Состояние на 14 сентября 2026 года. Статус: Принято, ещё не действует. Акт: Zakon o zaštiti podataka o ličnosti (Закон о защите персональных данных), «Sl. list CG» 133/2026, акт 2294; принят Скупщиной 4 сентября 2026 года (EPA 1164 XXVIII), указ 01-009/26-1569/2 от 8 сентября 2026 года, опубликован 11 сентября 2026 года. В законе 106 статей; он заменяет закон 2008 года, а не вносит в него поправки. Вступает в силу на восьмой день после опубликования, 19 сентября 2026 года, и применяется через шесть месяцев, с 19 марта 2027 года (ст. 106).
Если у вас в Черногории зарегистрирована компания — IT-студия, агентство недвижимости, онлайн-сервис, — её документы о персональных данных, скорее всего, сделаны по одной из двух схем. Либо скопированы с GDPR-программы, либо рассчитаны на закон 2008 года, где максимальный штраф для юридического лица составлял 20 000 евро. Вторая схема была разумной. С 19 марта 2027 года — нет: потолок становится 2 000 000 евро или 4% мирового годового оборота, в зависимости от того, что больше. У первой схемы своя ловушка, и она в статье 104.
Что говорит текст
Сфера действия выходит за границу. Закон применяется к обработке в рамках деятельности предприятия, зарегистрированного в Черногории, где бы ни шла обработка (ст. 3 ч. 1). Он применяется и к компании без регистрации в Черногории, если обработка связана с предложением товаров или услуг людям в Черногории, платно или бесплатно, либо с наблюдением за их поведением там (ст. 3 ч. 2). Такая компания обязана письменно назначить представителя в Черногории (ст. 28 ч. 1), кроме случаев эпизодической обработки без существенного риска и государственных органов (ст. 28 ч. 2).
Срок ответа на запрос теперь записан: без неоправданной задержки, не позднее одного месяца с получения, с возможным продлением ещё на два месяца при уведомлении о причинах в течение первого месяца (ст. 13 ч. 3). Ответ бесплатный; если запрос явно необоснован или чрезмерен, доказывать это должна компания (ст. 13).
Четыре обязанности имеют сроки или цифры. Об утечке сообщают в Агентство без неоправданной задержки и, если возможно, в течение 72 часов с момента, когда о ней стало известно (ст. 34). Ответственный за защиту данных обязателен для госорганов, при крупномасштабном систематическом наблюдении и при крупномасштабной обработке особых категорий и данных о судимости (ст. 38 ч. 1). Реестр операций обработки обязателен; освобождение для компаний до 250 работников не действует, если обработка не эпизодическая (ст. 31). И каждая компания должна создать канал для конфиденциальных сообщений о нарушениях закона (ст. 82 ч. 1).
| Нарушение | Потолок или диапазон | Статья |
|---|---|---|
| Обязанности по ст. 9, 12 и 26-40 (представитель, реестр, безопасность, уведомление за 72 часа, оценка воздействия, ответственный) | до 1 000 000 евро или для компании до 2% мирового годового оборота, что больше | ст. 88 ч. 1 |
| Принципы и согласие (ст. 6-8), права субъекта (ст. 13-23), передача вопреки ст. 46-50 | до 2 000 000 евро или 4%, что больше | ст. 88 ч. 2 |
| Отказ сотрудничать с Агентством или исполнять его акт | до 2 000 000 евро или 4% | ст. 88 ч. 3 |
| Нет уведомления за 72 часа, нарушение тайны, недопуск контролёра, нет канала сообщений | юрлицо 150-2 000 евро (правонарушение) | ст. 89 ч. 1 |
| Государственные органы, местное самоуправление, публичные учреждения | административный штраф не назначается | ст. 88 ч. 4 |
Штраф назначает само Агентство; обжалуется он в административном суде (ст. 87, 90).
Передача данных — место, где шаблоны группы ломаются. Решение об адекватности защиты в третьей стране принимает Правительство Черногории после заключения Агентства, а не Европейская комиссия (ст. 46 ч. 1). Статья 47 ч. 2 перечисляет гарантии без отдельного разрешения, и пункт 3 — стандартные договорные положения Еврокомиссии. Статья 104 откладывает этот пункт до дня вступления Черногории в ЕС. Договорные положения с получателем за границей возможны по ст. 47 ч. 3, но с разрешения Агентства. Иностранное судебное решение о передаче данных признаётся, только если оно основано на действующем международном договоре (ст. 49).
Переходные нормы: реестр сборников данных перестаёт вестись 19 марта 2027 года (ст. 99); другие законы приводятся в соответствие до 1 декабря 2026 года (ст. 102); закон 2008 года утрачивает силу 19 марта 2027 года, кроме статей 35-40a о видеонаблюдении (ст. 105).
Чего в тексте нет
Пропущенное уведомление за 72 часа подпадает сразу под ст. 88 ч. 1 и под ст. 89 ч. 1 п. 1. Статья 89 запрещает назначать за одно нарушение и административный штраф, и санкцию за правонарушение, но не говорит, по какому критерию Агентство выбирает между 1 000 000 евро и 150-2 000 евро. Этот критерий мы показать не можем. Статья 98 оставляет старому закону только производства, не завершённые к 19 марта 2027 года; про нарушение, совершённое раньше, но с производством после этой даты, в тексте ничего нет. И статья 104 не говорит, считается ли действующий договор на положениях Еврокомиссии договорными положениями по ст. 47 ч. 3, требующими разрешения.
Наше прочтение
До 19 марта 2027 года мы бы сделали три вещи. Сначала проверить ст. 3 ч. 2 и, если она вас касается, письменно назначить представителя по ст. 28. Затем выписать все потоки данных из Черногории и отметить те, что опираются на положения Еврокомиссии: пока ст. 104 держит пункт 3, мы читаем такой договор как договорные положения по ст. 47 ч. 3 и предлагаем получить разрешение Агентства. Наконец, оформить порядок уведомления за 72 часа и канал сообщений как документы с ответственным лицом — за оба грозит ответственность по ст. 89. Соблюдение закона 2008 года до этой даты не отменяется.
Что не меняется
Надзорный орган прежний — Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (ст. 52). До 19 марта 2027 года действует закон 2008 года с потолком 20 000 евро; его устройство мы описали по-английски в статье Montenegro is not a GDPR country. Обработка данных полицией и прокуратурой в уголовных целях — вне этого закона (ст. 2 ч. 2 п. 2); её регулирует закон 132/2026, о котором наш текст о полицейских данных. Суды при осуществлении правосудия Агентство по-прежнему не проверяет (ст. 63 ч. 2). GDPR черногорским правом не становится: нормы, связанные с правом ЕС, ждут вступления (ст. 104).
Как проверить
Официальный текст — на сайте Službeni list: sluzbenilist.me/propisi/398066. В реестровой записи: опубликован 11.09.2026, вступает в силу 19.09.2026, применяется с 19.03.2027. Номер акта 2294 — в левом верхнем углу первой полосы; текст занимает 45 страниц, статьи 102-106 на последней. Парламентское дело — на странице акта Скупщины: № 23-3/26-12/11, EPA 1164 XXVIII, статус Usvojen. Поправка правительства добавила новую статью 4 и сдвинула нумерацию, поэтому ссылайтесь только на опубликованный текст. Дальнейшие шаги с датами — в разделе Обзор законодательства.
