La Norvège est membre de l'Espace économique européen mais pas de l'Union européenne. La conséquence pratique pour les clients d'hébergement est significative et sous-appréciée. La Cour de justice de l'Union européenne n'a pas de juridiction directe sur un opérateur norvégien ; les instruments secondaires UE qui n'ont pas été incorporés dans l'accord EEE ne lient pas la Norvège ; et la Norvège conserve une autorité nationale indépendante sur l'application de la protection des données.
Ce n'est pas une échappatoire juridique — la Norvège a le RGPD en vigueur via l'accord EEE, et le Datatilsynet est un régulateur compétent et actif. Ce que cela offre à un client, c'est un second forum juridique souverain étroitement aligné sur les normes de confidentialité de l'UE mais libre de la législation proprement européenne que le reste du bloc pourrait adopter.
Par-dessus le GDPR incorporé dans l'EEE se trouve l'Article 100 de la Constitution norvégienne, rédigé à l'origine en 1814 et substantiellement révisé en 2004. Il garantit la liberté d'expression et la protection de l'infrastructure de communications contre l'action arbitraire de l'État — et il est, comme les équivalents suédois et finlandais, écrit au-dessus du statut ordinaire, pas en dessous.
Un VPS à Oslo se trouve donc dans une juridiction qui combine la rigueur de la protection des données européenne, l'indépendance d'un souverain hors UE, et un engagement constitutionnel pour la liberté d'expression qui précède presque toutes les autres constitutions écrites du continent. Trois attributs rares, dans une démocratie nordique stable.