Sweden.
Kebebasan pers sebagai hukum konstitusional, kerahasiaan sumber sebagai undang-undang pidana.

Ya — dalam arti Sweden yang ketat. Kerajaan Sweden memiliki empat undang-undang konstitusional (grundlagar): Instrumen Pemerintahan (Regeringsformen), Undang-Undang Suksesi, Tryckfrihetsförordningen (TF, 1766, revisi komprehensif terakhir 2018), dan Yttrandefrihetsgrundlagen (YGL, 1991). Bersama-sama, keempatnya berada di atas hukum biasa dan hanya dapat diubah melalui dua kali pemungutan suara Riksdag berturut-turut dengan pemilihan umum di antara keduanya. TF dan YGL adalah dua yang paling penting bagi penyedia hosting — keduanya mengkodifikasikan kebebasan pers, kerahasiaan sumber, dan larangan pembatasan awal sebagai hak konstitusional, bukan pemberian undang-undang.

TF Bab 3 § 1 mengkodifikasikan källskydd — perlindungan sumber — sebagai kewajiban positif bagi siapa pun yang menerima informasi untuk dipublikasikan. § 3 melarang penerima mengungkapkan identitas sumber tanpa persetujuan, kecuali dalam kasus-kasus terbatas yang telah ditetapkan (umumnya kejahatan serius terhadap negara). § 5 menjadikan pengungkapan tidak sah tersebut sebagai tindak pidana yang dapat dikenai denda atau penjara. § 4 secara terpisah melarang otoritas publik dari menyelidiki siapa sumber tersebut. Efek gabungannya langka dalam hukum Eropa: operator bertanggung jawab secara pidana atas pelanggaran kerahasiaan sumber, dan negara dibatasi secara pidana bahkan dari sekadar bertanya.

Ya, dengan satu langkah prosedural. YGL memperluas perlindungan setara TF ke "rekaman teknis" dan publikasi elektronik, termasuk situs web — namun tingkat terkuat (sebuah utgivningsbevis formal, sertifikat publikasi yang dikeluarkan oleh Myndigheten för press, radio och tv) memerlukan penerbit yang ditunjuk bertanggung jawab dan sebuah aplikasi. Situs tanpa sertifikat tetap mendapat manfaat dari prinsip YGL dasar dan dari yurisprudensi kebebasan pers Eropa secara umum, namun rezim bersertifikat adalah yang terkuat yang tersedia. NordBastion tidak menerbitkan sertifikat untuk beban kerja pelanggan; pelanggan mengajukan atas namanya sendiri jika sesuai untuk proyek tersebut.

Integritetsskyddsmyndigheten (IMY) termasuk regulator GDPR yang paling aktif di EU. Penegakan hukum terbaru mencakup denda terhadap badan sektor publik Swedia atas transfer Google Analytics yang melanggar hukum (2023), terhadap lembaga referensi kredit atas retensi berlebihan, dan serangkaian investigasi bertarget terhadap proyek percontohan pengenalan wajah di sekolah. Bagi pelanggan hosting, ini penting dalam dua arah: IMY mendukung hak penghapusan Pasal 17 Anda dengan sanksi nyata, dan membatasi NordBastion — oleh regulator eksternal, bukan sekadar kebijakan internal — pada minimisasi Pasal 5 yang kami terapkan atas pilihan sendiri.

Sejak 2010 Bahnhof, yang beroperasi dari bunker Pionen di Stockholm, menghosting WikiLeaks melalui rilis kabel diplomatik dan terus menghosting infrastruktur publik organisasi tersebut hingga 2018. Sepanjang periode tersebut — di bawah tekanan diplomatik signifikan dari AS dan sekutu — rezim konstitusional Swedia menjaga infrastruktur tetap online. Tidak ada pengadilan Swedia yang memerintahkan Bahnhof untuk mengungkapkan materi sumber atau menurunkan situs. NordBastion tidak beroperasi di dalam Pionen — STO.001 ada di fasilitas tier-III yang berbeda di kawasan metropolitan Stockholm — tetapi rezim hukum yang melindungi Bahnhof dan WikiLeaks saat itu adalah rezim hukum yang menjangkau bastion NordBastion sekarang.

Ini adalah titik lemah yang jujur. Paket EU e-Evidence (Regulasi (EU) 2023/1543 dan direktif yang menyertainya) menciptakan Perintah Produksi Eropa dan Perintah Preservasi Eropa yang dapat dilayangkan otoritas berwenang di satu Negara Anggota langsung kepada penyedia layanan di negara lain, dengan jangka waktu respons yang relatif singkat. Paket ini mulai berlaku penuh pada 2026. Sweden termasuk dalam cakupan sebagai Negara Anggota EU. Dua poin struktural meringankan namun tidak menghilangkan risiko: (a) e-Evidence tetap memerlukan perintah yang sah dari otoritas yudisial atau setara atas subjek yang disebutkan namanya untuk data tertentu, bukan massal; (b) NordBastion tidak mengumpulkan identitas, tidak menyimpan data kartu pembayaran, dan secara agresif merotasi log infrastruktur — perintah hanya bersinggungan dengan kumpulan sempit yang benar-benar kami simpan, yang dipublikasikan dalam laporan transparansi.

Säkerhetspolisen (SÄPO) adalah dinas keamanan dalam negeri Sweden dan merupakan peserta terdokumentasi dalam kerja sama dengan layanan intelijen AS, Inggris, dan sekutu lainnya — kerja sama intelijen sinyal FRA yang terungkap dalam dokumen Snowden 2013 adalah contoh publik yang paling sering dikutip. Kerja sama tersebut beroperasi di lapisan intelijen sinyal dan kontra-terorisme, bukan sebagai proses hukum biasa terhadap pelanggan hosting, dan dibatasi oleh undang-undang Sweden (Lag (2008:717) om signalspaning i försvarsunderrättelseverksamhet, ditambah pengawasan parlemen oleh SIUN). Untuk beban kerja hosting biasa, ini bukan risiko sehari-hari; namun untuk beban kerja yang benar-benar menarik perhatian musuh tingkat negara, tidak ada yurisdiksi hosting di dunia yang dapat menggantikan enkripsi lapisan aplikasi dan kebersihan operasional.

Hanya melalui perintah pengadilan Swedia, terhadap subjek yang disebutkan namanya, untuk data yang benar-benar kami miliki — dan irisan tersebut memang sempit berdasarkan desain. Kami tidak mengumpulkan identitas saat pendaftaran. Kami tidak menyimpan data kartu pembayaran (hanya kripto, tanpa KYC). Kami tidak mencatat aktivitas tingkat aplikasi di dalam VM pelanggan (kami tidak bisa — kami tidak memiliki akses). Log infrastruktur disimpan sesuai jadwal rotasi yang dipublikasikan dalam laporan transparansi. Yang tidak ada tidak dapat dipaksakan. Yang ada dijawab dengan minimum yang benar-benar harus kami ungkapkan, dan keseluruhan jawaban tersebut dipublikasikan setiap bulan.

Ya. Tele2 Sverige AB v. Post- och telestyrelsen (CJEU C-203/15, 2016) membatalkan rezim retensi data massal Sweden sebagai tidak sesuai dengan hak fundamental EU. Undang-undang pengganti — Lag (2003:389) om elektronisk kommunikation, sebagaimana telah diubah — jauh lebih sempit dan bertarget, serta berlaku untuk penyedia jaringan komunikasi elektronik (operator telekomunikasi), bukan untuk penyedia hosting. NordBastion tidak tunduk pada kewajiban retensi massal berdasarkan rezim tersebut. Putusan CJEU berikutnya (La Quadrature du Net, 2020; SpaceNet, 2022) telah menegaskan kembali prinsip tersebut.