O Quadro Jurídico

A LFPDPPP está no topo de um quadro em camadas. A própria lei define princípios fundamentais — legalidade, consentimento, informação, qualidade, finalidade, fidelidade, proporcionalidade, accountability — que os redatores mexicanos tomaram emprestados da tradição europeia de proteção de dados. Abaixo da lei estão os Regulamentos da LFPDPPP, que preenchem detalhes operacionais, e os Lineamientos del Aviso de Privacidad (as diretrizes do aviso de privacidade), que especificam o que deve aparecer em um aviso de privacidade e como. Juntos, esses três textos formam o equivalente mexicano de um código de privacidade unificado, com a força prática de regulamentação vinculativa.

Para publishers online, as disposições de maior consequência são as regras de consentimento dos Artigos 8 a 11 da lei e os requisitos do aviso de privacidade que regem como o consentimento é solicitado. O consentimento mexicano é graduado: o consentimento tácito é suficiente para algum processamento de dados pessoais comuns quando o aviso adequado foi dado, mas o consentimento expresso é exigido para dados sensíveis e para qualquer processamento em que a lei o exija especificamente. A questão interpretativa para banners de cookies é qual desses regimes se aplica a cookies comportamentais e publicitários.

Como a Lei Mexicana Trata Cookies e Identificadores Online

Diferente da Diretiva ePrivacy da UE, a LFPDPPP não contém uma disposição específica para cookies. Em vez disso, o quadro trata os identificadores online como dados pessoais quando podem ser vinculados a um indivíduo identificável, e as obrigações de consentimento decorrem do quadro geral, e não de uma regra dedicada a cookies. A orientação da INAI esclareceu que:

• Cookies first-party estritamente necessários para o funcionamento do site não exigem consentimento prévio, mas sua presença deve ser divulgada no aviso de privacidade.
• Cookies analíticos geralmente exigem consentimento informado, sendo o consentimento tácito aceitável quando o aviso de privacidade está claramente acessível antes de qualquer coleta de dados.
• Cookies publicitários e comportamentais exigem consentimento expresso, particularmente quando os dados são compartilhados com terceiros ou usados para rastreamento entre sites.
• Cookies que capturam dados sensíveis — saúde, orientação sexual, crença religiosa, opinião política — exigem consentimento expresso independentemente da categoria.

O efeito prático é que um banner de cookies mexicano em conformidade precisa distinguir, no mínimo, entre categorias necessárias, analíticas e publicitárias, com opt-in afirmativo exigido para publicidade e aviso claro para analytics.

O Aviso de Privacidade como Âncora de Conformidade

A lei de privacidade mexicana é centrada no aviso de uma forma que difere da tradição europeia. O aviso de privacidade — aviso de privacidad — não é apenas um documento de transparência; é o instrumento jurídico por meio do qual o consentimento é estruturado. Os Lineamientos del Aviso de Privacidad exigem que o aviso contenha elementos específicos, e qualquer banner de cookies deve ser consistente com o aviso subjacente em vez de tentar comprimir tudo em um pop-up de banner.

Elementos obrigatórios do aviso

O aviso deve identificar o controlador de dados, listar os dados pessoais coletados, descrever as finalidades do processamento, especificar se os dados serão transferidos a terceiros, identificar os direitos do titular dos dados (acceso, rectificación, cancelación, oposición — os chamados direitos ARCO) e descrever como esses direitos podem ser exercidos. Para um publisher online, o banner de cookies precisa atuar como um ponto de entrada em camadas para o aviso completo, não como um substituto dele.

Curto, simplificado, integral

Os regulamentos reconhecem três formatos de aviso: integral (completo), simplificado e curto. Um banner de cookies normalmente apresenta o aviso curto ou simplificado com um caminho claro para a versão integral. As categorias de cookies e os interruptores de consentimento vivem dentro dessa estrutura em camadas.

A Reforma da INAI e o Que Vem a Seguir

No final de 2024, o governo mexicano avançou uma reforma que reestrutura a função federal de proteção de dados — o INAI autônomo está sendo absorvido em um novo arranjo institucional sob o Poder Executivo. O quadro jurídico (LFPDPPP, regulamentos, lineamientos) permanece em vigor, mas a continuidade do supervisor é a questão em aberto. Para publishers, a postura conservadora é assumir que os padrões substantivos permanecem constantes, enquanto a intensidade da fiscalização é incerta no período de transição. Construir conforme os padrões que a INAI articulou antes da reforma — categorias granulares, opt-in expresso para publicidade, suporte completo aos direitos ARCO, aviso de privacidad preciso — é a estratégia correta, independentemente de como a arquitetura de supervisão se estabilize.

Uma Lista Prática de Verificação de Conformidade

Seis perguntas concretas a serem respondidas para qualquer banner de cookies que atenda ao tráfego mexicano.

1. Categorização

O banner separa cookies em categorias necessárias, analíticas e publicitárias no mínimo, com opt-in afirmativo para publicidade? Agrupar todos os cookies não essenciais sob um único "Aceitar todos" sem granularidade é o defeito mais comum.

2. Vínculo com o aviso de privacidade

O banner liga ao aviso de privacidade completo, e esse aviso contém todos os elementos obrigatórios (controlador, dados, finalidades, transferências, direitos ARCO)? Um banner sem um aviso subjacente devidamente redigido é uma superfície fina de conformidade.

3. Idioma espanhol (mexicano)

O banner é apresentado em espanhol e usa convenções do espanhol mexicano onde estas divergem do espanhol europeu? O registro linguístico correto sinaliza seriedade tanto aos usuários quanto aos supervisores.

4. Caminho de retirada

Existe um controle persistente que permite ao usuário revisitar e modificar sua escolha de consentimento? O direito de revogar é parte do direito de "oposición" do ARCO e o banner deve acomodá-lo.

5. Divulgação de transferência a terceiros

O aviso identifica as categorias de terceiros que recebem dados pessoais via cookies (redes publicitárias, provedores de análise, CDPs), com detalhe suficiente para que o usuário entenda o fluxo de dados?

6. Registro

O sistema registra cada decisão de consentimento com timestamp e versão do banner, de modo que, no caso de uma reclamação, o publisher possa provar que a decisão foi dada de forma livre e informada?

Como Isso Se Encaixa no Cenário Latino-Americano

O México é o segundo maior mercado digital da América Latina, depois do Brasil, e seu regime de proteção de dados é um dos mais influentes da região. O debate da reforma agora em curso moldará a direção interpretativa por anos, mas os padrões substantivos são estáveis: centrados no aviso, ancorados em direitos ARCO, consentimento granular para publicidade, divulgação completa de transferências a terceiros. Publishers que operam em toda a América Latina se beneficiam de construir uma vez para o padrão mais alto — o quadro reformado da Argentina, a LGPD do Brasil, a lei reformada do Chile e o projeto pendente da Colômbia convergem para expectativas básicas semelhantes. Uma CMP que suporta o espanhol mexicano, captura consentimento em nível de categoria, vincula-se de forma limpa a um aviso de privacidad completo e registra decisões em formato audit-grade lida com a conformidade mexicana por meio da mesma infraestrutura que lida com a conformidade regional.