O marco legal
A Noruega regula dados pessoais por meio do GDPR (via EEE) + Lei de Dados Pessoais de 2018, supervisionada pela Datatilsynet.
Para anunciantes, a postura de consentimento é o que mais importa, e a Noruega está no bloco opt-in, em que rastreamento e contato exigem permissão prévia.
Principais instrumentos
GDPR (via EEE) + Lei de Dados Pessoais de 2018
A Noruega aplica o GDPR integralmente por meio do EEE e fiscaliza com rigor: a multa da Datatilsynet contra o Grindr (NOK 65 mi) por compartilhar dados de usuários com parceiros de adtech é um marco para a monetização de aplicativos, e sua decisão de 2023 contra a publicidade comportamental da Meta impulsionou a exigência de consentimento em toda a UE.
Marketing e publicidade
O GDPR se aplica por meio do Acordo do EEE; consentimento nos moldes da ePrivacy para cookies. A maioria das decisões de canal aqui decorre dessa regra de consentimento.
Transferências internacionais
O Capítulo V do GDPR se aplica integralmente, de modo que os dados pessoais só saem do EEE sob uma decisão de adequação, cláusulas contratuais-padrão, normas corporativas vinculantes ou uma derrogação restrita, com uma avaliação de impacto da transferência esperada quando o destino tiver exposição a leis de vigilância. A mecânica é idêntica em todo o bloco, de modo que uma estrutura de transferência construída para um Estado-membro se aplica a todos eles.
Fiscalização e sanções
Aplica-se o teto do GDPR, com multas de até EUR 20 milhões ou 4% do faturamento anual global, o que for maior, aplicadas pela autoridade nacional de supervisão, e o EDPB pode forçar uma postura mais rígida por meio do mecanismo de resolução de disputas. Os Estados-membros compartilham o teto e diferem no apetite de fiscalização.