L'autorité norvégienne de protection des données, le Datatilsynet, a émis des réserves sur deux projets de loi concernant la protection contre les maladies infectieuses et la préparation sanitaire, estimant que leurs conséquences sur la protection des données n'ont pas été suffisamment évaluées.

Le premier projet de loi sur la préparation sanitaire vise à doter les autorités de pouvoirs étendus pour une gestion de crise rapide, en s'appuyant sur les leçons de la pandémie de coronavirus. Il autorise une collecte et une utilisation massives de données personnelles sans consentement, un recours élargi aux registres et des durées de conservation potentiellement longues. Bien que le ministère de la Santé et des Services sociaux insiste sur l'importance des évaluations de proportionnalité, le Datatilsynet craint que la pression temporelle inhérente aux crises n'empêche une protection adéquate des droits fondamentaux, entraînant un risque d'affaiblissement de la protection des données.

Le second projet, relatif à la loi sur la protection contre les maladies infectieuses, confie la responsabilité des évaluations d'impact sur la protection des données principalement aux responsables du traitement. Le Datatilsynet estime que, dans des situations d'urgence caractérisées par l'incertitude, cette approche augmente la probabilité que les autorités, en tant que responsables du traitement, mettent en place des mesures inutilement intrusives et réalisent des évaluations des risques et de la protection des données insuffisantes.

L'autorité rappelle que l'expérience, notamment lors de la pandémie, démontre la vulnérabilité de la protection des données en temps de crise, citant l'exemple de la première application "Arrêt de la contamination" (Smittestopp). Elle avait dû prononcer une interdiction temporaire de traitement pour cette application en raison de l'absence de documentation sur son utilité réelle et d'une collecte excessive de données de localisation, contraire au principe de minimisation des données.