GDPR usklađenost u Crnoj Gori – priprema za novi zakon
GDPR konsalting pomaže firmama da mapiraju podatke, urede pravne osnove, ugovore, prava lica, incidente i transfere prema novom zakonu i EU pravilima.
Zatražite GDPR procjenu
GDPR konsalting pomaže firmama da mapiraju podatke, urede pravne osnove, ugovore, prava lica, incidente i transfere prema novom zakonu i EU pravilima.
Zatražite GDPR procjenu
GDPR usklađenost uređuje kako organizacija prikuplja, koristi, čuva, dijeli i štiti podatke o ličnosti. ConsultHQ pomaže kompanijama da se pripreme za Zakon o zaštiti podataka o ličnosti 133/2026 i usklade obradu sa EU GDPR-om kada se on direktno primjenjuje na njihovo poslovanje.
Zakon je objavljen 11. septembra 2026. i stupio je na snagu 19. septembra 2026. Njegova primjena počinje 19. marta 2027, pa organizacije imaju prelazni period da urede procese, dokumentaciju, ugovore i obuke.
Službeni list Crne Gore 133/2026Politika privatnosti sama po sebi ne čini kompaniju usklađenom.
Problem obično nastaje kada organizacija ne može jasno pokazati koje podatke obrađuje, zašto ih koristi, ko im pristupa, koliko dugo ih čuva i kojim ih partnerima prenosi.
Novi crnogorski zakon i EU GDPR traže dokaziv sistem odgovornosti. Cilj angažmana nije samo izrada dokumenata, već povezivanje pravnih zahtjeva sa stvarnim radom HR-a, prodaje, marketinga, IT-a, finansija i menadžmenta.
Crna Gora je novi Zakon o zaštiti podataka o ličnosti već usvojila i objavila u „Službenom listu Crne Gore“ broj 133/2026.
Zakon je stupio na snagu 19. septembra 2026, dok puna primjena počinje 19. marta 2027.
Prelazni period daje kompanijama vrijeme da pregledaju postojeću obradu podataka, odrede odgovornosti i uvedu kontrole prije nego što novi režim počne da se primjenjuje.
Priprema ne treba da se svede na izmjenu jedne politike privatnosti. Potrebno je provjeriti procese, baze podataka, ugovore sa dobavljačima, rokove čuvanja, prava lica, video-nadzor, incidente i druge obrade relevantne za poslovanje.
EU GDPR može direktno obuhvatiti određene obrade kompanije koja nema sjedište u Evropskoj uniji.
To može biti relevantno kada kompanija ciljano nudi robu ili usluge licima u EU ili EEA, prati njihovo ponašanje ili obrađuje podatke za evropskog klijenta pod uslovima koji aktiviraju GDPR obaveze.
Primjenjivost se procjenjuje prema konkretnoj obradi, a ne samo prema mjestu registracije firme.
Sama dostupnost sajta u EU ili jedan povremeni klijent ne daju automatski konačan odgovor. Potrebno je procijeniti tržište koje kompanija cilja, način pružanja usluge, ugovorne odnose i tokove podataka.
Obim projekta zavisi od djelatnosti, količine i osjetljivosti podataka, broja sistema, dobavljača i tržišta na kojima kompanija posluje.
Projekat počinjemo pregledom postojećeg stanja, a ne pisanjem univerzalnog paketa dokumenata.
Analiziramo kako kompanija prikuplja podatke, koje sisteme koristi, ko ima pristup, kojim dobavljačima šalje podatke i kako rješava zahtjeve lica ili incidente.
Rezultat je prioritetan plan aktivnosti.
Jasno razdvajamo ozbiljnije nedostatke od administrativnih poboljšanja, kako bi kompanija prvo riješila obrade koje stvaraju najveći pravni, bezbjednosni ili poslovni rizik.
Kompanija ne može kvalitetno upravljati podacima koje nije identifikovala.
Mapiranje obuhvata podatke zaposlenih, kandidata, kupaca, korisnika, gostiju, poslovnih kontakata i drugih lica, prema stvarnim procesima organizacije.
Za svaku relevantnu obradu određujemo svrhu, pravni osnov, kategorije podataka, primaoce, sisteme, rok čuvanja i odgovorne funkcije.
Tako evidencija aktivnosti obrade postaje upravljački alat, a ne tabela koja se otvara samo pred kontrolu.
Ne treba svakoj kompaniji isti broj politika i procedura.
U zavisnosti od poslovanja, dokumentacija može uključiti evidenciju aktivnosti obrade, obavještenja o privatnosti, raspored rokova čuvanja, procedure za prava lica, postupanje kod povrede podataka, ugovore sa obrađivačima, procjene legitimnog interesa i DPIA dokumentaciju.
Postojeće ugovore, pravilnike i IT procedure prvo pregledamo.
Nove dokumente uvodimo kada postoji konkretna potreba, a ne da bi GDPR fascikla izgledala obimnije.
Cloud platforme, hosting, CRM, računovodstvo, obračun zarada, marketing alati i IT podrška mogu obrađivati podatke u ime kompanije.
Zato nije dovoljno potpisati generički ugovor i pretpostaviti da je rizik prenesen dobavljaču.
Potrebno je utvrditi ulogu partnera, obim obrade, njegove podobrađivače, bezbjednosne mjere, lokacije podataka, način prijave incidenta i postupanje nakon prestanka ugovora.
Kontrola treba da prati stvarni rizik usluge.
Donošenje novog crnogorskog zakona ne predstavlja automatski odluku Evropske komisije o adekvatnosti.
Crna Gora se trenutno ne nalazi na listi jurisdikcija kojima je Evropska komisija priznala adekvatan nivo zaštite prema članu 45 GDPR-a.
Kada evropski klijent ili partner prenosi podatke kompaniji u Crnoj Gori, može biti potreban odgovarajući mehanizam iz Poglavlja V GDPR-a.
To može uključiti standardne ugovorne klauzule, procjenu konkretnog transfera i dodatne tehničke ili organizacione mjere.
Pregled obuhvata i cloud dobavljače, udaljeni pristup, podobrađivače i dalje prenose podataka.
Status adekvatnosti i potreban mehanizam treba provjeravati prema svakom konkretnom transferu.
Zahtjev za pristup, ispravku, brisanje, ograničenje ili prigovor ne treba da zavisi od toga ko je tog dana otvorio email.
Kompanija treba da zna ko prima zahtjev, kako provjerava identitet, gdje traži podatke, ko donosi odluku i kako dokumentuje odgovor.
Prava lica često obuhvataju više sistema i odjeljenja.
Zato procedura treba da poveže pravni rok sa stvarnom organizacijom rada.
Gubitak uređaja, pogrešan email, neovlašćeni pristup, ransomware ili javno dostupan dokument mogu predstavljati povredu podataka o ličnosti.
Kompanija treba unaprijed da definiše tok prijave, procjenu rizika, odgovornosti i dokumentovanje odluke.
Kada se EU GDPR primjenjuje, određene povrede zahtijevaju prijavu nadležnom organu bez nepotrebnog odlaganja, najkasnije u roku od 72 sata nakon saznanja.
Kod obrade koja može stvoriti visok rizik, procjena uticaja na zaštitu podataka treba da se sprovede prije početka ili značajne promjene obrade.
Imenovanje lica za zaštitu podataka treba zasnivati na zakonskim kriterijumima i stvarnom obimu obrade.
Kompanija ne treba da imenuje DPO samo zato da bi na sajtu imala kontakt adresu.
Kada obaveza postoji, funkcija mora imati odgovarajuću stručnost, nezavisnost, resurse i pristup rukovodstvu.
Za kompanije koje potpadaju pod teritorijalnu primjenu EU GDPR-a posebno se procjenjuje i eventualna obaveza imenovanja predstavnika u Evropskoj uniji.
ConsultHQ u okviru ove usluge procjenjuje potrebu i pomaže pri organizovanju funkcije. Ova usluga ne podrazumijeva automatsko imenovanje ConsultHQ-a za DPO-a ili predstavnika u EU.
Rezultat angažmana treba da bude sistem koji zaposleni mogu primjenjivati i održavati.
ConsultHQ pomaže kompaniji da razumije zahtjeve, identifikuje nedostatke i uvede dokumentovane kontrole.
Ne izdajemo zvanični GDPR sertifikat, ne postupamo kao nadzorni organ i ne garantujemo ishod regulatornog postupka.
Kada projekat zahtijeva formalno pravno mišljenje, zastupanje ili specijalizovanu tehničku procjenu, potrebno je uključiti odgovarajućeg pravnog ili tehničkog stručnjaka.
Naša uloga je da zahtjeve prevedemo u procese, odgovornosti, dokumentaciju i obuke koje kompanija može koristiti u svakodnevnom radu.
Realna poteškoća GDPR projekta jeste to što se podaci ne nalaze samo u jednom odjeljenju.
HR, prodaja, marketing, IT, finansije i uprava često koriste različite sisteme i dobavljače.
Zato implementaciju organizujemo po prioritetima i fazama.
Kompanija prvo rješava obrade sa većim rizikom, a zatim sistematski uređuje preostalu dokumentaciju i kontrole.
Kompanije u Crnoj Gori sada imaju konkretan rok za pripremu prije početka primjene novog zakona 19. marta 2027.
ConsultHQ kroz početnu GDPR gap analizu može utvrditi koje obrade i dokumenti već odgovaraju zahtjevima, gdje postoje stvarni nedostaci i kojim redosljedom ih treba riješiti.
Početna procjena pomaže da utvrdimo obim i sljedeće korake bez pretpostavki o vašem poslovanju.
Zatražite GDPR procjenu