A Noruega é membro do Espaço Econômico Europeu, mas não da União Europeia. A consequência prática para clientes de hospedagem é significativa e subestimada. O Tribunal de Justiça da União Europeia não tem jurisdição direta sobre um operador norueguês; instrumentos secundários da UE que não foram incorporados ao acordo EEA não vinculam a Noruega; e a Noruega retém autoridade nacional independente sobre a aplicação da proteção de dados.
Isso não é uma brecha legal — a Noruega tem o GDPR em vigor por meio do acordo EEA, e o Datatilsynet é um regulador competente e ativo. O que ele oferece ao cliente é um segundo fórum jurídico soberano estreitamente alinhado com as normas de privacidade da UE, mas livre da legislação exclusiva da UE que o restante do bloco possa vir a aprovar.
Sobre o GDPR incorporado ao EEA está o Artigo 100 da Constituição Norueguesa, originalmente redigido em 1814 e substancialmente revisado em 2004. Garante a liberdade de expressão e a proteção da infraestrutura de comunicações de ações estatais arbitrárias — e é, como os equivalentes sueco e finlandês, escrito acima do estatuto ordinário, não abaixo dele.
Um VPS em Oslo fica, portanto, dentro de uma jurisdição que combina o rigor da proteção de dados europeia, a independência de um soberano fora da UE, e um compromisso constitucional com a liberdade de expressão que antecede quase todas as outras constituições escritas do continente. Três atributos raros, em uma democracia Nordic estável.