América Latina: Seis economias reescrevem regras de identidade em 21 meses (PT-PT)

O regime completo do Chile, a identificação nacional biométrica do México e a ponte de adequação do Brasil com a União Europeia, tudo se concretizou no mesmo período. Os restantes prazos convergem para dezembro de 2026.

A versão resumida

A fraude é o motor, e é medida

A Avaliação Global de Ameaças de Fraude Financeira da INTERPOL, publicada em março de 2026, estimou as perdas globais por fraude em 442 mil milhões de dólares para 2025 e registou um aumento de 40% nos casos em toda a América num ano.

O regime do Chile entra em vigor a 1 de dezembro de 2026

A Lei 21.719 foi publicada a 13 de dezembro de 2024 e entra plenamente em vigor a 1 de dezembro de 2026, criando uma agência dedicada à proteção de dados onde o Chile anteriormente não tinha nenhuma.

O México tem agora um cartão de identificação nacional biométrico

Um decreto publicado no Diário Oficial de la Federación a 16 de julho de 2025 torna o CURP, contendo impressões digitais e uma fotografia, o documento de identificação nacional obrigatório.

O Brasil e a UE reconheceram mutuamente a adequação

A Decisão de Execução (UE) 2026/179 da Comissão, adotada a 26 de janeiro de 2026, permite a movimentação de dados pessoais entre os dois sem instrumentos de transferência adicionais, abrangendo mais de 670 milhões de pessoas.

Os dados biométricos são sensíveis por lei

Chile, Peru, México e Colômbia tratam os dados biométricos como uma categoria especial que exige uma base mais rigorosa do que os dados pessoais comuns. As regras vinculativas do Brasil são esperadas.

As janelas de adaptação estão a diminuir

O Chile concedeu pouco menos de dois anos entre a publicação e a entrada em vigor. A lei federal de proteção de dados do México de 2025 foi publicada a 20 de março de 2025 e entrou em vigor no dia seguinte.

Os casos de fraude nas Américas aumentaram 40% num ano, e as reformulações seguiram-se

A Avaliação Global de Ameaças de Fraude Financeira da INTERPOL, publicada em março de 2026, estimou as perdas globais por fraude em 442 mil milhões de dólares para 2025 e registou um aumento de 40% nos casos de fraude em toda a América num único ano. Também descobriu que os esquemas que utilizam inteligência artificial eram aproximadamente 4,5 vezes mais lucrativos do que aqueles sem. As regras de identidade descritas abaixo são a resposta regulatória a isso.

Esse último número é o que explica o momento. A fraude que escala a baixo custo é uma fraude que chega mais rápido do que a legislação normalmente se move, e as leis neste artigo foram escritas por governos que observavam a mesma série da INTERPOL.

Vale a pena ser preciso sobre o que estas regras são e não são. A maioria delas são estatutos de proteção de dados, e não estatutos antifraude. Elas regem como uma organização pode recolher e guardar uma digitalização facial ou uma impressão digital, e apenas algumas delas exigem verificação. A ligação à fraude funciona de outra forma: à medida que a verificação se torna mais comum, os dados que produz tornam-se mais sensíveis, e a lei segue os dados.

Essa é a questão da proporcionalidade subjacente a toda a reformulação da região. As verificações de identidade continuam a ser anexadas a novos contextos, e cada vez a questão em aberto é se o dano justifica o atrito e a recolha. A América Latina respondeu de forma diferente em diferentes mercados, razão pela qual não existe uma única postura de conformidade regional.

Seis das sete maiores economias reescreveram as suas regras entre março de 2025 e dezembro de 2026

Entre março de 2025 e 1 de dezembro de 2026, México, Peru, Argentina, Brasil, Chile e Colômbia substituíram, reformaram ou começaram a aplicar regras que regem a identidade e os dados pessoais. Apenas uma das sete maiores economias da América Latina não participou do período. A última das mudanças, a Lei 21.719 do Chile, entra plenamente em vigor a 1 de dezembro de 2026.

A janela abriu no México. A lei federal de proteção de dados publicada a 20 de março de 2025 substituiu o estatuto de 2010 e entrou em vigor no dia seguinte, e o antigo regulador de transparência e proteção de dados INAI foi dissolvido, com a aplicação da lei transferida para um organismo sob a autoridade federal anticorrupção. Nove dias depois, o regulamento de proteção de dados reformulado do Peru entrou em vigor, exigindo oficiais de proteção de dados e estabelecendo um dever de notificação de violação que começa a partir do momento em que os factos são confirmados.

Duas mudanças desde então são as mais importantes para quem movimenta dados de verificação transfronteiriços. O decreto biométrico CURP do México, publicado a 16 de julho de 2025, é abordado na secção 04. E a 26 de janeiro de 2026, a Comissão Europeia adotou a Decisão de Execução (UE) 2026/179, reconhecendo o Brasil como fornecendo proteção adequada para dados pessoais, com o Brasil a adotar uma decisão recíproca. A Comissão Europeia descreve o resultado como abrangendo mais de 670 milhões de pessoas, e significa que os dados de verificação podem circular entre a União Europeia e o Brasil sem cláusulas contratuais padrão ou outros instrumentos de transferência.

O mesmo padrão é visível noutros continentes. Nove mercados em toda a Ásia reescreveram as suas regras de identidade em catorze meses, e o Regulamento Anti-Branqueamento de Capitais da União Europeia agora atribui deveres de monitorização contínua a clientes que uma empresa já possui.

Os dados biométricos são agora uma categoria especial em todos os principais mercados

A Lei 21.719 do Chile designa os dados biométricos como dados sensíveis, juntamente com dados de saúde, geolocalização e financeiros, a partir de 1 de dezembro de 2026. O regulamento de 2025 do Peru, a lei federal do México e a Lei 1581 de 2012 da Colômbia tratam os dados biométricos como uma categoria especial. O efeito prático é o mesmo em todo o lado: uma digitalização facial precisa de uma base legal mais forte do que um nome e um endereço de e-mail.

Sensível é um termo técnico que vale a pena explicar. Significa que os dados não podem ser processados com base nas bases comuns que cobrem a maioria da atividade empresarial, e geralmente exigem consentimento explícito ou uma permissão estatutária específica, juntamente com segurança mais rigorosa e, em vários destes regimes, uma avaliação documentada do risco antes do início do processamento. A Colômbia exige autorização prévia explícita desde 2012, o que na prática significa que o consentimento incluído nos termos e condições gerais não satisfaz o requisito.

O Brasil é o mercado a observar. A sua autoridade nacional de proteção de dados, a ANPD, realizou uma consulta pública sobre reconhecimento facial e processamento biométrico em junho de 2025, e são esperadas regras vinculativas. Até que estas cheguem, o processamento biométrico no Brasil é regido pelas disposições gerais da Lei Geral de Proteção de Dados, e não por um instrumento dedicado.

Existe uma tensão na região que vale a pena nomear em vez de resolver. Os mesmos governos que apertam as regras sobre a retenção de dados biométricos são, em vários casos, os governos que constroem credenciais biométricas obrigatórias. O México está a fazer as duas coisas ao mesmo tempo. Nenhuma posição é inconsistente por si só, mas uma empresa que opera lá tem de satisfazer ambas ao mesmo tempo.

O México tornou uma credencial biométrica o documento de identidade obrigatório do país

Um decreto publicado no Diário Oficial de la Federación do México a 16 de julho de 2025 alterou a Lei General de Población para que o CURP, contendo impressões digitais e uma fotografia, se torne o documento de identificação nacional obrigatório, de aceitação universal e obrigatória em todo o México, emitido tanto em formato físico quanto digital.

O CURP, a Clave Única de Registro de Población, existe há anos como uma chave administrativa de registo de população. O decreto muda o que é. O Artigo 91 Sexies define-o como a única fonte de identidade para uma pessoa, e como o mecanismo que permite que essa pessoa seja associada a qualquer registo detido por autoridades e por entidades privadas, para verificação cruzada, alertas e pesquisas em bases de dados.

Dois limites merecem ser explicitados, porque a direção da viagem convida ao exagero. Primeiro, o decreto não impõe por si só um dever sancionável às empresas privadas de realizar a verificação do CURP nos seus clientes; regulamentos de implementação ainda estavam pendentes na altura da redação, e a obrigação descrita no Artigo 91 Sexies é enquadrada em torno do status e alcance do CURP, e não como um requisito de verificação permanente com penalidades anexadas. Segundo, o texto do decreto especifica impressões digitais e uma fotografia. Relatos de que a credencial contém dados da íris não foram confirmados pelo texto do decreto revisto para este artigo.

O que não está em dúvida é a direção. O México está a construir uma credencial estatal destinada a ser o artefato de identidade padrão, e o decreto obriga o ministério do interior a integrar dados biométricos no registo de população, incluindo através de um programa para crianças e adolescentes a ser estabelecido no prazo de 120 dias após a entrada em vigor do decreto. Os fluxos de verificação que operam no México devem esperar ler e validar essa credencial à medida que ela escala.

O tempo entre a publicação e a aplicação está a encurtar

O Chile publicou a Lei 21.719 a 13 de dezembro de 2024 e estabeleceu que entraria em vigor a 1 de dezembro de 2026, pouco menos de dois anos depois. O México publicou a sua lei federal de proteção de dados substituta a 20 de março de 2025 e fê-la entrar em vigor no dia seguinte. A diferença entre essas duas abordagens é o facto de planeamento mais útil na região.

Um longo período de transição não é uma promessa de que o próximo será longo. O padrão em toda a região tem sido para que as janelas de adaptação encurtem, o que é um argumento para construir à frente de um instrumento em vez de esperar pelo seu texto final. Uma empresa que trata os meses restantes do Chile como o horizonte de planeamento para toda a região chegará atrasada noutro lugar.

Chile

Pouco menos de dois anos

Lei 21.719 publicada no Diário Oficial a 13 de dezembro de 2024, em vigor a 1 de dezembro de 2026. Tempo suficiente para construir um programa, nomear as funções e realizar as avaliações antes que a agência exista para perguntar sobre elas. A maior parte dessa janela já foi gasta.

México

Um dia

A lei federal de proteção de dados foi publicada a 20 de março de 2025 e entrou em vigor no dia seguinte, substituindo o estatuto de 2010 e dissolvendo o INAI. Não houve janela de adaptação. As empresas que operam no México passaram para um novo regime e um novo órgão de aplicação simultaneamente.

Nenhum mercado é o mais rigoroso em tudo

Entre as seis economias da América Latina que reescreveram as suas regras de identidade entre março de 2025 e dezembro de 2026, a regra mais apertada está num país diferente para cada obrigação. O Peru tem o relógio de violação mais rápido, o Chile o alcance extraterritorial mais amplo, a Colômbia o padrão de consentimento mais rigoroso para dados biométricos, o México a única credencial estatal obrigatória.

Confirme os detalhes com o seu advogado local antes de confiar em qualquer linha: vários destes instrumentos têm regulamentos de implementação ainda pendentes, e os reguladores da região são suficientemente novos para que a prática de aplicação ainda não esteja estabelecida.

Mercado	Instrumento principal	Autoridade	Data chave
Chile	Lei 21.719, alterando a Lei 19.628	Agência de Proteção de Dados Pessoais, nova	Entrada em vigor 1 de dezembro de 2026
México	Lei federal de proteção de dados 2025, substituindo o estatuto de 2010; Lei General de Población conforme alterada	Órgão sob a autoridade federal anticorrupção; INAI dissolvido	Lei em vigor 21 de março de 2025; decreto CURP 16 de julho de 2025
Brasil	Lei Geral de Proteção de Dados	ANPD, independente	Adequação mútua UE 26 de janeiro de 2026
Peru	Lei 29733 e o regulamento de 2025	Autoridade nacional sob o ministério da justiça	Regulamento em vigor março de 2025
Argentina	Lei 25.326, reforma pendente	Agência de Acesso à Informação Pública	Projetos de reforma no Congresso
Colômbia	Lei 1581 de 2012, redação da reforma	Superintendência de Indústria e Comércio	Reforma em andamento

No que diz respeito ao branqueamento de capitais, o panorama está comparativamente mais estável. A declaração de junho de 2026 do Grupo de Ação Financeira Internacional (GAFI) lista a Bolívia, a Venezuela e o Haiti como jurisdições sob monitorização reforçada, o status geralmente descrito como lista cinzenta. Nenhuma grande economia latino-americana está atualmente listada, o que é uma posição materialmente melhor do que a que a região tinha há uma década.

Principais conclusões

• As regras mudaram em quase todos os lugares importantes. Seis das sete maiores economias da América Latina substituíram, reformaram ou começaram a aplicar regras de identidade e dados entre março de 2025 e dezembro de 2026.
• O Chile é o prazo a curto prazo. A Lei 21.719 entra em vigor a 1 de dezembro de 2026, criando uma agência onde não existia e atingindo empresas fora do Chile que processam dados de residentes chilenos.
• O México construiu uma credencial estatal e um novo regime de privacidade ao mesmo tempo. O CURP com impressões digitais e uma fotografia é agora o documento de identificação nacional obrigatório, enquanto a lei federal de 2025 chegou com uma janela de adaptação de um dia.
• O Brasil está agora dentro da área de dados europeia. A Decisão de Execução (UE) 2026/179 permite que os dados de verificação se movam entre a União Europeia e o Brasil sem instrumentos de transferência adicionais.
• Construa para a restrição mais rigorosa por dimensão. O relógio de violação do Peru, o alcance do Chile, o padrão de consentimento da Colômbia e a credencial do México são cada um os mais apertados numa dimensão. Um programa pode satisfazer todos os seis mercados.

Utilizar o Didit para as regras de identidade da América Latina

Duas das mudanças neste artigo criam trabalho que um fornecedor de verificação pode realizar. O CURP biométrico do México torna-se uma credencial que os fluxos de integração têm de ler e validar, em vez de simplesmente registar: a Verificação de Identidade a 0,15 $ por verificação e a Leitura NFC a 0,15 $ por verificação cobrem a leitura de um chip ou credencial codificada e a verificação de que o que retorna é genuíno. A obrigação da Travel Rule cripto da Argentina, que exige que os dados de identidade do originador e do beneficiário acompanhem uma transferência de ativos virtuais, é o que a Travel Rule a 0,02 $ por transação aborda. Onde as regras de um mercado o obrigam a verificar novamente os clientes que já possui, em vez de apenas os novos, a Monitorização AML Contínua custa 0,07 $ por utilizador por ano e a Triagem AML 0,20 $ por verificação. Os preços atuais dos módulos estão listados na página de preços.

A maior parte do que este artigo descreve não é trabalho de verificação e permanece consigo. O Didit não escolhe a base legal sobre a qual processa uma digitalização facial ao abrigo da Lei 21.719 do Chile ou da Lei 1581 da Colômbia, não realiza as avaliações de risco que esses regimes exigem antes do início do processamento de alto risco, não notifica a autoridade do Peru quando os factos sobre uma violação são confirmados e não nomeia o seu encarregado de proteção de dados. A verificação ajuda-o a recolher e verificar a identidade de acordo com o padrão que estas regras esperam; a base legal, as avaliações, as notificações e os registos continuam a ser responsabilidade da sua organização.

Perguntas comuns

Quando entra em vigor a nova lei de proteção de dados do Chile?

1 de dezembro de 2026. A Lei 21.719 foi publicada no Diário Oficial do Chile a 13 de dezembro de 2024 e altera a Lei 19.628, criando uma Agência de Proteção de Dados Pessoais dedicada. A Biblioteca do Congresso Nacional regista a lei alterada como entrando em vigor a 1 de dezembro de 2026.

O CURP biométrico do México é obrigatório?

O decreto publicado no Diário Oficial de la Federación do México a 16 de julho de 2025 torna o CURP, contendo impressões digitais e uma fotografia, o documento de identificação nacional obrigatório, de aceitação universal em todo o país, disponível em formato físico e digital. O Artigo 91 Sexies define o CURP como a única fonte de identidade, permitindo que uma pessoa seja associada a qualquer registo detido por autoridades e por entidades privadas.

A LGPD do Brasil aplica-se a empresas fora do Brasil?

Sim. A Lei Geral de Proteção de Dados do Brasil aplica-se onde o processamento se relaciona com a oferta de bens ou serviços a pessoas no Brasil. Desde 26 de janeiro de 2026, a Decisão de Execução (UE) 2026/179 da Comissão e a decisão recíproca do Brasil permitem que os dados pessoais se movam entre a União Europeia e o Brasil sem instrumentos de transferência adicionais.

Quais países da América Latina estão na lista cinzenta do GAFI?

De acordo com a declaração do Grupo de Ação Financeira Internacional de junho de 2026, Bolívia, Venezuela e Haiti estão sob monitorização reforçada. Nenhuma grande economia latino-americana está atualmente listada.

Os dados biométricos são tratados como sensíveis na América Latina?

Em todos os principais mercados. A Lei 21.719 do Chile designa os dados biométricos como dados sensíveis a partir de 1 de dezembro de 2026. O regulamento de proteção de dados de 2025 do Peru, a lei federal do México e a Lei 1581 da Colômbia tratam os dados biométricos como uma categoria especial que exige uma base mais rigorosa do que os dados pessoais comuns. A autoridade nacional do Brasil realizou uma consulta pública sobre o processamento biométrico e são esperadas regras vinculativas.

Leitura relacionada

• A Ásia está a transferir o custo das verificações de identidade fracas para bancos e plataformas — Nove mercados e um regulador que mediu o que um mandato biométrico fez à fraude.
• Artigo 26 do AMLR: com que frequência deve verificar novamente? — Deveres de monitorização contínua que se aplicam a clientes existentes, não apenas à integração.
• Mercados de previsão: quem são os seus utilizadores? — Três reguladores examinaram um novo mercado em 2026 e todos chegaram à mesma questão sobre identidade.
• AUSTRAC Tranche 2 para negociantes de metais e pedras preciosas — Como são as verificações de identidade no ponto de venda quando um setor entra num regime pela primeira vez.

Fontes

1. Lei 21.719, que regula a proteção e o tratamento dos dados pessoais — Biblioteca do Congresso Nacional do Chile · publicada a 13 de dezembro de 2024, em vigor a 1 de dezembro de 2026
2. Decreto pelo qual se reforma a Lei General de Población — Diário Oficial de la Federación, México · 16 de julho de 2025
3. Lei General de Población, texto vigente — Câmara dos Deputados, México · texto consolidado
4. Decisão de Execução (UE) 2026/179 da Comissão sobre a proteção adequada de dados pessoais pelo Brasil — Jornal Oficial da União Europeia · 26 de janeiro de 2026
5. UE e Brasil adotam decisões de adequação mútua — Comissão Europeia · 26 de janeiro de 2026
6. Avaliação Global de Ameaças de Fraude Financeira 2026 — INTERPOL · março de 2026
7. Jurisdições sob monitorização reforçada, junho de 2026 — Grupo de Ação Financeira Internacional · junho de 2026

Quem escreveu isto

Tuan Nguyen — Crescimento · Didit

Escreve sobre verificação de identidade, fraude e conformidade na Didit.

Última revisão a 29 de julho de 2026, com base nas fontes acima