Regras de Identidade na América Latina: Seis Economias Reescritas em 21 Meses (PT-BR)

O regime completo do Chile, a identidade nacional biométrica do México e a ponte de adequação do Brasil com a União Europeia, tudo isso ocorreu dentro da mesma janela. Os prazos restantes convergem para dezembro de 2026.

A versão curta

A fraude é o motor, e ela é medida

A Avaliação Global de Ameaças de Fraude Financeira da INTERPOL, publicada em março de 2026, estimou as perdas globais por fraude em US$ 442 bilhões para 2025 e registrou um aumento de 40% nos casos em todas as Américas em um ano.

O regime do Chile entra em vigor em 1º de dezembro de 2026

A Lei 21.719 foi publicada em 13 de dezembro de 2024 e entra em pleno vigor em 1º de dezembro de 2026, criando uma agência dedicada à proteção de dados onde o Chile anteriormente não tinha nenhuma.

O México agora tem uma identidade nacional biométrica

Um decreto publicado no Diário Oficial da Federação em 16 de julho de 2025 torna o CURP, contendo impressões digitais e uma fotografia, o documento de identificação nacional obrigatório.

Brasil e UE reconheceram um ao outro

A Decisão de Execução (UE) 2026/179 da Comissão, adotada em 26 de janeiro de 2026, permite que dados pessoais se movam entre os dois sem instrumentos de transferência adicionais, cobrindo mais de 670 milhões de pessoas.

Dados biométricos são sensíveis por lei

Chile, Peru, México e Colômbia tratam os dados biométricos como uma categoria especial que exige uma base mais rigorosa do que os dados pessoais comuns. As regras vinculativas do Brasil são esperadas.

As janelas de adaptação estão diminuindo

O Chile concedeu pouco menos de dois anos entre a publicação e a entrada em vigor. A lei federal de proteção de dados do México de 2025 foi publicada em 20 de março de 2025 e entrou em vigor no dia seguinte.

Casos de fraude nas Américas aumentaram 40% em um ano, e as reescritas seguiram

A Avaliação Global de Ameaças de Fraude Financeira da INTERPOL, publicada em março de 2026, estimou as perdas globais por fraude em US$ 442 bilhões para 2025 e registrou um aumento de 40% nos casos de fraude em todas as Américas em um único ano. Também descobriu que esquemas usando inteligência artificial eram aproximadamente 4,5 vezes mais lucrativos do que aqueles sem. As regras de identidade descritas abaixo são a resposta regulatória a isso.

Esse último número é o que explica o timing. A fraude que escala a baixo custo é a fraude que chega mais rápido do que a legislação normalmente se move, e as leis neste post foram escritas por governos observando a mesma série da INTERPOL.

Vale a pena ser preciso sobre o que essas regras são e não são. A maioria delas são estatutos de proteção de dados, e não estatutos antifraude. Elas governam como uma organização pode coletar e manter uma varredura facial ou uma impressão digital, e apenas algumas delas exigem verificação. A conexão com a fraude funciona ao contrário: à medida que a verificação se torna mais comum, os dados que ela produz se tornam mais sensíveis, e a lei segue os dados.

Essa é a questão da proporcionalidade subjacente a toda a reescrita da região. As verificações de identidade continuam sendo anexadas a novos contextos, e cada vez a questão em aberto é se o dano justifica o atrito e a coleta. A América Latina respondeu a isso de forma diferente em diferentes mercados, e é por isso que não existe uma única postura de conformidade regional.

Seis das sete maiores economias reescreveram suas regras entre março de 2025 e dezembro de 2026

Entre março de 2025 e 1º de dezembro de 2026, México, Peru, Argentina, Brasil, Chile e Colômbia substituíram, reformaram ou começaram a aplicar regras que regem a identidade e os dados pessoais. Apenas uma das sete maiores economias da América Latina ficou de fora do período. A última das mudanças, a Lei 21.719 do Chile, entra em pleno vigor em 1º de dezembro de 2026.

A janela abriu no México. A lei federal de proteção de dados publicada em 20 de março de 2025 substituiu o estatuto de 2010 e entrou em vigor no dia seguinte, e o regulador de longa data de transparência e proteção de dados INAI foi dissolvido, com a aplicação movida para um órgão sob a autoridade federal anticorrupção. Nove dias depois, a regulamentação de proteção de dados reescrita do Peru entrou em vigor, exigindo oficiais de proteção de dados e estabelecendo um dever de notificação de violação que começa a partir do momento em que os fatos são confirmados.

Duas mudanças desde então são mais importantes para quem move dados de verificação entre fronteiras. O decreto CURP biométrico do México, publicado em 16 de julho de 2025, é abordado na seção 04. E em 26 de janeiro de 2026, a Comissão Europeia adotou a Decisão de Execução (UE) 2026/179, reconhecendo o Brasil como fornecendo proteção adequada para dados pessoais, com o Brasil adotando uma decisão recíproca. A Comissão Europeia descreve o resultado como cobrindo mais de 670 milhões de pessoas, e isso significa que os dados de verificação podem se mover entre a União Europeia e o Brasil sem cláusulas contratuais padrão ou outros instrumentos de transferência.

O mesmo padrão é visível em outros continentes. Nove mercados na Ásia reescreveram suas regras de identidade em quatorze meses, e o Regulamento Antilavagem de Dinheiro da União Europeia agora anexa deveres de monitoramento contínuo aos clientes que uma empresa já possui.

Dados biométricos são agora uma categoria especial em todos os principais mercados

A Lei 21.719 do Chile nomeia dados biométricos como dados sensíveis, juntamente com dados de saúde, geolocalização e financeiros, a partir de 1º de dezembro de 2026. A regulamentação de 2025 do Peru, a lei federal do México e a Lei 1581 de 2012 da Colômbia tratam os dados biométricos como uma categoria especial. O efeito prático é o mesmo em todos os lugares: uma varredura facial precisa de uma base legal mais forte do que um nome e um endereço de e-mail.

Sensível é um termo técnico que vale a pena explicar. Significa que os dados não podem ser processados com base nas bases comuns que cobrem a maioria das atividades comerciais, e geralmente requer consentimento explícito ou uma permissão estatutária específica, juntamente com segurança mais rigorosa e, em vários desses regimes, uma avaliação documentada do risco antes que o processamento comece. A Colômbia exige autorização prévia explícita desde 2012, o que na prática significa que o consentimento incluído nos termos e condições gerais não satisfaz o requisito.

O Brasil é o mercado a ser observado. Sua autoridade nacional de proteção de dados, a ANPD, realizou uma consulta pública sobre reconhecimento facial e processamento biométrico em junho de 2025, e regras vinculativas são esperadas. Até que elas cheguem, o processamento biométrico no Brasil é regido pelas disposições gerais da Lei Geral de Proteção de Dados, e não por um instrumento dedicado.

Há uma tensão na região que vale a pena nomear, e não resolver. Os mesmos governos que estão apertando as regras sobre a manutenção de dados biométricos são, em vários casos, os governos que estão construindo credenciais biométricas obrigatórias. O México está fazendo as duas coisas ao mesmo tempo. Nenhuma das posições é inconsistente em seus próprios termos, mas uma empresa que opera lá tem que satisfazer ambas ao mesmo tempo.

O México tornou uma credencial biométrica o documento de identidade obrigatório do país

Um decreto publicado no Diário Oficial da Federação do México em 16 de julho de 2025 alterou a Ley General de Población para que o CURP contendo impressões digitais e uma fotografia se torne o documento de identificação nacional obrigatório, de aceitação universal e obrigatória em todo o México, emitido tanto em formato físico quanto digital.

O CURP, a Clave Única de Registro de Población, existe há anos como uma chave administrativa de registro populacional. O decreto muda o que ele é. O Artigo 91 Sexies o define como a única fonte de identidade para uma pessoa e como o mecanismo que permite que essa pessoa seja associada a qualquer registro mantido por autoridades e por partes privadas, para verificação cruzada, alertas e consultas em bancos de dados.

Dois limites valem a pena serem declarados claramente, porque a direção da viagem convida ao exagero. Primeiro, o decreto não impõe por si só um dever sancionável às empresas privadas de realizar a verificação do CURP em seus clientes; regulamentações de implementação ainda estavam pendentes no momento da redação, e a obrigação descrita no Artigo 91 Sexies é formulada em torno do status e alcance do CURP, e não como um requisito de verificação permanente com penalidades anexadas. Segundo, o texto do decreto especifica impressões digitais e uma fotografia. A notícia de que a credencial contém dados de íris não foi confirmada pelo texto do decreto revisado para este post.

O que não está em dúvida é a direção. O México está construindo uma credencial estatal destinada a ser o artefato de identidade padrão, e o decreto obriga o ministério do interior a integrar dados biométricos no registro populacional, inclusive por meio de um programa para crianças e adolescentes a ser estabelecido dentro de 120 dias após a entrada em vigor do decreto. Os fluxos de verificação que operam no México devem esperar ler e validar essa credencial à medida que ela escala.

O tempo entre a publicação e a aplicação está diminuindo

O Chile publicou a Lei 21.719 em 13 de dezembro de 2024 e a estabeleceu para entrar em vigor em 1º de dezembro de 2026, pouco menos de dois anos depois. O México publicou sua lei federal de proteção de dados substituta em 20 de março de 2025 e a colocou em vigor no dia seguinte. A diferença entre essas duas abordagens é o fato de planejamento mais útil na região.

Uma longa pista de decolagem não é uma promessa de que a próxima será longa. O padrão em toda a região tem sido para as janelas de adaptação encurtarem, o que é um argumento para construir antes de um instrumento, em vez de esperar por seu texto final. Uma empresa que trata os meses restantes do Chile como o horizonte de planejamento para toda a região estará atrasada em outro lugar.

Chile

Pouco menos de dois anos

Lei 21.719 publicada no Diário Oficial em 13 de dezembro de 2024, vinculante em 1º de dezembro de 2026. Tempo suficiente para construir um programa, nomear as funções e realizar as avaliações antes que a agência exista para perguntar sobre elas. A maior parte dessa janela já foi gasta.

México

Um dia

A lei federal de proteção de dados foi publicada em 20 de março de 2025 e entrou em vigor no dia seguinte, substituindo o estatuto de 2010 e dissolvendo o INAI. Não houve janela de adaptação. Empresas que operam no México se mudaram para um novo regime e um novo órgão de fiscalização simultaneamente.

Nenhum mercado único é o mais rigoroso em tudo

Nas seis economias latino-americanas que reescreveram suas regras de identidade entre março de 2025 e dezembro de 2026, a regra mais rigorosa está em um país diferente para cada obrigação. O Peru tem o prazo de violação mais rápido, o Chile o alcance extraterritorial mais amplo, a Colômbia o padrão de consentimento mais rigoroso para dados biométricos, o México a única credencial estatal obrigatória.

Confirme os detalhes com o advogado local antes de confiar em qualquer linha: vários desses instrumentos têm regulamentações de implementação ainda pendentes, e os reguladores da região são novos o suficiente para que a prática de fiscalização ainda não esteja estabelecida.

Mercado	Instrumento principal	Autoridade	Data chave
Chile	Lei 21.719, alterando a Lei 19.628	Agência de Proteção de Dados Pessoais, nova	Vigor total em 1º de dezembro de 2026
México	Lei federal de proteção de dados 2025, substituindo o estatuto de 2010; Lei Geral de População conforme alterada	Órgão sob a autoridade federal anticorrupção; INAI dissolvido	Lei em vigor em 21 de março de 2025; decreto CURP em 16 de julho de 2025
Brasil	Lei Geral de Proteção de Dados	ANPD, independente	Adequação mútua da UE em 26 de janeiro de 2026
Peru	Lei 29733 e regulamentação de 2025	Autoridade nacional sob o ministério da justiça	Regulamentação em vigor em março de 2025
Argentina	Lei 25.326, reforma pendente	Agência de Acesso à Informação Pública	Projetos de reforma no Congresso
Colômbia	Lei 1581 de 2012, elaboração da reforma	Superintendência de Indústria e Comércio	Reforma em andamento

No lado da lavagem de dinheiro, o cenário é comparativamente mais estável. A declaração do Grupo de Ação Financeira (GAFI) de junho de 2026 lista Bolívia, Venezuela e Haiti como jurisdições sob monitoramento aprimorado, o status geralmente descrito como lista cinza. Nenhuma grande economia latino-americana está atualmente listada, o que é uma posição materialmente melhor do que a região tinha uma década atrás.

Principais pontos

• As regras mudaram em quase todos os lugares importantes. Seis das sete maiores economias da América Latina substituíram, reformaram ou começaram a aplicar regras de identidade e dados entre março de 2025 e dezembro de 2026.
• O Chile é o prazo de curto prazo. A Lei 21.719 entra em vigor em 1º de dezembro de 2026, criando uma agência onde não existia e alcançando empresas fora do Chile que processam dados de residentes chilenos.
• O México construiu uma credencial estatal e um novo regime de privacidade ao mesmo tempo. O CURP com impressões digitais e uma fotografia é agora o documento de identificação nacional obrigatório, enquanto a lei federal de 2025 chegou com uma janela de adaptação de um dia.
• O Brasil está agora dentro da área de dados europeia. A Decisão de Execução (UE) 2026/179 permite que dados de verificação se movam entre a União Europeia e o Brasil sem instrumentos de transferência adicionais.
• Construa para a restrição mais rigorosa por dimensão. O prazo de violação do Peru, o alcance do Chile, o padrão de consentimento da Colômbia e a credencial do México são os mais rígidos em uma dimensão. Um programa pode satisfazer todos os seis mercados.

Usando Didit para as regras de identidade da América Latina

Duas das mudanças neste post criam trabalho que um provedor de verificação pode realizar. O CURP biométrico do México se torna uma credencial que os fluxos de integração têm que ler e validar, em vez de simplesmente registrar: Verificação de ID a US$ 0,15 por verificação e Leitura NFC a US$ 0,15 por verificação cobrem a leitura de um chip ou credencial codificada e a verificação de que o que ela retorna é genuíno. A obrigação da Regra de Viagem de cripto da Argentina, que exige que os dados de identidade do originador e do beneficiário acompanhem uma transferência de ativos virtuais, é o que a Regra de Viagem a US$ 0,02 por transação aborda. Onde as regras de um mercado exigem que você verifique novamente os clientes que já possui, em vez de apenas os novos, o Monitoramento Contínuo de AML custa US$ 0,07 por usuário por ano e a Triagem AML custa US$ 0,20 por verificação. Os preços atuais dos módulos estão listados na página de preços.

A maior parte do que este post descreve não é trabalho de verificação, e permanece com você. A Didit não escolhe a base legal sobre a qual você processa uma varredura facial sob a Lei 21.719 do Chile ou a Lei 1581 da Colômbia, não realiza as avaliações de risco que esses regimes exigem antes que o processamento de alto risco comece, não notifica a autoridade do Peru quando os fatos sobre uma violação são confirmados, e não nomeia seu oficial de proteção de dados. A verificação ajuda você a coletar e verificar a identidade de acordo com o padrão que essas regras esperam; a base legal, as avaliações, as notificações e os registros permanecem responsabilidade de sua organização.

Perguntas comuns

Quando a nova lei de proteção de dados do Chile entra em vigor?

1º de dezembro de 2026. A Lei 21.719 foi publicada no Diário Oficial do Chile em 13 de dezembro de 2024 e altera a Lei 19.628, criando uma Agência dedicada à Proteção de Dados Pessoais. A Biblioteca do Congresso Nacional registra a lei alterada como entrando em vigor em 1º de dezembro de 2026.

O CURP biométrico do México é obrigatório?

O decreto publicado no Diário Oficial da Federação do México em 16 de julho de 2025 torna o CURP contendo impressões digitais e uma fotografia o documento de identificação nacional obrigatório, de aceitação universal e obrigatória em todo o país, disponível em formato físico e digital. O Artigo 91 Sexies define o CURP como a única fonte de identidade, permitindo que uma pessoa seja associada a qualquer registro mantido por autoridades e por partes privadas.

A LGPD do Brasil se aplica a empresas fora do Brasil?

Sim. A Lei Geral de Proteção de Dados do Brasil se aplica onde o processamento se relaciona com a oferta de bens ou serviços a pessoas no Brasil. Desde 26 de janeiro de 2026, a Decisão de Execução (UE) 2026/179 da Comissão e a decisão recíproca do Brasil permitem que dados pessoais se movam entre a União Europeia e o Brasil sem instrumentos de transferência adicionais.

Quais países latino-americanos estão na lista cinza do GAFI?

De acordo com a declaração do Grupo de Ação Financeira (GAFI) de junho de 2026, Bolívia, Venezuela e Haiti estão sob monitoramento aprimorado. Nenhuma grande economia latino-americana está atualmente listada.

Dados biométricos são tratados como sensíveis na América Latina?

Em todos os principais mercados. A Lei 21.719 do Chile nomeia dados biométricos como dados sensíveis a partir de 1º de dezembro de 2026. A regulamentação de proteção de dados de 2025 do Peru, a lei federal do México e a Lei 1581 da Colômbia tratam os dados biométricos como uma categoria especial que exige uma base mais rigorosa do que os dados pessoais comuns. A autoridade nacional do Brasil realizou uma consulta pública sobre o processamento biométrico e regras vinculativas são esperadas.

Leitura relacionada

• A Ásia está transferindo o custo de verificações de identidade fracas para bancos e plataformas — Nove mercados e um regulador que mediu o que um mandato biométrico fez com a fraude.
• Artigo 26 do AMLR da UE: com que frequência você deve verificar novamente? — Deveres de monitoramento contínuo que se aplicam a clientes existentes, não apenas à integração.
• Mercados de previsão: quem são seus usuários? — Três reguladores examinaram um novo mercado em 2026 e todos chegaram à mesma questão sobre identidade.
• AUSTRAC Tranche 2 para negociantes de metais e pedras preciosas — Como são as verificações de identidade no ponto de venda quando um setor entra em um regime pela primeira vez.

Fontes

1. Ley 21.719, que regula la protección y el tratamiento de los datos personales — Biblioteca del Congreso Nacional de Chile · publicada em 13 de dezembro de 2024, em vigor em 1º de dezembro de 2026
2. Decreto por el que se reforma la Ley General de Población — Diário Oficial da Federação, México · 16 de julho de 2025
3. Ley General de Población, texto vigente — Câmara de Deputados, México · texto consolidado
4. Decisão de Execução (UE) 2026/179 da Comissão sobre a proteção adequada de dados pessoais pelo Brasil — Jornal Oficial da União Europeia · 26 de janeiro de 2026
5. UE e Brasil adotam decisões de adequação mútua — Comissão Europeia · 26 de janeiro de 2026
6. Avaliação Global de Ameaças de Fraude Financeira 2026 — INTERPOL · março de 2026
7. Jurisdições sob monitoramento aprimorado, junho de 2026 — Grupo de Ação Financeira · junho de 2026

Quem escreveu isso

Tuan Nguyen — Crescimento · Didit

Escreve sobre verificação de identidade, fraude e conformidade na Didit.

Última revisão em 29 de julho de 2026, com base nas fontes acima