Novi propis · Crna Gora
Zakon o zaštiti podataka o ličnosti — provjerite da li ste usklađeni
Novi zakon je objavljen 11. septembra 2026, a primjenjuje se od 19. marta 2027. Donosi GDPR pravila u crnogorski propis: evidencije, prava građana, službenika za zaštitu podataka i kazne do dva miliona eura. Prođite kroz zakon tačku po tačku i vidite šta vam nedostaje.
Rokovi i šta se tačno mijenja
Zakon je donijela Skupština 4. septembra 2026, objavljen je u „Službenom listu Crne Gore“, br. 133/26 od 11. septembra 2026. Stupio je na snagu osmog dana od objavljivanja, ali se primjenjuje tek šest mjeseci kasnije — od 19. marta 2027. Do tada važi stari zakon iz 2008. sa izmjenama.
Dosadašnja prijava zbirki ličnih podataka Agenciji prestaje danom primjene zakona (član 99). Umjesto prijave, dokaz usklađenosti je vaša interna evidencija aktivnosti obrade — koju na zahtjev dajete Agenciji.
Zakon iz 2008. („Sl. list CG“, br. 79/08, 70/09, 44/12, 22/17 i 77/24) prestaje danom primjene novog — osim članova 35 do 40a, koji uređuju video-nadzor i ostaju na snazi dok se ne donese poseban zakon o video-nadzoru.
Umjesto dosadašnjih prekršajnih kazni, uvode se administrativne novčane kazne do 2.000.000 eura ili do 4% ukupnog svjetskog godišnjeg prometa, zavisno od toga šta je veće.
Za organe javne vlasti i za one čija osnovna djelatnost znači praćenje ljudi u velikom obimu ili obradu posebnih kategorija podataka, imenovanje službenika (DPO) postaje zakonska obaveza, a kontakt se objavljuje i dostavlja Agenciji. Ko tačno mora da ga imenuje, kakav mu je položaj i šta mora zateći u organizaciji — uz kratku provjeru obaveze — na stranici Službenik za zaštitu podataka (DPO).
Nekoliko odredaba koje se pozivaju na pravo Evropske unije primjenjivaće se tek od dana pristupanja Crne Gore EU (član 104) — među njima i dio pravila o prenosu podataka u treće zemlje.
Rok nije onoliko dalek koliko izgleda
Do primjene ima nešto više od godinu dana, ali posao koji zakon traži — popis svih obrada, pravni osnov za svaku, usklađivanje ugovora sa svim dobavljačima koji vide vaše podatke, postupak za zahtjeve građana i za povrede — u organizaciji srednje veličine traje mjesecima. Firme koje su prolazile kroz GDPR znaju da najviše vremena odnese popis obrada, jer traži razgovor sa svakim odjeljenjem.
Da li ste usklađeni sa novim zakonom?
Dvadeset sedam pitanja, poređanih onako kako ih zakon traži — pravni osnov, evidencije, prava građana, službenik za zaštitu podataka, procjena uticaja, povrede i obrađivači. Na kraju dobijate ocjenu po oblastima i spisak onoga što vam nedostaje, uz pozivanje na konkretne članove.
Provjera daje okviran rezultat i nije pravni savjet ni dokaz usklađenosti. Usklađenost u nadzoru ocjenjuje Agencija za zaštitu ličnih podataka i slobodan pristup informacijama.
Preuzmite tekst zakona
Cijeli zakon, svih 106 članova u deset glava, prelomljen za čitanje i štampu — bez skraćivanja i bez komentara.
Napomena uz prelom
Ovo je neslužbeni, informativni prelom teksta zakona. Zakone donosi Skupština Crne Gore, a objavljuju se u „Službenom listu Crne Gore“ — jedino je objavljeni tekst službeni i mjerodavan. Tekst smo preuzeli iz zvanično objavljenog propisa i prelomili bez izmjena sadržaja, ali zadržavamo pravo na grešku u prenosu i prelomu.
Prije donošenja bilo kakve odluke provjerite tekst i eventualne kasnije izmjene u Službenom listu Crne Gore i u registru propisa Vlade Crne Gore. Qualiterna ne odgovara za štetu nastalu oslanjanjem na ovaj prelom.
Zakon, član po član
Zakon ima 106 članova. Ovdje su oni koji stvaraju obaveze za organizacije — šta član traži i šta to znači u praksi. Redoslijed prati sam zakon.
Na koga se zakon odnosi
Primjena
Odnosi se na svaku obradu ličnih podataka koja je bar dijelom automatizovana, kao i na ručnu obradu ako su podaci dio evidencije. Ne odnosi se na obradu u isključivo ličnoj ili kućnoj aktivnosti, niti na obradu koju nadležni organi vrše u krivičnim postupcima — to pokriva poseban zakon.
Teritorijalna nadležnost
Važi za svaku organizaciju sa poslovnim sjedištem u Crnoj Gori, bez obzira gdje se obrada fizički odvija — i za one van Crne Gore koji obrađuju podatke ljudi koji se ovdje nalaze. Serveri u inostranstvu ne izuzimaju vas od zakona.
Značenje izraza
Dva pojma odlučuju o tome šta vas čeka: rukovalac određuje svrhu i način obrade, obrađivač obrađuje podatke u tuđe ime. Većina firmi je oboje — rukovalac za svoje zaposlene i kupce, obrađivač za klijente kojima pruža uslugu.
Načela i pravni osnov
Načela obrade
Zakonitost i poštenje, ograničenje svrhe, minimizacija, tačnost, ograničenje čuvanja, integritet i povjerljivost — i, najvažnije za nadzor, odgovornost: morate biti u stanju da dokažete da se načela poštuju. Nije dovoljno da ih poštujete, morate imati čime to pokazati.
Zakonitost obrade
Svaka obrada mora imati jedan od šest osnova: saglasnost, izvršenje ugovora, zakonska obaveza, zaštita životno važnih interesa, javni interes ili legitimni interes. Najčešća greška je tražiti saglasnost tamo gdje je osnov zapravo ugovor ili zakon — tada saglasnost nije punovažna, a i nepotrebna je.
Uslovi za saglasnost
Morate moći da dokažete da je data, mora biti razumljiva i odvojena od ostalog teksta, i povlači se jednako lako kao što se daje. Unaprijed označena polja i saglasnost „u paketu“ sa opštim uslovima ne prolaze.
Saglasnost djeteta
Za usluge informacionog društva granica je 16 godina. Za mlađe je potrebna saglasnost roditelja, a rukovalac mora uložiti razuman napor da je provjeri. Tiče se svih koji imaju online prijavu, aplikaciju ili newsletter otvoren maloljetnima.
Posebne kategorije
Podaci o zdravlju, biometrija, vjerska i politička ubjeđenja, seksualni život, članstvo u sindikatu — obrada je načelno zabranjena, osim u tačno nabrojanim slučajevima. Ovo pogađa i poslodavce: ljekarski pregledi, evidencija bolovanja i biometrijska kontrola ulaska traže poseban osnov.
Jedinstveni matični broj
JMB i drugi opšti identifikatori smiju se obrađivati samo kada je to neophodno za svrhu propisanu zakonom ili uz drugi osnov, i uz mjere zaštite. Rutinsko upisivanje JMB-a u obrasce „za svaki slučaj“ više nije održivo.
Prava građana i obaveze organizacije
Ovo je dio zakona po kojem ćete najčešće biti provjeravani — jer ga građani sami pokreću, zahtjevom ili pritužbom Agenciji.
Informacije pri prikupljanju
Kad podatke uzimate od samog lica, u tom trenutku morate reći: ko ste, zašto prikupljate, po kom pravnom osnovu, kome podatke dajete, koliko ih čuvate, koja prava lice ima i da se može obratiti Agenciji. To je obavještenje o privatnosti — na sajtu, u obrascu, u ugovoru o radu.
Pravo na pristup
Lice ima pravo da zna obrađujete li njegove podatke, koje, zašto, kome ih dajete i koliko dugo čuvate — i da dobije kopiju. U praksi ovo najčešće traže bivši zaposleni i nezadovoljni kupci, pa postupak mora postojati prije nego što zahtjev stigne.
Ispravka, brisanje, ograničenje
Pravo na ispravku netačnih podataka, na brisanje („pravo na zaborav“) kad podaci više nijesu potrebni ili je saglasnost povučena, i na ograničenje obrade dok se spor ne riješi. Brisanje nije apsolutno — ako podatke držite po zakonskoj obavezi, ona ima prednost, ali to morate obrazložiti.
Prenosivost podataka
Kad se obrada zasniva na saglasnosti ili ugovoru i vrši se automatizovano, lice ima pravo da svoje podatke dobije u uobičajenom, mašinski čitljivom formatu i prenese ih drugom pružaocu. Tiče se prije svega online usluga i aplikacija.
Pravo na prigovor
Na obradu po osnovu legitimnog interesa lice može uložiti prigovor, a vi je morate prekinuti osim ako dokažete uvjerljive razloge koji pretežu. Kod direktnog marketinga prigovor je bezuslovan — obrada se odmah prekida.
Automatizovane odluke i profilisanje
Odluka zasnovana isključivo na automatizovanoj obradi, koja proizvodi pravne posljedice, dozvoljena je samo izuzetno — i uz pravo lica da traži ljudsku intervenciju, iznese stav i ospori odluku. Pogađa scoring, automatsku selekciju kandidata i slične sisteme.
Šta organizacija mora imati
Odgovornost i zaštita po dizajnu
Rukovalac mora primijeniti mjere i biti u stanju da dokaže da je obrada u skladu sa zakonom, a zaštitu ugraditi u sisteme od početka i podrazumijevano obrađivati samo podatke neophodne za svrhu. „Uključićemo privatnost kasnije“ zakon ne poznaje.
Obrađivač i ugovor sa njim
Angažujete samo obrađivače koji pružaju dovoljne garancije, i to pisanim ugovorom koji uređuje predmet, trajanje, prirodu i svrhu obrade, vrste podataka, obaveze povjerljivosti, podobrađivače, pomoć pri zahtjevima građana i brisanje ili vraćanje podataka na kraju. Ovo pogađa svaki ugovor sa IT podrškom, hostingom, knjigovodstvom, agencijom za marketing i obezbjeđenjem.
Evidencija aktivnosti obrade
Pisana evidencija sa svrhama obrade, kategorijama lica i podataka, primaocima, prenosima u treće zemlje, rokovima brisanja i opisom mjera bezbjednosti. Obrađivač vodi svoju, užu evidenciju. Organizacije sa manje od 250 zaposlenih izuzete su samo uslovno — obaveza ipak postoji ako obrada nosi rizik, ako nije povremena ili ako obuhvata posebne kategorije podataka. Kod većine firmi bar jedan od ta tri uslova je ispunjen, pa izuzetak u praksi rijetko važi.
Bezbjednost obrade
Mjere se biraju prema riziku: pseudonimizacija i šifrovanje, povjerljivost i otpornost sistema, sposobnost oporavka nakon incidenta i redovno testiranje mjera. Zakon ne propisuje tehnologiju — traži da odluku možete obrazložiti procjenom rizika.
Povreda — 72 časa
Povreda se prijavljuje Agenciji bez odlaganja, najkasnije 72 časa od saznanja, osim ako nije vjerovatno da nosi rizik po prava i slobode. Kašnjenje se mora obrazložiti. Svaka povreda, i kad se ne prijavljuje, mora biti dokumentovana — činjenice, posljedice, mjere. Obrađivač o povredi odmah obavještava rukovaoca.
Obavještavanje samih lica
Kad povreda vjerovatno nosi visok rizik po prava i slobode, obavještavaju se i sama lica, jasnim jezikom. Izuzetak postoji ako su podaci bili šifrovani ili ste naknadnim mjerama rizik otklonili.
Procjena uticaja (DPIA)
Obavezna prije početka obrade kod visokog rizika, a naročito u tri slučaja: sistematska procjena ličnih aspekata zasnovana na automatizovanoj obradi sa pravnim posljedicama, obrada posebnih kategorija u velikom obimu, i sistematsko praćenje javno dostupnog prostora u velikom obimu — dakle i ozbiljniji video-nadzor. Agencija objavljuje listu obrada za koje je procjena obavezna.
Službenik za zaštitu podataka
Imenovanje je obavezno za organe javne vlasti i kad osnovna djelatnost znači redovno i sistematsko praćenje lica u velikom obimu ili obradu posebnih kategorija u velikom obimu. Službenik može biti zaposleni ili angažovan ugovorom o pružanju usluga, bira se po stručnom znanju, kontakt se objavljuje i dostavlja Agenciji. Mora izvještavati najviše rukovodstvo, ne prima uputstva o načinu rada i ne smije biti kažnjen zbog obavljanja svojih zadataka.
Prenos podataka, nadzor i kazne
Prenos u treće zemlje
Podaci se iznose samo uz osnov: odluku o adekvatnosti, odgovarajuće zaštitne mjere (standardne ugovorne klauzule, obavezujuća korporativna pravila) ili izuzetak za posebne situacije. Praktično pitanje za svaku firmu: gdje stvarno stoje podaci iz vašeg CRM-a, mejla i rezervnih kopija.
Ovlašćenja Agencije
Agencija vodi nadzor, postupa po pritužbama, može naložiti usklađivanje, privremeno ili trajno ograničiti obradu, narediti brisanje i izreći novčanu kaznu. U nadzoru traži dokaze — evidencije, procjene, ugovore, zapise o obukama.
Iznos kazni
Do 1.000.000 eura ili 2% svjetskog prometa za povrede obaveza rukovaoca i obrađivača iz čl. 26–40 (evidencije, bezbjednost, povrede, procjena uticaja, službenik). Do 2.000.000 eura ili 4% za povrede načela i pravnog osnova, povrede prava građana i nezakonit prenos u inostranstvo. Primjenjuje se viši od dva iznosa.
Registar zbirki se gasi
Registar zbirki ličnih podataka prestaje da se vodi danom primjene zakona. Ako ste do sada usklađenost shvatali kao prijavu zbirki Agenciji, od marta 2027. to više ne postoji — teret dokazivanja prelazi na vašu dokumentaciju.
Kazna se ne izriče javnom sektoru
Član 88 izričito propisuje da se administrativna novčana kazna ne izriče državnom organu, organu državne uprave, organu lokalne samouprave, javnoj ustanovi ni drugom subjektu javnog prava. To ne znači da su izuzeti od zakona — Agencija im može naložiti mjere, ograničiti ili zabraniti obradu, a odgovornost ostaje. Znači samo da novčana kazna nije instrument prema njima.
Šta vam konkretno treba
Kliknite na ono što vam nedostaje — izbor se prenosi u obrazac na dnu stranice, pa odmah dobijate ponudu za tačno tu uslugu. Možete izabrati i više njih.
Eksterni službenik za zaštitu podataka
Preuzimamo ulogu DPO-a po ugovoru o pružanju usluga: praćenje usklađenosti, savjeti, kontakt tačka prema Agenciji i prema građanima, godišnji izvještaj rukovodstvu. Rješenje za organizacije kojima je službenik obavezan, a nemaju koga da imenuju.
Zatražite ponudu Članovi 38–40Obuka vašeg internog DPO-a
Ako imate čovjeka za tu ulogu, obučavamo ga: zadaci iz člana 40, vođenje evidencija, postupanje po zahtjevima građana, prijava povrede u roku od 72 časa, saradnja sa Agencijom i odnos sa rukovodstvom.
Zatražite ponudu Član 31Evidencija aktivnosti obrade
Popis svih obrada u organizaciji sa svrhom, pravnim osnovom, kategorijama podataka, primaocima, rokovima čuvanja i mjerama. To je prvi dokument koji Agencija traži u nadzoru i osnova za sve ostalo.
Zatražite ponudu Član 36Procjena uticaja — DPIA
Za obrade sa visokim rizikom: video-nadzor u velikom obimu, profilisanje, obrada zdravstvenih ili biometrijskih podataka. Radimo procjenu prije početka obrade, sa mjerama za smanjenje rizika.
Zatražite ponudu Članovi 25–26Procedure i interni akti
Politika zaštite podataka, postupak za zahtjeve građana, postupak za povrede, pravila čuvanja i brisanja, obavještenja o privatnosti za sajt, zaposlene i kupce. Pisano tako da se po njima može raditi, a ne da stoji u fascikli.
Zatražite ponudu Član 29Ugovori sa obrađivačima
Pregled svih dobavljača koji vide vaše podatke — IT podrška, hosting, knjigovodstvo, marketing, obezbjeđenje — i usklađivanje ugovora sa članom 29, uključujući podobrađivače i brisanje podataka na kraju saradnje.
Zatražite ponudu Članovi 34–35Postupak za povrede podataka
Ko prijavljuje, kome, u kom roku i šta se zapisuje — da rok od 72 časa ne počne da teče dok neko traži koga da zove. Uključuje obrazac za internu prijavu i evidenciju povreda.
Zatražite ponudu Član 33Obuka zaposlenih
Kratka, praktična obuka za ljude koji svakodnevno rade sa podacima: šta smiju da pošalju i kome, kako se postupa sa zahtjevom građanina, kako se prepoznaje povreda. Sa zapisom o obuci, koji je dokaz u nadzoru.
Zatražite ponudu Cijeli zakonGap analiza
Ako ne znate odakle da počnete: prolazimo kroz organizaciju, utvrđujemo šta već imate, šta nedostaje i šta je hitno do marta 2027, sa planom i redosljedom poslova.
Zatražite ponuduČesta pitanja o novom zakonu
Od kada se zakon primjenjuje?
Objavljen je u „Službenom listu Crne Gore“, br. 133/26 od 11. septembra 2026. Stupio je na snagu osmog dana od objavljivanja, a primjenjuje se nakon šest mjeseci od stupanja na snagu — dakle od 19. marta 2027. Do tada važi zakon iz 2008. sa izmjenama.
Da li i dalje prijavljujemo zbirke podataka Agenciji?
Ne. Registar zbirki ličnih podataka prestaje da se vodi danom primjene novog zakona (član 99). Umjesto prijave, dokaz usklađenosti je interna evidencija aktivnosti obrade iz člana 31, koju na zahtjev stavljate na raspolaganje Agenciji.
Da li nam treba službenik za zaštitu podataka (DPO)?
Obavezan je u tri slučaja iz člana 38: kad obradu vrši organ javne vlasti ili javno tijelo; kad osnovna djelatnost zahtijeva redovno i sistematsko praćenje lica u velikom obimu; i kad osnovna djelatnost obuhvata obradu posebnih kategorija podataka ili podataka o krivičnim osudama u velikom obimu. Službenik može biti zaposleni ili angažovan ugovorom o pružanju usluga, a grupa društava može imenovati jednog, pod uslovom da je lako dostupan iz svakog sjedišta.
Imamo manje od 250 zaposlenih — treba li nam evidencija obrade?
Vjerovatno da. Izuzeće iz člana 31 ne važi ako obrada može prouzrokovati rizik po prava i slobode lica, ako nije povremena, ili ako obuhvata posebne kategorije podataka ili podatke o krivičnim osudama. Obrada podataka zaposlenih i kupaca po pravilu nije povremena, pa se izuzeće u praksi rijetko može primijeniti.
Kolike su kazne?
Do 1.000.000 eura ili 2% ukupnog svjetskog godišnjeg prometa za povrede obaveza rukovaoca i obrađivača iz čl. 26–40, i do 2.000.000 eura ili 4% za povrede osnovnih načela, prava građana i pravila o prenosu podataka u treće zemlje. Primjenjuje se viši od dva iznosa. Kazna se ne izriče državnim organima, organima lokalne samouprave i javnim ustanovama, ali im Agencija može naložiti mjere i ograničiti obradu.
Šta je sa video-nadzorom?
Odredbe o video-nadzoru iz starog zakona (čl. 35 do 40a) ostaju na snazi i poslije početka primjene novog zakona — prestaju tek danom stupanja na snagu posebnog zakona o video-nadzoru. Uz to, sistematsko praćenje javno dostupnog prostora u velikom obimu traži procjenu uticaja po članu 36.
Imamo ISO/IEC 27001 — pokriva li to zakon?
Pokriva dobar dio, ali ne sve. ISO/IEC 27001 daje mjere bezbjednosti i upravljanje incidentima, a ISO/IEC 27701 dodaje upravljanje privatnošću — evidencije obrade, prava lica, odnose sa obrađivačima. Ono što standard ne daje je pravni osnov za svaku obradu i usklađenost obavještenja i ugovora sa crnogorskim zakonom; to se radi posebno.
Da li važi i za firme van Crne Gore?
Da, po članu 3 zakon se primjenjuje i na obradu podataka lica koja se nalaze u Crnoj Gori, kad se obrada odnosi na nuđenje robe ili usluga tim licima ili na praćenje njihovog ponašanja — bez obzira gdje je rukovalac osnovan.
Veza sa srodnim stranicama
Najčešće ide zajedno sa:
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju sa nama — od banaka, berze i državnih organa do proizvodnje, IT-ja, laboratorija i ugostiteljstva. Ovo je dio njih.
Ovo su samo neki od naših klijenata. Više o nama i našem radu →
Zatražite ponudu za usklađivanje sa zakonom
Recite nam čime se bavite i koliko ljudi obrađuje podatke — predložićemo obim posla i realan rok do marta 2027. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.
Imate pitanje vezano za ISO standarde i javne nabavke — tendere?