VPNs mit Servern auf Sri Lanka

Ein Dienstanbieter muss eine Anfrage vertraulich behandeln (Abs. 24(2)); wer die Unterstützung verweigert, kann mit einer Geldstrafe von bis zu 200.000 Rs, einer Freiheitsstrafe von einem bis zwei Jahren oder beidem bestraft werden (Abs. 23(2)). Der Minister kann durch Verordnung festlegen, wie Daten gespeichert und abgefangen werden (Abs. 18(4)). Das Online Safety Act, No. 9 of 2024 wiederholt die Befugnis zur Einholung einer richterlichen Anordnung für seine eigenen Straftaten (Abs. 35). Ob diese Gesetze auf einen VPN-Anbieter anwendbar sind, ist nicht belegt.

Ein Gesetzentwurf eines einzelnen Abgeordneten zur Aufhebung des Online Safety Act, No. 9 of 2024 wurde im April 2025 im Gazette veröffentlicht und am 8. Mai 2025 dem Parlament vorgelegt.

Die Online Safety Commission kann jedem Internetdienstanbieter oder Internetvermittler aufgeben, den Zugang für Endnutzer in Sri Lanka zu einem Online-Standort mit einer verbotenen Aussage zu deaktivieren oder diese zu entfernen (Abs. 11(c)). Ein „Internetvermittlungsdienst“ umfasst auch einen Dienst, der Material Dritter an Endnutzer übermittelt. Anbieter solcher Dienste sind von der Haftung für eine verbotene Aussage befreit, die über ihren Online-Standort verbreitet wird (Abs. 27(1)).

Die Kommission hat fünf Mitglieder, die vom Präsidenten mit Zustimmung des Verfassungsrats ernannt werden (Abs. 5).

Die Übermittlung einer falschen Aussage, die die nationale Sicherheit, die öffentliche Gesundheit oder die öffentliche Ordnung bedroht oder Feindseligkeit zwischen Bevölkerungsgruppen fördert, wird mit bis zu fünf Jahren Freiheitsstrafe oder einer Geldstrafe von 500.000 Rs bestraft (Abs. 12). Weitere Straftaten betreffen falsche Aussagen, die einer Missachtung des Gerichts gleichkommen, mutwillige Provokation, die Verletzung religiöser Gefühle und Online-Betrug (Abs. 13–17).

Das Konto hinter einem Beitrag kann durch eine richterliche Anordnung eines Magistrats zur Herausgabe von Teilnehmerinformationen ermittelt werden (Abs. 35) oder, wenn eine Aussage von einem nicht authentischen Konto oder einem Bot veröffentlicht wurde, durch eine Anordnung des Bezirksgerichts an den Vermittler, die Identität oder den Standort offenzulegen (Abs. 26).

Das Computer Crime Act verlangt für das Abfangen und die Erhebung von Verkehrsdaten eine richterliche Anordnung eines Magistrats; nach seinem Abschnitt 18(2) entfällt diese jedoch, wenn ein Beamter die Untersuchung als dringend einstuft, und die Vertraulichkeitspflicht (Abs. 24(2)) hält die Anfrage vor der betroffenen Person geheim.

In ihren Beobachtungen vom 12. September 2025 führte die International Commission of Jurists die übermäßig weitreichenden Befugnisse der Kommission und der bestellten Sachverständigen als einen ihrer Kritikpunkte auf und forderte die Aufhebung oder wesentliche Überarbeitung. Die Reihenfolge der Zeilen entspricht dem Sicherheits-Score, und ein Exit-Standort ist keine Empfehlung.