Norveç.
100. Madde ifadesi. EEA içeride, AB dışarıda. Gerçek çit.

Grunnloven'in (17 Mayıs 1814 tarihli Norveç Anayasası) 100. maddesi, 2004 değişiklikleriyle esaslı biçimde yeniden düzenlenmiş ve artık Avrupa'nın en kapsamlı basın özgürlüğü hükümlerinden biri olarak okunmaktadır. 1. fıkra "İfade özgürlüğü vardır." demektedir. 2. fıkra, özgür bir toplumda meşrulaştırılabilecek dar ve yasal olarak tanımlanmış haller dışında ön sansürü ve yayın sonrası sorumluluğu yasaklar. 4. fıkra, devlet ve belediye belgelerine erişim hakkını kodifiye eder. 6. fıkra, devlet makamlarına açık ve bilgilendirilmiş kamusal tartışmayı kolaylaştıracak koşullar yaratma yükümlülüğü getirir. 2004 reformu bir parlamento komisyonu (Ytringsfrihetskommisjonen) tarafından hazırlanmış olup devletin ifade özgürlüğünü yalnızca hoşgörüyle karşılamakla değil, aktif olarak desteklemekle yükümlü olduğunu anayasal güvence altına aldığı şeklinde yorumlanmaktadır.

Norveç, Avrupa Ekonomik Alanı'nın (AEA) üyesidir ancak Avrupa Birliği'nin değil. GDPR (AB Yönetmeliği 2016/679), AEA Ortak Komitesi'nin 154/2018 sayılı kararı aracılığıyla AEA Anlaşması'nın XI No'lu Eki'ne dahil edilerek Norveç'te uygulanmakta ve iç hukukta Personopplysningsloven (LOV-2018-06-15-38) ile hayata geçirilmektedir. Maddi yükümlülükler, AB merkezli bir sağlayıcınınkiyle özdeştir: Madde 5 minimizasyonu, Madde 17 silme hakkı, tam GDPR haklar rejimi. Yapısal fark yetki alanındadır: Norveç mahkemeleri, GDPR'ı Avrupa Birliği Adalet Divanı'na (ABAD) doğrudan ön karar başvurusu yerine EFTA Mahkemesi (homojenlik ilkesi) aracılığıyla yorumlar. Uygulamada EFTA Mahkemesi, ABAD kararlarını yakından takip etmekle birlikte kurumsal olarak ayrıdır ve Norveç Yüksek Mahkemesi (Høyesterett) nihai yorum otoritesini elinde bulundurmaktadır.

Bu, üzerinde hassasiyetle durulmaya değer yapısal bir avantajdır. AB e-Delil paketi (AB Yönetmeliği 2023/1543 ve buna eşlik eden direktif), bir Üye Devlet'in başka bir Üye Devlet'teki hizmet sağlayıcısına doğrudan tebliğ edebildiği, görece kısa yanıt süreli Avrupa Üretim Emirleri ve Avrupa Koruma Emirleri oluşturmaktadır. Norveç bir AB Üye Devleti değildir ve e-Delil'e taraf değildir. Oslo'daki bir sunucuya yönelik sınır ötesi talepler bu nedenle daha eski, daha yavaş ve yargı denetimindeki kanallardan geçmektedir: 2000 AB MLA Sözleşmesi (Norveç Schengen aracılığıyla ilişkilidir), Avrupa Konseyi araçları veya ikili MLATlar. Bunların hiçbiri e-Delil kadar hızlı ya da doğrudan değildir. Bu görünmezlik değil; prosedürel sürtünmedir.

Datatilsynet, merkezi Oslo'da bulunan Norveç Veri Koruma Kurumu'dur. Yayımlanan anketlerde (özellikle EDRi yıllık uygulama raporlarında) sürekli olarak Avrupa'nın daha güçlü DPA'ları arasında gösterilmektedir. Son dönemin yüksek profilli işlemleri arasında Grindr cezası (2021, 65 milyon NOK, hukuka aykırı onay yönetimi), Meta davranışsal reklamcılık kararı (2023, EDPB aciliyet prosedürü aracılığıyla AB/AEA genelinde Facebook ve Instagram'daki davranışsal reklamcılığın geçici olarak askıya alınmasına yol açan) ve biyometrik aşımına ilişkin süregelen uygulama işlemleri yer almaktadır. Müşteri açısından bu, GDPR haklarının yalnızca antlaşmayla benimsenmediği — harekete geçme isteğini açıkça ortaya koymuş bir düzenleyici tarafından aktif biçimde uygulandığı anlamına gelir.

Politiets sikkerhetstjeneste (PST), Norveç Polis Güvenlik Servisi olup iç güvenlik ve karşı istihbarat ajansıdır. Etterretningstjenesten (E-tjenesten) ise yabancı askeri istihbarat servisidir. PST, Polis Kanunu ve 2016 tarihli Sivil İstihbarat Servisi Kanunu çerçevesinde EOS Komitesi'nin parlamenter denetimiyle faaliyet göstermektedir. 2020 tarihli İstihbarat Servisi Kanunu (etterretningstjenesteloven), E-tjenesten'e sınır ötesi trafik için toplu veri toplama konusunda yeni yetkiler tanımıştır; bu yetkiler, prosedürel eksiklikler tespit eden 2021 tarihli Avrupa İnsan Hakları Mahkemesi başvurusuna konu olmuş ve Norveç Parlamentosu 2023'te eksiklikleri gidermek amacıyla değişiklikler yapmıştır. Mevcut rejim, sınır ötesi akışlarda terörle mücadele ve karşı istihbaratı hedef almakta olup sıradan hosting müşterilerini kapsamamaktadır; her yerde olduğu gibi, devlet aktörü saldırganlarına karşı hiçbir yetki alanı, uygulama katmanı şifrelemesinin yerini tutamaz.

Bu, dürüstçe ele alınmaya değer aktif bir tartışmadır. Norveç, AB Veri Saklama Direktifi'ni (2006/24/EC) 2011'de uygulamaya koymuş; ancak ABAD'ın direktifi iptal eden Digital Rights Ireland kararının (2014) ardından direktif yürürlüğe girmeden askıya almıştır. 2022'den bu yana Adalet Bakanlığı'nın ciddi suç soruşturmaları için hedefli IP adresi saklama yükümlülüğünü yeniden getirmeye yönelik dönemsel önerileri gündeme gelmiştir. Bu makalenin yazıldığı tarih itibarıyla Norveç'te hosting sağlayıcılarına yönelik herhangi bir genel saklama yükümlülüğü bulunmamaktadır. NordBastion toplu saklama yükümlülüğüne tabi değildir; yalnızca operasyonel açıdan zorunlu olanları şeffaflık raporunda yayımlanan programlara göre saklarız. Hukuki ortam esaslı biçimde değişirse, teminat mumluğumuz bunu yansıtacaktır.

Norveç, 1949'dan bu yana kurucu bir NATO üyesi olup önemli müttefik altyapısına ev sahipliği yapmaktadır. NATO üyeliği, tek başına hosting müşterileri aleyhine sınır ötesi hukuki süreç yükümlülükleri doğurmaz; bu üyelik askeri ve istihbarat katmanlarında işlev görür, Oslo'daki bir veri merkezine ulaşan olağan hukuki süreç mekanizmasında değil. Dürüst bir değerlendirme, İsveç'teki SÄPO veya Finlandiya'daki Supo için yapılanla aynıdır: sinyal istihbaratı işbirliği mevcuttur, iç mevzuat ve parlamenter denetimle sınırlandırılmıştır ve sıradan bir hosting iş yükü için gündelik bir risk değildir; ancak iş yükü gerçekten devlet aktörü saldırganlarının dikkatini çekiyorsa bu, tablonun gerçek bir parçasıdır.

Yalnızca ismi belirtilen bir kişiye ilişkin, gerçekten sahip olduğumuz veriler için bir Norveç mahkeme kararıyla — ve bu kesişim kasıtlı olarak dardır. Norveç Ceza Muhakemesi Kanunu (Straffeprosessloven), belge ibrazı kararları için yargı denetimi şartını öngörmektedir. Norveç Medya Sorumluluk Kanunu (Lov om redaksjonell uavhengighet og ansvar i redaktørstyrte journalistiske medier, 2020) ve Ceza Muhakemesi Kanunu § 125, gazeteciler ve yayın iş birlikçileri için güçlü bir kaynak koruma ayrıcalığı oluşturmaktadır. Sıradan hosting müşterileri için bağlayıcı sınır var olmayandır: kayıt sırasında kimlik toplamıyor, ödeme kartı verisi saklamıyor ve altyapı günlüklerini yayımlanmış rotasyona göre tutuyoruz. Var olmayan şey, zorla alınamaz.

AEA homojenlik ilkesi (AEA Madde 6, ESA-Mahkeme Anlaşması Madde 3) uyarınca, EFTA Mahkemesi, AEA'ya dahil edilen AB hukukunu ATAD kararlarıyla tutarlı biçimde yorumlamakla yükümlüdür — hem AEA Anlaşması'ndan önce hem de pratikte sonra verilen kararlar dahil. Schrems II sonrası ortam, güncel test vakasıdır: veri transferi yeterliliğine ilişkin ATAD kararları (Schrems II, C-311/18, 2020; Meta v. Bundeskartellamt, C-252/21, 2023) EFTA Mahkemesi yorumu aracılığıyla Norveç hukukuna dahil olmakla birlikte, Norveç mahkemelerinde yürütme organının prensipte AEA çekincelerini kullanabileceği ek bir usul adımı bulunmaktadır. Pratikte bu, veri koruma hukuku için nadiren başvurulan bir adımdır; bütünlük açısından belirtilmektedir.