拉丁美洲六国在21个月内重塑身份认证规则 (ZH)

智利的完整法规、墨西哥的生物识别国民身份证以及巴西与欧盟的充分性桥梁都在同一时间段内落地。其余的截止日期集中在2026年12月。

简而言之

欺诈是驱动因素，且其可衡量

国际刑警组织2026年3月发布的《全球金融欺诈威胁评估》显示，2025年全球欺诈损失达4420亿美元，美洲地区的备案案件一年内增长了40%。

智利法规于2026年12月1日生效

第21.719号法律于2024年12月13日公布，并于2026年12月1日全面生效，设立了一个智利此前没有的专门数据保护机构。

墨西哥现已拥有生物识别国民身份证

2025年7月16日在《联邦官方公报》上发布的一项法令规定，载有指纹和照片的CURP成为强制性的国民身份证明文件。

巴西和欧盟相互承认

欧盟委员会2026年1月26日通过的第2026/179号实施决定，允许个人数据在两者之间传输而无需额外的传输工具，覆盖超过6.7亿人口。

生物识别数据依法属于敏感数据

智利、秘鲁、墨西哥和哥伦比亚都将生物识别数据视为特殊类别，需要比普通个人数据更严格的法律依据。巴西的约束性规则预计将出台。

适应期正在缩短

智利从发布到全面生效只给了不到两年的时间。墨西哥2025年联邦数据保护法于2025年3月20日发布，并于次日生效。

美洲地区的欺诈案件一年内上升40%，随后进行了规则修订

国际刑警组织2026年3月发布的《全球金融欺诈威胁评估》显示，2025年全球欺诈损失达4420亿美元，美洲地区的备案欺诈案件在一年内增长了40%。报告还发现，使用人工智能的欺诈方案比没有使用的方案利润高出约4.5倍。下文所述的身份规则正是对此的监管回应。

最后一个数字解释了时间安排。廉价规模化的欺诈发生速度通常快于立法进程，而本文中的法律正是政府在关注同一系列国际刑警组织报告后制定的。

有必要精确说明这些规则是什么，不是什么。它们大多是数据保护法规，而非反欺诈法规。它们规定了组织如何收集和持有面部扫描或指纹，其中只有一部分要求进行验证。与欺诈的联系是反向的：随着验证变得越来越普遍，其产生的数据变得越来越敏感，法律也随之而来。

这是整个地区规则修订背后的比例问题。身份检查不断被应用于新的场景，每次都面临一个悬而未决的问题：危害是否足以证明摩擦和收集的合理性。拉丁美洲在不同市场给出了不同的答案，这就是为什么不存在单一的区域合规立场。

七个最大经济体中的六个在2025年3月至2026年12月期间修订了规则

在2025年3月至2026年12月1日期间，墨西哥、秘鲁、阿根廷、巴西、智利和哥伦比亚都更换、改革或开始执行与身份和个人数据相关的规则。拉丁美洲七个最大经济体中只有一个在此期间未采取行动。最后一项变动，智利的第21.719号法律，将于2026年12月1日全面生效。

这一窗口期始于墨西哥。2025年3月20日发布的联邦数据保护法取代了2010年的法规，并于次日生效，长期存在的透明度和数据保护监管机构INAI被解散，执法权移交至联邦反腐败机构下属的一个部门。九天后，秘鲁修订后的数据保护条例生效，要求设立数据保护官，并规定了从确认事实之日起的违规通知义务。

此后的两项变动对于任何跨境传输验证数据的人都至关重要。墨西哥的生物识别CURP法令于2025年7月16日发布，将在第04节中介绍。2026年1月26日，欧盟委员会通过了第2026/179号实施决定(EU)，承认巴西对个人数据提供充分保护，巴西也通过了对等决定。欧盟委员会称此举覆盖了超过6.7亿人口，这意味着验证数据可以在欧盟和巴西之间传输，而无需标准合同条款或其他传输工具。

同样的模式在其他大洲也可见。亚洲有九个市场在十四个月内修订了身份规则，而欧盟的反洗钱法规现在将持续监控义务附加到公司现有客户身上。

生物识别数据现已成为所有主要市场的特殊类别

智利第21.719号法律将生物识别数据与健康、地理位置和金融数据一起列为敏感数据，自2026年12月1日起生效。秘鲁2025年法规、墨西哥联邦法律和哥伦比亚2012年第1581号法律都将生物识别数据视为特殊类别。实际效果在各地都是一样的：面部扫描需要比姓名和电子邮件地址更强的法律依据。

“敏感”是一个值得解释的术语。它意味着数据不能在覆盖大多数商业活动的普通基础上进行处理，通常需要明确的同意或特定的法定许可，以及更严格的安全措施，并且在其中一些制度中，在处理开始前需要进行书面的风险评估。哥伦比亚自2012年以来一直要求事先明确授权，这实际上意味着捆绑在通用条款和条件中的同意不符合要求。

巴西是值得关注的市场。其国家数据保护局ANPD于2025年6月就面部识别和生物识别处理进行了公开咨询，预计将出台具有约束力的规则。在此之前，巴西的生物识别处理受《通用数据保护法》的一般规定管辖，而非专门工具。

该地区存在一种值得指出而非解决的矛盾。一些政府在收紧持有生物识别数据的规则，同时在某些情况下，这些政府也在建立强制性的生物识别凭证。墨西哥正在同时进行这两项工作。这两种立场本身并不矛盾，但在那里运营的公司必须同时满足这两项要求。

墨西哥将生物识别凭证作为该国的强制性身份证明文件

墨西哥《联邦官方公报》于2025年7月16日发布的一项法令修订了《人口总法》，规定载有指纹和照片的CURP成为强制性的国民身份证明文件，在墨西哥全国范围内具有普遍和强制接受的效力，以实体和数字形式签发。

CURP，即人口唯一注册码，作为行政人口登记密钥已存在多年。该法令改变了它的性质。第91条之六将其定义为个人的唯一身份来源，以及允许个人与当局和私人持有的任何记录相关联的机制，以便在数据库之间进行交叉核对、警报和查询。

有两点限制值得明确说明，因为发展方向容易导致夸大。首先，该法令本身并未对私营公司施加对其客户进行CURP验证的可处罚义务；在撰写本文时，实施条例仍在审议中，第91条之六所述的义务是围绕CURP的地位和范围来构建的，而不是作为一项带有惩罚的常设验证要求。其次，法令文本明确指明了指纹和照片。关于该凭证包含虹膜数据的报道，在审查本文所依据的法令文本时并未得到证实。

毫无疑问的是其方向。墨西哥正在建立一种旨在成为默认身份凭证的国家凭证，该法令要求内政部将生物识别数据整合到人口登记中，包括在法令生效后120天内为儿童和青少年建立一个项目。在墨西哥运营的验证流程应预期读取和验证该凭证，因为它正在扩大规模。

发布与执行之间的时间正在缩短

智利于2024年12月13日发布了第21.719号法律，并规定其于2026年12月1日生效，间隔不到两年。墨西哥于2025年3月20日发布了替代联邦数据保护法，并于次日生效。这两种方法之间的差距是该地区最有用的规划事实。

漫长的准备期并不意味着下一个也会很长。该地区普遍的模式是适应期缩短，这说明应该在工具出台之前就做好准备，而不是等待其最终文本。一家公司如果将智利剩余的几个月作为整个地区的规划期，那么在其他地方就会迟到。

智利

不到两年

第21.719号法律于2024年12月13日在《官方公报》上发布，2026年12月1日生效。足够长的时间来制定计划、任命角色并在机构成立前进行评估。大部分窗口期现已过去。

墨西哥

一天

联邦数据保护法于2025年3月20日发布，并于次日生效，取代了2010年法规并解散了INAI。根本没有适应期。在墨西哥运营的公司同时进入了一个新制度和一个新的执法机构。

没有哪个单一市场在所有方面都最严格

在2025年3月至2026年12月期间修订了身份规则的六个拉丁美洲经济体中，每项义务最严格的规则都位于不同的国家。秘鲁拥有最快的违规通知时限，智利拥有最广泛的域外管辖权，哥伦比亚对生物识别数据拥有最严格的同意标准，墨西哥拥有唯一的强制性国家凭证。

在依赖任何一行之前，请与当地律师确认具体细节：其中一些文件仍有待实施的法规，且该地区的监管机构足够新，以至于执法实践尚未确定。

市场	核心文件	主管机构	关键日期
智利	第21.719号法律，修订第19.628号法律	新成立的个人数据保护局	2026年12月1日全面生效
墨西哥	2025年联邦数据保护法，取代2010年法规；修订后的《人口总法》	联邦反腐败机构下属部门；INAI已解散	法律于2025年3月21日生效；CURP法令于2025年7月16日发布
巴西	《通用数据保护法》	独立机构ANPD	欧盟互认充分性于2026年1月26日生效
秘鲁	第29733号法律和2025年法规	司法部下属国家机构	法规于2025年3月生效
阿根廷	第25.326号法律，改革待定	公共信息获取局	改革法案正在国会审议
哥伦比亚	2012年第1581号法律，改革草案	工业和商业监管局	改革正在筹备中

在反洗钱方面，情况相对稳定。金融行动特别工作组2026年6月的声明将玻利维亚、委内瑞拉和海地列为受加强监控的司法管辖区，通常被称为灰名单。目前没有主要的拉丁美洲经济体被列入，这比该地区十年前的状况有了实质性改善。

主要收获

• 几乎所有重要市场的规则都发生了变化。2025年3月至2026年12月期间，拉丁美洲七大经济体中的六个更换、改革或开始执行身份和数据规则。
• 智利是近期截止日期。第21.719号法律将于2026年12月1日生效，设立了一个此前不存在的机构，并影响处理智利居民数据的智利境外公司。
• 墨西哥同时建立了国家凭证和新的隐私制度。带有指纹和照片的CURP现在是强制性的国家身份证明文件，而2025年联邦法律仅有一天适应期。
• 巴西现已进入欧洲数据区。第2026/179号实施决定(EU)允许验证数据在欧盟和巴西之间传输，而无需额外的传输工具。
• 针对每个维度最严格的限制进行构建。秘鲁的违规通知时限、智利的覆盖范围、哥伦比亚的同意标准和墨西哥的凭证在各自维度上都是最严格的。一个方案可以满足所有六个市场。

使用Didit应对拉丁美洲的身份规则

本文中的两项变更产生了验证提供商可以承担的工作。墨西哥的生物识别CURP成为一种凭证，入职流程必须读取和验证，而不仅仅是记录：身份验证（每笔检查0.15美元）和NFC读取（每笔检查0.15美元）涵盖了读取芯片或编码凭证并检查其返回数据是否真实。阿根廷的加密旅行规则义务要求发起方和受益方身份数据随虚拟资产转移而传输，这正是旅行规则（每笔交易0.02美元）所解决的问题。如果市场规则要求您重新检查现有客户而非仅新客户，则持续反洗钱监控费用为每用户每年0.07美元，而反洗钱筛选费用为每笔检查0.20美元。当前模块价格列于定价页面。

本文描述的大部分内容根本不是验证工作，它仍然由您负责。Didit不会选择您根据智利第21.719号法律或哥伦比亚第1581号法律处理面部扫描的法律依据，不会进行这些制度在高风险处理开始前要求的风险评估，不会在确认违规事实时通知秘鲁当局，也不会任命您的数据保护官。验证帮助您按照这些规则期望的标准收集和检查身份；法律依据、评估、通知和记录仍是您组织的责任。

常见问题

智利的新数据保护法何时生效？

2026年12月1日。第21.719号法律于2024年12月13日在智利《官方公报》上发布，修订了第19.628号法律，设立了专门的个人数据保护局。国会图书馆记录修订后的法律于2026年12月1日生效。

墨西哥的生物识别CURP是强制性的吗？

墨西哥《联邦官方公报》于2025年7月16日发布的一项法令规定，载有指纹和照片的CURP成为强制性的国民身份证明文件，在全国范围内具有普遍和强制接受的效力，以实体和数字形式提供。第91条之六将CURP定义为唯一的身份来源，允许个人与当局和私人持有的任何记录相关联。

巴西的LGPD是否适用于巴西境外的公司？

是的。巴西的《通用数据保护法》适用于与向巴西境内人员提供商品或服务相关的处理。自2026年1月26日起，欧盟委员会的第2026/179号实施决定和巴西的对等决定允许个人数据在欧盟和巴西之间传输，而无需额外的传输工具。

哪些拉丁美洲国家在FATF灰名单上？

根据金融行动特别工作组2026年6月的声明，玻利维亚、委内瑞拉和海地正受到加强监控。目前没有主要的拉丁美洲经济体被列入。

生物识别数据在拉丁美洲是否被视为敏感数据？

在所有主要市场都是如此。智利第21.719号法律将生物识别数据列为敏感数据，自2026年12月1日起生效。秘鲁2025年数据保护法规、墨西哥联邦法律和哥伦比亚第1581号法律都将生物识别数据视为特殊类别，需要比普通个人数据更严格的依据。巴西国家机构就生物识别处理进行了公开咨询，预计将出台具有约束力的规则。

相关阅读

• 亚洲正在将身份验证薄弱的成本转嫁给银行和平台 — 九个市场，以及一个衡量生物识别强制措施对欺诈影响的监管机构。
• 反洗钱法规第26条：您需要多久重新检查一次？ — 针对现有客户而非仅新客户的持续监控义务。
• 预测市场：您的用户是谁？ — 三个监管机构在2026年审查了一个新市场，都提出了相同的身份问题。
• AUSTRAC第二阶段针对贵金属和宝石经销商的指南 — 当一个行业首次进入监管体系时，销售点身份检查是什么样的。

来源

1. 第21.719号法律，规范个人数据保护和处理 — 智利国会图书馆 · 2024年12月13日发布，2026年12月1日生效
2. 修订《人口总法》的法令 — 墨西哥《联邦官方公报》 · 2025年7月16日
3. 《人口总法》，现行文本 — 墨西哥众议院 · 合并文本
4. 欧盟委员会实施决定(EU) 2026/179关于巴西个人数据充分保护的决定 — 欧盟官方公报 · 2026年1月26日
5. 欧盟和巴西通过相互充分性决定 — 欧盟委员会 · 2026年1月26日
6. 2026年全球金融欺诈威胁评估 — 国际刑警组织 · 2026年3月
7. 受加强监控的司法管辖区，2026年6月 — 金融行动特别工作组 · 2026年6月

作者

阮端 (Tuan Nguyen) — 增长 · Didit

在Didit撰写有关身份验证、欺诈和合规的文章。

上次审查日期：2026年7月29日，参考以上来源