नॉर्वे।
अनुच्छेद 100 की अभिव्यक्ति। EEA के भीतर, EU के बाहर। वह बचाव जो असली है।

Grunnloven (नॉर्वे का संविधान, दिनांक 17 मई 1814) के अनुच्छेद 100 में 2004 के संशोधनों से बड़े बदलाव हुए और अब यह यूरोप के सबसे व्यापक प्रेस-स्वतंत्रता प्रावधानों में गिना जाता है। पैराग्राफ 1 कहता है: "अभिव्यक्ति की स्वतंत्रता होगी।" पैराग्राफ 2 पूर्व-प्रतिबंध और प्रकाशन के बाद के दायित्व पर रोक लगाता है, सिवाय उन सीमित, कानून में परिभाषित मामलों के जो स्वयं एक स्वतंत्र समाज में न्यायोचित होने चाहिए। पैराग्राफ 4 राज्य और नगरपालिकाओं के दस्तावेज़ों तक पहुँच के अधिकार को संहिताबद्ध करता है। पैराग्राफ 6 राज्य के अधिकारियों पर ऐसी परिस्थितियाँ बनाने का सकारात्मक दायित्व डालता है जो खुले और सूचित सार्वजनिक विमर्श को सुगम बनाएँ। 2004 का सुधार एक संसदीय आयोग (Ytringsfrihetskommisjonen) ने तैयार किया था और इसे आम तौर पर इस रूप में पढ़ा जाता है कि इसने राज्य पर स्वतंत्र अभिव्यक्ति को केवल सहन करने का नहीं, बल्कि उसका समर्थन करने का सकारात्मक कर्तव्य संवैधानिक रूप से स्थापित किया।

नॉर्वे यूरोपीय आर्थिक क्षेत्र (EEA) का सदस्य है, लेकिन यूरोपीय संघ का नहीं। GDPR (Regulation (EU) 2016/679) नॉर्वे में EEA संयुक्त समिति के निर्णय 154/2018 के माध्यम से लागू होता है, जिसने इसे EEA समझौते के Annex XI में शामिल किया; घरेलू स्तर पर इसे Personopplysningsloven (LOV-2018-06-15-38) द्वारा लागू किया गया है। मूल दायित्व वही हैं जो किसी EU-आधारित प्रदाता पर लागू होते हैं: Article 5 न्यूनीकरण, Article 17 मिटाने का अधिकार, और GDPR अधिकारों की पूरी व्यवस्था। संरचनात्मक अंतर न्यायक्षेत्र का है: नॉर्वे की अदालतें GDPR की व्याख्या यूरोपीय संघ के न्यायालय (CJEU) को सीधे प्रारंभिक संदर्भ भेजने के बजाय EFTA Court (समरूपता सिद्धांत) के माध्यम से करती हैं। व्यवहार में EFTA Court CJEU के फ़ैसलों का बारीकी से अनुसरण करता है, लेकिन यह संस्थागत रूप से अलग है और नॉर्वे का सर्वोच्च न्यायालय (Høyesterett) अंतिम व्याख्या का अधिकार अपने पास रखता है।

यही वह संरचनात्मक लाभ है जिसके बारे में सटीक होना ज़रूरी है। EU का e-Evidence पैकेज (Regulation (EU) 2023/1543 और साथ का निर्देश) European Production Orders और European Preservation Orders बनाता है, जिन्हें एक सदस्य देश दूसरे सदस्य देश के सेवा प्रदाता पर सीधे तामील कर सकता है, और जवाब देने की समय-सीमा अपेक्षाकृत छोटी होती है। नॉर्वे EU का सदस्य देश नहीं है और e-Evidence का पक्षकार भी नहीं है। इसलिए ओस्लो के किसी सर्वर को लक्षित सीमा-पार अनुरोध पुराने, धीमे और न्यायिक निगरानी वाले रास्तों से गुज़रते हैं: 2000 का EU MLA कन्वेंशन (नॉर्वे Schengen के ज़रिए जुड़ा है), Council of Europe के साधन, या द्विपक्षीय MLAT। इनमें से कोई भी e-Evidence जितना तेज़ या सीधा नहीं है। यह अदृश्यता नहीं है; यह प्रक्रियागत घर्षण है।

Datatilsynet नॉर्वे का डेटा संरक्षण प्राधिकरण है, जिसका मुख्यालय ओस्लो में है। प्रकाशित सर्वेक्षणों (विशेषकर EDRi की वार्षिक प्रवर्तन रिपोर्टों) में इसे लगातार यूरोप के सबसे सक्रिय DPA में गिना जाता है। हाल की प्रमुख कार्रवाइयों में Grindr पर जुर्माना (2021, अवैध सहमति-प्रबंधन के लिए NOK 65M), Meta के व्यवहार-आधारित विज्ञापन पर निर्णय (2023, जिसके चलते EDPB की आपात प्रक्रिया के ज़रिए पूरे EU/EEA में Facebook और Instagram पर व्यवहार-आधारित विज्ञापन अस्थायी रूप से निलंबित हुए), और बायोमेट्रिक अतिक्रमण पर जारी प्रवर्तन शामिल हैं। ग्राहक के लिए इसका अर्थ है कि GDPR अधिकार केवल संधि के ज़रिए शामिल नहीं किए गए हैं — उन्हें एक ऐसा नियामक सक्रिय रूप से लागू करता है जिसकी कार्रवाई करने की इच्छा सार्वजनिक रूप से दर्ज है।

Politiets sikkerhetstjeneste (PST) नॉर्वे की पुलिस सुरक्षा सेवा है — घरेलू सुरक्षा और प्रति-खुफिया एजेंसी। Etterretningstjenesten (E-tjenesten) विदेशी सैन्य खुफिया सेवा है। PST पुलिस अधिनियम और 2016 के नागरिक खुफिया सेवा अधिनियम के तहत काम करती है, जिस पर EOS समिति की संसदीय निगरानी रहती है। 2020 के खुफिया सेवा अधिनियम (etterretningstjenesteloven) ने E-tjenesten को सीमा-पार ट्रैफ़िक के थोक संग्रह की नई शक्तियाँ दीं — ये 2021 में यूरोपीय मानवाधिकार न्यायालय में चुनौती का विषय बनीं, जिसमें प्रक्रियागत कमियाँ पाई गईं; नॉर्वे की संसद ने उन्हें दूर करने के लिए 2023 में संशोधन पारित किए। वर्तमान व्यवस्था सीमा-पार प्रवाह पर आतंकवाद-निरोध और प्रति-खुफिया को लक्षित करती है, सामान्य होस्टिंग ग्राहकों को नहीं; और जैसा हर जगह है, किसी राज्य-स्तरीय विरोधी के विरुद्ध कोई भी न्यायक्षेत्र application-layer encryption का विकल्प नहीं है।

यह एक सक्रिय बहस है जिसके बारे में ईमानदार रहना ज़रूरी है। नॉर्वे ने 2011 में EU डेटा रिटेंशन निर्देश (2006/24/EC) को लागू किया, लेकिन CJEU के Digital Rights Ireland फ़ैसले (2014) द्वारा उस निर्देश को रद्द किए जाने के बाद, उसके प्रभावी होने से पहले ही उसे निलंबित कर दिया। 2022 से न्याय मंत्रालय की ओर से गंभीर अपराधों की जाँच के लिए लक्षित IP-पता रिटेंशन को फिर से लागू करने के प्रस्ताव समय-समय पर आते रहे हैं। इस लेख की तारीख तक नॉर्वे में होस्टिंग प्रदाताओं पर कोई सामान्य रिटेंशन दायित्व लागू नहीं है। NordBastion थोक रिटेंशन के अधीन नहीं है; हम केवल वही रखते हैं जो परिचालन के लिए आवश्यक है, और उतने ही समय तक जितना पारदर्शिता रिपोर्ट में प्रकाशित है। यदि कानूनी परिदृश्य में कोई बड़ा बदलाव आता है, तो warrant canary उसे दर्शाएगा।

नॉर्वे 1949 से NATO का संस्थापक सदस्य है और वहाँ मित्र देशों का पर्याप्त बुनियादी ढाँचा मौजूद है। NATO सदस्यता अपने आप में होस्टिंग ग्राहकों के विरुद्ध सीमा-पार कानूनी-प्रक्रिया के दायित्व नहीं बनाती; यह सैन्य और खुफिया स्तरों पर काम करती है, उस सामान्य कानूनी-प्रक्रिया की श्रृंखला में नहीं जो ओस्लो के किसी डेटा सेंटर तक पहुँचती है। ईमानदार तस्वीर वही है जो स्वीडन में SÄPO या फ़िनलैंड में Supo के लिए है: सिग्नल-खुफिया सहयोग मौजूद है, यह घरेलू कानून और संसदीय निगरानी से सीमित है, और यह किसी सामान्य होस्टिंग workload के सामने रोज़मर्रा का जोखिम नहीं है — लेकिन यदि workload वास्तव में राज्य-स्तरीय विरोधियों को आकर्षित करता है, तो यह तस्वीर का एक वास्तविक हिस्सा है।

केवल नॉर्वे की अदालत के आदेश से, किसी नामित व्यक्ति के संबंध में, और सिर्फ़ उस डेटा के लिए जो वास्तव में हमारे पास है — और यह संगम डिज़ाइन से ही बहुत संकीर्ण है। नॉर्वे का दंड प्रक्रिया अधिनियम (Straffeprosessloven) production orders के लिए न्यायिक निगरानी अनिवार्य करता है। नॉर्वे का Media Liability Act (Lov om redaksjonell uavhengighet og ansvar i redaktørstyrte journalistiske medier, 2020) और दंड प्रक्रिया अधिनियम का § 125 पत्रकारों और संपादकीय सहयोगियों के लिए एक मज़बूत स्रोत-संरक्षण विशेषाधिकार बनाते हैं। सामान्य होस्टिंग ग्राहकों के लिए असली बाध्यकारी सीमा वह है जो मौजूद ही नहीं है: हम साइनअप के समय पहचान नहीं लेते, भुगतान-कार्ड का डेटा नहीं रखते, और बुनियादी ढाँचे के लॉग प्रकाशित rotation के अनुसार ही रखे जाते हैं। जो मौजूद ही नहीं, उसे बाध्य करके नहीं लिया जा सकता।

EEA समरूपता सिद्धांत (Article 6 EEA, Article 3 ESA-Court Agreement) के तहत EFTA Court EEA में शामिल EU कानून की व्याख्या CJEU के फ़ैसलों के अनुरूप करने के लिए बाध्य है — EEA समझौते से पहले दिए गए फ़ैसलों के भी और, व्यवहार में, बाद में दिए गए फ़ैसलों के भी। Schrems II के बाद का माहौल इसकी जीवंत परीक्षा है: डेटा-स्थानांतरण की पर्याप्तता पर CJEU के फ़ैसले (Schrems II, C-311/18, 2020; Meta v. Bundeskartellamt, C-252/21, 2023) EFTA Court की व्याख्या के ज़रिए नॉर्वे के कानून में आते हैं, लेकिन नॉर्वे की अदालतों में एक अतिरिक्त प्रक्रियागत चरण होता है, जहाँ कार्यपालिका सैद्धांतिक रूप से EEA आरक्षणों का प्रयोग कर सकती है। व्यवहार में डेटा-संरक्षण कानून के लिए इसका उपयोग शायद ही कभी होता है; इसका उल्लेख केवल पूर्णता के लिए किया गया है।