O marco legal
A Lei de Proteção de Dados Pessoais n.º 9 de 2022 já existe no ordenamento jurídico do Sri Lanka, mas ainda não é totalmente exigível, um intervalo entre a promulgação e a entrada em operação que define o cenário atual de conformidade.
Para o planejamento de mídia, isso significa uma postura opt-in, com a captura de consentimento estruturada antes do lançamento das campanhas.
Principais instrumentos
Lei de Proteção de Dados Pessoais n.º 9 de 2022, alterada pela Lei n.º 22 de 2025
A primeira lei abrangente do Sul da Ásia tem um regulador em funcionamento, mas ainda nenhuma obrigação em vigor. Somente a Autoridade de Proteção de Dados e as disposições de interpretação estão em vigor; a emenda de 2025 (Lei n.º 22 de 2025) deixou o início das obrigações substantivas a cargo de uma portaria ministerial, e nenhuma havia sido emitida até o início de 2026. Uma conformidade já treinada no modelo do GDPR se adaptará bem assim que essas obrigações entrarem em vigor.
Marketing e publicidade
Bases no modelo do GDPR; o consentimento deve ser demonstrável e revogável assim que as disposições substantivas entrarem em operação. Trate a observação sobre consentimento acima como a regra de planejamento; a linha de sanções abaixo é o custo de avaliá-la mal.
Transferências internacionais
As transferências ao exterior exigirão um destino adequado ou salvaguardas, com exceções setoriais, assim que as disposições substantivas entrarem em vigor.
Fiscalização e sanções
Multas de até LKR 10 mi por violação, com aumento progressivo em caso de reincidência, assim que as disposições substantivas entrarem em vigor.