednocześnie w art. 88 ust. 1 i w art. 89 ust. 1 pkt 1. Art. 89 wyklucza nałożenie za to samo naruszenie kary administracyjnej i sankcji za wykroczenie, ale nie mówi, według jakiego kryterium Agencja wybiera między 1 000 000 euro a 150-2 000 euro. Tego kryterium nie potrafimy wskazać. Art. 98 zostawia starej ustawie tylko postępowania niezakończone 19 marca 2027 roku; o naruszeniu popełnionym wcześniej, z postępowaniem wszczętym później, tekst milczy. Art. 104 nie mówi też, czy istniejąca umowa oparta na klauzulach Komisji jest klauzulą umowną z art. 47 ust. 3 wymagającą zgody.
Nasze odczytanie
Przed 19 marca 2027 roku zrobilibyśmy trzy rzeczy. Sprawdzić art. 3 ust. 2 i, jeśli Pana lub Panią dotyczy, wyznaczyć na piśmie przedstawiciela z art. 28. Spisać każdy przepływ danych z Czarnogórii i oznaczyć te oparte na klauzulach Komisji: dopóki art. 104 wstrzymuje pkt 3, czytamy taką umowę jako klauzule z art. 47 ust. 3 i proponujemy uzyskać zgodę Agencji. Spisać procedurę 72 godzin i kanał zgłoszeń jako dokumenty z osobą odpowiedzialną, bo oba grożą odpowiedzialnością z art. 89. Zgodność z ustawą z 2008 roku obowiązuje do tego dnia.
Co się nie zmienia
Organem nadzorczym pozostaje Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (art. 52). Do 19 marca 2027 roku obowiązuje ustawa z 2008 roku z limitem 20 000 euro; opisaliśmy ją po angielsku w tekście Montenegro is not a GDPR country. Przetwarzanie danych przez policję i prokuraturę do celów karnych jest poza tą ustawą (art. 2 ust. 2 pkt 2) i reguluje je ustawa 132/2026, o której piszemy w tekście o danych policyjnych. Agencja nadal nie nadzoruje sądów sprawujących wymiar sprawiedliwości (art. 63 ust. 2). RODO nie staje się prawem czarnogórskim: przepisy związane z prawem UE czekają na przystąpienie (art. 104).
Jak to sprawdzić
Oficjalny tekst jest na stronie Službeni list: sluzbenilist.me/propisi/398066. W karcie aktu: ogłoszenie 11.09.2026, wejście w życie 19.09.2026, stosowanie od 19.03.2027. Numer aktu 2294 widnieje w lewym górnym rogu pierwszej strony; tekst liczy 45 stron, art. 102-106 są na ostatniej. Akta parlamentarne na stronie aktu Skupsztiny: nr 23-3/26-12/11, EPA 1164 XXVIII, status Usvojen. Poprawka rządu dodała nowy art. 4 i przesunęła numerację, dlatego cytujemy tylko wersję ogłoszoną. Kolejne kroki z datami odnotujemy w dziale Zmiany w prawie.
