- No México, não há um crime federal autônomo de roubo de identidade. Ele é tipificado por códigos penais locais, cada um com nome próprio (usurpação de identidade, artigo 211 Bis, na Cidade do México), e a Lei de Instituições de Crédito pune a obtenção de um produto financeiro com identidade suplantada.
- A lei de dados pessoais de 2025 obriga a informar "de forma imediata" à pessoa titular sobre uma vulneração que afete de forma significativa seus direitos (artigo 19).
- NIST SP 800-63A-4 (julho de 2025) proíbe verificar identidade com perguntas sobre dados pessoais.
- Em certas operações presenciais com credencial para votar, a CNBV exige que os bancos verifiquem, contra os registros do INE, os dados da credencial e a biometria de quem a apresenta (artigo 51 Bis 4).
Em 28 de março de 2018, o Conselho Geral do Instituto Nacional Eleitoral (INE) multou dois partidos políticos pelo uso indevido da Lista Nominal de Eleitores. Em um dos casos, a cópia entregue ao partido havia ficado visível na internet, em um portal da Amazon. O conselheiro Murayama resumiu assim: "aqui estamos sancionando o descuido, não a consequência desse descuido".
Para uma empresa que abre contas ou concede crédito no México, o caso deixa uma premissa de trabalho: os dados com os quais um cliente se identifica podem estar nas mãos de outra pessoa antes de ele chegar ao cadastro.
No México, o roubo de identidade não é um único crime
No México, não há um único crime de roubo de identidade: cada estado que o tipifica lhe dá nome e pena próprios, e, em nível federal, a figura específica está na Lei de Instituições de Crédito.
Na Cidade do México, chama-se usurpação de identidade. O artigo 211 Bis do Código Penal, vigente com reformas até 21 de agosto de 2026, pune com prisão e dias-multa quem "por qualquer meio usurpe, com fins ilícitos, a identidade de outra pessoa", e também quem consente que usem a sua: a figura do laranja. A pena aumenta se o autor se vale da homonímia, da semelhança física ou da similaridade da voz.
Em nível federal, o artigo 112 Séptimus da Lei de Instituições de Crédito, adicionado em 2018, pune com prisão e multa quem use ou obtenha "qualquer serviço ou produto financeiro" de uma instituição "sob uma identidade falsa ou suplantada", e quem empreste a sua para isso. Aí, quem recebe o engano é a própria instituição.
O Código Penal Federal não tem um tipo autônomo. Isso é reconhecido por uma iniciativa apresentada na Câmara dos Deputados em fevereiro de 2026, que também é a fonte de que a maioria das legislaturas estaduais o tipifica como roubo, suplantação ou usurpação de identidade. Há iniciativas no Congresso para criar o crime federal.
Fora do sistema financeiro, a figura federal mais próxima é, a nosso ver, o artigo 63 da lei de dados pessoais de 2025: pune quem, para obter lucro indevido, trate dados pessoais mediante engano, aproveitando-se do erro da pessoa titular.
A diferença entre roubo e suplantação de identidade é desenvolvida em sua própria página.
Os dados dos seus clientes já circularam
Uma empresa que opera no México precisa assumir que os dados de identificação de seus clientes podem circular fora do seu controle. O INE sustenta que a base do Cadastro Eleitoral nunca foi vulnerada e atribui os vazamentos a agentes externos, e, mesmo assim, uma cópia entregue a um terceiro acabou exposta na internet. Em 2020, sancionou outro caso: uma tentativa de vender on-line, em 2018, a Lista Nominal de 2015.
A CONDUSEF define a identidade de uma pessoa com uma lista ampla: "nome, telefone, domicílio, fotografias, impressões digitais", credenciais de identificação "assim como qualquer outro dado que permita identificar uma pessoa".
Um dado que circula deixa de ser secreto. Um cadastro que apenas comprova que o nome, o domicílio e os identificadores coincidem entre si vai bater com os dados de uma pessoa real, ainda que quem os escreva seja outra.
Saber os dados não prova quem você é
O padrão técnico de referência já não aceita o conhecimento de dados pessoais como prova de identidade. NIST SP 800-63A-4, o guia do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, publicado em 31 de julho de 2025, diz assim: "Knowledge-based verification (KBV) or knowledge-based authentication SHALL NOT be used for identity verification." Ele só admite essas perguntas como sinal dentro de um programa de gestão de fraude.
O NIST não explica a proibição com os vazamentos. A conexão é nossa, e se apoia no mesmo texto: seu nível básico, IAL1, foi desenhado "to protect against synthetic identities and attacks using compromised personal information", isto é, contra identidades sintéticas e ataques com informações pessoais comprometidas.
Em seu lugar, a verificação precisa assegurar que quem apresenta a evidência é seu legítimo dono. Um dos métodos aceitos é comparar automaticamente o rosto do documento com o da pessoa. Se a captura é remota, o NIST exige detecção de ataques de apresentação conforme a ISO/IEC 30107-3:2023, para confirmar que há uma pessoa viva diante da câmera: o que o mercado chama de prova de vida.
O NIST também admite o limite: diante da injeção e dos deepfakes, a captura ao vivo e a detecção de ataques de apresentação "do provide some protection" (oferecem alguma proteção), mas não cobrem todos os casos.
O guia é obrigatório para as agências federais dos Estados Unidos e não para as empresas mexicanas, que podem tomá-lo como referência técnica.
O setor bancário mexicano já verifica contra a fonte e contra a pessoa
Para as instituições de crédito, a CNBV aplica um critério parecido por norma própria: os dados da credencial são contrastados com o registro que os emitiu, e a biometria com a pessoa que se apresenta.
Em certas operações presenciais com credencial para votar, o artigo 51 Bis 4 de suas disposições pede verificar on-line duas coisas contra os registros do INE: os dados da credencial, como o CIC e o nome, e a informação biométrica de quem a apresenta, com um limiar mínimo de coincidência definido pela norma. A captura deve obter a biometria "diretamente da pessoa titular", evitando a de um mecanismo que simule outra pessoa.
Uma resolução de 1º de julho de 2026 somou a biometria facial à verificação presencial, que até então era feita com a impressão digital.
Na contratação não presencial de certas contas e créditos, o artigo 51 Bis 6 exige verificar a biometria do solicitante contra o INE, a Secretaria de Relações Exteriores, outra autoridade que preste esse serviço, ou uma base biométrica da própria instituição.
Essas regras são dos bancos, não de toda empresa. Mostram um critério: validar contra a fonte que emitiu o dado e comprovar que a pessoa presente é sua titular.
Se o vazamento é seu, a lei pede que você avise
Se uma vulneração na base da empresa afeta de forma significativa os direitos patrimoniais ou morais das pessoas, a lei obriga a informá-las de forma imediata. É a Lei Federal de Proteção de Dados Pessoais em Posse dos Particulares, publicada em 20 de março de 2025, que substituiu a de 2010 e passou as sanções para a Secretaria Anticorrupção e Bom Governo.
Seu artigo 18 exige medidas de segurança administrativas, técnicas e físicas proporcionais ao risco e à sensibilidade dos dados. O artigo 19 determina que as vulnerações "lhe serão informadas de forma imediata pelo responsável, a fim de que possa tomar as medidas correspondentes à defesa de seus direitos". O aviso vai à pessoa titular; o artigo não menciona a autoridade nem fixa um prazo em horas.
O conteúdo do aviso era detalhado pelo Regulamento de 2011 da lei anterior: natureza do incidente, dados comprometidos, recomendações à pessoa, ações corretivas e onde se informar. Não confirmamos que continue aplicável, então tome isso como boa prática.
A lei também tipifica como infração "vulnerar a segurança de bases de dados" quando for imputável ao responsável, com multas em Unidades de Medida e Atualização que podem aumentar com dados sensíveis. A leitura é nossa: com o caso do INE em mente, a lei pune o mesmo que Murayama apontou, a falta de resguardo, ainda que ainda não haja dano.
O que a VU faz
Verifica lê o documento, compara o rosto com o do documento e aplica prova de vida no mesmo fluxo, de modo que a verificação recai sobre a pessoa além dos dados.
A ISO/IEC 30107-3 define o método, as métricas e como se relata um ensaio de detecção de ataques de apresentação. Os graus de sofisticação do ataque não são definidos pela norma: são definidos pelo programa de ensaio da iBeta, que aplica essa metodologia e os ordena pelo que custa construir o instrumento, em tempo, perícia e equipamento. São três. O que a VU tem avaliado é a prova de vida facial, no Nível 2 desse programa.
vamos conversar sobre seu cadastro.
