Norvège.
Expression de l'article 100. EEE à l'intérieur, UE à l'extérieur. La protection réelle.

L'article 100 du Grunnloven (Constitution norvégienne, datée du 17 mai 1814) a été substantiellement réformé par les amendements de 2004 et constitue désormais l'une des clauses les plus étendues sur la liberté de la presse en Europe. L'alinéa 1 dispose : « La liberté d'expression est garantie. » L'alinéa 2 interdit la censure préalable et la responsabilité post-publication, sauf dans des cas étroitement définis par la loi et qui doivent eux-mêmes être justifiables dans une société libre. L'alinéa 4 consacre le droit d'accès aux documents de l'État et des communes. L'alinéa 6 impose aux autorités publiques une obligation positive de créer les conditions d'un débat public ouvert et éclairé. La réforme de 2004 a été rédigée par une commission parlementaire (la Ytringsfrihetskommisjonen) et est généralement interprétée comme constitutionnalisant un devoir positif de l'État de soutenir, et pas seulement de tolérer, la liberté d'expression.

La Norvège est membre de l'Espace économique européen (EEE) mais pas de l'Union européenne. Le RGPD (Règlement (UE) 2016/679) s'applique en Norvège via la Décision 154/2018 du Comité mixte de l'EEE, qui l'a intégré à l'Annexe XI de l'Accord EEE ; il est mis en œuvre nationalement par Personopplysningsloven (LOV-2018-06-15-38). Les obligations de fond sont identiques à celles d'un prestataire établi dans l'UE : minimisation au titre de l'Article 5, effacement au titre de l'Article 17, l'intégralité du régime des droits RGPD. La différence structurelle est juridictionnelle : les tribunaux norvégiens interprètent le RGPD via la Cour AELE (principe d'homogénéité) plutôt que par des renvois préjudiciels directs à la Cour de justice de l'Union européenne (CJUE). En pratique, la Cour AELE suit de près les arrêts de la CJUE, mais elle est institutionnellement distincte et la Cour suprême norvégienne (Høyesterett) conserve l'autorité interprétative finale.

C'est l'avantage structurel sur lequel il vaut la peine d'être précis. Le paquet e-Evidence de l'UE (Règlement (UE) 2023/1543 et la directive d'accompagnement) crée des Ordonnances européennes de production et des Ordonnances européennes de conservation qu'un État membre peut notifier directement à un prestataire de services dans un autre État membre, avec des délais de réponse relativement courts. La Norvège n'est pas un État membre de l'UE et n'est pas partie à e-Evidence. Les demandes transfrontalières visant un serveur à Oslo passent donc par des canaux plus anciens, plus lents et soumis à supervision judiciaire : la Convention d'entraide judiciaire de l'UE de 2000 (la Norvège y est associée via Schengen), les instruments du Conseil de l'Europe, ou les MLAT bilatéraux. Aucun de ces canaux n'est aussi rapide ou direct que e-Evidence. Ce n'est pas l'invisibilité ; c'est une friction procédurale.

Datatilsynet est l'Autorité norvégienne de protection des données, dont le siège est à Oslo. Elle est régulièrement classée parmi les APD européennes les plus actives dans les enquêtes publiées (notamment les rapports annuels de mise en application d'EDRi). Parmi ses actions récentes les plus marquantes figurent l'amende Grindr (2021, 65 millions NOK pour gestion illicite du consentement), la décision sur la publicité comportementale de Meta (2023, ayant conduit à la suspension temporaire de la publicité comportementale sur Facebook et Instagram dans l'UE/EEE via la procédure d'urgence du CEPD), ainsi qu'une mise en application continue contre les abus biométriques. Pour un client, cela signifie que les droits GDPR ne sont pas seulement intégrés par traité — ils sont activement appliqués par un régulateur ayant affiché sa volonté d'agir.

Politiets sikkerhetstjeneste (PST) est le Service de sécurité de la police norvégienne, l'agence de sécurité intérieure et de contre-espionnage. Etterretningstjenesten (E-tjenesten) est le service de renseignement militaire extérieur. Le PST opère dans le cadre de la Loi sur la police et de la Loi de 2016 sur le service de renseignement civil, sous la supervision parlementaire du Comité EOS. La Loi de 2020 sur les services de renseignement (etterretningstjenesteloven) a accordé à E-tjenesten de nouveaux pouvoirs de collecte en masse du trafic transfrontalier — ceux-ci ont fait l'objet d'un recours devant la Cour européenne des droits de l'homme en 2021 qui a relevé des insuffisances procédurales ; le Parlement norvégien a adopté des amendements en 2023 pour y remédier. Le régime actuel cible la lutte contre le terrorisme et le contre-espionnage sur les flux transfrontaliers, et non les clients d'hébergement ordinaires ; comme ailleurs, aucune juridiction ne remplace le chiffrement au niveau applicatif face à un adversaire étatique.

Il s'agit d'un débat actif sur lequel il vaut la peine d'être honnête. La Norvège a mis en œuvre la Directive européenne sur la conservation des données (2006/24/CE) en 2011, mais l'a suspendue avant son entrée en vigueur après que l'arrêt Digital Rights Ireland de la CJUE (2014) a annulé la directive. Depuis 2022, le Ministère de la Justice a périodiquement proposé de réintroduire la conservation ciblée des adresses IP pour les enquêtes sur les crimes graves. À la date de cet article, aucune obligation générale de conservation ne s'applique aux hébergeurs en Norvège. NordBastion n'est pas soumis à la conservation en masse ; nous ne conservons que ce qui est opérationnellement nécessaire, selon les calendriers publiés dans le rapport de transparence. Si le paysage juridique change substantiellement, le warrant canary le reflétera.

La Norvège est membre fondateur de l'OTAN depuis 1949 et héberge d'importantes infrastructures alliées. L'appartenance à l'OTAN ne crée pas, en soi, d'obligations de procédure légale transfrontalière à l'encontre des clients d'hébergement ; elle opère au niveau militaire et du renseignement, et non dans le pipeline de procédure légale ordinaire qui atteint un centre de données à Oslo. L'analyse honnête est la même que pour le SÄPO en Sweden ou le Supo en Finland : la coopération en matière de renseignement de signaux existe, elle est encadrée par la législation nationale et la supervision parlementaire, et ce n'est pas le risque quotidien d'une charge de travail d'hébergement ordinaire — mais c'est un élément réel du tableau si la charge de travail attire réellement des adversaires étatiques.

Uniquement par une ordonnance judiciaire norvégienne, portant sur un sujet nommé, pour des données que nous détenons réellement — et cette intersection est étroite par conception. Le Code de procédure pénale norvégien (Straffeprosessloven) exige une supervision judiciaire pour les ordonnances de production. La Loi norvégienne sur la responsabilité des médias (Lov om redaksjonell uavhengighet og ansvar i redaktørstyrte journalistiske medier, 2020) et l'Article 125 du Code de procédure pénale créent un fort privilège de protection des sources pour les journalistes et les collaborateurs éditoriaux. Pour les clients d'hébergement ordinaires, la limite contraignante est ce qui n'existe pas : nous ne collectons pas d'identité à l'inscription, nous ne conservons pas les données de carte de paiement, et les journaux d'infrastructure sont conservés selon la rotation publiée. Ce qui n'existe pas ne peut être contraint.

En vertu du principe d'homogénéité de l'EEE (article 6 EEE, article 3 de l'accord ESA-Cour), la Cour de l'AELE est tenue d'interpréter le droit de l'UE incorporé dans l'EEE de manière cohérente avec les arrêts de la CJUE — tant ceux rendus avant l'accord EEE que, dans la pratique, ceux rendus après. L'environnement post-Schrems II est le cas de test en cours : les arrêts de la CJUE sur l'adéquation des transferts de données (Schrems II, C-311/18, 2020 ; Meta c. Bundeskartellamt, C-252/21, 2023) s'intègrent dans le droit norvégien via l'interprétation de la Cour de l'AELE, mais les tribunaux norvégiens disposent d'une étape procédurale supplémentaire où l'exécutif peut, en principe, exercer des réserves EEE. Dans la pratique, cela est rarement utilisé pour le droit de la protection des données ; c'est mentionné par souci d'exhaustivité.