Le VPN con server nello Sri Lanka

Un fornitore di servizi deve mantenere riservata una richiesta (art. 24(2)); il mancato ausilio è punito con un’ammenda fino a 200.000 rupie, con la reclusione da uno a due anni, o con entrambe le pene (art. 23(2)). Il ministro può stabilire con regolamento le modalità di conservazione e intercettazione dei dati (art. 18(4)). L’Online Safety Act, n. 9 del 2024 ripete il potere di emettere mandati per i propri reati (art. 35). Non è accertato se queste leggi si applichino a un gestore VPN.

Un disegno di legge di iniziativa parlamentare per abrogare l’Online Safety Act, n. 9 del 2024 è stato pubblicato nella Gazzetta nell’aprile 2025 e presentato al Parlamento l’8 maggio 2025.

La Commissione per la sicurezza online può notificare a qualsiasi fornitore di servizi internet o intermediario internet di disabilitare, per gli utenti finali nello Sri Lanka, l’accesso a un luogo online contenente un’affermazione vietata, oppure di rimuoverla (art. 11(c)). Un «servizio di intermediazione internet» comprende anche quello che trasmette materiale di terzi agli utenti finali. I fornitori di tali servizi sono esenti da responsabilità per un’affermazione vietata diffusa attraverso il loro luogo online (art. 27(1)).

La Commissione ha cinque membri, nominati dal presidente con l’approvazione del Consiglio costituzionale (art. 5).

Comunicare una falsa dichiarazione che minacci la sicurezza nazionale, la salute pubblica o l’ordine pubblico, o che promuova l’ostilità tra classi di persone, è punito con la reclusione fino a cinque anni o con un’ammenda di 500.000 rupie (art. 12). Ulteriori reati riguardano le false dichiarazioni che costituiscono oltraggio alla corte, provocazione sconsiderata, lesione dei sentimenti religiosi e frode online (artt. 13–17).

Si risale all’account all’origine di un post tramite un mandato di un magistrato per ottenere le informazioni sugli abbonati (art. 35) oppure, nel caso di una dichiarazione pubblicata da un account non autentico o da un bot, tramite un’ordinanza del tribunale distrettuale all’intermediario, affinché comunichi l’identità o la posizione (art. 26).

Il Computer Crime Act richiede un mandato di un magistrato per l’intercettazione e per ottenere i dati sul traffico, ma il suo articolo 18(2) elimina il requisito del mandato quando un agente ritiene urgente l’indagine, mentre l’obbligo di riservatezza (art. 24(2)) impedisce che la richiesta sia comunicata alla persona interessata.

Nelle osservazioni del 12 settembre 2025, la Commissione internazionale dei giuristi ha annoverato tra le proprie preoccupazioni i poteri eccessivamente ampi della Commissione e degli esperti nominati e ha chiesto l’abrogazione o una revisione sostanziale. L’ordine delle righe è il punteggio di sicurezza, e la posizione di un server non costituisce una raccomandazione.