Décret mexicain sur la vérification de l'âge : obligations des plateformes (2026)

Dernière revue : 24 octobre 2026 · Ne constitue pas un conseil juridique

La vérification de l'âge au Mexique est devenue une obligation le 14 octobre 2026, date à laquelle le DOF a publié un décret signé par la présidente Claudia Sheinbaum Pardo. Les plateformes numériques doivent tenir les utilisateurs de moins de 18 ans à l'écart de sept catégories de contenus préjudiciables, identifier l'âge des utilisateurs par des mécanismes fiables et sécurisés, et déclarer dans un délai de 30 jours calendaires.^[1][3]

Ce guide lit le décret article par article à partir du texte officiel : champ d'application, chaque obligation, l'obligation d'assurance de l'âge, le délai de déclaration, les questions ouvertes, la protection des données et une comparaison avec le Brésil, le Royaume-Uni, l'UE et l'Australie. Il se termine par un plan sur 30 jours pour les équipes produit, trust and safety et juridiques.

Le décret mexicain sur la vérification de l'âge en un coup d'œil

Ce qu'est le décret et d'où il vient

Le décret est un acte de l'exécutif pris en vertu du pouvoir réglementaire du Président (article 89, fraction I de la Constitution). Son préambule s'appuie sur les articles 101 Bis 2 et 101 Bis 3 de la Ley General de los Derechos de Niñas, Niños y Adolescentes (LGDNNA, loi générale sur les droits des filles, des garçons et des adolescents). Ces articles reconnaissent aux mineurs un droit à un accès sûr à Internet et, depuis décembre 2024, imposent à l'État de prévenir et de sanctionner le cyberharcèlement et la violence en ligne.^[1][5] Les responsables de la Défense, de la Sécurité, de l'Éducation publique, de la Santé et de l'Agencia de Transformación Digital y Telecomunicaciones (ATDT, Agence de transformation numérique et des télécommunications) l'ont contresigné.^[1]

La Présidente a présenté le projet le 9 octobre 2026.^[4] La conseillère juridique de l'exécutif, Luisa María Alcalde Luján, a indiqué que Meta, Microsoft, Apple, TikTok, Google, X et Huawei, entre autres, ont participé aux réunions préalables, et que la clause des 30 jours a été « convenue avec les plateformes » (notre traduction).^[3]

1. 9 octobre 2026PrésentationProjet présenté lors de la conférence du matin.
2. 14 octobre 2026Signé, en vigueurÉdition du soir du DOF ; applicable le jour même.
3. 20 octobre 2026Projet de loi distinctVote du Sénat sur les données des mineurs, rapporté par La Jornada.
4. 12 au 13 novembre 2026Échéance du rapportFin des 30 jours calendaires.
5. Après l'examenLoi possibleUne loi assortie de sanctions si les plateformes ne suivent pas.

Le calendrier du décret. La date du rapport dépend de la manière dont les 30 jours sont décomptés (voir ci-dessous).^{[1][3][4][17]}

Qui est concerné : la définition de l'article 2

Le décret s'applique aux « Plataformas digitales », un terme défini qui repose sur la fonction : les utilisateurs peuvent interagir ou partager des contenus.^[1]

Art. 2Decreto de entornos digitales seguros

« Plataforma digital: servicio digital que prestan intermediarios a través de Internet que permiten la interacción, comunicación, generación, difusión o compartición de contenidos entre personas usuarias [...]; entre las que se encuentran, redes sociales, videojuegos, tiendas de aplicaciones, entre otros. »

Notre traduction : un service fourni par des intermédiaires via Internet qui permet aux utilisateurs d'interagir, de communiquer ou de partager des contenus, pour offrir, vendre ou intermédier des biens, des services, des applications ou des contenus, entre autres finalités, y compris les réseaux sociaux, les jeux vidéo et les boutiques d'applications. Source : DOF, 14 octobre 2026^[1]

Il n'existe aucune exemption selon la taille ni aucun critère propre aux services étrangers. Selon Holland & Knight, l'application aux plateformes étrangères « qui servent activement des utilisateurs mexicains paraît plus facilement défendable » que celle aux services simplement accessibles depuis le Mexique.^[1][16] Notre lecture des types de services courants, et non une liste officielle :

« Probable » signifie que la formulation correspond ; confirmez avec votre conseil juridique. Les parcours par secteur figurent dans notre guide sur la vérification de l'âge pour les jeux, les réseaux sociaux et les boutiques d'applications au Mexique.

Ce qu'exige le décret mexicain sur la vérification de l'âge : articles 3 à 5

L'article 3 pose l'interdiction centrale. Les plateformes ne peuvent pas permettre aux filles, aux garçons et aux adolescents « l'accès, l'exposition ou la recommandation » de contenus, notamment des images et des vidéos, qui génèrent ou promeuvent sept catégories :^[1]

• I. Le harcèlement, y compris le cyberharcèlement.
• II. Les abus, l'exploitation ou la violence sexuels.
• III. Les discours de haine, l'extrémisme violent ou toute forme de violence de masse.
• IV. L'échange entre utilisateurs de contenus qui promeuvent ou incitent à la haine ou à la violence, en particulier en milieu scolaire.
• V. Les conduites illicites ou les contenus qui font l'apologie du crime.
• VI. La pornographie et tout matériel sexuellement explicite.
• VII. Le suicide, l'automutilation délibérée et les troubles alimentaires.

Le mot « recomendación » suggère que les systèmes de recommandation entrent dans le champ.^[1]

L'article 5, fraction II, compte en días hábiles (jours ouvrables).^[1]

L'obligation d'assurance de l'âge en détail : article 4, fraction I

Art. 4 fr. IDecreto de entornos digitales seguros

"Implementar mecanismos confiables y seguros para identificar la edad de las personas usuarias de sus servicios. Dichos mecanismos no deberán limitarse a la autodeclaración de las personas usuarias para la acreditación de la edad;"

Notre traduction : mettre en œuvre des mécanismes fiables et sécurisés pour identifier l'âge des utilisateurs de leurs services. Ces mécanismes ne doivent pas se limiter à l'autodéclaration des utilisateurs pour établir leur âge. Source : DOF, 14 octobre 2026^[1]

Trois conséquences en découlent. L'obligation porte sur l'identification de l'âge des utilisateurs, pas de leur identité. Un champ de date de naissance ou une case « J'ai plus de 18 ans » ne suffit pas à lui seul : l'autodeclaración (autodéclaration) peut rester une première étape, mais elle doit être étayée par autre chose. Enfin, le décret ne désigne aucune méthode, ne fixe aucun taux de précision et ne donne à aucune autorité le pouvoir d'agréer des prestataires.^[1]

Interrogée le 14 octobre sur la question de savoir si l'âge serait vérifié au moyen de la CURP (le code du registre de population du Mexique) ou de la biométrie, la Présidente a répondu que les plateformes « disposent de mécanismes », dans le respect des données personnelles, à l'ouverture du compte « ou aussi à travers le contenu généré » (notre traduction).^[3] La Consejería Jurídica a confirmé que le décret vise les « moins de 18 ans » (notre traduction), conformément à la LGDNNA, selon laquelle les enfants ont moins de 12 ans et les adolescents de 12 ans à moins de 18 ans.^[3][5]

Une mise en œuvre possible combine la fraction I avec des paramètres protecteurs par défaut (VIII), des contrôles des contenus selon l'âge (III) et des outils parentaux (VI). Le décret n'impose pas ce parcours.^[1]

À titre de référence, le régulateur britannique Ofcom considère que l'estimation de l'âge par analyse faciale et la comparaison avec une pièce d'identité avec photo peuvent être « hautement efficaces », contrairement à l'autodéclaration. Les lignes directrices de la Commission européenne relatives au Digital Services Act (DSA) demandent une assurance de l'âge exacte, fiable et non discriminatoire.^[11][14] Notre guide sur la rédaction de la partie du rapport à 30 jours consacrée à l'assurance de l'âge passe en revue chaque méthode.

Un parcours d'assurance de l'âge qui correspond à l'Art. 4 fr. I et fr. VIII. Les seuils et la zone limite relèvent de votre choix.

Le rapport à 30 jours : Transitorio CUARTO

Transitorio CUARTODecreto de entornos digitales seguros

"Las Plataformas digitales deben documentar e informar las acciones implementadas para dar cumplimiento a las disposiciones del presente decreto, dentro de un plazo máximo de treinta días naturales, contado a partir de su entrada en vigor."

Notre traduction : les plateformes numériques doivent documenter et déclarer les mesures mises en œuvre pour se conformer au présent décret dans un délai maximal de trente jours calendaires, à compter de son entrée en vigueur. Source : DOF, 14 octobre 2026^[1]

Le délai est exprimé en días naturales (jours calendaires), donc les week-ends comptent, à partir de l'entrée en vigueur le 14 octobre 2026.^[1] Le texte ne précise pas si le 14 octobre est le premier jour, et les règles mexicaines vont dans les deux sens :

Deux lectures de la même disposition. Holland & Knight retient le 13 novembre.^[16]

Une échéance qui tombe un jour non ouvré est reportée au jour ouvré suivant, mais aucune des deux dates ne tombe un week-end ou un jour férié listé. Savoir si cette loi de procédure s'applique même à ce rapport est en soi une question juridique.^[7] Holland & Knight considère le 13 novembre 2026 comme « la première échéance de déclaration ».^[16] Notre lecture : dans les 30 jours calendaires suivant le 14 octobre 2026, soit vers le 13 novembre 2026. Déposez le rapport au plus tard le 12 novembre par prudence, et faites valider par votre conseil.

Le décret ne précise ni à qui, ni comment, ni sous quel format le rapport est déposé.^[1][16] Le communiqué de presse indique que les plateformes doivent documenter leurs mesures « devant l'autorité » (notre traduction) sans la nommer, et la Présidente ainsi que la Consejería Jurídica ont déclaré que l'ATDT suivra les progrès des plateformes.^[2][3] Surveillez le DOF et gob.mx pour connaître le canal de dépôt, et préparez un document daté et signé qui répond à chaque obligation des Articles 4 et 5, y compris les déclarations statistiques :

Un rapport qui suit la numérotation du décret.

Ce qui reste indéfini, et ce que le gouvernement a dit

Questions ouvertes : le destinataire et le format du rapport, les méthodes jugées fiables, une autorité de contrôle et les sanctions.^[1] Le Transitorio TERCERO charge la Consejería Jurídica del Ejecutivo Federal (le service juridique de l'Exécutif fédéral) de mettre en place une Mesa de Trabajo (groupe de travail) pour préparer des « propuestas de regulación » (propositions de réglementation).^[1]

Le communiqué du 14 octobre qualifie l'instrument d'« obligatorio pero no punitivo » (obligatoire mais non punitif). La Présidente a déclaré que si les plateformes ne s'y conforment pas, « pasamos al siguiente paso, que ya no solo es un Decreto Presidencial, sino una ley. Y si hay una ley, entonces ya vendrían sanciones » (nous passons à l'étape suivante, une loi, et avec une loi, des sanctions ; notre traduction).^[2][3]

Elle a ajouté qu'il y aura « une période d'examen » (notre traduction).^[3] Les sources officielles indiquent que l'ATDT assurera le suivi (« dar seguimiento »). Elles n'en font ni le destinataire du rapport ni l'autorité qui approuve les méthodes.^[2][3]

Le volet protection des données : la loi mexicaine de 2025 sur la vie privée

La nouvelle Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, loi fédérale sur la protection des données personnelles détenues par les particuliers) du Mexique a été publiée au DOF le 20 mars 2025 ; l'autorité qu'elle désigne est la Secretaría Anticorrupción y Buen Gobierno (ministère de la Lutte contre la corruption et de la Bonne gouvernance), qui a repris les dossiers de l'ancien institut de protection des données.^[6]

L'article 2, fraction VI énumère les données sensibles « de manera enunciativa más no limitativa » (à titre indicatif et non limitatif), dont l'origine raciale ou ethnique et la santé ; les données biométriques n'y sont pas citées.^[6] La liste étant ouverte et une image du visage pouvant révéler l'origine ethnique, traitez par précaution les selfies de vérification d'âge comme des données sensibles. Pour les données sensibles, l'article 8 exige un consentement exprès et écrit, et les amendes peuvent doubler.^[6]

Selon La Jornada et Forbes México, le 20 octobre 2026, le Sénat a adopté une réforme de la LFPDPPP sur les données des mineurs : consentement écrit des parents, « mecanismos que permitan la verificación de edad » (mécanismes permettant la vérification de l'âge), minimisation des données et interdiction du profilage publicitaire visant les mineurs. Le texte est devant la Chambre des députés et n'est pas encore une loi.^[17][18]

• Conservez les résultats de vérification d'âge dans vos systèmes ; fixez séparément la conservation et la suppression chez le prestataire.
• Obtenez un consentement exprès avant de traiter un selfie, et mettez à jour votre politique de confidentialité.
• Conservez les données de vérification d'âge peu de temps et à l'écart de la publicité.

Le Mexique comparé au Brésil, au Royaume-Uni, à l'UE et à l'Australie

La loi brésilienne exige des "mecanismos confiáveis de verificação de idade", interdit l'autodéclaration et impose aux magasins d'applications de vérifier les tranches d'âge (Art. 12). Voir notre guide sur l'ECA Digital brésilien.^[9] L'Ofcom n'a fixé aucun seuil chiffré de précision. Voir notre guide de la vérification de l'âge au Royaume-Uni.^[11] Les lignes directrices de l'UE recommandent des comptes privés par défaut pour les mineurs, comme la fraction VIII du texte mexicain.^[14] Contrairement aux quatre juridictions citées, le décret mexicain ne prévoit aujourd'hui aucune sanction.^[1]

Un plan d'action avant l'échéance

À partir du 24 octobre 2026, avec un dépôt au plus tard le 12 novembre :

Phase 1 : périmètre et écarts (au plus tard le 31 octobre)

• Confirmez avec votre conseil juridique que votre service relève de l'article 2, et consignez pourquoi.
• Listez chaque fraction des articles 4 et 5 avec un responsable et l'état actuel.
• Repérez les endroits où l'autodéclaration est le seul contrôle d'âge.

Phase 2 : le contrôle d'âge (au plus tard le 7 novembre)

• Choisissez une méthode qui va au-delà de l'autodéclaration, avec une vérification renforcée pour les cas limites.
• Prévoyez des contrôles pour les nouveaux utilisateurs et les utilisateurs existants, y compris en cas de résultat non concluant.
• Fixez le seuil d'âge à 18 ans et décidez de la largeur de la zone limite.

Phase 3 : contenus, parents et autorités (au plus tard le 11 novembre)

• Publiez les critères de retrait ainsi que les critères de classification par âge et de modération (fr. II et III).
• Rendez le signalement visible sur chaque compte et chaque publication (fr. V).
• Désignez le point de contact 24/7 pour les autorités judiciaires et testez-le (Art. 5 fr. I).
• Configurez la conservation des preuves pendant au moins 90 jours ouvrables après les retraits (art. 5 fr. II).

Phase 4 : le rapport (au plus tard le 12 novembre)

• Rédigez le rapport fraction par fraction : en place, prévu, dates.
• Joignez les preuves : politiques, captures d'écran de la configuration, résultats de tests.
• Obtenez la validation des équipes juridique et protection des données, puis déposez.

Comment Didit aide pour le contrôle d'âge

Didit couvre une partie du décret : le contrôle d'âge, et la vérification d'identité qui le sous-tend si nécessaire. Le rapport, l'évaluation des risques, la modération, les outils parentaux et le point de contact restent à votre charge. Consultez notre solution de vérification de l'âge.

Dans les flux hébergés, l'estimation de l'âge s'exécute pendant l'étape de détection du vivant (liveness) à partir d'un seul selfie, avec un seuil de 18 ans par défaut. La vérification adaptative de l'âge renvoie les résultats limites vers un contrôle de pièce d'identité dont la photo est comparée au même selfie ; vous fixez la zone limite.^[19] La documentation de Didit publie une erreur absolue moyenne de 1,5 an pour la tranche des moins de 18 ans et de 3,5 ans tous âges confondus.^[19] La détection du vivant a réussi les tests iBeta Level 1, et Didit est certifié SOC 2 Type 1 et Type 2 et ISO/IEC 27001:2022.^[23]

Pour le Mexique, la documentation mentionne une vérification de la CURP auprès du RENAPO (Registre national de la population) et une vérification de validité de la carte INE (Institut national électoral) via la validation par bases de données.^[20][21] Le parcours fonctionne en espagnol, par lien hébergé ou via les SDK pour Web, iOS, Android, React Native et Flutter.^[24][26] La durée de conservation va de 1 mois à 10 ans ou illimitée (par défaut), avec suppression sur demande ; les données sont traitées dans l'UE par défaut.^[22][25] Voir aussi la vérification d'identité électronique. Les tarifs figurent sur la page des prix.

Questions fréquentes

Sources

1. Decreto de entornos digitales seguros para niñas, niños y adolescentes, Diario Oficial de la Federación, Edición Vespertina, 14 octobre 2026.
2. Presidenta Claudia Sheinbaum firma decreto de entornos digitales seguros para niñas, niños y adolescentes, Presidencia de la República, communiqué de presse, 14 octobre 2026.
3. Versión estenográfica, conferencia de prensa del 14 de octubre de 2026, Presidencia de la República.
4. Presidenta presenta decreto para garantizar que plataformas digitales sean espacios seguros para niñas, niños y adolescentes, Presidencia de la República, 9 octobre 2026.
5. Ley General de los Derechos de Niñas, Niños y Adolescentes, Cámara de Diputados, texte en vigueur (dernière réforme DOF 15 janvier 2026).
6. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, Cámara de Diputados, nouvelle loi DOF 20 mars 2025, texte en vigueur.
7. Ley Federal de Procedimiento Administrativo, Cámara de Diputados, texte en vigueur.
8. Código Civil Federal, Cámara de Diputados, texte en vigueur.
9. Lei nº 15.211, de 17 de setembro de 2025 (ECA Digital), Presidência da República, Planalto.
10. Online Safety Act 2023, section 12, legislation.gov.uk.
11. Age checks to protect children online, Ofcom, 16 janvier 2025.
12. Guidance on highly effective age assurance (Part 3 services), Ofcom.
13. Règlement (UE) 2022/2065 (Digital Services Act), EUR-Lex.
14. Commission publishes guidelines on the protection of minors, Commission européenne, 14 juillet 2025.
15. Social media age restrictions, eSafety Commissioner, Australie.
16. Mexico Introduces New Child Safety Obligations for Digital Platforms, Holland & Knight, 16 octobre 2026.
17. Senado aprueba por unanimidad reforma para proteger a menores en entornos digitales, La Jornada, 20 octobre 2026.
18. Senado aprueba reformas para proteger a menores en plataformas digitales, Forbes México, 20 octobre 2026.
19. Age estimation overview, documentation Didit.
20. Mexico, CURP verification, documentation Didit.
21. Mexico, INE credential validity verification, documentation Didit.
22. Data retention, documentation Didit.
23. Certifications, documentation Didit.
24. SDKs, documentation Didit.
25. Security and compliance, documentation Didit.
26. Supported languages, documentation Didit.

Découvrez comment le contrôle de l'âge et l'étape de vérification du document s'articulent sur la page vérification d'identité, consultez notre page sur la vérification d'identité au Mexique, ou commencez par la solution de vérification de l'âge.