L'ancora costituzionale norvegese per la libera espressione è la Sezione 100 della Grunnloven, riscritta in modo completo nel 2004 per diventare una delle clausole sulla parola più esplicite d'Europa. Sancisce la libertà di espressione come diritto fondamentale, proibisce la censura preventiva per nome e protegge il diritto di ricevere e impartire informazioni. La Corte Suprema norvegese la legge accanto alla giurisprudenza CEDU Articolo 10, che dà a giornalisti ed editori un robusto diritto di rifiutare di rivelare l'identità di una fonte anonima — letta in chiave di operatore di infrastruttura, quella dottrina rinforza lo stesso modello sotto cui NordBastion si muove per scelta.
Il vantaggio strutturale della Norvegia, tuttavia, non è la Costituzione — è la postura SEE-senza-UE. Il GDPR si applica in Norvegia tramite incorporazione SEE, così i clienti ottengono gli stessi diritti di minimizzazione Articolo 5 e cancellazione Articolo 17 come in qualsiasi paese UE, applicati dal Datatilsynet, uno dei DPA più attivi del continente. Ma la Norvegia è fuori dalla giurisdizione diretta della Corte di Giustizia Europea. Le sentenze schrems-style sulla condivisione di dati transfrontaliera, il regolamento UE e-Evidence, i framework UE di ordini di produzione — nessuno di quelli si applica automaticamente. Standard di livello UE, distanza regolatoria dagli strumenti di enforcement di livello UE. Quella combinazione è rara.
Aggiunga a questo il clima. La Norvegia ha trascorso due decenni vicino alla cima di ogni indice di libertà di stampa e stato di diritto pubblicato. I tribunali sono indipendenti, l'esecutivo è vincolato dallo statuto, e l'ecosistema dei diritti digitali (EFN, il Comitato di Sorveglianza dell'Ordine degli Avvocati norvegese) è attivo e ben rispettato. Per un operatore di infrastruttura quel clima conta: le protezioni legali contano solo se sono applicate in modo affidabile, e in Norvegia lo sono.