Six économies latino-américaines ont redéfini leurs règles d'identité en 21 mois (FR-1)

Le régime complet du Chili, l'identification nationale biométrique du Mexique et le pont d'adéquation du Brésil avec l'Union européenne sont tous apparus dans la même période. Les délais restants convergent vers décembre 2026.

La version courte

La fraude est le moteur, et elle est mesurée

L'Évaluation mondiale des menaces de fraude financière d'INTERPOL, publiée en mars 2026, a estimé les pertes mondiales dues à la fraude à 442 milliards de dollars pour 2025 et a enregistré une augmentation de 40 % des cas dans les Amériques en un an.

Le régime du Chili prend effet le 1er décembre 2026

La loi 21.719 a été publiée le 13 décembre 2024 et entrera pleinement en vigueur le 1er décembre 2026, créant une agence dédiée à la protection des données là où le Chili n'en avait pas auparavant.

Le Mexique dispose désormais d'une carte d'identité nationale biométrique

Un décret publié dans le Diario Oficial de la Federación le 16 juillet 2025 fait de la CURP, comportant des empreintes digitales et une photographie, le document d'identification nationale obligatoire.

Le Brésil et l'UE se sont reconnus mutuellement

La Décision d'exécution (UE) 2026/179 de la Commission, adoptée le 26 janvier 2026, permet aux données personnelles de circuler entre les deux sans instruments de transfert supplémentaires, couvrant plus de 670 millions de personnes.

Les données biométriques sont sensibles de par la loi

Le Chili, le Pérou, le Mexique et la Colombie traitent tous les données biométriques comme une catégorie spéciale nécessitant une base plus stricte que les données personnelles ordinaires. Les règles contraignantes du Brésil sont attendues.

Les fenêtres d'adaptation rétrécissent

Le Chili a accordé un peu moins de deux ans entre la publication et l'entrée en vigueur. La loi fédérale mexicaine sur la protection des données de 2025 a été publiée le 20 mars 2025 et est entrée en vigueur le lendemain.

Les cas de fraude dans les Amériques ont augmenté de 40 % en un an, et les réécritures ont suivi

L'Évaluation mondiale des menaces de fraude financière d'INTERPOL, publiée en mars 2026, a estimé les pertes mondiales dues à la fraude à 442 milliards de dollars pour 2025 et a enregistré une augmentation de 40 % des cas de fraude dans les Amériques en une seule année. Elle a également constaté que les stratagèmes utilisant l'intelligence artificielle étaient environ 4,5 fois plus rentables que ceux qui n'en utilisaient pas. Les règles d'identité décrites ci-dessous sont la réponse réglementaire à cela.

Ce dernier chiffre est celui qui explique le calendrier. La fraude qui se propage à peu de frais est une fraude qui arrive plus vite que la législation ne bouge normalement, et les lois de ce post ont été écrites par des gouvernements observant la même série INTERPOL.

Il est important d'être précis sur ce que ces règles sont et ce qu'elles ne sont pas. La plupart d'entre elles sont des statuts de protection des données plutôt que des statuts anti-fraude. Elles régissent la manière dont une organisation peut collecter et détenir un scan facial ou une empreinte digitale, et seules certaines d'entre elles exigent une vérification. Le lien avec la fraude fonctionne dans l'autre sens : à mesure que la vérification devient plus courante, les données qu'elle produit deviennent plus sensibles, et la loi suit les données.

C'est la question de la proportionnalité qui sous-tend la réécriture de toute la région. Les contrôles d'identité continuent d'être associés à de nouveaux contextes, et à chaque fois, la question ouverte est de savoir si le préjudice justifie la friction et la collecte. L'Amérique latine y a répondu différemment sur différents marchés, c'est pourquoi une seule approche de conformité régionale n'existe pas.

Six des sept plus grandes économies ont réécrit leurs règles entre mars 2025 et décembre 2026

Entre mars 2025 et le 1er décembre 2026, le Mexique, le Pérou, l'Argentine, le Brésil, le Chili et la Colombie ont tous remplacé, réformé ou commencé à appliquer des règles régissant l'identité et les données personnelles. Seule l'une des sept plus grandes économies d'Amérique latine n'a pas participé à cette période. La dernière des modifications, la loi 21.719 du Chili, prendra pleinement effet le 1er décembre 2026.

La fenêtre s'est ouverte au Mexique. La loi fédérale sur la protection des données publiée le 20 mars 2025 a remplacé la loi de 2010 et est entrée en vigueur le lendemain, et le régulateur de longue date de la transparence et de la protection des données, l'INAI, a été dissous, l'application ayant été transférée à un organisme relevant de l'autorité fédérale anti-corruption. Neuf jours plus tard, le règlement révisé sur la protection des données du Pérou est entré en vigueur, exigeant des responsables de la protection des données et fixant une obligation de notification de violation qui court à partir du moment où les faits sont confirmés.

Deux changements depuis lors sont les plus importants pour quiconque transfère des données de vérification transfrontalières. Le décret mexicain sur la CURP biométrique, publié le 16 juillet 2025, est couvert à la section 04. Et le 26 janvier 2026, la Commission européenne a adopté la Décision d'exécution (UE) 2026/179, reconnaissant que le Brésil offrait une protection adéquate des données personnelles, le Brésil adoptant une décision réciproque. La Commission européenne décrit le résultat comme couvrant plus de 670 millions de personnes, et cela signifie que les données de vérification peuvent circuler entre l'Union européenne et le Brésil sans clauses contractuelles standard ou autres instruments de transfert.

Le même schéma est visible sur d'autres continents. Neuf marchés d' Asie ont réécrit leurs règles d'identité en quatorze mois, et le Règlement anti-blanchiment de l'Union européenne impose désormais des obligations de surveillance continue aux clients qu'une entreprise a déjà.

Les données biométriques sont désormais une catégorie spéciale sur tous les marchés majeurs

La loi 21.719 du Chili désigne les données biométriques comme des données sensibles, aux côtés des données de santé, de géolocalisation et financières, à partir du 1er décembre 2026. Le règlement péruvien de 2025, la loi fédérale mexicaine et la loi 1581 de 2012 de la Colombie traitent toutes les données biométriques comme une catégorie spéciale. L'effet pratique est le même partout : un scan facial nécessite une base juridique plus solide qu'un nom et une adresse e-mail.

Sensible est un terme technique qui mérite d'être expliqué. Cela signifie que les données ne peuvent pas être traitées sur les bases ordinaires qui couvrent la plupart des activités commerciales, et nécessitent généralement un consentement explicite ou une autorisation légale spécifique, ainsi qu'une sécurité renforcée et, dans plusieurs de ces régimes, une évaluation documentée des risques avant le début du traitement. La Colombie exige une autorisation explicite préalable depuis 2012, ce qui signifie en pratique que le consentement inclus dans les conditions générales ne satisfait pas à l'exigence.

Le Brésil est le marché à surveiller. Son autorité nationale de protection des données, l'ANPD, a mené une consultation publique sur la reconnaissance faciale et le traitement biométrique en juin 2025, et des règles contraignantes sont attendues. En attendant, le traitement biométrique au Brésil est régi par les dispositions générales de la Lei Geral de Proteção de Dados plutôt que par un instrument dédié.

Il y a une tension dans la région qui mérite d'être nommée plutôt que résolue. Les mêmes gouvernements qui resserrent les règles sur la détention de données biométriques sont, dans plusieurs cas, les gouvernements qui construisent des identifiants biométriques obligatoires. Le Mexique fait les deux à la fois. Aucune position n'est incohérente en soi, mais une entreprise opérant là-bas doit satisfaire les deux en même temps.

Le Mexique a fait d'un identifiant biométrique le document d'identité obligatoire du pays

Un décret publié dans le Diario Oficial de la Federación du Mexique le 16 juillet 2025 a modifié la Ley General de Población de sorte que la CURP contenant des empreintes digitales et une photographie devient le document d'identification nationale obligatoire, d'acceptation universelle et obligatoire dans tout le Mexique, délivré sous forme physique et numérique.

La CURP, la Clave Única de Registro de Población, existe depuis des années en tant que clé administrative du registre de la population. Le décret modifie ce qu'elle est. L'article 91 Sexies la définit comme la source unique d'identité pour une personne, et comme le mécanisme permettant d'associer cette personne à tout enregistrement détenu par les autorités et par des parties privées, pour des vérifications croisées, des alertes et des recherches dans les bases de données.

Deux limites méritent d'être clairement énoncées, car la direction que prend la situation invite à l'exagération. Premièrement, le décret n'impose pas en soi une obligation sanctionnable aux entreprises privées d'effectuer une vérification CURP sur leurs clients ; les règlements d'application étaient encore en attente au moment de la rédaction, et l'obligation décrite à l'article 91 Sexies est encadrée par le statut et la portée de la CURP plutôt que comme une exigence de vérification permanente assortie de pénalités. Deuxièmement, le texte du décret spécifie les empreintes digitales et une photographie. Les rapports selon lesquels l'identifiant contient des données iris n'ont pas été confirmés par le texte du décret examiné pour ce billet.

Ce qui n'est pas en doute, c'est la direction. Le Mexique est en train de construire un identifiant d'État destiné à être l'artefact d'identité par défaut, et le décret oblige le ministère de l'Intérieur à intégrer les données biométriques dans le registre de la population, y compris par le biais d'un programme pour les enfants et les adolescents à établir dans les 120 jours suivant l'entrée en vigueur du décret. Les processus de vérification opérant au Mexique devraient s'attendre à lire et à valider cet identifiant à mesure qu'il se généralise.

Le délai entre la publication et l'application s'effondre

Le Chili a publié la loi 21.719 le 13 décembre 2024 et l'a rendue obligatoire le 1er décembre 2026, soit un peu moins de deux ans plus tard. Le Mexique a publié sa loi fédérale de remplacement sur la protection des données le 20 mars 2025 et l'a mise en vigueur le lendemain. L'écart entre ces deux approches est le fait de planification le plus utile dans la région.

Une longue période de préparation ne garantit pas que la prochaine sera longue. La tendance dans la région a été que les fenêtres d'adaptation se raccourcissent, ce qui est un argument pour construire en amont d'un instrument plutôt que d'attendre son texte final. Une entreprise qui traite les mois restants du Chili comme l'horizon de planification pour toute la région sera en retard ailleurs.

Chili

Un peu moins de deux ans

Loi 21.719 publiée au Diario Oficial le 13 décembre 2024, en vigueur le 1er décembre 2026. Assez longtemps pour élaborer un programme, nommer les rôles et effectuer les évaluations avant que l'agence n'existe pour poser des questions à leur sujet. La majeure partie de cette période a maintenant été utilisée.

Mexique

Un jour

La loi fédérale sur la protection des données a été publiée le 20 mars 2025 et est entrée en vigueur le lendemain, remplaçant la loi de 2010 et dissolvant l'INAI. Il n'y a eu aucune fenêtre d'adaptation. Les entreprises opérant au Mexique sont passées à un nouveau régime et à un nouvel organisme d'application simultanément.

Aucun marché n'est le plus strict sur tous les points

Dans les six économies latino-américaines qui ont réécrit leurs règles d'identité entre mars 2025 et décembre 2026, la règle la plus stricte se trouve dans un pays différent pour chaque obligation. Le Pérou a le délai de notification de violation le plus court, le Chili la portée extraterritoriale la plus large, la Colombie la norme de consentement la plus stricte pour les données biométriques, le Mexique le seul identifiant d'État obligatoire.

Confirmez les détails avec un conseiller juridique local avant de vous fier à une ligne : plusieurs de ces instruments ont encore des règlements d'application en attente, et les régulateurs de la région sont suffisamment récents pour que la pratique d'application ne soit pas encore établie.

Marché	Instrument principal	Autorité	Date clé
Chili	Loi 21.719, modifiant la loi 19.628	Agence de protection des données personnelles, nouvelle	Pleine entrée en vigueur le 1er décembre 2026
Mexique	Loi fédérale sur la protection des données 2025, remplaçant la loi de 2010 ; Ley General de Población telle que modifiée	Organisme relevant de l'autorité fédérale anti-corruption ; INAI dissoute	Loi en vigueur le 21 mars 2025 ; décret CURP le 16 juillet 2025
Brésil	Lei Geral de Proteção de Dados	ANPD, indépendante	Adéquation mutuelle UE le 26 janvier 2026
Pérou	Loi 29733 et règlement de 2025	Autorité nationale relevant du ministère de la Justice	Règlement en vigueur en mars 2025
Argentine	Loi 25.326, réforme en attente	Agence d'accès à l'information publique	Projets de réforme devant le Congrès
Colombie	Loi 1581 de 2012, rédaction de la réforme	Surintendance de l'Industrie et du Commerce	Réforme en cours

Du côté du blanchiment d'argent, la situation est relativement stable. La déclaration de juin 2026 du Groupe d'action financière (GAFI) liste la Bolivie, le Venezuela et Haïti comme des juridictions sous surveillance accrue, le statut généralement décrit comme la liste grise. Aucune grande économie latino-américaine n'est actuellement listée, ce qui est une position nettement meilleure que celle que la région occupait il y a dix ans.

Points clés à retenir

• Les règles ont changé presque partout où cela compte. Six des sept plus grandes économies d'Amérique latine ont remplacé, réformé ou commencé à appliquer des règles d'identité et de données entre mars 2025 et décembre 2026.
• Le Chili est l'échéance à court terme. La loi 21.719 entre en vigueur le 1er décembre 2026, créant une agence là où il n'en existait pas et atteignant les entreprises en dehors du Chili qui traitent les données des résidents chiliens.
• Le Mexique a créé un identifiant d'État et un nouveau régime de confidentialité en même temps. La CURP avec empreintes digitales et photographie est désormais le document d'identification nationale obligatoire, tandis que la loi fédérale de 2025 est arrivée avec une fenêtre d'adaptation d'un jour.
• Le Brésil fait désormais partie de l'espace de données européen. La Décision d'exécution (UE) 2026/179 permet aux données de vérification de circuler entre l'Union européenne et le Brésil sans instruments de transfert supplémentaires.
• Construisez selon la contrainte la plus stricte par dimension. L'horloge de violation du Pérou, la portée du Chili, la norme de consentement de la Colombie et l'identifiant du Mexique sont chacun les plus stricts dans une dimension. Un seul programme peut satisfaire les six marchés.

Utiliser Didit pour les règles d'identité en Amérique latine

Deux des changements de ce billet créent du travail qu'un fournisseur de vérification peut prendre en charge. La CURP biométrique du Mexique devient un identifiant que les flux d'intégration doivent lire et valider plutôt que simplement enregistrer : la Vérification d'identité à 0,15 $ par vérification et la Lecture NFC à 0,15 $ par vérification couvrent la lecture d'une puce ou d'un identifiant codé et la vérification de son authenticité. L'obligation de la règle de voyage crypto de l'Argentine, qui exige que les données d'identité de l'expéditeur et du bénéficiaire accompagnent un transfert d'actif virtuel, est ce que la Règle de voyage à 0,02 $ par transaction aborde. Lorsque les règles d'un marché vous obligent à revérifier les clients que vous avez déjà plutôt que seulement les nouveaux, la Surveillance AML continue coûte 0,07 $ par utilisateur par an et le Filtrage AML 0,20 $ par vérification. Les prix actuels des modules sont listés sur la page de tarification.

La plupart de ce que ce billet décrit n'est pas du tout un travail de vérification, et cela vous incombe. Didit ne choisit pas la base juridique sur laquelle vous traitez un scan facial en vertu de la loi 21.719 du Chili ou de la loi 1581 de la Colombie, n'effectue pas les évaluations des risques que ces régimes exigent avant le début d'un traitement à haut risque, ne notifie pas l'autorité péruvienne lorsque les faits concernant une violation sont confirmés, et ne nomme pas votre délégué à la protection des données. La vérification vous aide à collecter et à vérifier l'identité selon la norme attendue par ces règles ; la base juridique, les évaluations, les notifications et les enregistrements restent la responsabilité de votre organisation.

Questions fréquentes

Quand la nouvelle loi chilienne sur la protection des données entre-t-elle en vigueur ?

Le 1er décembre 2026. La loi 21.719 a été publiée au Diario Oficial du Chili le 13 décembre 2024 et modifie la loi 19.628, créant une Agence dédiée à la protection des données personnelles. La Biblioteca del Congreso Nacional enregistre l'entrée en vigueur de la loi modifiée au 1er décembre 2026.

La CURP biométrique du Mexique est-elle obligatoire ?

Le décret publié dans le Diario Oficial de la Federación du Mexique le 16 juillet 2025 fait de la CURP contenant des empreintes digitales et une photographie le document d'identification nationale obligatoire, d'acceptation universelle et obligatoire dans tout le pays, disponible sous forme physique et numérique. L'article 91 Sexies définit la CURP comme la source unique d'identité, permettant d'associer une personne à tout enregistrement détenu par les autorités et par des parties privées.

La LGPD du Brésil s'applique-t-elle aux entreprises en dehors du Brésil ?

Oui. La Lei Geral de Proteção de Dados du Brésil s'applique lorsque le traitement est lié à l'offre de biens ou de services à des personnes au Brésil. Depuis le 26 janvier 2026, la Décision d'exécution (UE) 2026/179 de la Commission et la décision réciproque du Brésil permettent aux données personnelles de circuler entre l'Union européenne et le Brésil sans instruments de transfert supplémentaires.

Quels pays d'Amérique latine figurent sur la liste grise du GAFI ?

Selon la déclaration du Groupe d'action financière de juin 2026, la Bolivie, le Venezuela et Haïti sont sous surveillance accrue. Aucune grande économie latino-américaine n'est actuellement listée.

Les données biométriques sont-elles traitées comme sensibles en Amérique latine ?

Dans tous les marchés importants. La loi 21.719 du Chili désigne les données biométriques comme des données sensibles à partir du 1er décembre 2026. Le règlement de 2025 sur la protection des données du Pérou, la loi fédérale du Mexique et la loi 1581 de la Colombie traitent toutes les données biométriques comme une catégorie spéciale nécessitant une base plus stricte que les données personnelles ordinaires. L'autorité nationale du Brésil a mené une consultation publique sur le traitement biométrique et des règles contraignantes sont attendues.

Lectures associées

• L'Asie transfère le coût des faibles contrôles d'identité aux banques et aux plateformes — Neuf marchés, et un régulateur qui a mesuré l'impact d'un mandat biométrique sur la fraude.
• Article 26 du AMLR : à quelle fréquence faut-il revérifier ? — Obligations de surveillance continue qui s'appliquent aux clients existants, pas seulement à l'intégration.
• Marchés de prédiction : qui sont vos utilisateurs ? — Trois régulateurs ont examiné un nouveau marché en 2026 et ont tous abouti à la même question concernant l'identité.
• AUSTRAC Tranche 2 pour les négociants en métaux précieux et pierres — À quoi ressemblent les contrôles d'identité au point de vente lorsqu'un secteur entre pour la première fois dans un régime.

Sources

1. Ley 21.719, que regula la protección y el tratamiento de los datos personales — Biblioteca del Congreso Nacional de Chile · publiée le 13 décembre 2024, en vigueur le 1er décembre 2026
2. Decreto por el que se reforma la Ley General de Población — Diario Oficial de la Federación, Mexique · 16 juillet 2025
3. Ley General de Población, texto vigente — Cámara de Diputados, Mexique · texte consolidé
4. Décision d'exécution (UE) 2026/179 de la Commission concernant la protection adéquate des données à caractère personnel par le Brésil — Journal officiel de l'Union européenne · 26 janvier 2026
5. L'UE et le Brésil adoptent des décisions d'adéquation mutuelle — Commission européenne · 26 janvier 2026
6. Évaluation mondiale des menaces de fraude financière 2026 — INTERPOL · mars 2026
7. Juridictions sous surveillance accrue, juin 2026 — Groupe d'action financière · juin 2026

Qui a écrit ceci

Tuan Nguyen — Croissance · Didit

Écrit sur la vérification d'identité, la fraude et la conformité chez Didit.

Dernière révision le 29 juillet 2026 par rapport aux sources ci-dessus