Suécia.
Liberdade de imprensa como direito constitucional, sigilo de fonte como estatuto penal.

Sim — no sentido sueco estrito. O Reino da Suécia tem quatro atos constitucionais (grundlagar): o Instrument of Government (Regeringsformen), o Act of Succession, Tryckfrihetsförordningen (TF, 1766, última revisão abrangente em 2018) e Yttrandefrihetsgrundlagen (YGL, 1991). Juntos eles têm hierarquia acima do estatuto ordinário e só podem ser emendados por duas votações consecutivas do Riksdag com uma eleição geral intermediária. TF e YGL são as duas que importam para um provedor de hospedagem — codificam liberdade de imprensa, sigilo de fonte e a proibição de prior restraint como direitos constitucionais, não concessões estatutárias.

O Capítulo 3 da TF § 1 codifica källskydd — proteção de fonte — como dever positivo sobre quem quer que receba informação para publicação. O § 3 proíbe o destinatário de revelar a identidade da fonte sem consentimento, exceto em casos enumerados estreitos (tipicamente crimes graves contra o reino). O § 5 torna tal divulgação não autorizada um crime punível com multa ou prisão. O § 4 separadamente proíbe autoridades públicas de investigar quem foi a fonte. O efeito combinado é raro no direito europeu: o operador é criminalmente responsável por quebrar o sigilo de fonte, e o estado é criminalmente restrito de sequer perguntar.

Sim, com um passo processual. A YGL estende proteção nível TF a "gravações técnicas" e publicações eletrônicas, incluindo sites — mas o tier mais forte (um utgivningsbevis formal, um certificado de publicação emitido pelo Myndigheten för press, radio och tv) exige um publicador responsável designado e uma aplicação. Sites sem certificado ainda se beneficiam dos princípios baseline da YGL e da jurisprudência europeia geral de liberdade de imprensa, mas o regime certificado é o mais forte disponível. A NordBastion não emite certificados para cargas de cliente; o cliente aplica em seu próprio nome onde fizer sentido para o projeto.

Integritetsskyddsmyndigheten (IMY) está entre os reguladores GDPR mais ativos da UE. A aplicação recente inclui multas contra órgãos públicos suecos por transferências ilegais do Google Analytics (2023), contra agências de referência de crédito por retenção excessiva, e uma série de investigações direcionadas a pilotos de reconhecimento facial em escolas. Para um cliente de hospedagem isso importa em duas direções: a IMY apoia seus direitos de apagamento do Artigo 17 com penalidades reais, e restringe a NordBastion — por regulador externo, não apenas política interna — à minimização do Artigo 5 sob a qual já operamos por escolha.

A partir de 2010 a Bahnhof, operando do bunker Pionen em Estocolmo, hospedou a WikiLeaks pelos releases dos cabos diplomáticos e continuou a hospedar a infraestrutura voltada ao público da organização até 2018. Durante toda essa janela — sob pressão diplomática significativa dos EUA e aliados — o regime constitucional sueco manteve a infraestrutura no ar. Nenhum tribunal sueco ordenou que a Bahnhof revelasse material de fonte ou que o site fosse derrubado. A NordBastion não roda dentro do Pionen — STO.001 está em outra instalação tier-III na região metropolitana de Estocolmo — mas o regime legal que protegeu a Bahnhof e a WikiLeaks na época é o regime legal que alcança um bastion NordBastion agora.

Esse é o ponto fraco honesto. O pacote e-Evidence da UE (Regulamento (UE) 2023/1543 e a diretiva acompanhante) cria European Production Orders e European Preservation Orders que uma autoridade competente em um Estado-membro pode servir diretamente a um provedor de serviço em outro, com janelas de resposta comparativamente curtas. Entra em aplicação completa em 2026. A Suécia está em escopo como Estado-membro da UE. Dois pontos estruturais mitigam, mas não eliminam a exposição: (a) o e-Evidence ainda exige uma ordem válida de autoridade judicial ou equivalente sobre sujeito nomeado para dados especificados, não em massa; (b) a NordBastion não coleta identidade, não retém dados de cartão de pagamento e rotaciona logs de infraestrutura agressivamente — ordens intersectam apenas com o conjunto estreito que de fato detemos, publicado no relatório de transparência.

Säkerhetspolisen (SÄPO) é o serviço de segurança doméstica da Suécia e é participante documentado em cooperação com serviços de inteligência dos EUA, Reino Unido e outros aliados — a cooperação em signals intelligence da FRA revelada nos documentos Snowden de 2013 é o exemplo público mais citado. Essa cooperação opera na camada de signals intelligence e contraterrorismo, não como processo legal ordinário contra um cliente de hospedagem, e é restrita por estatuto sueco (Lag (2008:717) om signalspaning i försvarsunderrättelseverksamhet, mais supervisão parlamentar pelo SIUN). Para uma carga comum de hospedagem não é o risco do dia-a-dia; para uma carga que genuinamente atrai adversários ator-estatais, nenhuma jurisdição de hospedagem na Terra substitui criptografia em camada de aplicação e higiene operacional.

Apenas mediante uma ordem judicial sueca, sobre sujeito nomeado, para dados que de fato detemos — e essa interseção é estreita por design. Não coletamos identidade no cadastro. Não retemos dados de cartão de pagamento (apenas cripto, sem KYC). Não logamos atividade a nível de aplicação dentro das VMs do cliente (não conseguimos — não temos acesso). Logs de infraestrutura são mantidos no cronograma de rotação publicado no relatório de transparência. O que não existe não pode ser compelido. O que existe é respondido ao mínimo que somos genuinamente obrigados a divulgar, e o agregado dessas respostas é publicado mensalmente.

Sim. Tele2 Sverige AB v. Post- och telestyrelsen (CJEU C-203/15, 2016) derrubou o regime sueco de retenção de dados geral como incompatível com direitos fundamentais da UE. O estatuto substituto — Lag (2003:389) om elektronisk kommunikation, conforme alterada — é muito mais estreito e direcionado, e aplica-se a provedores de redes de comunicações eletrônicas (telcos), não a provedores de hospedagem. A NordBastion não está sujeita a obrigações de retenção em massa sob esse regime. Decisões subsequentes do CJEU (La Quadrature du Net, 2020; SpaceNet, 2022) reafirmaram o princípio.