Норвегия.
Выражение по Разделу 100. ЕЭП внутри, ЕС снаружи. Реальная защита.

Раздел 100 Grunnloven (норвежская Конституция от 17 мая 1814 года) был существенно реформирован поправками 2004 года и теперь читается как одна из более широких клаузул свободы прессы в Европе. Пункт 1 гласит «Должна быть свобода выражения.» Пункт 2 запрещает предварительный запрет и ответственность после публикации, кроме узких, статутно определённых случаев, которые сами должны быть оправданы в свободном обществе. Пункт 4 кодифицирует право доступа к документам государства и муниципалитетов. Пункт 6 налагает позитивное обязательство на государственные органы создавать условия, способствующие открытому и информированному публичному дискурсу. Реформа 2004 года была составлена парламентской комиссией (Ytringsfrihetskommisjonen) и обычно читается как конституционализирующая позитивную обязанность государства поддерживать, а не просто терпеть, свободное выражение.

Норвегия — член Европейского экономического пространства (ЕЭП), но не Европейского союза. GDPR (Регламент (ЕС) 2016/679) применяется в Норвегии через Решение 154/2018 Совместного комитета ЕЭП, включившее его в Приложение XI Соглашения о ЕЭП; внутренне он реализован через Personopplysningsloven (LOV-2018-06-15-38). Материальные обязательства идентичны тем, с которыми сталкивается провайдер, базирующийся в ЕС: минимизация по статье 5, удаление по статье 17, полный режим прав GDPR. Структурное отличие юрисдикционное: норвежские суды интерпретируют GDPR через EFTA Court (принцип гомогенности), а не через прямые преюдициальные обращения в Court of Justice of the European Union (CJEU). На практике EFTA Court близко отслеживает решения CJEU, но институционально отличается, и Верховный суд Норвегии (Høyesterett) сохраняет окончательную интерпретирующую власть.

Это структурное преимущество, в котором стоит быть точным. Пакет EU e-Evidence (Регламент (ЕС) 2023/1543 и сопроводительная директива) создаёт European Production Orders и European Preservation Orders, которые одно государство-член может вручать напрямую сервис-провайдеру в другом государстве-члене, с сравнительно короткими окнами ответа. Норвегия не является государством-членом ЕС и не участвует в e-Evidence. Трансграничные запросы, направленные на сервер в Осло, поэтому идут через более старые, более медленные, судебно надзираемые каналы: Конвенция EU MLA 2000 года (Норвегия ассоциирована через Шенген), инструменты Совета Европы или двусторонние MLAT. Ни один из них не так быстр и не так прям, как e-Evidence. Это не невидимость; это процедурное трение.

Datatilsynet — норвежский орган по защите данных со штаб-квартирой в Осло. Он последовательно занимает место среди более напористых европейских DPA в публикуемых обзорах (в частности, ежегодных отчётах EDRi по enforcement). Недавние громкие действия включают штраф Grindr (2021 год, 65 млн NOK за незаконную обработку согласия), решение по поведенческой рекламе Meta (2023 год, приведшее к временной приостановке поведенческой рекламы на Facebook и Instagram по всему ЕС/ЕЭП через процедуру срочности EDPB) и продолжающийся enforcement по биометрическим превышениям. Для клиента это означает, что права GDPR не просто инкорпорированы договором — они активно обеспечиваются регулятором с публикуемой готовностью действовать.

Politiets sikkerhetstjeneste (PST) — норвежская Полицейская служба безопасности, внутреннее агентство безопасности и контрразведки. Etterretningstjenesten (E-tjenesten) — внешняя военная разведка. PST работает по Полицейскому акту и Акту о гражданской разведывательной службе 2016 года с парламентским надзором со стороны Комитета EOS. Акт о разведывательной службе 2020 года (etterretningstjenesteloven) дал E-tjenesten новые полномочия для массового сбора трансграничного трафика — они стали предметом вызова в Европейском суде по правам человека в 2021 году, выявившем процедурные недостатки; Норвежский парламент принял поправки в 2023 году для их устранения. Действующий режим нацелен на противодействие терроризму и контрразведку на трансграничных потоках, а не на обычных клиентов хостинга; как и в других местах, ни одна юрисдикция не заменяет шифрование на уровне приложения против противника-государства.

Это активная дискуссия, о которой стоит быть честным. Норвегия реализовала Директиву ЕС о хранении данных (2006/24/EC) в 2011 году, но приостановила её до вступления в силу после того, как решение CJEU по Digital Rights Ireland (2014) отменило директиву. С 2022 года были периодические предложения Министерства юстиции по реинтродукции целевого хранения IP-адресов для расследований серьёзных преступлений. На дату этой статьи общее обязательство по хранению не применяется к хостинг-провайдерам в Норвегии. NordBastion не подлежит массовому хранению; мы храним только то, что операционно необходимо, по графикам, опубликованным в отчёте о прозрачности. Если правовой ландшафт существенно изменится, warrant canary это отразит.

Норвегия — основатель и член NATO с 1949 года, размещает существенную инфраструктуру союзников. Членство в NATO само по себе не создаёт обязательств трансграничного правового процесса против клиентов хостинга; оно работает на военном и разведывательном уровнях, а не в обычной правовой трубе, дотягивающейся до дата-центра в Осло. Честная формулировка та же, что и для SÄPO в Швеции или Supo в Финляндии: сотрудничество в области signals intelligence существует, оно ограничено внутренним законом и парламентским надзором, и это не повседневный риск, стоящий перед обычной хостинговой нагрузкой, — но это реальная часть картины, если нагрузка действительно привлекает противников-государств.

Только через норвежский судебный ордер, на названного субъекта, для данных, которыми мы реально владеем, — и это пересечение узко по замыслу. Норвежский Уголовно-процессуальный акт (Straffeprosessloven) требует судебного надзора для production orders. Норвежский Акт об ответственности медиа (Lov om redaksjonell uavhengighet og ansvar i redaktørstyrte journalistiske medier, 2020) и Уголовно-процессуальный акт § 125 создают сильную привилегию защиты источника для журналистов и редакционных соавторов. Для обычных клиентов хостинга связующий предел — это то, чего не существует: мы не собираем идентичности при регистрации, не сохраняем данных банковских карт, а инфраструктурные журналы хранятся на опубликованной ротации. Что не существует, нельзя истребовать.

По принципу гомогенности ЕЭП (Статья 6 ЕЭП, Статья 3 Соглашения о ESA-Court) EFTA Court обязан интерпретировать инкорпорированное в ЕЭП право ЕС последовательно с решениями CJEU — как вынесенными до Соглашения о ЕЭП, так и, на практике, после. Среда после Schrems II — живой тестовый случай: решения CJEU об адекватности передачи данных (Schrems II, C-311/18, 2020; Meta v. Bundeskartellamt, C-252/21, 2023) поступают в норвежское право через интерпретацию EFTA Court, но у норвежских судов есть один дополнительный процедурный шаг, где исполнительная власть может в принципе осуществить оговорки ЕЭП. На практике это редко используется в праве защиты данных; упомянуто для полноты.