Situação à data de 14.09.2026. Estado: Aprovado, ainda não em vigor. Diploma: Zakon o zaštiti podataka o ličnosti (lei de proteção de dados pessoais), "Sl. list CG" 133/2026, ato 2294; aprovada pela Skupština a 4 de setembro de 2026 (EPA 1164 XXVIII), decreto de promulgação 01-009/26-1569/2 de 8 de setembro de 2026, publicada a 11 de setembro de 2026. Tem 106 artigos e substitui a lei de 2008, não se limita a alterá-la. Entra em vigor no oitavo dia após a publicação, 19 de setembro de 2026, e aplica-se seis meses depois, a partir de 19 de março de 2027 (art. 106).
A empresa portuguesa com filial em Montenegro costuma ter lá a documentação de dados montada de uma de duas formas: copiada do programa RGPD do grupo ou dimensionada pela lei de 2008, cuja coima máxima para uma pessoa coletiva era de 20.000 €. A segunda conta fazia sentido. A partir de 19 de março de 2027 deixa de fazer: o teto passa a 2.000.000 € ou 4 % do volume de negócios anual mundial, consoante o que for mais elevado. A primeira abordagem tem a sua própria armadilha, no artigo 104.
O que diz o texto
O âmbito ultrapassa a fronteira. A lei aplica-se ao tratamento no contexto das atividades de um estabelecimento em Montenegro, seja onde for o tratamento (art. 3.º, n.º 1), e à empresa sem estabelecimento em Montenegro quando o tratamento está ligado à oferta de bens ou serviços a pessoas em Montenegro, pagos ou não, ou ao controlo do seu comportamento lá (art. 3.º, n.º 2). Essa empresa deve designar por escrito um representante em Montenegro (art. 28.º, n.º 1), salvo tratamento ocasional sem risco provável e organismos públicos (art. 28.º, n.º 2).
O prazo de resposta a um pedido está agora escrito: sem demora injustificada e no máximo um mês após a receção, prorrogável por mais dois meses, com informação da prorrogação e motivos no primeiro mês (art. 13.º, n.º 3). A resposta é gratuita e o ónus de provar que um pedido é manifestamente infundado ou excessivo cabe ao responsável (art. 13.º).
Quatro obrigações têm prazo ou número. As violações são notificadas à Agência sem demora injustificada e, se possível, em 72 horas após o conhecimento (art. 34.º). O encarregado de proteção de dados é obrigatório em organismos públicos, com controlo regular e sistemático em grande escala e com tratamento em grande escala de categorias especiais e dados penais (art. 38.º, n.º 1). O registo das atividades é obrigatório; a isenção para menos de 250 trabalhadores cai se o tratamento não for ocasional (art. 31.º). E cada responsável cria um canal de denúncia confidencial de infrações à lei (art. 82.º, n.º 1).
| Infração | Teto ou intervalo | Artigo |
|---|---|---|
| Obrigações dos arts. 9.º, 12.º e 26.º-40.º (representante, registo, segurança, notificação em 72 horas, avaliação de impacto, encarregado) | até 1.000.000 € ou, para uma sociedade, 2 % do volume de negócios anual mundial, o mais elevado | art. 88.º, n.º 1 |
| Princípios e consentimento (6.º-8.º), direitos do titular (13.º-23.º), transferências contrárias aos arts. 46.º-50.º | até 2.000.000 € ou 4 %, o mais elevado | art. 88.º, n.º 2 |
| Não cooperar com a Agência ou incumprir o seu ato | até 2.000.000 € ou 4 % | art. 88.º, n.º 3 |
| Falta de notificação em 72 horas, sigilo, recusar acesso ao inspetor, sem canal de denúncia | pessoa coletiva 150-2.000 € (contraordenação) | art. 89.º, n.º 1 |
| Órgãos do Estado, autarquias, instituições públicas | não se aplica coima administrativa | art. 88.º, n.º 4 |
A coima administrativa é aplicada pela própria Agência e impugna-se nos tribunais administrativos (arts. 87.º e 90.º).
Nas transferências as minutas de grupo quebram. A decisão de adequação é tomada pelo Governo de Montenegro após parecer da Agência, não pela Comissão Europeia (art. 46.º, n.º 1). O art. 47.º, n.º 2, enumera garantias sem autorização específica, e a alínea 3 são as cláusulas contratuais-tipo da Comissão Europeia. O art. 104.º adia essa alínea até ao dia da adesão de Montenegro à UE. Cláusulas contratuais com um destinatário no estrangeiro continuam possíveis pelo art. 47.º, n.º 3, mas com autorização da Agência. Uma sentença estrangeira que exija dados só é reconhecida com base num acordo internacional em vigor (art. 49.º).
Transitórias: o registo de ficheiros deixa de ser mantido a 19 de março de 2027 (art. 99.º); as outras leis são adaptadas até 1 de dezembro de 2026 (art. 102.º); a lei de 2008 cessa a 19 de março de 2027, exceto os arts. 35.º-40.º-A sobre videovigilância (art. 105.º).
O que o texto não diz
A falta de notificação em 72 horas cai ao mesmo tempo no art. 88.º, n.º 1, e no art. 89.º, n.º 1, alínea 1. O art. 89.º impede aplicar pela mesma infração a coima administrativa e a sanção contraordenacional, mas não diz com que critério a Agência escolhe entre 1.000.000 € e 150-2.000 €. Esse critério não conseguimos mostrar. O art. 98.º deixa à lei antiga só os processos não concluídos a 19 de março de 2027; sobre uma infração anterior com processo aberto depois, o texto nada diz. E o art. 104.º não diz se um contrato em vigor baseado nas cláusulas da Comissão conta como cláusulas do art. 47.º, n.º 3, sujeitas a autorização.
A nossa leitura
Antes de 19 de março de 2027 faríamos três coisas. Verificar o art. 3.º, n.º 2, e, se se aplicar, designar por escrito o representante do art. 28.º. Listar cada fluxo de dados que sai de Montenegro e marcar os que assentam em cláusulas da Comissão: enquanto o art. 104.º mantiver a alínea 3 suspensa, lemos esse contrato como cláusulas do art. 47.º, n.º 3, e propomos pedir a autorização da Agência. Escrever o procedimento das 72 horas e o canal de denúncia como documentos com responsável, porque ambos geram responsabilidade pelo art. 89.º. O cumprimento da lei de 2008 mantém-se exigível até esse dia.
O que não muda
A autoridade de controlo continua a ser a Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (art. 52.º). Até 19 de março de 2027 vigora a lei de 2008 com o teto de 20.000 €, que explicámos em inglês em Montenegro is not a GDPR country. O tratamento por polícia e Ministério Público para fins penais fica fora desta lei (art. 2.º, n.º 2, alínea 2) e é regulado pela lei 132/2026, que tratamos no texto sobre dados policiais. A Agência continua sem fiscalizar os tribunais na função jurisdicional (art. 63.º, n.º 2). O RGPD não passa a ser direito montenegrino: as normas ligadas ao direito da UE aguardam a adesão (art. 104.º).
Como verificar
O texto oficial está no sítio do Službeni list: sluzbenilist.me/propisi/398066. A ficha indica publicação 11.09.2026, entrada em vigor 19.09.2026 e aplicação a partir de 19.03.2027. O número do ato 2294 está no canto superior esquerdo da primeira página; o texto tem 45 páginas e os arts. 102.º-106.º estão na última. O processo parlamentar está na página do ato da Skupština: n.º 23-3/26-12/11, EPA 1164 XXVIII, estado Usvojen. Uma emenda do Governo inseriu um novo art. 4.º e deslocou a numeração, por isso cite apenas a versão publicada. Os próximos passos datados ficarão em Atualizações legais.
