VPN con servidores en Sri Lanka

Un proveedor de servicios debe mantener la confidencialidad de una solicitud (art. 24(2)); no prestar asistencia conlleva una multa de hasta 200.000 rupias, una pena de prisión de uno a dos años, o ambas (art. 23(2)). El ministro puede establecer mediante reglamento cómo se conservan e interceptan los datos (art. 18(4)). La Ley de Seguridad en Línea n.º 9 de 2024 repite la facultad de emitir órdenes judiciales para sus propios delitos (art. 35). No está establecido si estas leyes alcanzan a un operador de VPN.

En abril de 2025 se publicó en la Gaceta un proyecto de ley de un diputado para derogar la Ley de Seguridad en Línea n.º 9 de 2024, que fue presentado al Parlamento el 8 de mayo de 2025.

La Comisión de Seguridad en Línea puede emitir avisos a cualquier proveedor de servicios de internet o intermediario de internet para deshabilitar, para los usuarios finales en Sri Lanka, el acceso a una ubicación en línea que contenga una declaración prohibida, o para retirarla (art. 11(c)). Un «servicio de intermediario de internet» incluye uno que transmite material de terceros a usuarios finales. Los proveedores de esos servicios están exentos de responsabilidad por una declaración prohibida difundida a través de su ubicación (art. 27(1)).

La Comisión tiene cinco miembros, designados por el presidente con la aprobación del Consejo Constitucional (art. 5).

Comunicar una declaración falsa que amenace la seguridad nacional, la salud pública o el orden público, o que promueva la animadversión entre clases de personas, conlleva una pena de hasta cinco años o una multa de 500.000 rupias (art. 12). Otros delitos abarcan las declaraciones falsas que constituyan desacato al tribunal, provocación deliberada, ofensa a los sentimientos religiosos y fraude en línea (arts. 13–17).

Se puede obtener la identidad tras una publicación mediante una orden judicial de un magistrado para obtener información de suscriptores (art. 35) o, si la declaración se publicó desde una cuenta no auténtica o un bot, mediante una orden de un tribunal de distrito al intermediario para que revele la identidad o la ubicación (art. 26).

La Ley de Delitos Informáticos exige una orden judicial de un magistrado para interceptar y obtener datos de tráfico, pero su artículo 18(2) elimina la exigencia de la orden cuando un agente considera urgente la investigación, y su deber de confidencialidad (art. 24(2)) impide que la solicitud llegue a conocimiento de la persona afectada.

En sus observaciones de 12 de septiembre de 2025, la Comisión Internacional de Juristas incluyó las facultades excesivamente amplias de la Comisión y de los expertos designados entre sus motivos de preocupación y pidió su derogación o una revisión sustancial. El orden de las filas es la puntuación de seguridad, y la ubicación de un servidor no constituye una recomendación.