قانون حماية البيانات الشخصية (سريلانكا)

ينطبق القانون على معالجة البيانات الشخصية:

• كلياً أو جزئياً داخل سريلانكا
• بواسطة جهات التحكم أو المعالجات المقيمة أو المنشأة في سريلانكا
• فيما يتعلق بتقديم السلع أو الخدمات للأفراد المعنيين بالبيانات في سريلانكا
• يتضمن ذلك مراقبة سلوك الأفراد المعنيين بالبيانات في سريلانكا

ينص القانون على إنشاء هيئة حماية البيانات في سريلانكا كهيئة تنظيمية رئيسية مسؤولة عن إنفاذ القانون وتعزيز ممارسات حماية البيانات.

يمنح القانون العديد من الحقوق لأصحاب البيانات، بما في ذلك:

• حق الوصول إلى البيانات الشخصية
• الحق في تصحيح البيانات غير الدقيقة
• الحق في المحو ("الحق في النسيان")
• الحق في الاعتراض على المعالجة
• الحق في سحب الموافقة
• الحق في مراجعة عملية اتخاذ القرارات الآلية

تشمل الالتزامات الرئيسية ما يلي:

• ضمان المعالجة القانونية للبيانات الشخصية
• تنفيذ برامج إدارة حماية البيانات
• إجراء تقييمات أثر حماية البيانات في حالات معينة
• تعيين مسؤولي حماية البيانات في ظل ظروف محددة
• إخطار الهيئة والأفراد المتضررين بانتهاكات البيانات الشخصية

ينظم القانون نقل البيانات الشخصية خارج سريلانكا، ويشترط اتخاذ تدابير حماية كافية أو استيفاء شروط محددة.

يوفر القانون حماية إضافية للبيانات الشخصية الحساسة، بما في ذلك البيانات التي تكشف عن الأصل العرقي أو الإثني، والآراء السياسية، والمعتقدات الدينية، والبيانات الصحية، والبيانات البيومترية.

يخول القانون الهيئة فرض عقوبات على عدم الامتثال:

• في حالة عدم الامتثال للمرة الأولى، يجوز فرض غرامة لا تتجاوز عشرة ملايين روبية .
• في حالة عدم الامتثال اللاحق، يجوز فرض غرامة إضافية تعادل ضعف المبلغ المفروض على عدم الامتثال السابق.

تأخذ الهيئة في الاعتبار عدة عوامل عند تحديد العقوبات، بما في ذلك طبيعة ومدة المخالفة، وعدد الأشخاص المعنيين بالبيانات، وأي إجراءات تم اتخاذها للتخفيف من الأضرار.

دخل الجزء التالي من القانون حيز التنفيذ وفقًا للجريدة الرسمية رقم 2341/59 (المؤرخة في 21 يوليو 2023): ^{[ 4 ]}

الجزء الخامس - إنشاء هيئة حماية البيانات.

دخلت الأحكام التالية من القانون حيز التنفيذ وفقًا للجريدة الرسمية رقم 2366/08 (المؤرخة في 8 يناير 2024): ^{[ 5 ]}

الجزء السادس – المدير العام وموظفو هيئة حماية البيانات

الجزء الثامن - صندوق الهيئة

الجزء التاسع – أحكام متنوعة

الجزء العاشر - التفسير

في البداية، كان من المقرر أن تدخل الأحكام التالية حيز التنفيذ في 18 مارس 2025، وفقًا للجريدة الرسمية رقم 2366/08: ^{[ 5 ]}

الجزء الأول – الأحكام التمهيدية

الجزء الثاني - حقوق أصحاب البيانات

الجزء الثالث - وحدات التحكم والمعالجات

الجزء السابع – العقوبات

إلا أن تاريخ التنفيذ هذا قد أُلغي بموجب الجريدة الرسمية رقم 2427/34 (المؤرخة في 14 مارس 2025). ^{[ 1 ]} ونتيجةً لذلك، لم يعد لهذه الأحكام تاريخ تنفيذ مؤكد، في انتظار إعلانات حكومية أخرى.

بحسب هيئة حماية البيانات، ^{[ 6 ]} سيدخل الجزء الرابع، الذي يتناول "استخدام البيانات الشخصية لنشر الرسائل المطلوبة"، حيز التنفيذ في غضون فترة تتراوح بين أربعة وعشرين وثمانية وأربعين شهرًا من تاريخ مصادقة رئيس البرلمان على القانون. ولم يُحدد بعدُ التاريخ الدقيق لتنفيذ الجزء الرابع.

يهدف هذا التنفيذ التدريجي إلى تمكين المنظمات والسلطات المختصة من الاستعداد والامتثال بشكل كافٍ. ويشير إلغاء المرحلة الثالثة إلى إجراء مراجعة حكومية إضافية قبل دخول هذه الأحكام حيز التنفيذ.