Novi Zakon o zaštiti podataka o ličnosti: šta donosi i kako se pripremiti do 19. marta 2027.

Novi Zakon o zaštiti podataka o ličnosti je usvojen i objavljen u „Službenom listu Crne Gore“, broj 133/2026. Objavljen je 11. septembra 2026, stupa na snagu 19. septembra 2026, a njegova primjena počinje 19. marta 2027. godine.

Time je završen period u kojem se o novom okviru govorilo kao o predlogu. Pred organizacijama u Crnoj Gori sada je precizno određen prelazni rok od šest mjeseci za pripremu sistema, dokumentacije i zaposlenih. Taj period nije odlaganje obaveza, već vrijeme za plansko usklađivanje poslovnih procesa prije nego što novi režim postane primjenjiv.

Zašto ovo nije samo još jedna izmjena dokumentacije

Novi zakon postavlja cjelovit okvir, po strukturi i logici znatno bliži evropskom GDPR standardu. Suština promjene nije u tome da organizacija na sajtu objavi novu politiku privatnosti i time završi posao. Fokus se pomjera na dokazivu odgovornost: rukovalac mora primjenjivati odgovarajuće tehničke i organizacione mjere i biti u stanju da pokaže da se pravila poštuju u stvarnom radu.

Za kompaniju, ustanovu ili organ to znači povezivanje prava, tehnologije i svakodnevnih procedura. Evidencije aktivnosti obrade, rokovi čuvanja, ugovori sa obrađivačima, sigurnosne mjere, obuke zaposlenih, odgovori na zahtjeve građana i upravljanje incidentima više nijesu odvojene teme. Zajedno čine sistem zaštite ličnih podataka.

1. Šire područje primjene i precizniji pojmovi

Zakon se primjenjuje na automatizovanu obradu i na neautomatizovanu obradu kada podaci čine dio uređene zbirke ili su namijenjeni takvoj zbirci. Uvodi savremene pojmove koji su već poznati iz evropske prakse: profilisanje, pseudonimizacija, povreda ličnih podataka, biometrijski i genetski podaci, podaci o zdravlju, rukovalac, obrađivač i primalac podataka.

Važna je i teritorijalna primjena. Određena pravila mogu obuhvatiti i organizacije koje nijesu osnovane u Crnoj Gori ako nude robu ili usluge licima u Crnoj Gori ili prate njihovo ponašanje. To je naročito značajno za digitalne platforme i međunarodne pružaoce usluga.

2. Načela obrade postaju operativni standard

Lični podaci moraju se obrađivati zakonito, pošteno i transparentno, u jasno određene svrhe i samo u obimu koji je za te svrhe potreban. Podaci moraju biti tačni, ne smiju se čuvati duže nego što je neophodno i moraju biti zaštićeni od neovlašćenog pristupa, gubitka ili oštećenja.

Najvažniji dodatak za praksu je obaveza rukovaoca da poštovanje tih načela može i da dokaže. Ako organizacija ne zna koje kategorije podataka obrađuje, na kom pravnom osnovu, gdje su smještene kopije, ko su primaoci i kada se podaci brišu, teško će dokazati usklađenost — čak i ako nikada nije imala javno poznat incident.

3. Prava građana zahtijevaju organizovan interni odgovor

Novi okvir detaljnije uređuje transparentno informisanje i prava lica na koje se podaci odnose: pristup podacima, ispravku, brisanje, ograničenje obrade, prenosivost, prigovor i zaštitu u vezi sa automatizovanim donošenjem odluka. Organizacije zato moraju imati postupak koji funkcioniše i kada je zahtjev složen ili kada se podaci nalaze u više sistema.

Dobra procedura treba da odredi ko prima zahtjev, kako se provjerava identitet podnosioca, ko pretražuje sisteme, ko ocjenjuje eventualna ograničenja, kako se komunicira odgovor i kako se svaki korak evidentira. Posebnu pažnju treba posvetiti kopijama podataka kod eksternih dobavljača, rezervnim kopijama i rokovima brisanja.

4. Privatnost po dizajnu i po osnovnim podešavanjima

Zaštita podataka treba da bude ugrađena u projekat od početka, a ne dodata nakon puštanja sistema u rad. Prilikom nabavke softvera, uvođenja video-nadzora, kreiranja programa lojalnosti, digitalizacije kadrovskih dosijea ili nove marketinške kampanje, organizacija mora unaprijed razmotriti količinu podataka, svrhe, rokove čuvanja, dostupnost i mjere zaštite.

Osnovna podešavanja treba da budu usmjerena na najmanji potreban obim obrade. Ako je za uslugu dovoljan jedan podatak, ne treba prikupljati pet. Ako pristup treba troje zaposlenih, ne treba ga automatski dati cijelom sektoru. Ovo je istovremeno pravni zahtjev i dobra bezbjednosna praksa.

5. Odnosi sa obrađivačima moraju biti stvarno uređeni

Računovodstveni servis, cloud platforma, IT podrška, marketinška agencija, softver za rezervacije, hosting, call centar ili servis video-nadzora mogu obrađivati lične podatke u ime organizacije. Zakon traži da se taj odnos precizno uredi pisanim ili elektronskim ugovorom: predmet i trajanje obrade, priroda i svrha, kategorije podataka i lica, uputstva rukovaoca, povjerljivost, sigurnost, pomoć pri ostvarivanju prava i postupanje po završetku usluge.

Posebno treba provjeriti angažovanje podobrađivača. Nije dovoljno znati samo naziv glavnog dobavljača; organizacija treba da razumije i lanac u kojem podaci prolaze kroz dodatne servise i države.

6. Evidencije aktivnosti obrade postaju mapa odgovornosti

Rukovaoci i obrađivači treba da vode evidencije aktivnosti obrade sa relevantnim informacijama o svrhama, kategorijama lica i podataka, primaocima, prenosima, rokovima brisanja i mjerama zaštite. Zakon predviđa ograničen izuzetak za organizacije sa manje od 250 zaposlenih, ali on ne važi kada obrada može prouzrokovati rizik, nije povremena ili obuhvata posebne kategorije odnosno podatke o krivičnim osudama i djelima.

Zato broj zaposlenih nije siguran osnov za zaključak da evidencija nije potrebna. U praksi, uredna evidencija je najefikasnija početna tačka za provjeru usklađenosti i za odgovore u slučaju nadzora, zahtjeva građana ili incidenta.

7. Bezbjednost i povreda podataka: rok od 72 časa

Mjere zaštite treba birati prema riziku. Zakon navodi, između ostalog, pseudonimizaciju i enkripciju, sposobnost obezbjeđivanja povjerljivosti, cjelovitosti, dostupnosti i otpornosti sistema, pravovremeni oporavak podataka i redovno testiranje mjera.

Ako nastane povreda ličnih podataka, rukovalac obavještava Agenciju bez nepotrebnog odlaganja i, kada je izvodljivo, najkasnije u roku od 72 časa od saznanja, osim ako nije vjerovatno da će povreda ugroziti prava i slobode fizičkih lica. Kada postoji visok rizik, potrebno je bez nepotrebnog odlaganja obavijestiti i pogođena lica. Obrađivač, sa svoje strane, mora obavijestiti rukovaoca čim sazna za povredu.

Rok je kratak. Organizacija koja tek nakon incidenta traži odgovornu osobu, spisak dobavljača i podatke o zahvaćenim sistemima vjerovatno neće moći kvalitetno da procijeni rizik i pripremi prijavu. Plan reagovanja, kontakt lista i obrazac evidencije incidenta zato treba da postoje prije 19. marta 2027.

8. Procjena uticaja za obrade visokog rizika

Procjena uticaja na zaštitu podataka, poznata kao DPIA, obavezna je prije obrade koja će vjerovatno prouzrokovati visok rizik za prava i slobode. Zakon posebno ukazuje na sistematsko i obimno procjenjivanje ličnih aspekata zasnovano na automatizovanoj obradi i profilisanju, obradu velikog obima posebnih kategorija podataka ili podataka o krivičnim osudama i djelima, kao i sistematsko praćenje javno dostupnih prostora u velikom obimu.

Ako procjena pokaže da visok rizik ostaje i pored planiranih mjera, prije obrade je potrebna konsultacija sa Agencijom. DPIA stoga nije obrazac koji se popunjava naknadno, već dokumentovana odluka o tome da li i pod kojim uslovima projekat smije da se nastavi.

9. Kada je DPO obavezan i šta ta uloga znači

Imenovanje ovlašćenog lica za zaštitu ličnih podataka, odnosno DPO-a, obavezno je za organe vlasti i javne organe, osim sudova kada postupaju u okviru sudske nadležnosti. Obaveza postoji i kada osnovne aktivnosti rukovaoca ili obrađivača obuhvataju redovno i sistematsko praćenje lica u velikom obimu ili obradu posebnih kategorija i podataka o krivičnim osudama i djelima u velikom obimu.

DPO može biti zaposleni ili angažovan na osnovu ugovora o pružanju usluga. Mora imati stručnost, odgovarajuće resurse, nezavisan položaj i neposredan pristup najvišem nivou rukovođenja, bez sukoba interesa. Njegovi poslovi uključuju savjetovanje, praćenje usklađenosti, podizanje svijesti i obuke, podršku u procjenama uticaja i saradnju sa Agencijom.

Za organizacije koje nemaju dovoljno unutrašnjih kapaciteta, eksterni DPO može biti racionalan način da se ova funkcija postavi stručno i nezavisno. Ipak, odgovornost za zakonitu obradu ostaje na organizaciji; DPO savjetuje i nadzire sistem, ali ne preuzima upravljačku odgovornost rukovaoca.

10. Međunarodni prenosi više nijesu tehnički detalj

Cloud usluge, rezervacione platforme, sistemi za ljudske resurse, e-mail marketing, analitika i korisnička podrška često podrazumijevaju da se podaci nalaze ili da im se pristupa van Crne Gore. Novi zakon uređuje prenose na osnovu odluke o primjerenosti, odgovarajućih zaštitnih mjera, obavezujućih poslovnih pravila i određenih izuzetaka.

Praktičan prvi korak je da organizacija utvrdi gdje dobavljač i njegovi podobrađivači zaista obrađuju podatke, po kom mehanizmu se prenos vrši i da li ugovori i tehničke mjere odgovaraju stvarnom toku podataka. Naziv proizvoda ili sjedište prodavca nijesu dovoljni za takvu procjenu.

11. Nadzor, korektivne mjere i visoke upravne kazne

Agencija za zaštitu ličnih podataka i slobodan pristup informacijama ostaje nezavisni nadzorni organ, sa ovlašćenjima da upozori i opomene, naloži usklađivanje, ispravku ili brisanje podataka, naloži obavještavanje o povredi i privremeno ili trajno ograniči obradu.

Zakon uvodi i upravne novčane kazne po modelu sličnom GDPR-u. U zavisnosti od vrste povrede, gornje granice dosežu do 1.000.000 eura ili 2% ukupnog svjetskog godišnjeg prometa, odnosno za teže povrede do 2.000.000 eura ili 4% prometa, pri čemu se za privredno društvo primjenjuje veći iznos. Prilikom odlučivanja relevantni su priroda, težina i trajanje povrede, broj pogođenih lica, namjera ili nepažnja, preduzete mjere, prethodne povrede, saradnja i druge okolnosti konkretnog slučaja.

Visina moguće kazne privlači pažnju, ali zabrana obrade ili nalog za brisanje podataka može imati još neposredniji poslovni efekat. Usklađenost zato treba posmatrati kao upravljanje operativnim, pravnim i reputacionim rizikom — ne samo kao zaštitu od novčane sankcije.

Šta se dešava sa postojećim zakonom i video-nadzorom

Danom početka primjene novog zakona, 19. marta 2027, prestaje da se primjenjuje dosadašnji Zakon o zaštiti podataka o ličnosti sa njegovim izmjenama. Ipak, odredbe postojećeg zakona koje uređuju video-nadzor nastavljaju da se primjenjuju do početka primjene posebnog zakona kojim će biti uređena ta oblast.

Ovo prelazno rješenje je važno za hotele, trgovine, škole, zdravstvene ustanove, stambene objekte, proizvodne pogone i javne organe. Video-nadzor ne treba izostaviti iz projekta usklađivanja: potrebno je provjeriti svrhu, pravni osnov, zone snimanja, obavještenja, pristup snimcima, rokove čuvanja i ugovor sa pružaocem tehničke usluge.

Plan pripreme do 19. marta 2027.

Usklađivanje je najefikasnije kada se vodi kao projekat sa jasnim vlasnicima zadataka, rokovima i dokazima. Za većinu organizacija razuman redosljed izgleda ovako:

1. Odrediti odgovornost na nivou rukovodstva. Imenovati vlasnika projekta i uključiti pravnu, IT, HR, marketing, prodaju, bezbjednost i druge relevantne funkcije.
2. Napraviti mapu podataka i evidencije obrada. Popisati procese, sisteme, kategorije lica i podataka, svrhe, pravne osnove, primaoce, prenose i rokove čuvanja.
3. Provjeriti zakonitost i minimizaciju. Ukloniti suvišno prikupljanje, pogrešne pravne osnove i neograničeno čuvanje podataka.
4. Obnoviti obavještenja i mehanizme saglasnosti. Tekstovi moraju biti razumljivi, transparentni i usklađeni sa stvarnim procesima, uključujući kolačiće i direktni marketing.
5. Uspostaviti proceduru za prava lica. Definisati prijem, provjeru identiteta, pretragu sistema, rokove, odlučivanje, komunikaciju i evidenciju zahtjeva.
6. Pregledati ugovore sa dobavljačima. Razvrstati rukovaoce i obrađivače, ugovoriti obavezne elemente, evidentirati podobrađivače i međunarodne prenose.
7. Procijeniti bezbjednost i incidente. Uvesti kontrolu pristupa, rezervne kopije, enkripciju gdje je primjerena, testiranje i plan prijave povrede u roku od 72 časa.
8. Identifikovati visoke rizike. Napraviti kriterijume za DPIA i procijeniti postojeće i planirane obrade koje mogu zahtijevati procjenu ili prethodnu konsultaciju.
9. Procijeniti obavezu imenovanja DPO-a. Ako je DPO potreban, obezbijediti stručnost, nezavisnost, resurse, direktnu komunikaciju sa rukovodstvom i odsustvo sukoba interesa.
10. Obučiti zaposlene i provjeriti primjenu. Obuka mora biti prilagođena stvarnim ulogama, a završna interna provjera treba da pokaže da procedure funkcionišu i van papira.

Ko treba da počne odmah

Sve organizacije koje obrađuju lične podatke treba da procijene uticaj novog zakona, ali prioritet imaju subjekti sa velikim brojem klijenata ili zaposlenih, obimnim video-nadzorom, podacima o zdravlju ili drugim posebnim kategorijama, profilisanjem, direktnim marketingom, međunarodnim cloud servisima ili složenim lancem dobavljača.

To se posebno odnosi na hotele i turističke kompanije, zdravstvene ustanove, banke i druge finansijske organizacije, računovodstvene servise, škole i fakultete, ICT i telekomunikacione kompanije, trgovinske lance, proizvodne sisteme, državne organe, opštine i javne ustanove. Kod njih se pravni zahtjevi gotovo uvijek prepliću sa operativnim sistemima i većim brojem zaposlenih koji svakodnevno koriste podatke.

Ne čekajte posljednji mjesec

Šest mjeseci može djelovati kao dug period, ali ozbiljno usklađivanje uključuje više krugova rada: mapiranje procesa, razgovore sa sektorima, pregled dobavljača, pravnu analizu, tehničke izmjene, usvajanje procedura i obuku. Organizacije koje počnu na vrijeme mogu rasporediti trošak, prioritizovati rizike i izbjeći improvizaciju pred početak primjene.

Ako ste ranije pratili naš tekst o predlogu zakona, važno je da sada planiranje zasnujete na usvojenom tekstu i konačnim datumima. Raniji članak GDPR standardi stižu u Crnu Goru može poslužiti kao uvod u temu, dok je ovaj vodič usmjeren na obaveze koje sada imaju utvrđen rok.

---

Izvori i napomena: Službeni list Crne Gore — Zakon o zaštiti podataka o ličnosti; Službeni list Crne Gore, broj 133/2026; Vlada Crne Gore — Predlog zakona; Vlada Crne Gore — Predlog amandmana. Tekst je informativnog karaktera i ne predstavlja pravno mišljenje za konkretan slučaj.