Situação à data de 12.09.2026. Estado: Aprovado, ainda não em vigor. Diploma: Zakon o zaštiti podataka o ličnosti koje obrađuju nadležni organi u svrhu sprečavanja, istraživanja, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija (lei de proteção dos dados pessoais tratados pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais), «Sl. list CG» 132/2026, ato 2261; aprovada pela Skupština em 4 de setembro de 2026 (EPA 1165 XXVIII), decreto de promulgação de 8 de setembro de 2026, publicação em 9 de setembro de 2026. Sessenta artigos, uma lei autónoma e não uma alteração. Entra em vigor no oitavo dia após a publicação, ou seja em 17 de setembro de 2026, e aplica-se seis meses depois, a partir de 17 de março de 2027 (art. 60.º).
A pergunta chega-nos sempre com a mesma forma. Foi aberto um registo sobre mim, o que contém e a quem foi enviada cópia. Até agora estas perguntas não tinham destinatário escrito no domínio penal. A nova lei nomeia um — e o mesmo texto enumera os casos em que a resposta não virá. As duas metades leem-se em conjunto.
O que diz o texto
A lei separa o tratamento realizado pela polícia e pelo Ministério Público do regime geral de proteção de dados. Os destinatários são os nadležni organi: as autoridades competentes para a prevenção, investigação, deteção ou repressão de infrações penais ou para a execução de sanções penais, incluindo a proteção contra ameaças à segurança pública, bem como qualquer outro organismo a quem a lei confie poderes públicos para esses fins (art. 5.º, n.º 8). O critério territorial prende-se com a autoridade e não com o servidor: se a autoridade estiver estabelecida em Montenegro, não releva se o tratamento decorre no seu território (art. 3.º).
O direito de acesso está no artigo 16.º. Pode pedir a confirmação de que dados seus são tratados e, em caso afirmativo, os próprios dados e sete elementos: a finalidade e a base jurídica, as categorias de dados, os destinatários a quem os dados foram comunicados — o texto diz aqui «em especial destinatários noutros Estados ou em organizações internacionais» —, o prazo de conservação ou os critérios da sua fixação, o seu direito a pedir retificação, apagamento ou limitação, o direito de reclamação junto da autoridade de controlo e toda a informação disponível sobre a origem dos dados. A resposta é dada, em regra, na forma em que o pedido foi apresentado e sem encargos, e as medidas tomadas são comunicadas por escrito (art. 14.º). O ónus de demonstrar que um pedido é manifestamente infundado ou excessivo recai sobre a autoridade (art. 14.º, n.º 7).
O limite está no artigo 17.º. O acesso pode ser restringido total ou parcialmente pelos cinco fundamentos do artigo 15.º, n.º 3: evitar que se prejudiquem investigações e verificações, evitar dano à repressão ou à execução de sanções, a segurança pública, a segurança nacional e os direitos e liberdades de terceiros. A recusa tem de ser escrita e fundamentada — mas o n.º 4 do mesmo artigo dispensa a autoridade de indicar os fundamentos quando a sua própria comunicação puser em perigo um daqueles cinco fins. Uma resposta do tipo «não lhe podemos dizer, nem lhe podemos dizer porquê» fica assim dentro do texto.
| O que pode pedir | Hoje | A partir de 17 de março de 2027 | Artigo |
|---|---|---|---|
| Se existe registo e o que contém | Não há procedimento escrito | Confirmação, acesso e sete elementos | art. 16.º |
| A quem os dados foram comunicados | — | Destinatários, em especial no estrangeiro | art. 16.º, n.º 3 |
| Fundamentos da recusa | — | Por escrito; podem ser omitidos por cinco causas | art. 17.º, n.os 1 a 4 |
| O que fazer perante a recusa | — | Exercício do direito através da autoridade de controlo | art. 19.º |
| Reclamação | — | A autoridade de controlo informa em 90 dias no máximo | art. 53.º, n.º 2 |
| Silêncio | — | Decorridos 90 dias fica aberta a via contenciosa administrativa | art. 54.º |
| Quem consultou o processo | — | Acesso, comunicação e transferência são registados com ambas as identidades | art. 27.º |
O artigo 19.º é a dobradiça de toda a lei. Quando a autoridade não lhe responde diretamente, o direito não desaparece: muda de mãos. Exerce-o através da autoridade de controlo, que verifica em seu lugar e tem de lhe comunicar, pelo menos, que realizou as verificações ou a supervisão necessárias, além de o informar do meio judicial. O processo não o vê. Fica a saber que alguém independente o viu. Advertir da existência desta via cabe à própria autoridade que trata os dados (art. 19.º, n.º 2).
O capítulo quinto regula a saída dos dados do país e, para o leitor estrangeiro, é a parte mais dura. A regra geral exige quatro condições em simultâneo: a transferência ser necessária para os fins do artigo 1.º, o destinatário ser uma autoridade pública competente para esses fins no outro Estado, os dados recebidos de um Estado-Membro da União Europeia só poderem seguir para fora da União com a autorização prévia desse Estado, e verificar-se uma das bases dos artigos 38.º, 39.º ou 40.º (art. 37.º). O artigo 41.º constrói a exceção. Em casos individuais e específicos, quando a autoridade avalie que recorrer à autoridade competente do Estado terceiro não seria eficaz por atraso ou por impossibilidade de exercer direitos, os dados podem seguir diretamente para um destinatário privado aí estabelecido. Cinco condições aplicam-se em conjunto e a transferência é documentada. O artigo 40.º, n.º 2 puxa em sentido contrário: em casos individuais os dados não são transferidos se os direitos e liberdades fundamentais da pessoa prevalecerem sobre o interesse público.
O que o texto não diz
Nesta lei não há montante de coima. O artigo 58.º remete a responsabilidade e as sanções para «a lei que regula a proteção de dados pessoais, aplicável a partir da data de início de aplicação da presente lei». Na mesma sessão, em 4 de setembro de 2026, a Skupština aprovou também a lei geral de proteção de dados pessoais, cujo decreto de promulgação foi assinado em 8 de setembro de 2026 (EPA 1164, 106 artigos). Em 12.09.2026 o último número do jornal oficial é o 132/2026 e essa lei geral não consta dele. Por não estar publicada, também os seus próprios prazos não podem ser calculados. Não conseguimos, por isso, mostrar que regime sancionatório estará a correr em 17 de março de 2027.
A segunda lacuna é o artigo 20.º. Quando os dados constam de uma decisão judicial ou do processo de verificações, de um inquérito ou de um processo penal, os direitos dos artigos 15.º, 16.º e 18.º são exercidos «nos termos de normas especiais», ou seja, nos termos do código de processo penal. Qual o diploma que prevalece quando as respostas divergem não está escrito. Em terceiro lugar, o artigo 19.º abre a via através da autoridade de controlo mas não lhe fixa prazo; o único prazo escrito na lei são os 90 dias do artigo 53.º.
Mais uma observação. Não encontrámos neste texto nota de rodapé que remeta para qualquer diretiva da União Europeia e, no mesmo número, quatro leis levam no título a marca de harmonização ao passo que esta não a leva. Por isso não escrevemos que a lei transpõe uma diretiva determinada. Escrevemos o que nela está.
A nossa leitura
A partir de 17 de março de 2027 apresentaríamos o pedido por escrito e invocaríamos expressamente o artigo 16.º: como a forma da resposta segue a do pedido (art. 14.º, n.º 2), um pedido escrito arrasta uma resposta escrita. Se vier a recusa, peça duas coisas: cópia escrita da decisão e que os fundamentos de facto e de direito registados nos termos do artigo 17.º, n.º 6 sejam disponibilizados à autoridade de controlo. Mesmo quando os fundamentos não lhe são comunicados, esse registo existe junto da autoridade e o controlo pode exigi-lo.
Do lado societário o preceito com que se trabalha é o artigo 27.º. Quem consultou, quando e a quem enviou cópia responde-se nos registos, e é o seu exame que se pede à autoridade de controlo. Até essa data a via prática não muda: se o seu nome está num processo, o acesso passa pelo processo penal e pelo defensor, não pela legislação de proteção de dados.
O que não muda
Até 17 de março de 2027 não nasce um procedimento escrito de acesso aos dados policiais; até lá vigora a lei geral de proteção de dados pessoais de 2008. A consulta do processo penal continua a fazer-se pelo código de processo penal e não por esta lei (art. 20.º). O certificado de registo criminal (uvjerenje o nekažnjavanju) é um procedimento distinto e aqui não é regulado. O âmbito também não se alarga: os destinatários são as autoridades que tratam dados para os fins do artigo 1.º, pelo que o tratamento por um empregador ou por um banco não é objeto deste texto. Três preceitos — art. 11.º, n.os 2 e 3, art. 32.º, n.º 7 e art. 50.º — também não começam a aplicar-se em 17 de março de 2027; a lei reserva-os para o dia da adesão de Montenegro à União Europeia (art. 59.º).
Como verificar
O texto oficial está no sítio do jornal oficial: sluzbenilist.me/propisi/397967. O número do ato no canto superior esquerdo da primeira página de composição é 2261 e o texto ocupa 20 páginas. O número completo está no índice do 132/2026, onde consta como data de publicação 9 de setembro de 2026. Os preceitos a procurar são os artigos 16.º (acesso), 17.º (restrição), 19.º (através da autoridade de controlo), 27.º (registos), 37.º a 41.º (transferências), 53.º e 54.º (reclamação e recurso) e 59.º e 60.º (aplicação diferida e entrada em vigor). O número do processo parlamentar é 23-3/26-13, EPA 1165 XXVIII; o do decreto, 01-009/26-1566/2.
A alteração ao código de processo penal do mesmo número, ou seja os direitos do estrangeiro detido, ficou explicada na nossa nota sobre as regras que vigoram desde 17 de setembro. Quando a lei geral receber o seu número de jornal oficial deixaremos o registo na página de Atualizações legais.
