Schweden ist mit großem Abstand das Land mit dem längsten kontinuierlichen Verfassungsschutz der freien Meinungsäußerung. Die Tryckfrihetsförordningen stammt von 1766 — älter als die Vereinigten Staaten. Sie ist eines von vier Verfassungsgesetzen und steht über dem einfachen Gesetz. Zusammen mit der Yttrandefrihetsgrundlagen von 1991 gibt sie Verlegern, Journalisten und den Quellen, die sie versorgen, ein schriftliches, gerichtlich durchsetzbares Schutzschild gegen staatliche Eingriffe.
Für einen Betreiber von Kommunikationsinfrastruktur ist das auf zwei spezifische Weisen bedeutsam. Erstens ist die Offenlegung einer anonymen Quelle selbst nach schwedischem Recht eine Straftat — selbst wenn die Polizei nach der Quelle fragt. Zweitens wird die Schwelle, die der Staat erfüllen muss, um operative Daten von einem Netzbetreiber zu fordern, durch die Verfassung festgelegt, nicht durch das Ermessen eines Ermittlers. Beide Einschränkungen überleben die Übersetzung in das krypto-bezahlte, identitätsfreie Hosting-Modell, das NordBastion betreibt.
Schweden ist EU-Mitglied und unterliegt der DSGVO — aber die DSGVO ist hier, entgegen ihrem Ruf, ein Freund des datenschutzbewussten Kunden. Artikel 5 verpflichtet NordBastion gesetzlich zur minimalen Datenerhebung, zusätzlich zur doktrinären Verpflichtung, die dies bereits tut. Artikel 17 gibt jedem Kunden ein Recht auf Löschung, das von einer Behörde mit echten Zähnen durchgesetzt wird — die IMY ist eine der durchsetzungsstärksten Datenschutzbehörden in Europa.
Ein Stockholm-VPS befindet sich daher in einem Rechtsregime, das auf drei Achsen gleichzeitig ungewöhnlich ist: eine verfassungsrechtliche Pressefreiheitsgarantie, Quellenschutz durch Strafgesetz und eine der durchsetzungsstärksten Datenschutzbehörden in Europa. Keines der drei ist Rhetorik. Alle drei sind geschriebenes Recht.