El marco normativo
La Ley de Protección de Datos Personales N.º 9 de 2022 ya está sancionada en Sri Lanka, pero aún no es plenamente exigible; esa brecha entre la promulgación y la entrada en operación define el panorama actual de cumplimiento.
Para la planificación de medios, eso significa una postura de opt-in, con la captura de consentimiento integrada antes de lanzar las campañas.
Instrumentos clave
Ley de Protección de Datos Personales n.º 9 de 2022, modificada por la Ley n.º 22 de 2025
La primera ley integral del sur de Asia cuenta con un regulador en funcionamiento, pero todavía sin obligaciones operativas. Solo están vigentes las disposiciones relativas a la Data Protection Authority y las de interpretación; la enmienda de 2025 (Ley N.º 22 de 2025) dejó el inicio de las obligaciones sustantivas en manos de una orden ministerial, y no se había dictado ninguna hasta principios de 2026. El cumplimiento normativo entrenado en el RGPD se adaptará bien en cuanto entre en vigor.
Marketing y publicidad
Bases inspiradas en el RGPD; el consentimiento deberá poder demostrarse y retirarse una vez que las disposiciones sustantivas entren en vigor. Trate la nota de consentimiento anterior como la regla de planificación; la línea de sanciones a continuación es lo que cuesta calcularla mal.
Transferencias internacionales
Las transferencias al exterior necesitarán un destino adecuado o garantías, con excepciones sectoriales, una vez que entren en vigor las disposiciones sustantivas.
Aplicación y sanciones
Multas de hasta LKR 10 millones por infracción, que aumentan en caso de reincidencia, una vez que entren en vigor las disposiciones sustantivas.