Le cadre juridique
Le Personal Data Protection Act n° 9 de 2022 est inscrit dans les textes au Sri Lanka sans être encore pleinement applicable, un décalage entre adoption et entrée en application qui définit la situation actuelle en matière de conformité.
Pour la planification média, cela impose une posture opt-in, avec un recueil du consentement mis en place avant le lancement des campagnes.
Principaux textes
Loi n° 9 de 2022 sur la protection des données personnelles, modifiée par la loi n° 22 de 2025
La première loi générale d'Asie du Sud dispose d'un régulateur opérationnel, mais d'aucune obligation encore applicable. Seules l'Autorité de protection des données et les dispositions d'interprétation sont en vigueur ; l'amendement de 2025 (loi n° 22 de 2025) a laissé le déclenchement des obligations de fond à un arrêté ministériel, et aucun n'avait été pris début 2026. Une conformité déjà rodée au RGPD s'y transposera aisément une fois ces obligations activées.
Marketing et publicité
Bases calquées sur le RGPD ; le consentement devra être démontrable et révocable une fois les dispositions de fond entrées en application. La règle de consentement ci-dessus doit servir de base à la planification ; la ligne sur les sanctions ci-dessous indique le coût d'une mauvaise évaluation de ce risque.
Transferts transfrontaliers
Les transferts à l'étranger devront reposer sur une destination adéquate ou des garanties, sous réserve d'exceptions sectorielles, une fois les dispositions de fond activées.
Application et sanctions
Amendes pouvant atteindre LKR 10 M par infraction, avec une aggravation en cas de récidive, une fois les dispositions de fond activées.