VPN z serwerami na Sri Lance

Dostawca usług musi zachować poufność wniosku (art. 24 ust. 2); brak pomocy podlega karze grzywny do Rs 200 000, karze pozbawienia wolności od roku do dwóch lat albo obu tym karom łącznie (art. 23 ust. 2). Minister może w drodze rozporządzenia określić sposób przechowywania i przechwytywania danych (art. 18 ust. 4). Ustawa o bezpieczeństwie w internecie nr 9 z 2024 r. powtarza uprawnienie do uzyskania nakazu w odniesieniu do własnych przestępstw (art. 35). Nie jest potwierdzone, czy ustawy te obejmują operatora VPN.

Projekt ustawy poselskiej uchylającej ustawę o bezpieczeństwie w internecie nr 9 z 2024 r. opublikowano w Dzienniku Urzędowym w kwietniu 2025 r., a 8 maja 2025 r. przedstawiono go parlamentowi.

Komisja ds. bezpieczeństwa w internecie może wydawać każdemu dostawcy usług internetowych lub pośrednikowi internetowemu nakazy wyłączenia dostępu dla użytkowników końcowych na Sri Lance do lokalizacji internetowej zawierającej zakazane oświadczenie albo usunięcia takiego oświadczenia (art. 11 lit. c). „Usługa pośrednika internetowego” obejmuje między innymi usługę przekazującą materiały osób trzecich użytkownikom końcowym. Dostawcy takich usług są zwolnieni z odpowiedzialności za zakazane oświadczenie rozpowszechniane za pośrednictwem ich lokalizacji (art. 27 ust. 1).

Komisja ma pięciu członków, powoływanych przez prezydenta za zgodą Rady Konstytucyjnej (art. 5).

Przekazanie fałszywego oświadczenia, które zagraża bezpieczeństwu narodowemu, zdrowiu publicznemu lub porządkowi publicznemu albo podsyca niechęć między klasami społecznymi, podlega karze do pięciu lat pozbawienia wolności albo grzywnie w wysokości Rs 500 000 (art. 12). Kolejne przestępstwa obejmują fałszywe oświadczenia stanowiące obrazę sądu, umyślną prowokację, ranienie uczuć religijnych oraz oszustwo internetowe (art. 13–17).

Do konta, z którego opublikowano wpis, można dotrzeć na podstawie nakazu sądowego wydanego przez sędziego pokoju dotyczącego informacji o abonencie (art. 35), a w przypadku oświadczenia opublikowanego z nieautentycznego konta lub przez bota — na podstawie nakazu sądu okręgowego skierowanego do pośrednika, zobowiązującego go do ujawnienia tożsamości lub lokalizacji (art. 26).

Ustawa o przestępstwach komputerowych wymaga nakazu sądowego wydanego przez sędziego pokoju do przechwytywania komunikacji i uzyskiwania danych o ruchu, lecz jej art. 18 ust. 2 znosi wymóg nakazu, gdy funkcjonariusz uzna dochodzenie za pilne, a obowiązek zachowania poufności (art. 24 ust. 2) uniemożliwia poinformowanie osoby, której dotyczy wniosek.

W uwagach z 12 września 2025 r. Międzynarodowa Komisja Prawników zaliczyła zbyt szerokie uprawnienia komisji i wyznaczonych ekspertów do swoich zastrzeżeń oraz wezwała do uchylenia ustawy albo jej istotnej zmiany. Kolejność wierszy odpowiada wynikowi bezpieczeństwa, a lokalizacja serwera nie jest rekomendacją.