Novi Zakon o zaštiti podataka o ličnosti vs. GDPR: šta ostaje van dometa

Kompanija iz Nikšića koja izvozi proizvode od aluminijuma kupcima u Njemačkoj i Italiji ima uredan registar obrade podataka, sprovedenu procjenu uticaja tamo gdje je to potrebno i redovnu komunikaciju sa Agencijom za zaštitu ličnih podataka i slobodan pristup informacijama (AZLP). Sve po crnogorskom Zakonu o zaštiti podataka o ličnosti. Onda evropski kupac, u okviru redovne provjere dobavljača, zatraži dokaz o imenovanom predstavniku po članu 27 GDPR-a — pojam koji se u crnogorskom zakonu uopšte ne pominje. Ovo nije greška u crnogorskoj usklađenosti. To je razlika u dometu dva različita zakona, i vrijedi je razumjeti prije nego što je otkrijete usred pregovora sa evropskim partnerom.

Šta novi zakon stvarno pokriva, od jula 2023.

Novi Zakon o zaštiti podataka o ličnosti u Crnoj Gori je u primjeni od jula 2023. godine i predstavlja ozbiljno usklađivanje sa GDPR standardima: pravne osnove za obradu, prava lica na koje se podaci odnose — pristup, ispravka, brisanje, prigovor — obaveza procjene uticaja na zaštitu podataka za rizičnije obrade, i obaveza prijave povrede podataka nadzornom organu. AZLP sprovodi ovaj zakon i nadzire njegovu primjenu na teritoriji Crne Gore. Za obradu podataka crnogorskih rezidenata, ovo je vaš relevantan i dovoljan pravni okvir.

Crna Gora dodatno produbljuje ovu usklađenost u okviru pregovora o pristupanju EU: u martu 2026. Evropskoj komisiji je dostavljen nacrt zakona koji dodatno usklađuje domaći tekst sa najnovijim razvojem evropskog prava. To je važan korak na putu ka članstvu, ali on ne mijenja osnovnu strukturnu činjenicu o kojoj je ovaj tekst: domaći zakon je nacionalno pravo sa nacionalnim dometom, a GDPR je pravo Evropske unije sa sopstvenim, širim ekstrateritorijalnim dometom. Ta dva domena se preklapaju samo djelimično.

Gdje domaći zakon staje: lica u EU nisu njegov predmet

Crnogorski Zakon o zaštiti podataka o ličnosti reguliše obradu podataka u Crnoj Gori i, u osnovi, štiti lica koja se nalaze na njenoj teritoriji ili čiju obradu vrši obrađivač registrovan u Crnoj Gori u domaćem kontekstu. Ono što taj zakon ne radi jeste da propisuje obaveze crnogorske kompanije prema fizičkim licima koja se nalaze u Evropskoj uniji, kada im ta kompanija nudi robu ili usluge ili prati njihovo ponašanje. Ta situacija je predmet GDPR-a, konkretno njegovog člana 3, stava 2, koji propisuje da se uredba primjenjuje na obrađivača bez sjedišta u EU čim nudi robu ili usluge licima u Uniji ili prati njihovo ponašanje — nezavisno od toga gdje je ta kompanija registrovana ili koji nacionalni zakon inače poštuje.

Predstavnik po članu 27 GDPR-a: pojam koji domaći zakon ne poznaje

Jedna od najkonkretnijih razlika je obaveza imenovanja predstavnika sa sjedištem u Evropskoj uniji, propisana članom 27 GDPR-a, za rukovaoce i obrađivače bez poslovne jedinice u EU čije aktivnosti potpadaju pod član 3(2). Crnogorski zakon ne predviđa ništa slično, jednostavno zato što reguliše drugu situaciju — obradu unutar Crne Gore, ne obradu koju crnogorska kompanija vrši prema licima u EU. Za turističke platforme koje primaju rezervacije iz cijele Evrope, IT-outsourcing firme koje rade za evropske naručioce, izvozne proizvođače koji redovno obrađuju podatke predstavnika svojih evropskih kupaca, i e-trgovce koji šalju robu direktno potrošačima u EU, ova obaveza nije teoretska — to je nešto što evropski partneri sve češće traže da vide dokumentovano prije potpisivanja ugovora.

AI Act: oblast koju domaći zakon uopšte ne dodiruje

Druga, još šira praznina tiče se vještačke inteligencije. Novi Zakon o zaštiti podataka o ličnosti reguliše obradu ličnih podataka — što je relevantno za mnoge sisteme VI, jer oni često obrađuju lične podatke — ali ne reguliše sisteme VI kao takve, nezavisno od toga da li obrađuju lične podatke. Crna Gora trenutno nema domaći horizontalni zakon o vještačkoj inteligenciji. Evropski AI Act, uredba (EU) 2024/1689, ima sopstveni ekstrateritorijalni domet, propisan članom 2, stav 1, tačka (c): primjenjuje se na dobavljače i korisnike sistema VI bez sjedišta u EU, čim se sistem stavlja na tržište EU ili u upotrebu u EU, ili čim se njegov rezultat koristi u EU. To je potpuno odvojen test od GDPR-a — sistem koji ne obrađuje nijedan lični podatak, na primjer alat za predviđanje potražnje ili kontrolu kvaliteta u proizvodnji aluminijuma, može ipak potpasti pod AI Act ako se koristi u vezi sa tržištem EU, iako nikad ne bi potpao pod domaći zakon o zaštiti podataka.

Ovlašćeni predstavnik po AI Actu: paralelna, ne ista obaveza

Kada crnogorska firma nastupa kao dobavljač visokorizičnog sistema VI ili modela opšte namjene koji se stavlja na tržište EU, a nema poslovnu jedinicu u Uniji, član 22 AI Acta zahtijeva imenovanje ovlašćenog predstavnika u EU — obavezu koja postoji nezavisno od predstavnika po članu 27 GDPR-a, čak i kad ih u praksi obavlja ista osoba ili firma. Nijedna od ove dvije obaveze ne proizlazi iz crnogorskog prava; obje proizlaze isključivo iz evropskih tekstova i aktiviraju se samo kada postoji stvarna veza sa tržištem EU.

Šta provjeriti prije nego što pretpostavite da ste pokriveni

• Da li vaša kompanija nudi robu ili usluge, ili prati ponašanje, licima koja se nalaze u Evropskoj uniji — bilo direktno, preko platforme, ili u okviru B2B saradnje sa evropskim partnerom?
• Ako je odgovor da, imate li imenovanog predstavnika u EU po članu 27 GDPR-a, odvojeno od vaše usklađenosti sa domaćim zakonom?
• Koristite li sisteme VI čiji se rezultat koristi u EU ili se sistem stavlja na tržište EU, bez obzira na to da li ti sistemi obrađuju lične podatke?
• Ako da, da li vaša aktivnost potpada pod visokorizičnu kategoriju ili GPAI po AI Actu, i da li vam je potreban ovlašćeni predstavnik po članu 22?
• Da li vaš registar obrade, vođen za potrebe AZLP-a, jasno razlikuje obrade koje se tiču isključivo Crne Gore od onih koje se tiču lica u EU, sa posebno dokumentovanom pravnom osnovom za ove druge?

Opšta informacija, ne pravni savjet

Sve navedeno je opšta informacija namijenjena orijentaciji, a ne pravni savjet prilagođen vašoj konkretnoj situaciji, koja zavisi od vrste vaših obrada, sektora u kojem poslujete i tekućeg razvoja usklađivanja crnogorskog zakona sa evropskim pravom. Kada Komplya objavljuje ovakav sadržaj, jasno razlikujemo ono što je pravno provjereno od onoga što je radni materijal, i preporučujemo da svaku osjetljivu tačku provjerite sa stručnim licem prije donošenja konačne odluke.

Najbrži način da saznate tačno gdje domaći zakon staje, a gdje počinju vaše obaveze po GDPR-u i AI Actu, jeste da pregledate svoju stvarnu djelatnost, obradu po obradu i sistem po sistem. Odgovorite na kratak upitnik o vašim tržištima, obradama podataka i korišćenju vještačke inteligencije i dobićete jasan pregled na razumljivom jeziku vaših obaveza.