Lateinamerika: Sechs große Volkswirtschaften und ihre neuen Identitätsregeln (DE)

Chiles vollständiges Regelwerk, Mexikos biometrischer Personalausweis und Brasiliens Angemessenheitsbeschluss mit der Europäischen Union fielen alle in denselben Zeitraum. Die verbleibenden Fristen konvergieren im Dezember 2026.

Die Kurzversion

Betrug ist der Treiber, und er wird gemessen

INTERPOLs „Global Financial Fraud Threat Assessment“, veröffentlicht im März 2026, bezifferte die weltweiten Betrugsverluste für 2025 auf 442 Milliarden US-Dollar und verzeichnete in Amerika einen Anstieg der Fallzahlen um 40 % innerhalb eines Jahres.

Chiles Regelwerk tritt am 1. Dezember 2026 in Kraft

Das Gesetz 21.719 wurde am 13. Dezember 2024 veröffentlicht und tritt am 1. Dezember 2026 vollständig in Kraft. Es schafft eine eigene Datenschutzbehörde, wo Chile zuvor keine hatte.

Mexiko hat jetzt einen biometrischen Personalausweis

Ein am 16. Juli 2025 im Diario Oficial de la Federación veröffentlichter Erlass macht die CURP mit Fingerabdrücken und Foto zum obligatorischen nationalen Identifikationsdokument.

Brasilien und die EU haben einander anerkannt

Der am 26. Januar 2026 angenommene Durchführungsbeschluss (EU) 2026/179 der Kommission ermöglicht den Datenaustausch zwischen den beiden ohne zusätzliche Übermittlungsinstrumente und umfasst mehr als 670 Millionen Menschen.

Biometrische Daten sind gesetzlich sensibel

Chile, Peru, Mexiko und Kolumbien behandeln biometrische Daten alle als eine besondere Kategorie, die eine strengere Grundlage erfordert als gewöhnliche personenbezogene Daten. Brasiliens verbindliche Regeln werden erwartet.

Die Anpassungsfristen werden kürzer

Chile gewährte knapp zwei Jahre zwischen Veröffentlichung und vollständigem Inkrafttreten. Mexikos Bundesdatenschutzgesetz von 2025 wurde am 20. März 2025 veröffentlicht und trat am folgenden Tag in Kraft.

Betrugsfälle in ganz Amerika stiegen innerhalb eines Jahres um 40 %, und die Neufassungen folgten

INTERPOLs „Global Financial Fraud Threat Assessment“, veröffentlicht im März 2026, bezifferte die weltweiten Betrugsverluste für 2025 auf 442 Milliarden US-Dollar und verzeichnete in Amerika einen Anstieg der Betrugsfälle um 40 % innerhalb eines einzigen Jahres. Es stellte auch fest, dass Schemata, die künstliche Intelligenz nutzten, etwa 4,5-mal profitabler waren als solche ohne. Die unten beschriebenen Identitätsregeln sind die regulatorische Antwort darauf.

Diese letzte Zahl erklärt den Zeitpunkt. Betrug, der billig skaliert, ist Betrug, der schneller ankommt, als die Gesetzgebung normalerweise voranschreitet, und die Gesetze in diesem Beitrag wurden von Regierungen geschrieben, die dieselbe INTERPOL-Reihe beobachteten.

Es lohnt sich, genau zu sein, was diese Regeln sind und was nicht. Die meisten von ihnen sind Datenschutzgesetze und keine Betrugsbekämpfungsgesetze. Sie regeln, wie eine Organisation einen Gesichtsscan oder einen Fingerabdruck sammeln und speichern darf, und nur einige von ihnen erfordern überhaupt eine Verifizierung. Die Verbindung zum Betrug läuft umgekehrt: Je häufiger die Verifizierung wird, desto sensibler werden die von ihr erzeugten Daten, und das Gesetz folgt den Daten.

Das ist die Proportionalitätsfrage, die der gesamten Neufassung der Region zugrunde liegt. Identitätsprüfungen werden immer wieder an neue Kontexte geknüpft, und jedes Mal stellt sich die offene Frage, ob der Schaden die Reibung und die Datenerhebung rechtfertigt. Lateinamerika hat dies in verschiedenen Märkten unterschiedlich beantwortet, weshalb es keine einheitliche regionale Compliance-Haltung gibt.

Sechs der sieben größten Volkswirtschaften überarbeiteten ihre Regeln zwischen März 2025 und Dezember 2026

Zwischen März 2025 und 1. Dezember 2026 haben Mexiko, Peru, Argentinien, Brasilien, Chile und Kolumbien alle Regeln zur Identität und zu personenbezogenen Daten ersetzt, reformiert oder deren Durchsetzung begonnen. Nur eine der sieben größten Volkswirtschaften Lateinamerikas hat diesen Zeitraum ausgelassen. Die letzte der Änderungen, Chiles Gesetz 21.719, tritt am 1. Dezember 2026 vollständig in Kraft.

Das Zeitfenster öffnete sich in Mexiko. Das am 20. März 2025 veröffentlichte Bundesdatenschutzgesetz ersetzte das Gesetz von 2010 und trat am folgenden Tag in Kraft, und die langjährige Transparenz- und Datenschutzbehörde INAI wurde aufgelöst, wobei die Durchsetzung an eine Behörde unter der föderalen Anti-Korruptionsbehörde übertragen wurde. Neun Tage später trat Perus überarbeitete Datenschutzverordnung in Kraft, die Datenschutzbeauftragte vorschreibt und eine Meldepflicht für Datenschutzverletzungen festlegt, die ab dem Zeitpunkt der Bestätigung der Fakten gilt.

Zwei seitdem erfolgte Änderungen sind für jeden, der Verifizierungsdaten über Grenzen hinweg bewegt, am wichtigsten. Mexikos biometrisches CURP-Dekret, veröffentlicht am 16. Juli 2025, wird in Abschnitt 04 behandelt. Und am 26. Januar 2026 verabschiedete die Europäische Kommission den Durchführungsbeschluss (EU) 2026/179, der Brasilien als Land anerkennt, das einen angemessenen Schutz personenbezogener Daten bietet, wobei Brasilien eine gegenseitige Entscheidung traf. Die Europäische Kommission beschreibt das Ergebnis als mehr als 670 Millionen Menschen umfassend, und es bedeutet, dass Verifizierungsdaten zwischen der Europäischen Union und Brasilien ohne Standardvertragsklauseln oder andere Übermittlungsinstrumente übertragen werden können.

Das gleiche Muster ist auf anderen Kontinenten sichtbar. Neun Märkte in Asien haben ihre Identitätsregeln innerhalb von vierzehn Monaten neu gefasst, und die Geldwäscheverordnung der Europäischen Union schreibt nun fortlaufende Überwachungspflichten für bestehende Kunden eines Unternehmens vor.

Biometrische Daten sind jetzt in jedem wichtigen Markt eine besondere Kategorie

Chiles Gesetz 21.719 bezeichnet biometrische Daten ab dem 1. Dezember 2026 als sensible Daten, neben Gesundheits-, Geolokalisierungs- und Finanzdaten. Perus Verordnung von 2025, Mexikos Bundesgesetz und Kolumbiens Gesetz 1581 von 2012 behandeln biometrische Daten alle als eine besondere Kategorie. Der praktische Effekt ist überall derselbe: Ein Gesichtsscan benötigt eine stärkere Rechtsgrundlage als ein Name und eine E-Mail-Adresse.

Sensibel ist ein Fachbegriff, der einer Erläuterung bedarf. Er bedeutet, dass die Daten nicht auf den gewöhnlichen Grundlagen verarbeitet werden dürfen, die die meisten Geschäftsaktivitäten abdecken, und erfordert in der Regel eine ausdrückliche Zustimmung oder eine spezifische gesetzliche Genehmigung, zusammen mit strengeren Sicherheitsvorkehrungen und, in einigen dieser Regime, eine dokumentierte Risikobewertung vor Beginn der Verarbeitung. Kolumbien verlangt seit 2012 eine vorherige ausdrückliche Genehmigung, was in der Praxis bedeutet, dass eine in allgemeine Geschäftsbedingungen gebündelte Zustimmung die Anforderung nicht erfüllt.

Brasilien ist der Markt, den es zu beobachten gilt. Seine nationale Datenschutzbehörde, die ANPD, führte im Juni 2025 eine öffentliche Konsultation zur Gesichtserkennung und biometrischen Verarbeitung durch, und verbindliche Regeln werden erwartet. Bis diese vorliegen, unterliegt die biometrische Verarbeitung in Brasilien den allgemeinen Bestimmungen des Lei Geral de Proteção de Dados und nicht einem speziellen Instrument.

Es gibt eine Spannung in der Region, die es wert ist, benannt und nicht gelöst zu werden. Dieselben Regierungen, die die Regeln für die Speicherung biometrischer Daten verschärfen, sind in mehreren Fällen die Regierungen, die obligatorische biometrische Anmeldeinformationen erstellen. Mexiko tut beides gleichzeitig. Keine der Positionen ist an sich inkonsistent, aber ein dort tätiges Unternehmen muss beide gleichzeitig erfüllen.

Mexiko machte eine biometrische Legitimation zum obligatorischen Ausweisdokument des Landes

Ein am 16. Juli 2025 im mexikanischen Diario Oficial de la Federación veröffentlichter Erlass änderte das Ley General de Población so, dass die CURP mit Fingerabdrücken und einem Foto zum obligatorischen nationalen Identifikationsdokument wird, das in ganz Mexiko universell und verpflichtend akzeptiert wird und sowohl in physischer als auch in digitaler Form ausgestellt wird.

Die CURP, die Clave Única de Registro de Población, existiert seit Jahren als administrativer Bevölkerungsschlüssel. Der Erlass ändert, was sie ist. Artikel 91 Sexies definiert sie als die einzige Identitätsquelle für eine Person und als den Mechanismus, der es ermöglicht, diese Person mit jedem von Behörden und privaten Parteien geführten Datensatz zu verknüpfen, für den Abgleich, Warnungen und Suchen in Datenbanken.

Zwei Grenzen sind klar zu benennen, da die Richtung der Entwicklung zu Übertreibungen einlädt. Erstens verhängt der Erlass an sich keine sanktionierbare Pflicht für Privatunternehmen, eine CURP-Verifizierung bei ihren Kunden durchzuführen; Durchführungsbestimmungen waren zum Zeitpunkt der Abfassung noch ausstehend, und die in Artikel 91 Sexies beschriebene Verpflichtung ist eher auf den Status und die Reichweite der CURP bezogen als auf eine stehende Verifizierungsanforderung mit angehängten Strafen. Zweitens spezifiziert der Erlasstext Fingerabdrücke und ein Foto. Berichte, dass die Legitimation Irisdaten enthält, wurden durch den für diesen Beitrag überprüften Erlasstext nicht bestätigt.

Was nicht bezweifelt wird, ist die Richtung. Mexiko baut eine staatliche Legitimation auf, die das Standard-Identitätsartefakt sein soll, und der Erlass verpflichtet das Innenministerium, biometrische Daten in das Bevölkerungsregister zu integrieren, auch durch ein Programm für Kinder und Jugendliche, das innerhalb von 120 Tagen nach Inkrafttreten des Erlasses eingerichtet werden soll. Verifizierungsabläufe in Mexiko sollten erwarten, diese Legitimation zu lesen und zu validieren, wenn sie skaliert.

Die Zeit zwischen Veröffentlichung und Inkrafttreten schrumpft

Chile veröffentlichte das Gesetz 21.719 am 13. Dezember 2024 und setzte es am 1. Dezember 2026, also knapp zwei Jahre später, in Kraft. Mexiko veröffentlichte sein ersetzendes Bundesdatenschutzgesetz am 20. März 2025 und setzte es am folgenden Tag in Kraft. Die Lücke zwischen diesen beiden Ansätzen ist der nützlichste Planungsfaktor in der Region.

Eine lange Anlaufzeit ist kein Versprechen, dass die nächste lang sein wird. Das Muster in der Region war, dass sich die Anpassungsfristen verkürzen, was ein Argument dafür ist, vor einem Instrument zu bauen, anstatt auf seinen endgültigen Text zu warten. Ein Unternehmen, das Chiles verbleibende Monate als Planungshorizont für die gesamte Region betrachtet, wird anderswo zu spät kommen.

Chile

Knapp zwei Jahre

Gesetz 21.719, veröffentlicht im Diario Oficial am 13. Dezember 2024, bindend ab 1. Dezember 2026. Lang genug, um ein Programm zu erstellen, die Rollen zu besetzen und die Bewertungen durchzuführen, bevor die Agentur existiert, um danach zu fragen. Der größte Teil dieses Zeitfensters ist nun verstrichen.

Mexiko

Ein Tag

Das Bundesdatenschutzgesetz wurde am 20. März 2025 veröffentlicht und trat am nächsten Tag in Kraft, ersetzte das Gesetz von 2010 und löste INAI auf. Es gab überhaupt keine Anpassungsfrist. In Mexiko tätige Unternehmen wechselten gleichzeitig zu einem neuen Regime und einer neuen Durchsetzungsbehörde.

Kein einzelner Markt ist in allem am strengsten

In den sechs lateinamerikanischen Volkswirtschaften, die ihre Identitätsregeln zwischen März 2025 und Dezember 2026 neu gefasst haben, befindet sich die strengste Regel für jede Verpflichtung in einem anderen Land. Peru hat die schnellste Frist für Datenschutzverletzungen, Chile die größte extraterritoriale Reichweite, Kolumbien den strengsten Zustimmungsstandard für biometrische Daten, Mexiko die einzige obligatorische staatliche Legitimation.

Bestätigen Sie die Einzelheiten mit einem lokalen Anwalt, bevor Sie sich auf eine Zeile verlassen: Mehrere dieser Instrumente haben noch ausstehende Durchführungsbestimmungen, und die Regulierungsbehörden der Region sind neu genug, dass die Durchsetzungspraxis noch nicht festgelegt ist.

Markt	Kerninstrument	Behörde	Schlüsseldatum
Chile	Gesetz 21.719, Änderung des Gesetzes 19.628	Agentur für den Schutz personenbezogener Daten, neu	Vollständiges Inkrafttreten 1. Dezember 2026
Mexiko	Bundesdatenschutzgesetz 2025, ersetzt das Gesetz von 2010; Ley General de Población in der geänderten Fassung	Behörde unter der föderalen Anti-Korruptionsbehörde; INAI aufgelöst	Gesetz in Kraft 21. März 2025; CURP-Dekret 16. Juli 2025
Brasilien	Lei Geral de Proteção de Dados	ANPD, unabhängig	Gegenseitige EU-Angemessenheit 26. Januar 2026
Peru	Gesetz 29733 und die Verordnung von 2025	Nationale Behörde unter dem Justizministerium	Verordnung in Kraft März 2025
Argentinien	Gesetz 25.326, Reform ausstehend	Agentur für den Zugang zu öffentlichen Informationen	Reformgesetzentwürfe vor dem Kongress
Kolumbien	Gesetz 1581 von 2012, Reformentwurf	Superintendenz für Industrie und Handel	Reform in Vorbereitung

Auf der Seite der Geldwäsche ist das Bild vergleichsweise stabil. Die Erklärung der Financial Action Task Force vom Juni 2026 listet Bolivien, Venezuela und Haiti als Jurisdiktionen unter verstärkter Beobachtung auf, der Status, der üblicherweise als graue Liste bezeichnet wird. Keine große lateinamerikanische Volkswirtschaft ist derzeit gelistet, was eine wesentlich bessere Position ist, als die Region vor einem Jahrzehnt innehatte.

Wichtige Erkenntnisse

• Die Regeln änderten sich fast überall, wo es darauf ankommt. Sechs der sieben größten Volkswirtschaften Lateinamerikas ersetzten, reformierten oder begannen mit der Durchsetzung von Identitäts- und Datenregeln zwischen März 2025 und Dezember 2026.
• Chile ist die kurzfristige Frist. Das Gesetz 21.719 tritt am 1. Dezember 2026 in Kraft, schafft eine Behörde, wo keine existierte, und erreicht Unternehmen außerhalb Chiles, die Daten chilenischer Einwohner verarbeiten.
• Mexiko baute gleichzeitig eine staatliche Legitimation und ein neues Datenschutzregime auf. Die CURP mit Fingerabdrücken und einem Foto ist nun das obligatorische nationale Identifikationsdokument, während das Bundesgesetz von 2025 mit einem eintägigen Anpassungsfenster kam.
• Brasilien ist jetzt Teil des europäischen Datenraums. Der Durchführungsbeschluss (EU) 2026/179 ermöglicht die Übertragung von Verifizierungsdaten zwischen der Europäischen Union und Brasilien ohne zusätzliche Übermittlungsinstrumente.
• Bauen Sie auf die strengste Einschränkung pro Dimension. Perus Frist für Datenschutzverletzungen, Chiles Reichweite, Kolumbiens Zustimmungsstandard und Mexikos Legitimation sind jeweils die strengsten in einer Dimension. Ein Programm kann alle sechs Märkte bedienen.

Didit für Lateinamerikas Identitätsregeln nutzen

Zwei der Änderungen in diesem Beitrag schaffen Arbeit, die ein Verifizierungsanbieter übernehmen kann. Mexikos biometrische CURP wird zu einem Nachweis, den Onboarding-Prozesse lesen und validieren müssen, anstatt ihn einfach nur zu erfassen: Die ID-Verifizierung zu 0,15 $ pro Prüfung und die NFC-Lesung zu 0,15 $ pro Prüfung umfassen das Lesen eines Chips oder einer codierten Legitimation und die Überprüfung, ob das Ergebnis echt ist. Argentiniens Krypto-Travel-Rule-Verpflichtung, die vorschreibt, dass Ursprungs- und Empfängeridentitätsdaten mit einer virtuellen Vermögensübertragung mitreisen müssen, wird durch die Travel Rule zu 0,02 $ pro Transaktion abgedeckt. Wo die Regeln eines Marktes eine erneute Überprüfung bestehender Kunden und nicht nur neuer Kunden vorschreiben, kostet die laufende AML-Überwachung 0,07 $ pro Benutzer und Jahr und das AML-Screening 0,20 $ pro Prüfung. Die aktuellen Modulpreise sind auf der Preisseite aufgeführt.

Das meiste dessen, was dieser Beitrag beschreibt, ist überhaupt keine Verifizierungsarbeit und bleibt bei Ihnen. Didit wählt nicht die Rechtsgrundlage, auf der Sie einen Gesichtsscan gemäß Chiles Gesetz 21.719 oder Kolumbiens Gesetz 1581 verarbeiten, führt nicht die Risikobewertungen durch, die diese Regime vor Beginn der Hochrisikoverarbeitung vorschreiben, benachrichtigt Perus Behörde nicht, wenn Fakten über eine Verletzung bestätigt werden, und ernennt nicht Ihren Datenschutzbeauftragten. Die Verifizierung hilft Ihnen, Identitäten gemäß den Standards dieser Regeln zu erfassen und zu überprüfen; die Rechtsgrundlage, die Bewertungen, die Benachrichtigungen und die Aufzeichnungen bleiben in der Verantwortung Ihrer Organisation.

Häufig gestellte Fragen

Wann tritt Chiles neues Datenschutzgesetz in Kraft?

1. Dezember 2026. Das Gesetz 21.719 wurde am 13. Dezember 2024 im chilenischen Diario Oficial veröffentlicht und ändert das Gesetz 19.628, wodurch eine spezielle Agentur für den Schutz personenbezogener Daten geschaffen wird. Die Biblioteca del Congreso Nacional verzeichnet das geänderte Gesetz als am 1. Dezember 2026 in Kraft tretend.

Ist Mexikos biometrische CURP obligatorisch?

Der am 16. Juli 2025 im mexikanischen Diario Oficial de la Federación veröffentlichte Erlass macht die CURP mit Fingerabdrücken und einem Foto zum obligatorischen nationalen Identifikationsdokument, das landesweit universell und verpflichtend akzeptiert wird und in physischer und digitaler Form erhältlich ist. Artikel 91 Sexies definiert die CURP als die einzige Identitätsquelle, die es ermöglicht, eine Person mit jedem von Behörden und privaten Parteien geführten Datensatz zu verknüpfen.

Gilt Brasiliens LGPD für Unternehmen außerhalb Brasiliens?

Ja. Brasiliens Lei Geral de Proteção de Dados gilt, wenn die Verarbeitung sich auf das Anbieten von Waren oder Dienstleistungen für Personen in Brasilien bezieht. Seit dem 26. Januar 2026 ermöglichen der Durchführungsbeschluss (EU) 2026/179 der Kommission und Brasiliens gegenseitiger Beschluss die Übertragung personenbezogener Daten zwischen der Europäischen Union und Brasilien ohne zusätzliche Übermittlungsinstrumente.

Welche lateinamerikanischen Länder stehen auf der FATF-Grauen Liste?

Laut der Erklärung der Financial Action Task Force vom Juni 2026 stehen Bolivien, Venezuela und Haiti unter verstärkter Beobachtung. Keine große lateinamerikanische Volkswirtschaft ist derzeit gelistet.

Werden biometrische Daten in Lateinamerika als sensibel behandelt?

In jedem wichtigen Markt. Chiles Gesetz 21.719 bezeichnet biometrische Daten ab dem 1. Dezember 2026 als sensible Daten. Perus Datenschutzverordnung von 2025, Mexikos Bundesgesetz und Kolumbiens Gesetz 1581 behandeln biometrische Daten alle als eine besondere Kategorie, die eine strengere Grundlage erfordert als gewöhnliche personenbezogene Daten. Brasiliens nationale Behörde führte eine öffentliche Konsultation zur biometrischen Verarbeitung durch, und verbindliche Regeln werden erwartet.

Weiterführende Lektüre

• Asien verlagert die Kosten schwacher Identitätsprüfungen auf Banken und Plattformen — Neun Märkte und eine Regulierungsbehörde, die gemessen hat, was ein biometrisches Mandat für Betrug bewirkt.
• AMLR Artikel 26: Wie oft müssen Sie erneut prüfen? — Laufende Überwachungspflichten, die sich auf bestehende Kunden beziehen, nicht nur auf das Onboarding.
• Prognosemärkte: Wer sind Ihre Nutzer? — Drei Regulierungsbehörden untersuchten 2026 einen neuen Markt und kamen alle auf dieselbe Frage zur Identität.
• AUSTRAC Tranche 2 für Händler von Edelmetallen und -steinen — Wie Identitätsprüfungen am Point-of-Sale aussehen, wenn ein Sektor zum ersten Mal in ein Regime eintritt.

Quellen

1. Ley 21.719, que regula la protección y el tratamiento de los datos personales — Biblioteca del Congreso Nacional de Chile · veröffentlicht am 13. Dezember 2024, in Kraft ab 1. Dezember 2026
2. Decreto por el que se reforma la Ley General de Población — Diario Oficial de la Federación, Mexiko · 16. Juli 2025
3. Ley General de Población, texto vigente — Cámara de Diputados, Mexiko · konsolidierter Text
4. Commission Implementing Decision (EU) 2026/179 on the adequate protection of personal data by Brazil — Amtsblatt der Europäischen Union · 26. Januar 2026
5. EU and Brazil adopt mutual adequacy decisions — Europäische Kommission · 26. Januar 2026
6. Global Financial Fraud Threat Assessment 2026 — INTERPOL · März 2026
7. Jurisdictions under increased monitoring, June 2026 — Financial Action Task Force · Juni 2026

Wer dies geschrieben hat

Tuan Nguyen — Wachstum · Didit

Schreibt über Identitätsprüfung, Betrug und Compliance bei Didit.

Zuletzt überprüft am 29. Juli 2026 anhand der oben genannten Quellen