VPN avec des serveurs au Sri Lanka

Un fournisseur de services doit garder une demande confidentielle (art. 24(2)) ; le défaut d'assistance est passible d'une amende pouvant atteindre 200 000 Rs, d'une peine d'emprisonnement d'un à deux ans, ou des deux (art. 23(2)). Le ministre peut prescrire par règlement la manière dont les données sont conservées et interceptées (art. 18(4)). La loi sur la sécurité en ligne, n° 9 de 2024 reprend le pouvoir de délivrer un mandat pour ses propres infractions (art. 35). Il n'est pas établi que ces lois s'appliquent à un opérateur de VPN.

Une proposition de loi émanant d'un député visant à abroger la loi sur la sécurité en ligne, n° 9 de 2024, a été publiée dans la Gazette en avril 2025 et présentée au Parlement le 8 mai 2025.

La Commission de la sécurité en ligne peut adresser à tout fournisseur de services internet ou intermédiaire internet des notifications lui ordonnant de désactiver, pour les utilisateurs finaux au Sri Lanka, l'accès à un emplacement en ligne contenant une déclaration interdite, ou de la supprimer (art. 11(c)). Un « service d'intermédiaire internet » comprend notamment un service qui transmet aux utilisateurs finaux des contenus de tiers. Les fournisseurs de tels services sont exonérés de responsabilité pour une déclaration interdite diffusée par leur intermédiaire (art. 27(1)).

La Commission compte cinq membres, nommés par le président avec l'approbation du Conseil constitutionnel (art. 5).

La communication d'une fausse déclaration qui menace la sécurité nationale, la santé publique ou l'ordre public, ou qui favorise l'hostilité entre des classes de personnes, est passible d'une peine pouvant aller jusqu'à cinq ans ou d'une amende de 500 000 Rs (art. 12). D'autres infractions concernent les fausses déclarations constitutives d'un outrage au tribunal, la provocation gratuite, l'atteinte aux sentiments religieux et la fraude en ligne (art. 13–17).

Le compte à l'origine d'une publication peut être identifié au moyen d'un mandat d'un magistrat visant les informations sur l'abonné (art. 35) ou, dans le cas d'une déclaration publiée depuis un compte inauthentique ou par un bot, au moyen d'une ordonnance du tribunal de district enjoignant à l'intermédiaire de communiquer l'identité ou l'emplacement (art. 26).

La loi sur la criminalité informatique exige un mandat d'un magistrat pour l'interception et l'obtention de données de trafic, mais son article 18(2) supprime cette exigence lorsqu'un agent juge l'enquête urgente, et son obligation de confidentialité (art. 24(2)) empêche la personne concernée d'être informée de la demande.

Dans des observations datées du 12 septembre 2025, la Commission internationale de juristes a mentionné les pouvoirs excessivement larges de la Commission et des experts désignés parmi ses préoccupations et a demandé leur abrogation ou une révision substantielle. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.