A Suécia é, por ampla margem, o país com a mais longa proteção constitucional contínua à liberdade de expressão. A Tryckfrihetsförordningen data de 1766 — anterior aos Estados Unidos. É um dos quatro atos constitucionais e está acima da legislação ordinária. Junto com a Yttrandefrihetsgrundlagen de 1991, confere a editores, jornalistas e às fontes que os alimentam um escudo escrito e judicialmente aplicável contra a interferência do Estado.
Para um operador de infraestrutura de comunicação, isso importa de duas maneiras específicas. Primeiro, a divulgação de uma fonte anônima é em si um crime segundo a lei sueca — mesmo quando a fonte está sendo inquirida pela polícia. Segundo, o limiar que o estado deve atingir para exigir dados operacionais de um operador de rede é estabelecido pela constituição, não pelo critério de um investigador. Ambas essas restrições sobrevivem à tradução para o modelo de hospedagem pago em cripto e sem identidade que a NordBastion opera.
A Suécia é membro da UE e sujeita ao GDPR — mas o GDPR, ao contrário de sua reputação, é um aliado do cliente preocupado com privacidade aqui. O Artigo 5 vincula o NordBastion à coleta mínima de dados por lei, além do compromisso doutrinário que já o faz. O Artigo 17 dá a todo cliente o direito ao apagamento, que é aplicado por um regulador com poder real — o IMY é uma das autoridades de proteção de dados mais assertivas da Europa.
Um VPS em Stockholm fica, portanto, dentro de um regime legal que é incomum em três eixos simultaneamente: uma garantia constitucional de liberdade de imprensa, sigilo de fontes por lei criminal e um dos reguladores de proteção de dados mais assertivos da Europa. Nenhum desses três é retórica. Os três são lei escrita.