Argentina:
lo que esperan los clientes de la UE

Panorama: comercio con la UE

Según la Comisión Europea, cerca de dos tercios de las exportaciones argentinas a la UE en 2025 fueron productos agrícolas, sobre todo oleaginosas y proteaginosas como la soja y los alimentos para animales que se obtienen de ella. Los productos químicos representaron el 13,7 % y los combustibles y productos mineros, el 6,7 %. Por eso, quien vende harina de soja de Rosario o carne vacuna de la Pampa a Europa tiene que ocuparse sobre todo del EUDR.

Además, Argentina tiene un sector de software fuerte. Equipos de desarrollo de Buenos Aires, Córdoba y Mendoza trabajan desde hace años para clientes de España, Alemania y los Países Bajos. Para ellos, lo central son la protección de datos y la seguridad informática.

Protección de datos: la Ley 25.326 frente al RGPD

La base es la Ley 25.326 de Protección de los Datos Personales, del año 2000, con su reglamentación, el Decreto 1558/2001. La autoridad competente es la AAIP (Agencia de Acceso a la Información Pública). La ley contempla el consentimiento, la finalidad, los derechos de acceso y supresión y un registro de bases de datos. Falta mucho de lo que el RGPD (Reglamento General de Protección de Datos) desarrolló después: evaluaciones de impacto, un delegado de protección de datos obligatorio, multas calculadas como porcentaje de la facturación y un plazo legal para notificar violaciones de seguridad.

Aun así, en 2003 la UE reconoció a Argentina como país adecuado (Decisión 2003/490/CE) y lo confirmó en el informe de la Comisión del 15/01/2024. Argentina ratificó además el Convenio 108+ modernizado del Consejo de Europa. Sus clientes de la UE pueden, por lo tanto, transferir datos personales a Argentina sin cláusulas contractuales tipo.

Si ya trabaja con el estándar del RGPD, tendrá poco que ajustar cuando llegue la reforma. Para proveedores con clientes en la UE es de todos modos el camino razonable, porque el contrato de encargo del tratamiento según el art. 28 del RGPD exige esos estándares con independencia del derecho argentino.

Ciberseguridad frente a NIS2

Argentina no tiene una ley de ciberseguridad. Hay una estrategia nacional de ciberseguridad y un equipo estatal de respuesta, CERT.ar, en la Dirección Nacional de Ciberseguridad. De ahí no surgen obligaciones para las empresas como las que NIS2 prevé en la UE para energía, transporte, salud o servicios digitales.

Hay exigencias vinculantes en el sector financiero. El BCRA establece, con la Comunicación «A» 7724, estándares mínimos de tecnología y seguridad de la información, y regula en otras comunicaciones la respuesta ante ciberincidentes y su notificación. Si provee software o servicios de centro de datos a bancos argentinos, conoce estos requisitos por los contratos.

Para los clientes de la UE, al final cuenta lo que dice el contrato. Una empresa de software de Córdoba que desarrolla para una aseguradora alemana recibe cláusulas derivadas de DORA. Un fabricante de controladores con conexión de red tiene que cumplir el Reglamento de Ciberresiliencia (CRA) si el equipo se vende en la UE.

Plazos de notificación comparados

Como la ley local no fija un plazo, en la práctica lo fija su cliente de la UE en el contrato. Cuente con 24 a 48 horas y organice su proceso para poder cumplirlo: quién decide, quién notifica y qué datos van en la primera notificación.

Autoridades, CSIRT, organismo de acreditación

Los certificados ISO 27001 o ISO 9001 emitidos por organismos acreditados por el OAA se reconocen por lo general en la UE. Algunos grupos insisten en un certificador que conocen. Aclárelo antes de la auditoría.

Lo que suelen exigir los clientes de la UE

Los exportadores agrícolas necesitan, para el EUDR, los geodatos de todas las parcelas donde se produjo la soja o el ganado de la mercadería destinada a la UE, y la prueba de que allí no hubo deforestación desde el 31/12/2020. Argentina está clasificada como país de riesgo estándar. A los fabricantes de alimentos se les pide además IFS, BRCGS o FSSC 22000.

Los proveedores de TI reciben cuestionarios de seguridad, un contrato de encargo del tratamiento y, a menudo, el pedido de un certificado ISO 27001 o un informe SOC 2. Un sistema de gestión de seguridad de la información se puede armar y documentar para la auditoría con una plataforma GRC como Sightadel, que se desarrolla y se aloja en Alemania. Para las preguntas sobre lo que su empresa expone en internet, veyrisk revisa desde afuera servicios abiertos, certificados y la configuración de DNS y correo, y entrega un informe que puede adjuntar a la respuesta.

En la práctica, los proveedores argentinos reciben un paquete de varios documentos: el contrato de encargo del tratamiento, un anexo con medidas técnicas y organizativas, una lista de subencargados, un acuerdo de confidencialidad y un cuestionario de seguridad que muchas veces supera las cien preguntas. Las cláusulas contractuales tipo no hacen falta gracias a la adecuación. Pero si usted transfiere datos a proveedores fuera de Argentina, por ejemplo a un proveedor cloud en EE. UU., su cliente de la UE le va a preguntar cómo está protegida esa transferencia.

Un punto de partida razonable para empresas argentinas:

1. Aclare cuáles de sus clientes están en la UE y qué normas de la UE se les aplican.
2. Lleve su esquema de protección de datos al nivel del RGPD, también donde la Ley 25.326 exige menos. Eso lo prepara al mismo tiempo para la reforma.
3. Fije un plazo interno de notificación de incidentes más corto que cualquier plazo de sus contratos.
4. Para las exportaciones agrícolas, reúna los geodatos de sus parcelas y los de sus proveedores.
5. Evalúe si un certificado ISO 27001 o una norma alimentaria le ahorra pruebas individuales.

Un primer panorama de sus brechas se lo da el EU-Readiness-Check gratuito.

Acuerdo con la UE

El Acuerdo UE-Mercosur se firmó el 17/01/2026 en Asunción. Argentina lo ratificó en febrero de 2026. Desde el 01/05/2026 se aplica de forma provisional la parte comercial entre la UE y Argentina, Brasil, Paraguay y Uruguay. Para la preferencia arancelaria necesita una declaración de origen. El Acuerdo de Asociación completo sigue en proceso de ratificación.

En la práctica, esto significa: verifique para cada producto el arancel, el calendario de desgravación y la regla de origen. Todo eso está en el portal Access2Markets de la Comisión Europea, ordenado por código arancelario. En los productos elaborados, la regla de origen define si hubo suficiente valor agregado en el Mercosur. Para algunos productos agrícolas rigen cupos arancelarios, es decir, cantidades limitadas con arancel preferencial. Su importador en la UE suele conocer estas reglas mejor que usted y puede ayudarle a incluir correctamente la declaración de origen en la factura. Conserve las pruebas de origen durante varios años, porque la aduana puede hacer controles posteriores.

FAQ