Durum tarihi: 14 Eylül 2026. Statü: Kabul edildi, yürürlük ertelendi. Enstrüman: Zakon o zaštiti podataka o ličnosti (Kişisel Verilerin Korunması Kanunu), "Sl. list CG" 133/2026, akt 2294; Skupština kabulü 4 Eylül 2026 (EPA 1164 XXVIII), ukaz 01-009/26-1569/2, 8 Eylül 2026; yayım 11 Eylül 2026. Yüz altı maddelik yeni bir kanun; 2008 tarihli kanunu değiştirmiyor, yerine geçiyor. Yürürlük yayımdan sonraki sekizinci gün, yani 19 Eylül 2026; uygulama yürürlükten altı ay sonra, 19 Mart 2027 (m.106).
Karadağ'daki şirketinin veri dosyasını bize getiren okur çoğunlukla iki yoldan birini seçmiş oluyor. Ya grubun GDPR programını kopyalamış ya da dosyayı 2008 kanununa göre boyutlandırmış; o kanunda şirkete kesilebilecek cezanın tavanı 20.000 € idi, Karadağ bir GDPR ülkesi değil yazımızda da bu rakamı verdik. İkinci yolun savunulabilir bir hesabı vardı. 19 Mart 2027'den itibaren yok: tavan 2.000.000 € ya da dünya cirosunun %4'ü, hangisi yüksekse. Birinci yolun tuzağı ise başka yerde, 104. maddede ve grupların veri aktarırken kullandığı sözleşme maddelerinde duruyor.
Metin ne diyor
Önce kapsam. Kanun, işlem nerede yapılırsa yapılsın, Karadağ'daki iş yerinin faaliyeti çerçevesindeki veri işlemeye uygulanıyor (m.3/1). Karadağ'da iş yeri olmayan bir şirket de kapsamda: işleme, Karadağ'daki kişilere ücretli ya da ücretsiz mal veya hizmet sunmakla ya da onların Karadağ'daki davranışını izlemekle bağlantılıysa (m.3/2). Böyle bir şirket Karadağ'da yazılı olarak bir temsilci atamak zorunda (m.28/1). İki istisna var: özel kategori ya da ceza verisini büyük ölçekte içermeyen, risk doğurması muhtemel olmayan arızi işleme ve kamu kurumları (m.28/2).
Kişinin başvurusuna cevap süresi artık yazılı. Şirket gecikmeksizin, en geç başvurunun alınmasından itibaren bir ay içinde cevap veriyor; süre en fazla iki ay daha uzatılabiliyor, ama uzatma ve sebepleri ilk ay içinde kişiye bildiriliyor (m.13/3). Cevap ücretsiz. Başvuru açıkça dayanaksız ya da aşırıysa makul bir ücret istenebiliyor ya da başvuru reddedilebiliyor; bunu ispat yükü şirkette (m.13/5-6). Bilgi toplumu hizmetlerinde çocuğun rızası 16 yaşından itibaren geçerli (m.9).
Şirket yükümlülüklerinden dördü tarih ya da rakam taşıyor. İhlal Ajans'a gecikmeksizin ve mümkünse öğrenildiği andan itibaren 72 saat içinde bildiriliyor; geç bildirimde gecikmenin sebebi yazılıyor ve her ihlal belgeleniyor (m.34). Veri koruma görevlisi kamu kurumları, büyük ölçekte düzenli ve sistematik izleme yapan şirketler ve özel kategori ile ceza verisini büyük ölçekte işleyenler için zorunlu (m.38/1). İşleme faaliyetleri kaydı tutuluyor; 250'den az çalışanı olan şirket muafiyeti, işleme arızi değilse düşüyor (m.31/5). Her şirket ve işleyen, kanun ihlallerinin gizli bildirilebileceği bir mekanizma kurmak zorunda (m.82/1).
| İhlal | Tavan ya da aralık | Madde |
|---|---|---|
| m.9, 12 ve 26-40 yükümlülükleri (temsilci, kayıt, güvenlik, 72 saat bildirimi, etki değerlendirmesi, görevli) | 1.000.000 € ya da şirketse dünya yıllık cirosunun %2'si, hangisi yüksekse | m.88/1 |
| Temel ilkeler ve rıza (m.6-8), kişi hakları (m.13-23), m.46-50'ye aykırı aktarım | 2.000.000 € ya da %4, hangisi yüksekse | m.88/2 |
| Ajans'la işbirliği yapmamak, Ajans kararına ya da talimatına uymamak | 2.000.000 € ya da %4 | m.88/3 |
| 72 saat bildiriminin yapılmaması, sır ihlali, Ajans denetçisine erişim verilmemesi, gizli bildirim kanalı kurulmaması | tüzel kişiye 150-2.000 € (kabahat) | m.89/1 |
| Aynı kabahatler: sorumlu kişi / girişimci | 20-200 € / 50-400 € | m.89/2-3 |
| Devlet organları, yerel yönetimler, kamu kurumları | idari para cezası yok | m.88/4 |
İdari para cezasını Ajans'ın kendisi veriyor; şirket buna karşı idari yargıya gidiyor (m.87, m.90).
Grup şablonlarının kırıldığı yer aktarım. Yeterlilik kararını Avrupa Komisyonu değil, Ajans'ın ön görüşünü alarak Karadağ Hükümeti veriyor (m.46/1). Yeterlilik kararı yoksa 47. maddenin 2. fıkrası ayrıca onay gerektirmeyen güvenceleri sayıyor ve listenin 3. bendi Avrupa Komisyonu'nun standart sözleşme maddeleri. 104. madde ise bu bendi Karadağ'ın Avrupa Birliği'ne katıldığı güne bırakıyor. Yurt dışındaki alıcıyla sözleşme maddeleri kurmak hâlâ mümkün, ama 47. maddenin 3. fıkrasına göre Ajans onayıyla. Yabancı bir mahkeme kararı ya da idari karar veri istiyorsa, ancak Karadağ'la yürürlükte olan bir uluslararası anlaşmaya, örneğin karşılıklı adli yardım anlaşmasına dayanıyorsa tanınıyor (m.49). Ajans'ın daha önce verdiği aktarım onayları 19 Eylül 2026'dan itibaren bir yıl içinde gözden geçirilecek (m.100).
Geçiş hükümleri eski sistemi kapatıyor. Veri kayıt sistemleri sicili 19 Mart 2027'de tutulmayı bırakıyor (m.99). Kişisel veriye dokunan diğer kanunlar 1 Aralık 2026'ya kadar uyumlaştırılacak (m.102). 19 Mart 2027'de 2008 kanunu, video gözetim maddeleri olan 35-40a hariç, yürürlükten kalkıyor (m.105).
Metin ne demiyor
Kaçırılan 72 saat bildirimi iki hükmün birden kapsamına giriyor: 34. madde 26-40 aralığında olduğu için m.88/1'e, ayrıca m.89/1 t.1'e. 89. madde idari para cezası ile kabahat yaptırımının aynı ihlal için birlikte verilemeyeceğini söylüyor. Ajans'ın 1.000.000 €'luk tavan ile 150-2.000 €'luk aralık arasında neye göre seçim yapacağını söylemiyor. Bu ölçütü bugün gösteremiyoruz.
- madde, 19 Mart 2027'de kesinleşmemiş süreçleri 2008 kanununa bırakıyor. O tarihten önce işlenen ama süreci sonra başlayan ihlale hangi ceza rejiminin uygulanacağı metinde yazılı değil.
- madde Komisyon maddelerini onaysız güvence olmaktan çıkarıyor, ama bu maddelere dayanan mevcut bir sözleşmenin 47/3'teki onaya tabi sözleşme maddeleri sayılıp sayılmayacağını söylemiyor. 105. maddenin 2. fıkrası da eski video gözetim maddelerinin ömrünü "video gözetimi düzenleyen kanuna" bağlıyor; o kanunun adı da tarihi de metinde yok.
Bizim okumamız
19 Mart 2027'den önce üç iş var ve sıraları önemli. Birincisi 3. maddenin 2. fıkrası: Karadağ'da iş yeriniz yokken oraya satış yapıyor ya da oradaki kullanıcıyı izliyorsanız, 28. maddedeki yazılı temsilci ataması adı ve imzası olan adımdır; biz ilk onu yapardık. İkincisi, Karadağ'dan çıkan her veri akışını listeleyin ve Komisyon maddelerine dayananları işaretleyin. 104. madde 3. bendi askıda tuttuğu sürece böyle bir sözleşmeyi 47/3 kapsamında sözleşme maddesi olarak okuyoruz ve Ajans onayına götürmeyi öneriyoruz; maddelerin onaysız da çalışacağı okumasının dayanacağı bir madde yok. Üçüncüsü, 72 saat usulünü ve gizli bildirim kanalını sorumlusu belli yazılı belgeler olarak kurun; ikisi de 89. maddeye göre kabahat sorumluluğu taşıyor ve denetçinin ilk isteyeceği belgeler bunlar.
2008 düzenine göre kurulan uyumu erken sökmeyin. Uygulama gününe kadar veri kayıt sistemlerinin sicile bildirimi dâhil eski kanun bağlayıcı; o gün açık olan süreçler de eski kanuna göre bitiyor (m.98).
Değişmeyenler
Denetleyici kurum aynı: Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (m.52); kurulu ve direktörü görev sürelerini tamamlıyor (m.101). 19 Mart 2027'ye kadar 2008 kanunu ve onun 20.000 €'luk tavanı geçerli. Polis ve savcılığın ceza amaçlı veri işlemesi bu kanunun dışında (m.2/2 t.2); o alanı 132/2026 sayılı kanun düzenliyor ve Karadağ polisinin hakkınızda ne tuttuğu yazımızda anlattık. Ajans yargısal görev yapan mahkemeleri hâlâ denetlemiyor (m.63/2). GDPR de Karadağ hukuku olmuyor: AB hukukuna bağlanan hükümler üyeliği bekliyor (m.104).
Nasıl doğrularsınız
Resmî nüsha Službeni list'in sitesinde: sluzbenilist.me/propisi/398066. Sicil özetinde yayım 11.09.2026, yürürlük 19.09.2026, uygulama 19.03.2027 yazıyor. İlk dizgi sayfasının sol üst köşesinde akt numarası 2294 var; metin 45 sayfa, 102-106. maddeler son sayfada. Meclis dosyası Skupština akt sayfasında: numara 23-3/26-12/11, EPA 1164 XXVIII, statü Usvojen. Tasarıyla karşılaştıracaksanız dikkat: bir Hükümet amandmanı yeni bir 4. madde ekleyip sonrakileri kaydırdı; yalnız yayımlanan numaralandırmayı kullanın.
Bugün bağlayıcı olan 2008 düzenini İngilizce yazılarımızda anlattık: Ajans denetimi nasıl işliyor ve yabancı şirketin yapması gerekenler. Bir dosyanın bizde nasıl kurulduğunu Karadağ avukat sayfamızda yazdık; sonraki tarihli adımları Mevzuat Takibi sayfasına düşeceğiz.
