Quanto custa a adequação à LGPD?

Por que não existe um preço único — e como o custo da LGPD é realmente formado

Quem procura "quanto custa adequação à LGPD" geralmente quer um número. A resposta honesta é que esse número não existe da forma como existe o preço de um software ou de um plano de celular — e qualquer fornecedor que crave um valor fechado antes de olhar a sua operação está chutando ou vendendo um pacote genérico. A LGPD (Lei 13.709/2018) não é um produto que se instala; é um regime de obrigações que incide sobre como a sua empresa coleta, usa, compartilha, armazena e descarta dados pessoais. O custo de se adequar é, portanto, proporcional à complexidade dessa operação. Uma padaria com 5 funcionários e um cadastro simples de clientes tem um esforço de adequação radicalmente diferente de uma fintech que trata CPF, score de crédito e dados de movimentação financeira de milhões de pessoas.

Na prática, o preço se forma a partir de cinco variáveis. A primeira é o porte e o número de processos que tratam dados — quanto mais áreas (RH, marketing, vendas, financeiro, atendimento) tocam dados pessoais, mais entrevistas, mapeamento e documentação o projeto exige. A segunda é a sensibilidade dos dados: a LGPD dá tratamento especial (art. 11) a dados sensíveis — origem racial, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde, à vida sexual, dado genético ou biométrico. Empresas que tratam esses dados (clínicas, laboratórios, seguradoras, hospitais, fintechs) exigem controles técnicos mais fortes e Relatórios de Impacto mais detalhados, o que eleva o custo. A terceira é a maturidade prévia de segurança: uma empresa que já possui ISO 27001, política de segurança da informação e controles de acesso parte de um patamar muito mais alto e paga menos pela adequação, porque metade do trabalho técnico já existe.

A quarta variável é o escopo contratado — e aqui está o erro mais comum de quem compra. Adequação não é só fazer um diagnóstico, nem só publicar uma política de privacidade no site. É um conjunto de entregas encadeadas: diagnóstico/gap analysis, mapeamento de dados (RoPA), definição de bases legais, políticas e contratos, Relatório de Impacto (RIPD) onde necessário, controles técnicos, treinamento e a operação contínua de um Encarregado. Contratar só uma fatia (o famoso "kit de documentos") barateia o boleto, mas não reduz risco real. A quinta variável é o modelo de contratação: projeto pontual com preço fechado, contratação por hora, ou assinatura mensal de um programa contínuo. Cada modelo tem uma lógica de preço diferente, que detalhamos adiante. Entender essas cinco variáveis é o que separa quem compra bem de quem paga caro por pouco — ou paga pouco por nada.

O que compõe o custo: cada entrega da adequação, explicada

Para dimensionar o orçamento, é preciso saber o que se está comprando. A adequação à LGPD é uma sequência de entregas, e cada uma tem um peso no custo total. O ponto de partida é o diagnóstico (gap analysis): um levantamento do estado atual da empresa frente às exigências da lei, que identifica a distância entre o que existe e o que a LGPD pede. É a fase mais barata e a mais importante — sem ela, qualquer orçamento de implementação é palpite. Um bom diagnóstico avalia aspectos culturais, operacionais e de sistemas, e produz um plano de ação priorizado por risco. Para uma PME, o diagnóstico isolado costuma custar entre R$ 3.000 e R$ 12.000, dependendo do número de áreas e da profundidade.

A entrega seguinte, e a mais trabalhosa, é o mapeamento de dados (RoPA — Record of Processing Activities, ou Registro das Operações de Tratamento). É o inventário de quais dados pessoais a empresa trata, de onde vêm, para que servem, com quem são compartilhados, onde ficam armazenados, por quanto tempo e sob qual base legal (art. 7º para dados comuns, art. 11 para sensíveis). O RoPA é a fundação de tudo: sem ele, não há como definir bases legais corretas, escrever políticas verdadeiras nem responder a uma fiscalização. Exige entrevistas com cada área e, frequentemente, análise de sistemas. É onde o esforço — e a conta — mais variam com o porte. Sobre o RoPA se constrói, quando necessário, o RIPD (Relatório de Impacto à Proteção de Dados Pessoais), exigido sempre que o tratamento puder gerar riscos às liberdades civis e aos direitos fundamentais dos titulares, situação típica quando há tratamento de dados sensíveis em larga escala ou uso de legítimo interesse como base legal (arts. 5º, XVII; 10, §3º; e 38 da LGPD). O RoPA descreve o que é feito; o RIPD demonstra que é feito com mitigação de riscos.

Vêm depois as entregas documentais e técnicas. Políticas e documentos: política de privacidade, política interna de proteção de dados, política de cookies, avisos de privacidade, cláusulas contratuais com fornecedores (operadores), plano de resposta a incidentes e processo de atendimento aos titulares (para os direitos do art. 18 — acesso, correção, eliminação, portabilidade). Controles técnicos: criptografia, gestão de acessos, anonimização/pseudonimização, logs, backup e monitoramento — o coração das "medidas de segurança, técnicas e administrativas" que a LGPD exige no art. 46. Treinamento e cultura: capacitar os colaboradores, porque a maioria dos vazamentos começa em erro humano. E, por fim, a operação contínua do Encarregado (DPO) — o canal entre a empresa, os titulares e a ANPD (art. 41), cujas atribuições a ANPD regulamentou na Resolução CD/ANPD nº 18/2024. Note que muitas dessas entregas não "terminam": políticas se revisam, o RoPA se atualiza a cada novo processo, treinamentos se repetem. É por isso que adequação séria é um programa, não um projeto de prazo fechado.

Faixas de preço por porte e escopo (referência de mercado brasileiro, 2026)

A tabela mais adiante traz faixas reais praticadas no mercado brasileiro, organizadas por porte e por tipo de contratação. São intervalos, não tabela de preços: servem para você calibrar expectativas e identificar propostas fora da curva (tanto as caras demais quanto as suspeitamente baratas). Trate os números como ordem de grandeza — o seu caso pode ficar acima ou abaixo dependendo das cinco variáveis da primeira seção, especialmente a sensibilidade dos dados. Empresas de saúde, financeiro e biometria tendem ao topo de cada faixa; empresas com operação simples e baixo volume de dados, à base.

Há um padrão importante embutido nessas faixas: o projeto pontual de adequação (one-time) e o programa contínuo (recorrente) são coisas separadas e cobradas separadamente. O erro de orçamento mais comum é olhar só o projeto inicial e esquecer que a LGPD exige operação contínua — um Encarregado ativo, atendimento a titulares, atualização do RoPA, resposta a incidentes. Quem fecha só o projeto barato e abandona a manutenção fica com um "selo de conformidade" que envelhece em meses e não se sustenta numa fiscalização. Por isso a coluna do programa contínuo costuma ser, ao longo de um ano, mais relevante para o custo total do que o projeto inicial.

Vale também o contraste com o custo de manter um DPO interno. Um Encarregado interno qualificado, com salário, encargos e benefícios, custa tipicamente entre R$ 8.000 e R$ 20.000 por mês — e ainda assim uma pessoa só raramente cobre jurídico, segurança da informação e processos ao mesmo tempo. O DPO as a Service (Encarregado terceirizado) entrega uma equipe multidisciplinar por uma fração disso. Para a maioria das PMEs, terceirizar o Encarregado é a decisão financeira e operacionalmente mais racional; manter DPO interno faz sentido sobretudo para empresas grandes, altamente reguladas ou que tratam dados sensíveis em escala. Atenção a um detalhe legal que afeta o custo: a Resolução CD/ANPD nº 18/2024 permite que microempresas e empresas de pequeno porte tenham regras simplificadas, mas não dispensa a existência de um canal de comunicação com o titular — ou seja, mesmo o pequeno tem obrigação, e ignorá-la já rendeu multa (caso Telekall).

Consultoria pontual vs. programa contínuo: a diferença que muda o orçamento

Esta é a distinção mais importante para quem vai comprar, e a que mais gera arrependimento quando ignorada. A consultoria pontual de adequação é um projeto com início, meio e fim: a empresa contrata, recebe diagnóstico, mapeamento, políticas e um conjunto de recomendações, e o contrato encerra. É útil — é o jeito de sair do zero e construir a fundação. Mas ela fotografa a empresa num momento. No dia seguinte ao encerramento, a operação continua mudando: novos sistemas entram, novos fornecedores são contratados, novas campanhas de marketing coletam dados, funcionários entram e saem. Cada uma dessas mudanças cria tratamento de dados que o projeto pontual não cobriu, porque ele já tinha terminado.

O programa contínuo (também chamado de DPO as a Service, privacidade como serviço, ou combinado com gestão de segurança no formato vCISO/segurança normativa) é a operação permanente do compliance: o Encarregado fica disponível como canal para titulares e ANPD, o RoPA é mantido vivo, novos processos passam por avaliação de privacidade antes de irem ao ar, há resposta estruturada a incidentes, revisões periódicas de políticas e treinamentos recorrentes. É exatamente isso que a LGPD pressupõe quando fala em "adoção de medidas capazes de comprovar a observância e o cumprimento das normas" e em programa de governança em privacidade (art. 50), e em manutenção de um Encarregado (art. 41). A diferença prática: o projeto pontual responde "a empresa estava adequada em março?"; o programa contínuo responde "a empresa está adequada hoje, e consegue provar isso quando a ANPD bater à porta?".

Do ponto de vista de custo, a leitura honesta é: o projeto pontual tem o maior desembolso concentrado no início (é onde está o trabalho pesado de mapeamento e construção), e o programa contínuo é uma mensalidade menor que se acumula. Ao longo de 24 ou 36 meses, o contínuo frequentemente supera o pontual em valor total — e é dinheiro bem gasto, porque é o que mantém o risco controlado e a defesa jurídica de pé. A recomendação de consultor é direta: contrate o projeto inicial e o programa contínuo como um pacote pensado em conjunto, e desconfie de quem vende só o projeto sem mencionar a manutenção, porque ou não entende a lei ou está vendendo a parte fácil e deixando o risco com você.

O custo de NÃO se adequar: sanções da ANPD, danos e o que realmente está em jogo

Toda decisão de compra de compliance se resolve comparando o custo de fazer com o custo de não fazer. E o custo de não se adequar à LGPD deixou de ser teórico. A sanção mais citada é a multa simples: até 2% do faturamento da empresa, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II da LGPD). "Por infração" é a parte que assusta — não é um teto único por empresa, é por infração apurada, e um mesmo incidente pode caracterizar várias condutas autônomas. Há ainda a multa diária para forçar a cessação de uma violação (art. 52, III), a publicização da infração (que vira dano reputacional automático), o bloqueio e até a eliminação dos dados envolvidos (art. 52, IV e V), e a suspensão parcial ou total do funcionamento do banco de dados ou da própria atividade de tratamento — sanções que podem paralisar a operação.

Como essas multas são calculadas não é arbitrário. A dosimetria segue os critérios do art. 52, §1º, detalhados no Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que classifica as infrações em leves, médias e graves: gravidade e natureza da infração, boa-fé do infrator, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação e — este é o ponto de virada — a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados (art. 52, §1º, IX). Em português claro: a empresa que investiu em compliance documentado, funcional e verificável tem isso reconhecido como atenuante no cálculo da multa. Não basta ter uma política de privacidade no rodapé do site — o que atenua é o programa que funciona e se prova. Investir em adequação não é só evitar a multa; é construir, por antecipação, a sua defesa jurídica para o dia da fiscalização.

E a fiscalização chegou. A primeira multa da ANPD por descumprimento (Processo nº 00261.000489/2022-62, contra a microempresa Telekall Infoservice) somou R$ 14.400 — duas multas de R$ 7.200 mais advertência — e teve como uma das infrações justamente a ausência de Encarregado (art. 41), provando que o porte pequeno não é escudo. A ANPD regulamentou as atribuições do Encarregado na Resolução CD/ANPD nº 18/2024, notificou empresas por canais de atendimento e DPO inadequados, mantém o Painel de Fiscalização ativo e, em 2025–2026, sinalizou foco em dados sensíveis (saúde e biometria). A era da orientação acabou; entrou a fase fiscalizatória. Some-se a isso o que não aparece em nenhuma multa: a responsabilidade civil por danos causados aos titulares (art. 42), as ações individuais e coletivas, e o custo silencioso de um vazamento — que, segundo o relatório Cost of a Data Breach 2025 da IBM, custou em média R$ 7,19 milhões por incidente no Brasil (chegando a R$ 11,43 milhões no setor de saúde), somando notificação, contenção, perda de clientes e queda de receita. Diante disso, a pergunta deixa de ser "quanto custa se adequar?" e passa a ser "quanto custa o dia em que eu precisar provar que estava adequado — e não estiver?".

Como contratar bem: o que olhar, o que exigir e as armadilhas de preço

A maior armadilha do mercado de LGPD é o pacote barato que entrega só documentos. Você fecha por um valor convidativo, recebe um conjunto de políticas e termos genéricos, coloca um selo no site e acha que está adequado. Não está. Sem mapeamento de dados real, esses documentos descrevem uma empresa que não existe — afirmam bases legais que não foram verificadas e prometem controles que ninguém implementou. Num caso concreto de fiscalização ou vazamento, esse "kit" não atenua nada: a ANPD avalia a efetividade do programa, não a existência de PDFs. Pior, pode agravar — uma política que promete o que a empresa não cumpre é prova documental contra ela própria. Pague pelo mapeamento e pelos controles reais; o documento é a consequência, não o produto.

O que exigir de um bom fornecedor, em forma de checklist: (1) que o orçamento só seja fechado depois de um diagnóstico mínimo, não antes — quem crava preço sem olhar a operação está chutando; (2) que o escopo liste explicitamente diagnóstico, RoPA, bases legais, RIPD quando aplicável, políticas, controles técnicos, treinamento e a operação do Encarregado — e que diga claramente o que está dentro e o que é à parte; (3) que separe o projeto pontual do programa contínuo no orçamento, com a mensalidade da manutenção declarada; (4) que apresente quem assina tecnicamente (jurídico + segurança da informação, não só advogado nem só TI); (5) que ofereça atendimento a titulares e resposta a incidentes como processo, não como promessa; e (6) que demonstre como vai manter o RoPA vivo, e não apenas entregá-lo uma vez.

Compare fornecedores pelo que entregam, não pelo preço de capa. Três propostas com valores parecidos podem cobrir escopos completamente diferentes — uma inclui Encarregado por 12 meses, outra cobra a operação à parte, a terceira nem menciona manutenção. Normalize as propostas para o mesmo escopo e horizonte (por exemplo, custo total dos primeiros 24 meses, projeto + programa contínuo) antes de decidir; é a única forma honesta de comparar. E lembre que a adequação à LGPD raramente é uma compra isolada: ela conversa com a sua postura de segurança da informação (controles do art. 46), com o monitoramento de vazamentos que dispara o dever de notificação à ANPD e aos titulares (art. 48), e com a governança normativa de modo geral. Na Decripte, tratamos isso como um programa integrado: a Segurança Normativa (LGPD + vCISO) constrói e mantém o compliance, o DPO as a Service assume o papel de Encarregado de forma contínua, e o monitoramento do Intelligence Center detecta o vazamento antes que ele vire uma crise — e uma multa. O objetivo não é vender um selo; é deixar a sua empresa genuinamente defensável no dia em que a ANPD perguntar.

Faixas de preço da adequação à LGPD por porte e tipo de contratação (mercado brasileiro, 2026)

Termos-chave

Adequação à LGPD

Conjunto de ações que torna uma empresa conforme à Lei Geral de Proteção de Dados: diagnóstico, mapeamento de dados, definição de bases legais, políticas, controles técnicos, treinamento e operação contínua de um Encarregado. Não é um produto que se instala, mas um programa que se mantém.

Encarregado (DPO)

Pessoa ou estrutura indicada pela empresa para atuar como canal de comunicação entre o controlador, os titulares de dados e a ANPD (art. 41 da LGPD). Suas atribuições foram regulamentadas pela Resolução CD/ANPD nº 18/2024. Pode ser interno ou terceirizado (DPO as a Service).

RoPA (Registro das Operações de Tratamento)

Inventário documentado de todos os tratamentos de dados pessoais da empresa: quais dados, origem, finalidade, base legal, compartilhamentos, armazenamento e prazo de retenção. É a fundação de toda a adequação — sem ele, políticas e bases legais são presunções.

RIPD (Relatório de Impacto à Proteção de Dados)

Documento que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais dos titulares, e as medidas para mitigá-los (arts. 5º, XVII, e 38 da LGPD). Exigível sobretudo em tratamento de dados sensíveis em larga escala ou uso de legítimo interesse.

Dados sensíveis

Categoria especial definida no art. 11 da LGPD: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa/filosófica/política, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Exige bases legais e controles mais rigorosos, elevando o custo da adequação.

Dosimetria de sanções

Método pelo qual a ANPD calcula o valor das multas, definido no art. 52, §1º da LGPD e detalhado na Resolução CD/ANPD nº 4/2023. Considera gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, cooperação e a existência de programa de governança — que funciona como atenuante.

DPO as a Service

Modelo de terceirização do Encarregado de dados, no qual uma empresa especializada assume continuamente o papel de DPO com uma equipe multidisciplinar (jurídico + segurança + processos). Tipicamente mais econômico que um DPO interno qualificado e adequado à maioria das PMEs.

Multa simples (art. 52, II)

Sanção pecuniária da ANPD de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Por ser 'por infração', um único incidente pode gerar várias multas autônomas.

Como decidir e contratar bem

1. Comece pelo diagnóstico (gap analysis), nunca pelo orçamento fechado: exija que o fornecedor olhe a sua operação antes de cravar qualquer preço — quem dá valor sem diagnosticar está chutando ou vendendo pacote genérico.
2. Mapeie a sensibilidade dos seus dados: se você trata dados de saúde, financeiros ou biometria (art. 11), saiba de antemão que estará no topo das faixas de preço e precisará de RIPD e controles técnicos mais robustos.
3. Separe no orçamento o projeto pontual (one-time) do programa contínuo (mensal): peça os dois valores explícitos e desconfie de quem só cota o projeto e omite a manutenção do Encarregado.
4. Exija escopo detalhado por entrega: diagnóstico, RoPA, bases legais, RIPD, políticas, controles técnicos, treinamento e operação do Encarregado — com o que está dentro e o que é à parte declarado por escrito.
5. Decida entre DPO interno e DPO as a Service comparando custo total e cobertura: para a maioria das PMEs, o Encarregado terceirizado (R$ 1.500–15.000/mês) entrega mais competências por menos do que um DPO interno (R$ 8 mil–20 mil/mês).
6. Normalize as propostas antes de comparar: traga todas ao mesmo escopo e horizonte (por exemplo, custo total dos primeiros 24 meses, projeto + contínuo) — preço de capa engana porque os escopos divergem.
7. Verifique quem assina tecnicamente: um bom fornecedor combina jurídico e segurança da informação; fuja de propostas que são só advogado (sem controles técnicos) ou só TI (sem base jurídica).
8. Trate a adequação como parte de um programa integrado: conecte o compliance à sua postura de segurança (art. 46) e ao monitoramento de vazamentos que dispara o dever de notificação (art. 48) — adequação isolada envelhece rápido.

Perguntas frequentes

Referências

• ›LGPD (Lei nº 13.709/2018) — sanções administrativas (art. 52) e demais obrigações — Planalto — http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• ›Resolução CD/ANPD nº 4/2023 — Regulamento de Dosimetria e Aplicação de Sanções Administrativas — ANPD / Diário Oficial da União — gov.br/anpd
• ›Resolução CD/ANPD nº 18/2024 — Regulamento sobre a atuação do Encarregado pelo tratamento de dados pessoais — ANPD / Diário Oficial da União — gov.br/anpd
• ›ANPD aplica a primeira multa por descumprimento à LGPD (caso Telekall, Processo nº 00261.000489/2022-62) — ANPD — gov.br/anpd/pt-br/assuntos/noticias
• ›IBM — Cost of a Data Breach Report 2025 (custo médio no Brasil: R$ 7,19 milhões) — IBM — ibm.com/reports/data-breach
• ›Decripte — Segurança Normativa (LGPD/vCISO) e DPO as a Service — decripte.com.br/plano/seguranca-normativa