Da li se GDPR odnosi na crnogorske kompanije koje posluju sa EU?

Platforma za rezervacije apartmana u Budvi dobije upit od njemačkog turiste koji traži da mu se pokažu svi podaci koje kompanija ima o njemu — poziva se direktno na GDPR, ne na crnogorski zakon. U isto vrijeme, IT kompanija iz Podgorice koja radi nearshore razvoj softvera za klijenta iz Minhena dobija od tog klijenta ugovor o obradi podataka (data processing agreement) koji izričito pominje član 28 GDPR-a. Obje kompanije su registrovane isključivo u Crnoj Gori, obje imaju uredan crnogorski registar obrade podataka — i obje se pitaju da li ih se ta evropska uredba uopšte tiče. Odgovor je da, za taj konkretan dio njihovog poslovanja, i vrijedi razumjeti tačno zašto.

Crna Gora ima svoj zakon — ali on ne pokriva sve

Crna Gora je 2023. godine, u julu, uvela novi Zakon o zaštiti podataka o ličnosti, usklađen sa GDPR standardima i nadzor nad njegovom primjenom vrši Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (AZLP). Za obradu podataka crnogorskih rezidenata — zaposlenih, domaćih klijenata, lokalnih korisnika — taj zakon je vaš osnovni okvir, i on je ozbiljan: prati GDPR logiku u pogledu pravnih osnova obrade, prava lica na koje se podaci odnose, obaveza obavještavanja o povredama podataka. Ono što taj zakon ne radi jeste da reguliše šta se dešava kada vaša kompanija obrađuje podatke ljudi koji se nalaze u Evropskoj uniji. To je druga pravna kategorija, sa drugim izvorom prava.

Ovo je bitno jer Crna Gora aktivno produbljuje usklađenost sa evropskim pravnim tekovinama u okviru pregovora o pristupanju EU — u martu 2026. Evropskoj komisiji je dostavljen nacrt dodatno usklađenog zakona o zaštiti podataka. Taj proces harmonizacije, koliko god važan za buduće članstvo, ne mijenja jednu činjenicu koja već danas važi: domaći zakon i GDPR imaju svaki svoj teritorijalni domet, i oni se ne poklapaju automatski.

Član 3(2) GDPR-a: kako evropski zakon dopire do kompanije bez sjedišta u EU

GDPR je pravo Evropske unije i ne primjenjuje se automatski na crnogorsku kompaniju samo zato što je Crna Gora zemlja kandidat za članstvo. Ono što ga čini relevantnim jeste član 3, stav 2 GDPR-a, koji propisuje eksplicitno ekstrateritorijalno dejstvo: uredba se primjenjuje na obrađivača ili rukovaoca koji nema sjedište u EU, ako on nudi robu ili usluge licima koja se nalaze u Uniji, ili prati njihovo ponašanje. Nije bitno gdje je kompanija registrovana, gdje joj je poslovna adresa, ili gdje sjede njeni vlasnici — bitna je konkretna aktivnost i konkretna osoba čiji se podaci obrađuju.

Ko je u Crnoj Gori najviše izložen

U praksi, nekoliko sektora u crnogorskoj ekonomiji redovno dolazi u dodir sa ovim testom. Turistički i ugostiteljski sektor uz obalu — platforme za rezervacije, hoteli i apartmani koji prodaju direktno gostima iz EU, sistemi za onlajn čekiranje ili personalizovane ponude — nude usluge osobama u Uniji, što je upravo ono što član 3(2) pokriva. Rastući IT-outsourcing i nearshore sektor, koncentrisan uglavnom oko Podgorice, radi po ugovoru za kompanije iz EU i često obrađuje podatke zaposlenih, korisnika ili klijenata tih evropskih naručilaca u okviru isporuke softvera ili usluga. Izvozno orijentisani proizvođači — uključujući proizvođače aluminijuma i drugih industrijskih proizvoda koji snabdijevaju kupce u EU — obrađuju podatke kontakt osoba, predstavnika i zaposlenih svojih evropskih poslovnih partnera u okviru redovne B2B saradnje. I e-trgovci koji šalju robu kupcima u EU direktno nude proizvode osobama u Uniji, što je klasičan primjer za koji je član 3(2) i pisan.

Nasuprot tome, kompanija čije poslovanje ostaje strogo domaće — usluga koja se nudi isključivo licima sa boravištem u Crnoj Gori, bez ijednog klijenta, korisnika ili posjetioca iz EU — ostaje van dometa GDPR-a, i za nju je crnogorski Zakon o zaštiti podataka o ličnosti jedini relevantan okvir. Ono što aktivira analizu nije zastava na fasadi kompanije, nego stvarna veza sa tržištem Evropske unije.

Predstavnik po članu 27: obaveza koju mnogi previde

Kada GDPR važi za crnogorsku kompaniju bez poslovne jedinice u EU, po pravilu se aktivira i posebna obaveza iz člana 27 GDPR-a: imenovanje predstavnika sa sjedištem u Evropskoj uniji. Taj predstavnik je kontakt tačka za nadzorne organe i za lica čiji se podaci obrađuju, i mora biti pismeno ovlašćen da postupa u ime kompanije po pitanjima GDPR usklađenosti. Ovo nije formalnost koja se može preskočiti — to je, uz sam materijalni domet uredbe, jedna od stvari koju evropski klijenti i partneri sve češće traže da vide dokumentovanu, prije nego što potpišu ugovor ili nastave saradnju.

AZLP i evropski nadzorni organi: dvije odvojene nadležnosti

AZLP je nadležna za primjenu crnogorskog Zakona o zaštiti podataka o ličnosti i nema mandat da nadzire usklađenost sa GDPR-om. Za dio poslovanja koji potpada pod član 3(2) GDPR-a, nadležan je organ za zaštitu podataka u državi članici EU sa kojom vaša aktivnost ima najjasniju vezu — najčešće tamo gdje se nalazi vaš predstavnik po članu 27, ili tamo gdje su locirana lica čiji se podaci obrađuju. To znači da uredan status kod AZLP-a ne pokriva automatski obaveze prema GDPR-u za aktivnosti usmjerene ka EU — riječ je o dva odvojena, paralelna sloja obaveza.

Šta provjeriti u sopstvenoj kompaniji

• Nudi li vaša kompanija robu ili usluge osobama koje se nalaze u Evropskoj uniji, direktno ili preko platforme za rezervacije, veb-sajta ili distributera?
• Pratite li ponašanje osoba u EU — kolačiće, profilisanje, analitiku posjeta veb-sajta — čak i ako im ništa direktno ne prodajete?
• Obrađujete li, u okviru IT-outsourcing ili nearshore ugovora, podatke zaposlenih ili korisnika vašeg evropskog naručioca posla?
• Imate li već imenovanog predstavnika u EU po članu 27 GDPR-a, ako vaša aktivnost potpada pod član 3(2)?
• Da li vaš registar obrade podataka, vođen za potrebe AZLP-a, jasno razdvaja obrade koje se tiču isključivo Crne Gore od onih koje se tiču lica u EU, sa posebno dokumentovanom pravnom osnovom za ove druge?

Opšta informacija, ne pravni savjet

Sve navedeno je opšta informacija namijenjena orijentaciji, a ne pravni savjet prilagođen vašoj konkretnoj situaciji, koja zavisi od vrste vaših obrada, sektora u kojem poslujete i najnovije prakse AZLP-a i evropskih nadzornih organa. Kada Komplya objavljuje ovakav sadržaj, jasno razlikujemo ono što je pravno provjereno od onoga što je radni materijal, i preporučujemo da svaku osjetljivu tačku provjerite sa stručnim licem prije nego što donesete konačnu odluku.

Najbrži način da saznate gdje tačno stojite jeste da pregledate svoju stvarnu djelatnost, aktivnost po aktivnost, umjesto da nagađate. Odgovorite na kratak upitnik o vašim tržištima i obradama podataka i dobićete jasan pregled na razumljivom jeziku — da li dio vašeg poslovanja potpada pod GDPR, i da li vam je potreban predstavnik u EU.