Svezia.
Libertà di stampa come diritto costituzionale, segretezza delle fonti come statuto penale.

Sì — nel senso svedese stretto. Il Regno di Svezia ha quattro atti costituzionali (grundlagar): lo Strumento di Governo (Regeringsformen), l'Atto di Successione, Tryckfrihetsförordningen (TF, 1766, ultima revisione completa 2018) e Yttrandefrihetsgrundlagen (YGL, 1991). Insieme si collocano sopra lo statuto ordinario e possono essere emendati solo con due voti consecutivi del Riksdag con un'elezione generale intervenente. TF e YGL sono i due che contano per un provider di hosting — codificano libertà di stampa, segretezza delle fonti e il divieto di restrizione preventiva come diritti costituzionali, non concessioni statutarie.

TF Capitolo 3 § 1 codifica källskydd — protezione delle fonti — come un dovere positivo per chiunque riceva informazioni per la pubblicazione. Il § 3 proibisce al destinatario di rivelare l'identità della fonte senza consenso, tranne in casi stretti enumerati (tipicamente reati gravi contro il regno). Il § 5 rende tale rivelazione non autorizzata un reato penale punibile con multa o reclusione. Il § 4 separatamente proibisce alle autorità pubbliche di indagare chi fosse una fonte. L'effetto combinato è raro nel diritto europeo: l'operatore è penalmente responsabile per la rottura della segretezza delle fonti, e lo stato è penalmente vincolato dal nemmeno chiedere.

Sì, con un passo procedurale. YGL estende la protezione di livello TF a «registrazioni tecniche» e pubblicazioni elettroniche, inclusi i siti web — ma la fascia più forte (un formale utgivningsbevis, un certificato di pubblicazione emesso dalla Myndigheten för press, radio och tv) richiede un editore responsabile designato e una domanda. I siti senza certificato beneficiano comunque dei principi YGL di base e della giurisprudenza generale europea di libertà di stampa, ma il regime certificato è il più forte disponibile. NordBastion non emette certificati per i carichi di lavoro dei clienti; il cliente fa domanda a suo nome dove ha senso per il progetto.

Integritetsskyddsmyndigheten (IMY) è tra i regolatori GDPR più attivi nell'UE. L'enforcement recente include sanzioni contro enti del settore pubblico svedese per trasferimenti illegittimi di Google Analytics (2023), contro agenzie di credit-reference per ritenzione eccessiva e una serie di indagini mirate su pilot di riconoscimento facciale nelle scuole. Per un cliente di hosting questo conta in due direzioni: IMY supporta i suoi diritti di cancellazione Articolo 17 con vere sanzioni e vincola NordBastion — da regolatore esterno, non solo da policy interna — alla minimizzazione Articolo 5 sotto cui ci muoviamo per scelta.

Dal 2010 in poi Bahnhof, operando dal bunker Pionen a Stoccolma, ha ospitato WikiLeaks attraverso i rilasci di cablogrammi diplomatici e ha continuato a ospitare l'infrastruttura pubblica dell'organizzazione fino al 2018. Durante quella finestra — sotto significativa pressione diplomatica statunitense e alleata — il regime costituzionale svedese ha mantenuto l'infrastruttura online. Nessun tribunale svedese ha ordinato a Bahnhof di rivelare materiale delle fonti o di rimuovere il sito. NordBastion non gira dentro Pionen — STO.001 è in una diversa struttura tier-III nell'area metropolitana di Stoccolma — ma il regime giuridico che ha protetto Bahnhof e WikiLeaks allora è il regime giuridico che raggiunge un bastione NordBastion ora.

Questo è l'onesto punto debole. Il pacchetto e-Evidence dell'UE (Regolamento (UE) 2023/1543 e la direttiva di accompagnamento) crea Ordini Europei di Produzione e Ordini Europei di Conservazione che un'autorità competente in uno Stato membro può notificare direttamente a un provider di servizi in un altro, con finestre di risposta comparativamente brevi. Entra in piena applicazione nel 2026. La Svezia è in ambito come Stato membro UE. Due punti strutturali mitigano ma non eliminano l'esposizione: (a) e-Evidence richiede comunque un ordine valido da un'autorità giudiziaria o equivalente su un soggetto nominato per dati specificati, non bulk; (b) NordBastion non raccoglie identità, non ritiene dati di carta di pagamento e ruota i log dell'infrastruttura aggressivamente — gli ordini intersecano solo il set stretto che effettivamente deteniamo, che è pubblicato nel report di trasparenza.

Säkerhetspolisen (SÄPO) è il servizio di sicurezza domestico svedese ed è documentato partecipante nella cooperazione con servizi di intelligence alleati statunitensi, britannici e altri — la cooperazione di signals-intelligence FRA rivelata nei documenti Snowden del 2013 è l'esempio pubblico più citato. Quella cooperazione opera al livello di signals-intelligence e contro-terrorismo, non come procedimento legale ordinario contro un cliente di hosting, ed è vincolata da statuto svedese (Lag (2008:717) om signalspaning i försvarsunderrättelseverksamhet, più supervisione parlamentare di SIUN). Per un carico di lavoro di hosting ordinario non è il rischio quotidiano; per un carico di lavoro che attira genuinamente avversari state-actor, nessuna giurisdizione di hosting sulla terra è un sostituto per la cifratura a livello applicativo e l'igiene operativa.

Solo attraverso un ordine di un tribunale svedese, su un soggetto nominato, per dati che effettivamente deteniamo — e quell'intersezione è stretta per design. Non raccogliamo identità al signup. Non riteniamo dati di carta di pagamento (solo cripto, senza KYC). Non logghiamo attività a livello applicativo dentro le VM dei clienti (non possiamo — non abbiamo accesso). I log dell'infrastruttura sono tenuti secondo la pianificazione di rotazione pubblicata nel report di trasparenza. Ciò che non esiste non può essere imposto. Ciò che esiste è risposto al minimo che siamo genuinamente tenuti a rivelare, e l'aggregato di quelle risposte è pubblicato mensilmente.

Sì. Tele2 Sverige AB v. Post- och telestyrelsen (CJEU C-203/15, 2016) ha annullato il regime svedese di conservazione bulk dei dati come incompatibile con i diritti fondamentali UE. Lo statuto di sostituzione — Lag (2003:389) om elektronisk kommunikation, come emendata — è molto più stretto e mirato, e si applica ai provider di reti di comunicazioni elettroniche (telco), non ai provider di hosting. NordBastion non è soggetta a obblighi di conservazione bulk sotto quel regime. Decisioni successive della CJEU (La Quadrature du Net, 2020; SpaceNet, 2022) hanno riaffermato il principio.