La LFPDPPP mexicaine : les règles cookies pour les visiteurs du Mexique
Le Mexique n’exige pas de consentement préalable avant les cookies ordinaires. Au titre de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (loi fédérale sur la protection des données personnelles détenues par les particuliers), en vigueur depuis le 21 mars 2025, le consentement tacite est valable en principe dès lors qu’un avis de confidentialité a été mis à disposition et que la personne ne s’y oppose pas, tandis que les données financières exigent un consentement exprès et les données sensibles un consentement exprès et écrit. Le règlement d’application impose aux sites qui collectent des données automatiquement, comme le font les cookies, de le signaler à l’arrivée du visiteur et d’expliquer comment les désactiver. La Secretaría Anticorrupción y Buen Gobierno a remplacé l’INAI comme régulateur et peut infliger des amendes jusqu’à 320 000 fois l’UMA, doublées pour les données sensibles.En bref
| S’applique à | Les particuliers et les entreprises qui traitent des données personnelles au Mexique, à l’exception des sociétés d’information sur le crédit et des traitements purement personnels et non commerciaux (article 1) |
| Modèle de consentement | Le consentement tacite est valable par défaut une fois l’avis de confidentialité mis à disposition (article 7) ; consentement exprès pour les données financières ou patrimoniales ; consentement exprès et écrit pour les données sensibles (article 8) |
| Règle pour les cookies | Le règlement (article 14) impose d’informer les visiteurs, dès leur arrivée, que des technologies de collecte automatique comme les cookies sont utilisées et comment les désactiver ; l’avis de confidentialité doit indiquer les options pour en limiter l’usage |
| Autorité | Secretaría Anticorrupción y Buen Gobierno (a remplacé l’INAI le 21 mars 2025) |
| Amende maximale | Amendes de 100 à 320 000 fois l’Unidad de Medida y Actualización (UMA), amende supplémentaire jusqu’à 320 000 UMA en cas de récidive, et jusqu’au double pour les données sensibles ; peines de prison pour certains délits liés aux données |
| En vigueur depuis | 21 mars 2025 (nouvelle loi) ; la loi précédente datait du 5 juillet 2010 |
Qu’est-ce que la nouvelle loi mexicaine sur la protection des données ?
Le 20 mars 2025, le Diario Oficial de la Federación a publié un décret qui promulguait trois lois à la fois, dont une nouvelle Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), la loi qui régit les données personnelles détenues par les entreprises privées. Le décret est entré en vigueur le lendemain, 21 mars 2025, et a abrogé la précédente LFPDPPP du 5 juillet 2010. Il fait suite à une réforme constitutionnelle de « simplification organique » publiée le 20 décembre 2024, qui a dissous l’INAI, l’institut autonome qui supervisait la protection des données depuis 2010.
La nouvelle loi conserve l’essentiel de la structure de 2010 : l’avis de confidentialité (aviso de privacidad), le consentement, les droits ARCO (accès, rectification, annulation et opposition), les obligations de sécurité et les sanctions. Le principal changement est institutionnel. L’article 2 définit « la Secretaría » comme la Secretaría Anticorrupción y Buen Gobierno, un ministère de l’exécutif fédéral, qui traite désormais les plaintes, les vérifications et les sanctions. Le quatrième article transitoire du décret prévoit que toute mention de l’INAI dans d’autres lois et règlements doit se lire comme une référence aux organismes qui ont repris ses fonctions.
À qui s’applique la LFPDPPP ?
La loi s’applique dans tout le Mexique aux particuliers et aux entreprises qui traitent des données personnelles. L’article 1 n’exclut que les sociétés d’information sur le crédit, qui ont leur propre loi, et les personnes qui collectent et conservent des données exclusivement pour un usage personnel, sans divulgation ni usage commercial. Les organismes publics relèvent d’une loi générale distincte, promulguée par le même décret.
Une donnée personnelle est toute information concernant une personne identifiée ou identifiable, y compris une personne qui peut être identifiée indirectement par une information quelconque. Les identifiants de cookies et les adresses IP liés à un profil de navigation peuvent donc être des données personnelles.
Qu’exige la loi pour les cookies ?
La loi elle-même ne contient aucun article propre aux cookies, mais trois dispositions déterminent ce qu’un site doit faire.
Un consentement, en général tacite. L’article 7 soumet chaque traitement au consentement de la personne, qui peut être exprès ou tacite. Le consentement est tacite lorsque l’avis de confidentialité a été mis à disposition et que la personne ne s’y oppose pas. En règle générale, le consentement tacite est valable, sauf si une autre disposition exige un consentement exprès. Les données financières ou patrimoniales exigent un consentement exprès, et l’article 8 exige un consentement exprès et écrit, par une signature manuscrite ou électronique ou un autre mécanisme d’authentification, pour les données sensibles : les données qui pourraient révéler l’origine raciale ou ethnique, l’état de santé présent ou futur, l’information génétique, les croyances religieuses, philosophiques et morales, les opinions politiques et la préférence sexuelle. Le consentement peut être retiré à tout moment, et l’avis de confidentialité doit expliquer comment.
L’avis de confidentialité. L’article 15 en fixe le contenu minimal : l’identité et l’adresse du responsable de traitement, les données traitées (en signalant les données sensibles), les finalités (en distinguant celles qui exigent un consentement), les options et moyens offerts pour limiter l’usage ou la communication, la manière d’exercer les droits ARCO, et la façon dont les modifications sont annoncées. Selon l’article 16, lorsque les données sont collectées par voie électronique, un avis simplifié reprenant les quatre premiers éléments doit être affiché et renvoyer à l’avis complet.
Les technologies de collecte automatique. Le règlement de la LFPDPPP, publié le 21 décembre 2011, prévoit à son article 14 qu’un responsable de traitement qui utilise, dans des moyens de communication électronique à distance ou locaux, des mécanismes qui collectent des données personnelles de façon automatique et simultanée lorsque la personne entre en contact, ce que font les cookies et les balises web, doit informer la personne à ce moment-là de leur utilisation, du fait que des données personnelles sont obtenues par leur biais, et de la manière de les désactiver. Ce règlement a été pris en application de la loi de 2010 ; le décret a donné 90 jours à l’exécutif fédéral pour adapter les règlements au nouveau cadre, et la nouvelle loi renvoie toujours au « règlement de la présente loi ». Nous n’avons trouvé aucun règlement de remplacement publié en octobre 2026 : suivre l’article 14 reste donc la lecture prudente.
En pratique, un avis ou un bandeau affiché à l’arrivée, qui indique que le site utilise des cookies, renvoie à l’avis de confidentialité et permet au visiteur de désactiver les cookies non essentiels, correspond au modèle mexicain. Un consentement préalable (opt-in) n’est pas exigé pour les cookies ordinaires, mais il l’est si un cookie ou un traceur traite des données sensibles ou financières.
Le droit d’opposition. L’article 26 permet à une personne de s’opposer au traitement pour un motif légitime, ou lorsqu’un traitement automatisé sans intervention humaine produit des effets juridiques non souhaités ou l’affecte de manière significative, par exemple en prédisant sa situation économique, sa santé, ses préférences sexuelles ou son comportement. Le profilage publicitaire peut en relever.
Quelles sont les sanctions ?
L’article 58 liste 19 infractions, et l’article 59 fixe les amendes en multiples de l’Unidad de Medida y Actualización (UMA), une valeur de référence journalière publiée chaque année :
| Infraction | Sanction |
|---|---|
| Ne pas répondre à une demande ARCO sans motif valable | Un avertissement de se mettre en conformité |
| Traitement contraire aux principes, éléments manquants dans l’avis de confidentialité, négligence dans le traitement des demandes ARCO | 100 à 160 000 UMA |
| Collecte ou transfert de données sans consentement exprès lorsqu’il est requis, collecte trompeuse, failles de sécurité, transferts illicites | 200 à 320 000 UMA |
| Infractions répétées | 100 à 320 000 UMA supplémentaires |
Les amendes peuvent être portées jusqu’au double de ces montants lorsque des données sensibles sont en cause. Les articles 62 à 64 prévoient aussi des peines de prison de trois mois à cinq ans pour avoir provoqué des failles de sécurité dans un but lucratif ou traité des données par la tromperie, doublées pour les données sensibles. Les décisions de la Secretaría peuvent être contestées par la voie de l’amparo devant des juridictions spécialisées.
Comment Cookiequiet gère le Mexique
Le Mexique ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique, gratuit dans chaque offre, permet de l’ajouter à une liste personnalisée pour que les visiteurs mexicains voient un bandeau qui annonce les cookies, renvoie à votre avis de confidentialité et leur permet de désactiver des catégories. L’espagnol fait partie des 24 langues du bandeau, choisies selon le navigateur du visiteur et modifiables. Le générateur de politiques rédige pour le RGPD, la LGPD et d’autres lois plutôt que pour la LFPDPPP : adaptez vous-même l’aviso de privacidad à l’article 15. Pour les règles voisines, voir la LGPD brésilienne, la Colombie et l’Argentine.