スリランカにサーバーを持つVPN

サービスプロバイダーは、要請を秘密に保持しなければならない（第24条第2項）。支援を怠った場合、最高Rs 200,000の罰金、1年から2年の拘禁刑、またはその両方が科される（第23条第2項）。大臣は、データの保持および傍受の方法を規則で定めることができる（第18条第4項）。2024年オンライン安全法（第9号）は、同法上の犯罪について令状の権限を繰り返し規定している（第35条）。これらの法律がVPN運営者に及ぶかは確認されていない。

2024年オンライン安全法（第9号）を廃止する民間議員法案が、2025年4月に官報で公開され、2025年5月8日に国会へ提出された。

オンライン安全委員会は、スリランカ国内のエンドユーザーに対し、禁止された声明を含むオンライン上の場所へのアクセスを停止するか、その声明を削除するよう、インターネットサービスプロバイダーまたはインターネット仲介者に通知を発行できる（第11条(c)）。「インターネット仲介サービス」には、第三者の資料をエンドユーザーに送信するサービスも含まれる。このようなサービスのプロバイダーは、その場所を通じて流通した禁止された声明について責任を免除される（第27条第1項）。

委員会は、憲法評議会の承認を得て大統領が任命する5人の委員で構成される（第5条）。

国家安全保障、公衆衛生または公共の秩序を脅かす、あるいは人々の階級間の敵意を助長する虚偽の声明を伝達した場合、最高5年の拘禁刑またはRs 500,000の罰金が科される（第12条）。さらに、法廷侮辱、故意の挑発、宗教的感情の侵害、オンライン詐欺に当たる虚偽の声明についても犯罪が定められている（第13条–第17条）。

投稿の背後にあるアカウントは、加入者情報については治安判事の令状により特定される（第35条）。真正でないアカウントまたはボットから投稿された声明については、仲介者に身元または所在地の開示を命じる地方裁判所の命令により特定される（第26条）。

コンピューター犯罪法は、傍受および通信データの取得に治安判事の令状を求めている。しかし、第18条第2項は、捜査が緊急であると担当官が判断した場合には令状を不要とし、第24条第2項の秘密保持義務により、要請が関係者に知られないようにしている。

2025年9月12日付の所見で、国際法律家委員会は、委員会および任命された専門家に付与された過度に広範な権限を懸念事項の一つに挙げ、廃止または大幅な改訂を求めた。行の順序はセキュリティスコアを示すものであり、サーバーの出口ロケーションは推奨を意味しない。