芬兰。
第 12 节表达自由、Sananvapauslaki 消息来源保护、严格的 GDPR 执法。

Suomen perustuslaki（芬兰宪法，731/1999）第 12 节标题为「Freedom of expression and right of access to information」（表达自由和信息访问权）。第 1 款保障在无事前阻止的情况下表达、传播和接收信息、观点及其他通信的权利。第 2 款确立公开原则——除非出于足够强的理由由法律具体加以限制，否则当局持有的文件和记录都是公开的。这种结构在欧洲宪法起草中并不多见：把正面的新闻自由与正面的透明义务并列在一条宪法条款里。

Sananvapauslaki（《大众媒体表达自由行使法》，460/2003）是第 12 节在大众媒体语境下的执行性法令。第 16 节是亮点：出版人、编辑以及任何参与出版物准备的人，都有权拒绝披露消息来源的身份，并拒绝披露任何会揭示该身份的信息。该权利在制定法上被定性为「拒绝的义务」——而不是可被法院命令放弃的特权——芬兰法律学界一直将其解读为比瑞典对应条款更宽更绝对、列举的例外更少。

它适用于「定期出版物的出版人和节目服务的运营者」——判例法对这些术语作宽泛解读，将其涵盖在线出版物，包括小型出版物。一个有规律编辑产出的博客、一家独立新闻编辑室、一个泄密接收端口——都落在被保护类别中。纯粹的基础设施层活动（个人 Wireguard 出口、Tor 中继）则受一般宪法第 12 节保护、而非具体 Sananvapauslaki 保护；保护依然真实存在，只是走的是不同的法理路径。

Tietosuojavaltuutettu 是数据保护监察专员办公室——芬兰的数据保护机关——及其下属的 seuraamuslautakunta（制裁委员会）。芬兰的执法被广泛认为在北欧最稳定一致：对非法保留数据的电信运营商开出罚款、多项缩限生物识别和人脸识别部署的决定，以及 2023–2025 年间针对暗模式与同意的一系列高曝光行动。对主机客户而言，这意味着 GDPR 第 17 条的删除权和第 5 条的数据最小化并非纸上谈兵——背后有一个长着真牙的监管机构。

这是你应当了解的那部分图景。法律 581/2018（民事情报）和 582/2018（军事情报）扩大了 Suojelupoliisi（Supo，芬兰安全情报局）和芬兰国防情报局的权力，包括对跨境流量的信号情报采集，受法院监督（赫尔辛基地方法院）和议会监督（情报监督专员）。这些制度针对的是反恐与反间谍；它们不是面向主机客户的普通法律程序。与其他地方一样，面对国家级对手时，任何司法辖区都无法替代应用层加密。

GDPR 在净值上是利好——第 5 条数据最小化具有法律约束力、第 17 条删除权由一个具备开罚意愿且记录在案的监管机构执行、欧洲数据保护委员会对各国过度延伸有制衡作用。代价是欧盟 e-Evidence 一揽子立法（《欧盟条例 2023/1543》），自 2026 年起全面适用，创设了「欧洲调取令」和「欧洲保全令」，其他成员国可直接向芬兰服务商送达。缓解措施是结构性的：NordBastion 不收集身份、不保留支付卡数据、且大力轮换基础设施日志；这些命令只会与我们实际持有的数据相交。

这是历史诚实的一节。在冷战期间，芬兰名义上的中立姿态（YYA 条约时代，1948–1992）包含与苏联心照不宣的情报安排，芬兰历史学家和 1992 年之后的议会委员会都公开记录在案。那一时代随着苏联解体、芬兰 1995 年加入欧盟以及——决定性地——2023 年加入 NATO 而结束。当下芬兰的情报姿态牢固地处于西方联盟结构之中。我们提到这段历史，是因为诚实的司法管辖分析会点名它；当前的运营现实是一个完全与西方一致的欧盟和 NATO 成员国。

只有通过一份芬兰法院命令、针对具名主体、并涉及我们确实持有的数据——而且这个交集在设计上很窄。Sananvapauslaki 第 16 节为出版人和编辑协作者创设了正面的拒绝义务；对普通主机客户而言，边界是「不存在的东西」。我们在注册时不收集身份、不保留支付卡数据（仅加密货币，不做 KYC），基础设施日志按透明度报告中公布的轮换计划保留。不存在的东西无法被强制取得。

芬兰是标准欧盟司法互助文书的缔约方（2000 年欧盟 MLA 公约、《欧洲调查令指令》2014/41/EU），也加入了更广泛的欧洲委员会框架。在欧盟之外，芬兰与美国等签有双边 MLAT。与直接的 e-Evidence 命令相比，MLAT 仍是更慢、有司法监督的路径，并要求请求国证明双重定罪和必要性。它是图景的一部分；它不是一根包打天下的管道。