Suède.
Liberté de la presse inscrite dans la Constitution, secret des sources protégé par le droit pénal.

Oui — au sens strictement suédois. Le Royaume de Suède possède quatre actes constitutionnels (grundlagar) : la Forme de gouvernement (Regeringsformen), l'Acte de succession, Tryckfrihetsförordningen (TF, 1766, dernière révision complète 2018) et Yttrandefrihetsgrundlagen (YGL, 1991). Ensemble, ils priment sur la loi ordinaire et ne peuvent être amendés que par deux votes consécutifs du Riksdag séparés par une élection législative. TF et YGL sont les deux qui comptent pour un hébergeur — ils codifient la liberté de la presse, le secret des sources et l'interdiction de la censure préalable comme droits constitutionnels, non comme concessions législatives.

Le § 1 du Chapitre 3 de la TF codifie le källskydd — protection des sources — comme devoir positif pour quiconque reçoit des informations destinées à la publication. Le § 3 interdit au destinataire de divulguer l'identité de la source sans consentement, sauf dans des cas étroitement énumérés (généralement des crimes graves contre le royaume). Le § 5 fait d'une telle divulgation non autorisée une infraction pénale passible d'amende ou d'emprisonnement. Le § 4 interdit séparément aux autorités publiques d'enquêter sur l'identité d'une source. L'effet combiné est rare en droit européen : l'opérateur est pénalement responsable de la violation du secret des sources, et l'État est pénalement contraint de ne même pas demander.

Oui, avec une étape procédurale. YGL étend la protection de niveau TF aux « enregistrements techniques » et aux publications électroniques, y compris les sites web — mais le niveau le plus élevé (un utgivningsbevis formel, un certificat de publication délivré par le Myndigheten för press, radio och tv) requiert un éditeur responsable désigné et une demande. Les sites sans certificat bénéficient toujours des principes de base de la YGL et de la jurisprudence générale européenne sur la liberté de la presse, mais le régime certifié est le plus solide disponible. NordBastion ne délivre pas de certificats pour les charges de travail des clients ; le client fait une demande en son propre nom quand cela a du sens pour le projet.

L'Integritetsskyddsmyndigheten (IMY) compte parmi les régulateurs RGPD les plus actifs de l'UE. Les cas récents comprennent des amendes contre des organismes publics suédois pour des transferts Google Analytics illicites (2023), contre des agences de crédit pour conservation excessive, et une série d'enquêtes ciblées sur les projets pilotes de reconnaissance faciale dans les écoles. Pour un client hébergeur, cela joue dans deux directions : l'IMY soutient vos droits à l'effacement de l'article 17 par de véritables sanctions, et elle contraint NordBastion — par un régulateur externe, pas seulement une politique interne — à la minimisation de l'article 5 que nous appliquons par choix.

À partir de 2010, Bahnhof, opérant depuis le bunker Pionen à Stockholm, a hébergé WikiLeaks tout au long des révélations de câbles diplomatiques et a continué à héberger l'infrastructure publique de l'organisation jusqu'en 2018. Pendant toute cette période — sous une pression diplomatique considérable des États-Unis et de leurs alliés — le régime constitutionnel suédois a maintenu l'infrastructure en ligne. Aucun tribunal suédois n'a ordonné à Bahnhof de divulguer des sources ou de retirer le site. NordBastion ne fonctionne pas à l'intérieur de Pionen — STO.001 se trouve dans un autre datacenter de niveau III dans la région métropolitaine de Stockholm — mais le régime juridique qui a protégé Bahnhof et WikiLeaks alors est le régime juridique qui couvre un bastion NordBastion aujourd'hui.

C'est le point faible honnête. Le paquet e-Evidence de l'UE (Règlement (UE) 2023/1543 et la directive d'accompagnement) crée des Ordonnances européennes de production et des Ordonnances européennes de conservation qu'une autorité compétente d'un État membre peut notifier directement à un prestataire de services dans un autre, avec des délais de réponse comparativement courts. Il entre en pleine application en 2026. La Suède est dans le périmètre en tant qu'État membre de l'UE. Deux points structurels atténuent mais n'éliminent pas l'exposition : (a) e-Evidence requiert toujours un ordre valide d'une autorité judiciaire ou équivalente sur un sujet nommé pour des données spécifiées, pas en masse ; (b) NordBastion ne collecte pas d'identité, ne conserve pas de données de carte de paiement et fait tourner agressivement les journaux d'infrastructure — les ordres ne se croisent qu'avec l'ensemble étroit que nous détenons réellement, publié dans le rapport de transparence.

La Säkerhetspolisen (SÄPO) est le service de sécurité intérieure suédois et est un participant documenté à la coopération avec les services de renseignement américains, britanniques et d'autres pays alliés — la coopération en matière de renseignement d'origine électromagnétique de la FRA révélée dans les documents Snowden de 2013 est l'exemple public le plus cité. Cette coopération opère au niveau du renseignement d'origine électromagnétique et de la lutte antiterroriste, et non comme procédure judiciaire ordinaire contre un client hébergeur, et est encadrée par la loi suédoise (Lag (2008:717) om signalspaning i försvarsunderrättelseverksamhet, plus la surveillance parlementaire par le SIUN). Pour une charge de travail d'hébergement ordinaire, ce n'est pas le risque quotidien ; pour une charge de travail qui attire réellement des adversaires étatiques, aucune juridiction d'hébergement sur Terre ne remplace le chiffrement au niveau applicatif et l'hygiène opérationnelle.

Uniquement via une ordonnance judiciaire suédoise, sur un sujet nommé, pour des données que nous détenons effectivement — et cette intersection est étroite par conception. Nous ne collectons pas d'identité lors de l'inscription. Nous ne conservons pas les données de carte de paiement (crypto uniquement, sans KYC). Nous ne journalisons pas l'activité au niveau applicatif dans les VM des clients (nous ne le pouvons pas — nous n'avons pas accès). Les logs d'infrastructure sont conservés selon le calendrier de rotation publié dans le rapport de transparence. Ce qui n'existe pas ne peut pas être contraint. Ce qui existe reçoit la réponse minimale que nous sommes réellement tenus de divulguer, et l'agrégat de ces réponses est publié mensuellement.

Oui. Tele2 Sverige AB c. Post- och telestyrelsen (CJUE C-203/15, 2016) a annulé le régime suédois de rétention globale des données comme incompatible avec les droits fondamentaux de l'UE. La loi de remplacement — Lag (2003:389) om elektronisk kommunikation, telle que modifiée — est bien plus étroite et ciblée, et s'applique aux fournisseurs de réseaux de communications électroniques (opérateurs télécoms), non aux hébergeurs. NordBastion n'est pas soumis aux obligations de rétention en masse dans ce cadre. Les décisions ultérieures de la CJUE (La Quadrature du Net, 2020 ; SpaceNet, 2022) ont réaffirmé le principe.