La Suède est, de loin, le pays bénéficiant de la protection constitutionnelle continue la plus longue de la liberté d'expression. La Tryckfrihetsförordningen date de 1766 — antérieure aux États-Unis. C'est l'un des quatre actes constitutionnels et il prime sur le droit ordinaire. Combinée à la Yttrandefrihetsgrundlagen de 1991, elle offre aux éditeurs, journalistes et à leurs sources un bouclier écrit, juridiquement appliqué, contre l'ingérence de l'État.
Pour un opérateur d'infrastructure de communication, cela compte de deux manières spécifiques. Premièrement, la divulgation d'une source anonyme est elle-même une infraction pénale selon le droit suédois — même lorsque la police interroge sur la source. Deuxièmement, le seuil que l'État doit atteindre pour exiger des données opérationnelles d'un opérateur réseau est fixé par la constitution, pas par le pouvoir discrétionnaire d'un enquêteur. Ces deux contraintes survivent à la transposition dans le modèle d'hébergement payé en crypto et sans identité que NordBastion exploite.
La Suède est membre de l'UE et soumise au RGPD — mais le RGPD, contrairement à sa réputation, est ici l'ami du client soucieux de sa vie privée. L'article 5 contraint NordBastion à une collecte minimale de données par la loi, en plus de l'engagement doctrinal qui le fait déjà. L'article 17 donne à chaque client un droit à l'effacement appliqué par une autorité de régulation aux dents solides — l'IMY est l'une des autorités de protection des données les plus fermes d'Europe.
Un VPS à Stockholm se trouve donc dans un régime juridique inhabituel sur trois axes simultanément : une garantie constitutionnelle de liberté de la presse, le secret des sources par statut pénal, et l'un des régulateurs de protection des données les plus assertifs d'Europe. Aucun de ces trois n'est de la rhétorique. Tous trois sont du droit écrit.