Norway.
Ekspresi Pasal 100. EEA di dalam, EU di luar. Lindung nilai yang nyata.

Pasal 100 Grunnloven (Konstitusi Norwegia, tertanggal 17 Mei 1814) mengalami reformasi besar melalui amandemen 2004 dan kini termasuk salah satu klausul kebebasan pers yang paling luas di Eropa. Ayat 1 menyatakan "Kebebasan berekspresi dijamin." Ayat 2 melarang pembatasan awal dan tanggung jawab pascapublikasi kecuali dalam kasus-kasus sempit yang ditetapkan secara perundang-undangan dan harus dapat dibenarkan dalam masyarakat yang bebas. Ayat 4 mengkodifikasikan hak akses terhadap dokumen negara dan kotamadya. Ayat 6 mewajibkan otoritas negara untuk menciptakan kondisi yang mendukung wacana publik yang terbuka dan terinformasi. Reformasi 2004 disusun oleh komisi parlemen (Ytringsfrihetskommisjonen) dan umumnya dibaca sebagai pengkonstitusionalan kewajiban positif negara untuk mendukung, bukan sekadar menoleransi, kebebasan berekspresi.

Norway adalah anggota European Economic Area (EEA) tetapi bukan anggota Uni Eropa. GDPR (Regulation (EU) 2016/679) berlaku di Norway melalui Keputusan 154/2018 dari EEA Joint Committee, yang mengintegrasikannya ke dalam Annex XI Perjanjian EEA; diterapkan secara domestik oleh Personopplysningsloven (LOV-2018-06-15-38). Kewajiban substantifnya identik dengan yang dihadapi penyedia berbasis EU: minimisasi Pasal 5, penghapusan Pasal 17, rezim hak GDPR penuh. Perbedaan strukturalnya bersifat yurisdiksi: pengadilan Norway menginterpretasikan GDPR melalui Pengadilan EFTA (prinsip homogenitas) alih-alih referensi awal langsung ke Court of Justice of the European Union (CJEU). Dalam praktiknya Pengadilan EFTA mengikuti putusan CJEU secara ketat, namun secara institusional berbeda dan Mahkamah Agung Norway (Høyesterett) tetap memegang otoritas interpretatif tertinggi.

Inilah keunggulan struktural yang layak dijelaskan secara tepat. Paket e-Evidence EU (Regulation (EU) 2023/1543 dan arahan pendampingnya) menciptakan European Production Orders dan European Preservation Orders yang dapat dilayangkan oleh satu Negara Anggota langsung kepada penyedia layanan di Negara Anggota lain, dengan jendela respons yang relatif singkat. Norway bukan Negara Anggota EU dan bukan pihak dalam e-Evidence. Permintaan lintas batas yang ditujukan ke server di Oslo karenanya melalui saluran yang lebih lama, lebih lambat, dan diawasi yudisial: Konvensi MLA EU 2000 (Norway berasosiasi melalui Schengen), instrumen Dewan Eropa, atau MLAT bilateral. Tidak ada yang secepat atau selangsung e-Evidence. Ini bukan ketidakjelasan; ini adalah hambatan prosedural.

Datatilsynet adalah Otoritas Perlindungan Data Norwegia yang berkantor pusat di Oslo. Dalam survei yang dipublikasikan (terutama laporan penegakan tahunan EDRi), lembaga ini secara konsisten masuk di antara otoritas perlindungan data Eropa yang paling tegas. Tindakan besar terbarunya mencakup denda Grindr (2021, NOK 65 juta karena penanganan persetujuan yang melanggar hukum), keputusan iklan berbasis perilaku Meta (2023, yang berujung pada penangguhan sementara iklan berbasis perilaku di Facebook dan Instagram di seluruh UE/EEA melalui prosedur darurat EDPB), dan penegakan berkelanjutan terhadap penyalahgunaan biometrik. Bagi pelanggan, ini berarti hak GDPR bukan sekadar diadopsi lewat perjanjian — hak itu ditegakkan secara aktif oleh regulator yang terbukti berani bertindak.

Politiets sikkerhetstjeneste (PST) adalah Dinas Keamanan Kepolisian Norwegia, badan keamanan dalam negeri dan kontra-intelijen. Etterretningstjenesten (E-tjenesten) adalah dinas intelijen militer luar negeri. PST bekerja berdasarkan Undang-Undang Kepolisian dan Undang-Undang Dinas Intelijen Sipil 2016 dengan pengawasan parlemen oleh Komite EOS. Undang-Undang Dinas Intelijen 2020 (etterretningstjenesteloven) memberi E-tjenesten kewenangan baru untuk pengumpulan massal lalu lintas lintas batas — kewenangan ini digugat di Pengadilan Hak Asasi Manusia Eropa pada 2021 yang menemukan kekurangan prosedural; Parlemen Norwegia mengesahkan amendemen pada 2023 untuk mengatasinya. Rezim saat ini menyasar kontra-terorisme dan kontra-intelijen pada arus lintas batas, bukan pelanggan hosting biasa; seperti di mana pun, tidak ada yurisdiksi yang menggantikan enkripsi di lapisan aplikasi terhadap lawan setingkat negara.

Ini adalah perdebatan aktif yang layak disampaikan secara jujur. Norway mengimplementasikan Arahan Penyimpanan Data EU (2006/24/EC) pada 2011, namun menangguhkannya sebelum berlaku setelah putusan CJEU Digital Rights Ireland (2014) membatalkan arahan tersebut. Sejak 2022 ada usulan berkala dari Kementerian Kehakiman untuk memperkenalkan kembali penyimpanan alamat IP yang ditargetkan untuk investigasi kejahatan serius. Per tanggal artikel ini tidak ada kewajiban penyimpanan umum yang berlaku bagi penyedia hosting di Norway. NordBastion tidak tunduk pada penyimpanan massal; kami hanya menyimpan apa yang diperlukan secara operasional, sesuai jadwal yang dipublikasikan dalam laporan transparansi. Jika lanskap hukum berubah secara material, warrant canary akan mencerminkannya.

Norwegia adalah anggota pendiri NATO sejak 1949 dan menampung infrastruktur sekutu yang besar. Keanggotaan NATO, dengan sendirinya, tidak menciptakan kewajiban proses hukum lintas batas terhadap pelanggan hosting; ia beroperasi di lapisan militer dan intelijen, bukan di jalur proses hukum biasa yang sampai ke pusat data di Oslo. Pembingkaian yang jujur sama seperti untuk SÄPO di Swedia atau Supo di Finlandia: kerja sama intelijen sinyal memang ada, dibatasi oleh undang-undang domestik dan pengawasan parlemen, dan bukan risiko sehari-hari yang dihadapi beban kerja hosting biasa — tetapi ia bagian nyata dari gambaran jika beban kerja tersebut benar-benar menarik lawan setingkat negara.

Hanya melalui perintah pengadilan Norway, atas nama subjek tertentu, untuk data yang benar-benar kami simpan — dan irisan itu sengaja dibuat sempit. Undang-Undang Hukum Acara Pidana Norway (Straffeprosessloven) mensyaratkan pengawasan yudisial untuk perintah produksi. Undang-Undang Tanggung Jawab Media Norway (Lov om redaksjonell uavhengighet og ansvar i redaktørstyrte journalistiske medier, 2020) dan Pasal § 125 Undang-Undang Hukum Acara Pidana menciptakan hak istimewa perlindungan sumber yang kuat bagi jurnalis dan kolaborator editorial. Bagi pelanggan hosting biasa, batasnya adalah apa yang tidak ada: kami tidak mengumpulkan identitas saat pendaftaran, kami tidak menyimpan data kartu pembayaran, dan log infrastruktur disimpan sesuai rotasi yang dipublikasikan. Yang tidak ada tidak dapat dipaksakan.

Di bawah prinsip homogenitas EEA (Pasal 6 EEA, Pasal 3 Perjanjian ESA-Pengadilan), Pengadilan EFTA wajib menafsirkan hukum EU yang diinkorporasikan dalam EEA secara konsisten dengan putusan CJEU — baik yang dikeluarkan sebelum Perjanjian EEA maupun, dalam praktiknya, yang dikeluarkan setelahnya. Lingkungan pasca-Schrems II adalah uji kasus nyata: putusan CJEU tentang kecukupan transfer data (Schrems II, C-311/18, 2020; Meta v. Bundeskartellamt, C-252/21, 2023) masuk ke dalam hukum Norwegia melalui interpretasi Pengadilan EFTA, namun pengadilan Norwegia memiliki satu langkah prosedural tambahan di mana eksekutif dapat, pada prinsipnya, menggunakan reservasi EEA. Dalam praktiknya hal ini jarang digunakan untuk hukum perlindungan data; disebutkan untuk kelengkapan.