Quanto custa adequar uma empresa à LGPD: consultoria, encarregado e software

"Quanto custa a adequação à LGPD?" costuma ser a primeira pergunta de quem decide começar, e quase sempre chega antes de "o que exatamente precisa ser feito?". O problema é que a resposta à segunda pergunta define a resposta à primeira. Duas empresas do mesmo tamanho podem ter custos muito diferentes se uma trata dados de saúde de milhares de pacientes e a outra guarda o cadastro de algumas centenas de clientes empresariais.

Por isso este artigo não traz tabela de preços de consultorias. Ele mostra o que compõe o custo, o que faz esse valor subir ou descer, como montar uma estimativa antes de pedir propostas, como comparar orçamentos e como pensar o investimento diante do risco de não fazer nada.

A LGPD não define um pacote de entregas. Ela estabelece princípios, bases legais, direitos dos titulares, deveres de segurança, registro das operações, encarregado e comunicação de incidentes, entre outros pontos, e cada um se aplica de forma diferente conforme o que a empresa faz com dados pessoais. O tamanho do trabalho depende de quantas atividades de tratamento existem, que tipos de dados estão envolvidos, quantos sistemas e fornecedores participam e do que já foi feito até agora.

Há ainda um ponto que nem sempre entra no orçamento: a adequação não termina. Depois do projeto inicial vêm pedidos de titulares, fornecedores novos, sistemas trocados, incidentes e revisões de documentos. Uma parte do custo é de implantação e outra é recorrente, e as duas precisam entrar na conta desde o começo.

O investimento pode ser dividido em sete componentes. Nem todos aparecem na proposta de uma consultoria, mas todos consomem dinheiro ou tempo de alguém.

É o levantamento inicial da situação: quais dados a empresa trata, onde estão, quem acessa, quais documentos já existem e quais lacunas são mais urgentes. Um bom diagnóstico reduz o custo das etapas seguintes, porque evita trabalho em áreas que já estão razoavelmente organizadas e mostra onde está o risco maior. Pode ser feito internamente, com questionários e entrevistas, ou por uma consultoria.

Inclui o registro das operações de tratamento (art. 37 da LGPD), a definição das bases legais, o aviso de privacidade, as políticas internas, as cláusulas contratuais com fornecedores e, quando o risco pede, relatórios de impacto (RIPD) e testes de legítimo interesse. É a parte mais visível do projeto e a que costuma concentrar as horas de consultoria. O custo cresce com o número de áreas e de atividades de tratamento, não com o número de páginas entregues.

Em regra, todo controlador precisa indicar um encarregado (art. 41 da LGPD), e o custo depende do modelo escolhido. Com um encarregado interno, o custo é o tempo da pessoa, que deixa de fazer outras coisas, além de eventual capacitação. Com um encarregado externo, é a mensalidade do serviço. Nos dois casos, a Resolução CD/ANPD nº 18/2024 obriga a empresa a prover os meios necessários para a função, incluindo recursos humanos, técnicos e administrativos (art. 10), então tempo e ferramentas precisam estar no orçamento. Agentes de tratamento de pequeno porte que não fazem tratamento de alto risco podem ser dispensados de indicar encarregado, desde que mantenham um canal de comunicação com os titulares.

Para estimar quanto custa um encarregado (DPO) interno, some a parte do tempo da pessoa dedicada à função (salário e encargos proporcionais), a capacitação inicial e contínua, o tempo do substituto, que também precisa ser designado, e as ferramentas de trabalho. Para o externo, compare a mensalidade com o que ela inclui: atendimento aos titulares, reuniões, relatórios, horas de assistência às áreas e o que é cobrado à parte, como incidentes e novos RIPDs. Uma mensalidade menor com muitos extras pode sair mais cara do que parece. Quem pode assumir a função e como formalizar a indicação está no nosso guia sobre o encarregado de dados.

Aqui está a maior variação entre empresas. A LGPD exige medidas técnicas e administrativas para proteger os dados (art. 46), e o que isso significa em custo depende do ponto de partida. Uma empresa que já tem controle de acesso, backups testados e registro de eventos nos sistemas gasta pouco aqui. Outra, em que todos usam a mesma senha no sistema e as cópias de segurança nunca foram testadas, pode ter nesse item a maior parte do investimento, muitas vezes em TI e não em consultoria de privacidade.

Orientar funcionários e contratados faz parte das atividades do encarregado (art. 41, § 2º, III, da LGPD). O custo inclui a preparação do conteúdo e, principalmente, as horas dos colaboradores em treinamento. Na nossa avaliação, sessões curtas e direcionadas por área tendem a custar menos e a funcionar melhor do que uma palestra única para toda a empresa.

Planilhas e pastas compartilhadas funcionam para operações pequenas. Quando o número de atividades, fornecedores e pedidos cresce, algumas empresas preferem usar uma plataforma de gestão de privacidade, com custo de assinatura. Os limites da planilha e o custo escondido de mantê-la estão no nosso artigo sobre o fim das planilhas na LGPD. Aqui basta lembrar que a ferramenta entra no orçamento como custo recorrente e não substitui o trabalho de análise.

Este componente costuma pegar a empresa de surpresa. Atender titulares, avaliar fornecedores novos, revisar documentos quando um processo muda, registrar incidentes e refazer análises de risco consomem horas todos os meses. Se ninguém tiver esse tempo previsto, a documentação feita no projeto começa a envelhecer em poucos meses e parte do investimento inicial se perde.

Com os componentes definidos, alguns fatores explicam a maior parte da diferença de custo entre empresas:

Alguns fatores reduzem o investimento. Empresas que já mantêm um sistema de gestão de segurança da informação, como o baseado na ISO/IEC 27001, podem aproveitar controles, políticas e rotinas de revisão que já existem. O nosso artigo sobre LGPD, ISO 27001 e ISO 27701 mostra como fazer essa integração.

Para micro e pequenas empresas que se enquadram como agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 também reduz o trabalho: permite registro simplificado das operações, dispensa a indicação de encarregado (com canal obrigatório para o titular), admite política simplificada de segurança e dá prazo em dobro para algumas obrigações. O enquadramento não vale para quem faz tratamento de alto risco, ultrapassa os limites de receita ou pertence a grupo econômico que os ultrapasse, então confira antes de contar com essa redução.

Pedir orçamento sem nenhuma informação gera propostas impossíveis de comparar. Uma estimativa interna, mesmo aproximada, melhora a conversa com fornecedores e evita contratar de mais ou de menos. Um caminho possível:

O quinto passo é o que mais muda a decisão. Uma proposta com implantação barata e nenhum acompanhamento pode sair mais cara em dois anos do que outra com implantação maior e manutenção incluída. Compare o custo total no período, e não só o valor de entrada.

Desconfie de propostas que prometem adequação completa em prazo curto sem diagnóstico, ou que entregam um conjunto padrão de documentos sem entrevistar as áreas. Documento que não descreve a operação real não protege a empresa e costuma precisar ser refeito.

A comparação mais citada é com a multa. O art. 52, II, da LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. É um teto, não um valor padrão. A lei prevê outras sanções, como advertência, publicização da infração, bloqueio e eliminação dos dados e suspensão da atividade de tratamento, e manda considerar critérios como gravidade, boa-fé, cooperação, mecanismos internos, política de boas práticas e governança e a pronta adoção de medidas corretivas (art. 52, § 1º). Para entender como esses critérios aparecem na prática, veja o nosso artigo sobre a fiscalização da ANPD em 2026.

Para a maioria das empresas, o custo de não se adequar aparece antes e de forma mais concreta. Um pedido de titular que ninguém sabe responder toma horas de várias áreas. Um incidente sem plano de resposta obriga a decidir tudo sob pressão e dentro de prazos curtos. E clientes corporativos podem exigir, antes de contratar, respostas a questionários de proteção de dados, como mostramos no artigo sobre due diligence de fornecedores. Quem não consegue responder pode perder tempo ou a própria venda.

Imagine duas empresas com 60 funcionários cada. A primeira desenvolve software para outras empresas e trata dados de contatos comerciais, colaboradores e candidatos. Tem poucos sistemas, contratos padronizados e já segue boas práticas de segurança por exigência dos próprios clientes. O custo dela se concentra em mapeamento, aviso de privacidade, revisão de contratos e definição do encarregado.

A segunda é uma clínica com várias especialidades, que trata dados de saúde de milhares de pacientes, usa um sistema de prontuário de terceiro, agenda consultas pelo WhatsApp e compartilha informações com laboratórios e convênios. Aqui o mapeamento é mais extenso, provavelmente será preciso elaborar RIPD para os tratamentos de maior risco, o volume de pedidos de pacientes exige um canal estruturado e a segurança da informação pede mais investimento. Mesmo porte, custos bem diferentes.

O exemplo é fictício e não traz valores de propósito. A pergunta certa não é quanto custa adequar uma empresa de 60 pessoas, e sim quanto custa adequar os tratamentos que essa empresa faz.

Algumas decisões baixam o custo sem enfraquecer o resultado. Comece pelo diagnóstico e priorize os tratamentos de maior risco, em vez de tentar documentar tudo ao mesmo tempo. Use os materiais gratuitos da ANPD, como o guia de segurança para agentes de pequeno porte e o modelo de registro simplificado, que servem de ponto de partida mesmo para empresas um pouco maiores.

Forme responsáveis internos nas áreas, para que a consultoria oriente e revise em vez de fazer tudo sozinha. Aproveite os controles de segurança que a empresa já tem. E mantenha a documentação viva: refazer um mapeamento abandonado tende a custar mais do que atualizar um que foi revisado a cada mudança.

Tudo o que foi descrito pode ser feito com consultoria, planilhas e documentos. Uma plataforma de gestão de privacidade entra no orçamento como custo recorrente e assume parte do controle manual: onde estão os registros, quem é responsável, o que mudou e o que está pendente. Ela não substitui a análise de quem conhece o negócio, nem a consultoria ou o encarregado.

Antes de qualquer orçamento, o Diagnóstico LGPD gratuito da LGPD Cloud avalia sete áreas: governança e políticas, segurança da informação, gestão de direitos dos titulares, gestão de incidentes, gestão de terceiros, retenção e descarte de dados e transferência internacional. O resultado ajuda a enxergar onde estão as lacunas e a montar um escopo mais preciso para pedir propostas.

Na plataforma, o plano Start custa R$ 199,90 por mês e inclui os módulos de Mapeamento de Dados, RIPD, LIA, Gestão de Incidentes e Eliminação de Dados, que cobrem o registro das atividades de tratamento, as análises de impacto e de legítimo interesse, o registro de incidentes e o controle de eliminações. Os planos Premium e Enterprise, com valores sob consulta, acrescentam módulos como Direito dos Titulares, Políticas e Normas, Due Diligence de fornecedores e Gestão de Contratos. O plano adequado depende do que o diagnóstico mostrar, e os detalhes estão na página de planos.

Não existe preço de tabela para a adequação à LGPD, e é saudável desconfiar de quem oferece um sem conhecer a empresa. O custo real é a soma de diagnóstico, documentação, encarregado, segurança, treinamento, ferramentas e manutenção, ajustada pelo que a empresa trata e pelo que já tem pronto.

O caminho mais econômico costuma ser o mais organizado: diagnóstico primeiro, prioridade para os tratamentos de maior risco, o mesmo escopo para comparar propostas e tempo reservado para manter tudo atualizado. Assim, o orçamento deixa de ser um palpite e vira uma decisão que a empresa consegue explicar para a diretoria, para os clientes e, se for o caso, para a ANPD.

Consulte o texto compilado da LGPD, especialmente os arts. 37, 41, 46 e 52; a Resolução CD/ANPD nº 18/2024, que trata da atuação do encarregado e dos meios que a empresa deve garantir a ele; e a Resolução CD/ANPD nº 2/2022, com as regras diferenciadas para agentes de tratamento de pequeno porte.