Amèrica Llatina: sis economies reescriuen les normes d'identitat en 21 mesos (CA)

El règim complet de Xile, la identificació nacional biomètrica de Mèxic i el pont d'adequació del Brasil a la Unió Europea van aterrar dins del mateix període. Els terminis restants convergeixen el desembre de 2026.

La versió curta

El frau és el motor, i està mesurat

L'Avaluació Global d'Amenaces de Frau Financer d'INTERPOL, publicada el març de 2026, va situar les pèrdues globals per frau en 442.000 milions de dòlars per al 2025 i va registrar un augment del 40% dels casos a Amèrica en un any.

El règim de Xile entra en vigor l'1 de desembre de 2026

La Llei 21.719 es va publicar el 13 de desembre de 2024 i entra en vigor l'1 de desembre de 2026, creant una agència dedicada a la protecció de dades on Xile no en tenia cap anteriorment.

Mèxic té ara una identificació nacional biomètrica

Un decret publicat al Diario Oficial de la Federación el 16 de juliol de 2025 fa del CURP, amb empremtes dactilars i una fotografia, el document d'identificació nacional obligatori.

El Brasil i la UE es van reconèixer mútuament

La Decisió d'Execució (UE) 2026/179 de la Comissió, adoptada el 26 de gener de 2026, permet que les dades personals es moguin entre tots dos sense instruments de transferència addicionals, cobrint més de 670 milions de persones.

Les dades biomètriques són sensibles per llei

Xile, Perú, Mèxic i Colòmbia tracten les dades biomètriques com una categoria especial que requereix una base més estricta que les dades personals ordinàries. S'esperen les normes vinculants del Brasil.

Les finestres d'adaptació s'estan reduint

Xile va donar poc menys de dos anys entre la publicació i l'entrada en vigor. La llei federal de protecció de dades de Mèxic de 2025 es va publicar el 20 de març de 2025 i va entrar en vigor l'endemà.

Els casos de frau a Amèrica van augmentar un 40% en un any, i les reescriptures van seguir

L'Avaluació Global d'Amenaces de Frau Financer d'INTERPOL, publicada el març de 2026, va situar les pèrdues globals per frau en 442.000 milions de dòlars per al 2025 i va registrar un augment del 40% dels casos de frau a Amèrica en un sol any. També va trobar que els esquemes que utilitzaven intel·ligència artificial eren aproximadament 4,5 vegades més rendibles que els que no en feien ús. Les normes d'identitat descrites a continuació són la resposta reguladora a això.

Aquesta última xifra és la que explica la temporalització. El frau que s'escala de manera barata és un frau que arriba més ràpid del que la legislació normalment es mou, i les lleis d'aquesta publicació van ser escrites per governs que observaven la mateixa sèrie d'INTERPOL.

Val la pena ser precisos sobre què són i què no són aquestes normes. La majoria són estatuts de protecció de dades, no estatuts antifrau. Regulen com una organització pot recopilar i mantenir un escaneig facial o una empremta dactilar, i només algunes d'elles requereixen verificació. La connexió amb el frau funciona a l'inrevés: a mesura que la verificació es fa més comuna, les dades que produeix es tornen més sensibles, i la llei segueix les dades.

Aquesta és la qüestió de la proporcionalitat subjacent a la reescriptura de tota la regió. Les comprovacions d'identitat s'afegeixen constantment a nous contextos, i cada vegada la pregunta oberta és si el dany justifica la fricció i la recopilació. Amèrica Llatina l'ha respost de manera diferent en diferents mercats, raó per la qual no existeix una postura de compliment regional única.

Sis de les set economies més grans van reescriure les seves normes entre març de 2025 i desembre de 2026

Entre març de 2025 i l'1 de desembre de 2026, Mèxic, Perú, Argentina, Brasil, Xile i Colòmbia van reemplaçar, reformar o començar a aplicar normes que regulen la identitat i les dades personals. Només una de les set economies més grans d'Amèrica Llatina va quedar fora d'aquest període. L'últim dels canvis, la Llei 21.719 de Xile, entra en vigor l'1 de desembre de 2026.

La finestra es va obrir a Mèxic. La llei federal de protecció de dades publicada el 20 de març de 2025 va reemplaçar l'estatut de 2010 i va entrar en vigor l'endemà, i el regulador de transparència i protecció de dades de llarga data INAI es va dissoldre, traslladant l'aplicació a un organisme sota l'autoritat federal anticorrupció. Nou dies després, va entrar en vigor la regulació de protecció de dades reescrita del Perú, que requereix oficials de protecció de dades i estableix un deure de notificació de violacions que comença des del moment en què es confirmen els fets.

Dos canvis des de llavors són els més importants per a qualsevol que transfereixi dades de verificació a través de les fronteres. El decret CURP biomètric de Mèxic, publicat el 16 de juliol de 2025, es tracta a la secció 04. I el 26 de gener de 2026 la Comissió Europea va adoptar la Decisió d'Execució (UE) 2026/179, reconeixent el Brasil com a proveïdor d'una protecció adequada per a les dades personals, amb el Brasil adoptant una decisió recíproca. La Comissió Europea descriu el resultat com a cobertura de més de 670 milions de persones, i significa que les dades de verificació poden moure's entre la Unió Europea i el Brasil sense clàusules contractuals estàndard o altres instruments de transferència.

El mateix patró és visible en altres continents. Nou mercats d'Àsia van reescriure les seves normes d'identitat en catorze mesos, i el Reglament contra el Blanqueig de Capitals de la Unió Europea ara afegeix obligacions de seguiment continu als clients que una empresa ja té.

Les dades biomètriques són ara una categoria especial en tots els mercats principals

La Llei 21.719 de Xile denomina les dades biomètriques com a dades sensibles, juntament amb les dades de salut, geolocalització i financeres, a partir de l'1 de desembre de 2026. La regulació de 2025 del Perú, la llei federal de Mèxic i la Llei 1581 de 2012 de Colòmbia tracten totes les dades biomètriques com una categoria especial. L'efecte pràctic és el mateix a tot arreu: un escaneig facial necessita una base legal més sòlida que un nom i una adreça de correu electrònic.

Sensible és un terme tècnic que val la pena glossar. Significa que les dades no es poden processar sobre les bases ordinàries que cobreixen la major part de l'activitat empresarial, i normalment requereix un consentiment explícit o un permís estatutari específic, juntament amb una seguretat més estricta i, en diversos d'aquests règims, una avaluació documentada del risc abans que comenci el processament. Colòmbia ha requerit una autorització explícita prèvia des de 2012, la qual cosa en la pràctica significa que el consentiment inclòs en els termes i condicions generals no satisfà el requisit.

El Brasil és el mercat a observar. La seva autoritat nacional de protecció de dades, l'ANPD, va dur a terme una consulta pública sobre reconeixement facial i processament biomètric el juny de 2025, i s'esperen normes vinculants. Fins que no arribin, el processament biomètric al Brasil es regeix per les disposicions generals de la Lei Geral de Proteção de Dados en lloc d'un instrument dedicat.

Hi ha una tensió a la regió que val la pena esmentar en lloc de resoldre. Els mateixos governs que endureixen les normes sobre la conservació de dades biomètriques són, en diversos casos, els governs que construeixen credencials biomètriques obligatòries. Mèxic està fent ambdues coses alhora. Cap de les dues posicions és inconsistent per si mateixa, però una empresa que opera allà ha de satisfer ambdues al mateix temps.

Mèxic va fer d'una credencial biomètrica el document d'identitat obligatori del país

Un decret publicat al Diario Oficial de la Federación de Mèxic el 16 de juliol de 2025 va modificar la Ley General de Población de manera que el CURP que conté empremtes dactilars i una fotografia es converteix en el document d'identificació nacional obligatori, d'acceptació universal i obligatòria a tot Mèxic, emès tant en format físic com digital.

El CURP, la Clave Única de Registro de Población, ha existit durant anys com a clau administrativa del registre de població. El decret canvia el que és. L'article 91 Sexies el defineix com la font única d'identitat per a una persona, i com el mecanisme que permet associar aquesta persona amb qualsevol registre en poder de les autoritats i de particulars, per a la comprovació creuada, alertes i consultes a través de bases de dades.

Val la pena exposar clarament dos límits, perquè la direcció del viatge convida a l'exageració. En primer lloc, el decret no imposa per si mateix un deure sancionable a les empreses privades d'executar la verificació del CURP als seus clients; les regulacions d'implementació encara estaven pendents en el moment de la redacció, i l'obligació descrita a l'article 91 Sexies s'emmarca al voltant de l'estat i l'abast del CURP més que com un requisit de verificació permanent amb sancions adjuntes. En segon lloc, el text del decret especifica empremtes dactilars i una fotografia. La informació que la credencial conté dades d'iris no es va corroborar amb el text del decret revisat per a aquesta publicació.

El que no es dubta és la direcció. Mèxic està construint una credencial estatal destinada a ser l'artefacte d'identitat per defecte, i el decret obliga el Ministeri de l'Interior a integrar dades biomètriques al registre de població, inclòs un programa per a nens i adolescents que s'establirà en un termini de 120 dies des de l'entrada en vigor del decret. Els fluxos de verificació que operen a Mèxic haurien d'esperar llegir i validar aquesta credencial a mesura que s'escali.

El temps entre la publicació i l'aplicació s'està reduint

Xile va publicar la Llei 21.719 el 13 de desembre de 2024 i la va fixar per entrar en vigor l'1 de desembre de 2026, poc menys de dos anys després. Mèxic va publicar la seva llei federal de protecció de dades substituta el 20 de març de 2025 i la va posar en vigor l'endemà. La bretxa entre aquestes dues aproximacions és el fet de planificació més útil de la regió.

Una llarga pista no és una promesa que la següent serà llarga. El patró a tota la regió ha estat que les finestres d'adaptació s'escurcin, la qual cosa és un argument per construir-se abans d'un instrument en lloc d'esperar el seu text final. Una empresa que tracti els mesos restants de Xile com l'horitzó de planificació per a tota la regió arribarà tard a un altre lloc.

Xile

Poc menys de dos anys

Llei 21.719 publicada al Diario Oficial el 13 de desembre de 2024, vinculant l'1 de desembre de 2026. Temps suficient per construir un programa, nomenar els rols i realitzar les avaluacions abans que l'agència existeixi per preguntar-ne. La major part d'aquesta finestra ja s'ha esgotat.

Mèxic

Un dia

La llei federal de protecció de dades es va publicar el 20 de març de 2025 i va entrar en vigor l'endemà, reemplaçant l'estatut de 2010 i dissolent l'INAI. No hi va haver cap finestra d'adaptació. Les empreses que operen a Mèxic van passar a un nou règim i a un nou organisme d'aplicació simultàniament.

Cap mercat és el més estricte en tot

A les sis economies llatinoamericanes que van reescriure les seves normes d'identitat entre març de 2025 i desembre de 2026, la norma més estricta es troba en un país diferent per a cada obligació. Perú té el rellotge de violació més ràpid, Xile l'abast extraterritorial més ampli, Colòmbia l'estàndard de consentiment més estricte per a dades biomètriques, Mèxic l'única credencial estatal obligatòria.

Confirmeu els detalls amb un assessor legal local abans de basar-vos en qualsevol fila: diversos d'aquests instruments tenen regulacions d'implementació encara pendents, i els reguladors de la regió són prou nous que la pràctica d'aplicació encara no està establerta.

Mercat	Instrument principal	Autoritat	Data clau
Xile	Llei 21.719, que modifica la Llei 19.628	Agència de Protecció de Dades Personals, nova	Entrada en vigor l'1 de desembre de 2026
Mèxic	Llei federal de protecció de dades 2025, que substitueix l'estatut de 2010; Ley General de Población modificada	Òrgan sota l'autoritat federal anticorrupció; INAI dissolta	Llei en vigor el 21 de març de 2025; decret CURP el 16 de juliol de 2025
Brasil	Lei Geral de Proteção de Dados	ANPD, independent	Adequació mútua UE el 26 de gener de 2026
Perú	Llei 29733 i la regulació de 2025	Autoritat nacional sota el Ministeri de Justícia	Regulació en vigor el març de 2025
Argentina	Llei 25.326, reforma pendent	Agència d'Accés a la Informació Pública	Projectes de reforma davant el Congrés
Colòmbia	Llei 1581 de 2012, redacció de la reforma	Superintendència d'Indústria i Comerç	Reforma en curs

Pel que fa al blanqueig de capitals, la situació és comparativament estable. La declaració de juny de 2026 del Grup d'Acció Financera (FATF) inclou Bolívia, Veneçuela i Haití com a jurisdiccions sota un seguiment intensificat, l'estat que normalment es descriu com a llista grisa. Cap economia llatinoamericana important es troba actualment a la llista, la qual cosa és una posició materialment millor que la que tenia la regió fa una dècada.

Punts clau

• Les normes van canviar gairebé a tot arreu que importa. Sis de les set economies més grans d'Amèrica Llatina van reemplaçar, reformar o començar a aplicar normes d'identitat i dades entre març de 2025 i desembre de 2026.
• Xile és el termini a curt termini. La Llei 21.719 entra en vigor l'1 de desembre de 2026, creant una agència on no n'existia cap i afectant empreses fora de Xile que processen dades de residents xilens.
• Mèxic va construir una credencial estatal i un nou règim de privadesa al mateix temps. El CURP amb empremtes dactilars i una fotografia és ara el document d'identificació nacional obligatori, mentre que la llei federal de 2025 va arribar amb una finestra d'adaptació d'un dia.
• El Brasil es troba ara dins de l'espai de dades europeu. La Decisió d'Execució (UE) 2026/179 permet que les dades de verificació es moguin entre la Unió Europea i el Brasil sense instruments de transferència addicionals.
• Construïu segons la restricció més estricta per dimensió. El rellotge de violació del Perú, l'abast de Xile, l'estàndard de consentiment de Colòmbia i la credencial de Mèxic són els més estrictes en una dimensió. Un programa pot satisfer els sis mercats.

Utilitzant Didit per a les normes d'identitat d'Amèrica Llatina

Dos dels canvis d'aquesta publicació creen feina que un proveïdor de verificació pot assumir. El CURP biomètric de Mèxic es converteix en una credencial que els fluxos d'incorporació han de llegir i validar en lloc de simplement registrar: la verificació d'identitat a 0,15 $ per comprovació i la lectura NFC a 0,15 $ per comprovació cobreixen la lectura d'un xip o una credencial codificada i la comprovació que el que retorna és genuí. L'obligació de la Regla de viatge de cripto d'Argentina, que requereix que les dades d'identitat de l'originador i del beneficiari viatgin amb una transferència d'actius virtuals, és el que aborda la Regla de viatge a 0,02 $ per transacció. Quan les normes d'un mercat us obliguen a tornar a comprovar els clients que ja teniu en lloc de només els nous, el seguiment continu d'AML s'executa a 0,07 $ per usuari per any i el filtre AML a 0,20 $ per comprovació. Els preus actuals dels mòduls es troben a la pàgina de preus.

La major part del que descriu aquesta publicació no és feina de verificació en absolut, i es queda amb vosaltres. Didit no tria la base legal sobre la qual processeu un escaneig facial segons la Llei 21.719 de Xile o la Llei 1581 de Colòmbia, no realitza les avaluacions de riscos que requereixen aquests règims abans que comenci el processament d'alt risc, no notifica a l'autoritat del Perú quan es confirmen els fets sobre una violació, i no nomena el vostre responsable de protecció de dades. La verificació us ajuda a recopilar i comprovar la identitat segons l'estàndard que esperen aquestes normes; la base legal, les avaluacions, les notificacions i els registres segueixen sent responsabilitat de la vostra organització.

Preguntes freqüents

Quan entra en vigor la nova llei de protecció de dades de Xile?

L'1 de desembre de 2026. La Llei 21.719 es va publicar al Diario Oficial de Xile el 13 de desembre de 2024 i modifica la Llei 19.628, creant una Agència de Protecció de Dades Personals dedicada. La Biblioteca del Congrés Nacional registra que la llei modificada entrarà en vigor l'1 de desembre de 2026.

És obligatori el CURP biomètric de Mèxic?

El decret publicat al Diario Oficial de la Federación de Mèxic el 16 de juliol de 2025 fa del CURP, amb empremtes dactilars i una fotografia, el document d'identificació nacional obligatori, d'acceptació universal a tot el país, disponible en format físic i digital. L'article 91 Sexies defineix el CURP com la font única d'identitat, permetent que una persona s'associï amb qualsevol registre en poder de les autoritats i de particulars.

S'aplica la LGPD del Brasil a empreses fora del Brasil?

Sí. La Lei Geral de Proteção de Dados del Brasil s'aplica quan el processament es relaciona amb l'oferta de béns o serveis a persones al Brasil. Des del 26 de gener de 2026, la Decisió d'Execució (UE) 2026/179 de la Comissió i la decisió recíproca del Brasil permeten que les dades personals es moguin entre la Unió Europea i el Brasil sense instruments de transferència addicionals.

Quins països llatinoamericans es troben a la llista grisa del GAFI?

Segons la declaració del Grup d'Acció Financera de juny de 2026, Bolívia, Veneçuela i Haití estan sota un seguiment intensificat. Cap economia llatinoamericana important es troba actualment a la llista.

Es tracten les dades biomètriques com a sensibles a Amèrica Llatina?

En tots els mercats principals. La Llei 21.719 de Xile denomina les dades biomètriques com a dades sensibles a partir de l'1 de desembre de 2026. La regulació de protecció de dades de 2025 del Perú, la llei federal de Mèxic i la Llei 1581 de Colòmbia tracten totes les dades biomètriques com una categoria especial que requereix una base més estricta que les dades personals ordinàries. L'autoritat nacional del Brasil va dur a terme una consulta pública sobre el processament biomètric i s'esperen normes vinculants.

Lectures relacionades

• Àsia està traslladant el cost de les comprovacions d'identitat febles a bancs i plataformes — Nou mercats, i un regulador que va mesurar què va fer un mandat biomètric al frau.
• AMLR Article 26: amb quina freqüència s'ha de tornar a comprovar? — Obligacions de seguiment continu que s'adjunten als clients existents, no només a la incorporació.
• Mercats de predicció: qui són els vostres usuaris? — Tres reguladors van examinar un nou mercat el 2026 i tots van arribar a la mateixa pregunta sobre la identitat.
• AUSTRAC Tram 2 per a comerciants de metalls i pedres precioses — Com són les comprovacions d'identitat en el punt de venda quan un sector entra en un règim per primera vegada.

Fonts

1. Ley 21.719, que regula la protección y el tratamiento de los datos personales — Biblioteca del Congrés Nacional de Xile · publicada el 13 de desembre de 2024, en vigor l'1 de desembre de 2026
2. Decreto por el que se reforma la Ley General de Población — Diario Oficial de la Federación, Mèxic · 16 de juliol de 2025
3. Ley General de Población, texto vigente — Cámara de Diputados, Mèxic · text consolidat
4. Commission Implementing Decision (EU) 2026/179 on the adequate protection of personal data by Brazil — Diari Oficial de la Unió Europea · 26 de gener de 2026
5. EU and Brazil adopt mutual adequacy decisions — Comissió Europea · 26 de gener de 2026
6. Global Financial Fraud Threat Assessment 2026 — INTERPOL · març de 2026
7. Jurisdictions under increased monitoring, June 2026 — Grup d'Acció Financera · juny de 2026

Qui ho va escriure

Tuan Nguyen — Creixement · Didit

Escriu sobre verificació d'identitat, frau i compliment a Didit.

Última revisió el 29 de juliol de 2026 segons les fonts anteriors