VPN dengan server di Sri Lanka

Penyedia layanan wajib merahasiakan permintaan (pasal 24(2)); kegagalan untuk membantu dapat dikenai denda hingga Rs 200,000, hukuman penjara satu hingga dua tahun, atau keduanya (pasal 23(2)). Menteri dapat menetapkan melalui peraturan cara data disimpan dan disadap (pasal 18(4)). Undang-Undang Keamanan Daring No. 9 Tahun 2024 mengulangi kewenangan surat perintah untuk pelanggarannya sendiri (pasal 35). Apakah undang-undang ini berlaku terhadap operator VPN belum dipastikan.

Rancangan undang-undang anggota parlemen untuk mencabut Undang-Undang Keamanan Daring No. 9 Tahun 2024 dipublikasikan dalam Gazette pada April 2025 dan diajukan ke Parlemen pada 8 Mei 2025.

Komisi Keamanan Daring dapat menerbitkan pemberitahuan kepada penyedia layanan internet atau perantara internet mana pun untuk menonaktifkan akses, bagi pengguna akhir di Sri Lanka, ke lokasi daring yang memuat pernyataan terlarang, atau menghapusnya (pasal 11(c)). “Layanan perantara internet” mencakup layanan yang meneruskan materi pihak ketiga kepada pengguna akhir. Penyedia layanan tersebut dibebaskan dari tanggung jawab atas pernyataan terlarang yang diedarkan melalui lokasi mereka (pasal 27(1)).

Komisi tersebut memiliki lima anggota yang ditunjuk oleh Presiden dengan persetujuan Dewan Konstitusional (pasal 5).

Menyampaikan pernyataan palsu yang mengancam keamanan nasional, kesehatan publik, atau ketertiban umum, atau mendorong permusuhan antarkelas masyarakat, dapat dikenai hukuman hingga lima tahun penjara atau denda Rs 500,000 (pasal 12). Pelanggaran lebih lanjut mencakup pernyataan palsu yang merupakan penghinaan terhadap pengadilan, provokasi yang disengaja, melukai perasaan keagamaan, dan penipuan daring (pasal 13–17).

Akun di balik suatu unggahan dapat diungkap melalui surat perintah Magistrat untuk memperoleh informasi pelanggan (pasal 35), atau, untuk pernyataan yang diunggah dari akun tidak autentik atau bot, melalui perintah Pengadilan Distrik kepada perantara untuk mengungkapkan identitas atau lokasi (pasal 26).

Undang-Undang Kejahatan Komputer mewajibkan surat perintah Magistrat untuk penyadapan dan perolehan data lalu lintas, tetapi pasal 18(2) menghapus kewajiban surat perintah ketika seorang petugas menilai penyelidikan itu mendesak, sementara kewajiban kerahasiaan (pasal 24(2)) mencegah permintaan tersebut diketahui oleh orang yang bersangkutan.

Dalam pengamatannya pada 12 September 2025, International Commission of Jurists mencantumkan kewenangan Komisi dan pakar yang ditunjuk yang terlalu luas sebagai salah satu keprihatinannya serta mendesak pencabutan atau revisi substansial. Urutan baris tersebut adalah skor keamanan, dan lokasi server bukanlah rekomendasi.