Сервер - физическое устройство в конкретном здании, в конкретной стране. Его данные подпадают под законодательство той страны, где он стоит. Это не метафора - это правовая реальность.
Российское законодательство (СОРМ, ФЗ-149, ФЗ-374, приказы Роскомнадзора) применяется к провайдерам на территории России. Если сервер стоит в Рейкьявике - он под исландским правом. ФСБ может в любой момент запросить данные у российского провайдера без суда. Чтобы получить данные из Исландии - нужен исландский суд.
Это не делает офшорный хостинг абсолютной защитой - но создаёт существенный правовой барьер, который значительно повышает стоимость и сложность получения доступа к данным.