Quanto custa adequar uma empresa à LGPD?

Não existe preço de tabela. O custo de adequar uma empresa à LGPD é definido por três coisas concretas: quantos dados pessoais a operação trata, em quantos sistemas e fornecedores esses dados circulam e quanta documentação já existe antes de o projeto começar. Uma operação digital enxuta resolve o essencial em poucas semanas de trabalho. Uma empresa com centenas de milhares de titulares, integração com parceiros e histórico de incidentes exige um projeto de meses.

O que significa adequar uma empresa à LGPD

Adequação à LGPD é o conjunto de medidas que faz a empresa tratar dados pessoais de acordo com a Lei 13.709/2018: saber quais dados ela coleta, por que coleta, com que fundamento legal, por quanto tempo guarda, com quem compartilha e como responde quando o titular pede acesso ou exclusão. Não é comprar um selo, não é publicar uma política de privacidade copiada e não é instalar um banner de cookies.

Essa definição importa porque a maior parte das propostas confusas nasce da falta dela. Quando o fornecedor não diz o que entrega, o cliente compara apenas o número final. Aí um orçamento de dois mil reais e outro de sessenta mil parecem estar falando da mesma coisa, e não estão. O primeiro provavelmente entrega dois documentos genéricos. O segundo entrega mapeamento de dados, revisão contratual com fornecedores, plano de resposta a incidente e treinamento do time.

A lei se aplica a qualquer pessoa física ou jurídica que trate dados pessoais no Brasil, independentemente do porte, do faturamento ou de ter CNPJ há dez anos ou dez dias. A Resolução CD/ANPD nº 2/2022 criou um regime simplificado para agentes de tratamento de pequeno porte, com prazos mais folgados e algumas obrigações flexibilizadas, mas isso reduz a carga documental, não dispensa a conformidade.

Os fatores que definem o preço do projeto

Volume e sensibilidade dos dados

Uma consultoria de tecnologia que guarda nome, e-mail e telefone de trezentos contatos comerciais está em um patamar de risco. Uma clínica que guarda prontuário, uma fintech que guarda dado financeiro e uma edtech que guarda dado de menor de idade estão em outro. A LGPD trata dado sensível e dado de criança e adolescente com regras próprias, exige base legal específica e reduz drasticamente o espaço de manobra do legítimo interesse. Isso não é preciosismo do advogado, é o que muda o desenho inteiro do projeto.

Quantidade de sistemas e fornecedores

Dado pessoal quase nunca fica parado em um só lugar. Ele entra pelo formulário do site, passa pela ferramenta de e-mail marketing, é enriquecido no CRM, aparece no checkout, vai para a plataforma de atendimento, é exportado em planilha por alguém do comercial e ainda é enviado para uma agência que roda as campanhas. Cada ponto desses é um operador ou um controlador em conjunto, e cada um exige cláusula contratual de proteção de dados.

O trabalho pesado da adequação está aí. Mapear esse fluxo em uma operação com seis ferramentas leva alguns dias. Em uma operação com quarenta integrações, leva semanas, e envolve conversar com pessoas de produto, marketing, tecnologia e financeiro. Quem orça sem perguntar quantos sistemas existem está chutando.

O que já existe de documentação

Empresa que nunca escreveu nada sobre privacidade começa do zero. Empresa que tem política publicada, contratos com cláusula de confidencialidade e um controle mínimo de acessos começa de um ponto avançado, e o projeto vira revisão em vez de construção. Vale checar antes de pedir orçamento: existe política de privacidade no site? Existe termo de uso? Os contratos com fornecedores mencionam tratamento de dados? Alguém sabe dizer onde ficam os backups?

Setor, exposição e contrapartes

Uma empresa que vende para o consumidor final tem exposição a reclamação de titular e a órgãos de defesa do consumidor. Uma empresa que vende para grandes corporações enfrenta outro tipo de pressão: o cliente corporativo manda um questionário de segurança com oitenta perguntas antes de assinar, e a adequação deixa de ser tema jurídico para virar requisito comercial. Nesse cenário, atrasar a adequação custa contrato perdido, não multa.

Quem toca o projeto do lado da empresa

Adequação não é serviço que o escritório executa sozinho. Alguém de dentro precisa responder perguntas, abrir acesso a sistemas, reunir contratos e cobrar as áreas. Se existe uma pessoa designada com tempo alocado, o projeto anda no prazo. Se a resposta de cada pergunta demora duas semanas porque o sócio está viajando, o custo sobe pelo simples arrastamento do cronograma. Escritório sério coloca isso na proposta.

Modelo de contratação

Projeto fechado tem escopo e valor definidos no começo, entregas datadas e um fim. Serve para quem precisa sair do zero com previsibilidade orçamentária. Retainer mensal é acompanhamento contínuo, com horas disponíveis para revisar contrato novo, responder incidente, treinar time e atualizar documento quando a operação muda. Quem lança produto todo mês e troca de ferramenta a cada trimestre costuma gastar menos no modelo contínuo do que refazendo projeto fechado uma vez por ano.

Escopos típicos e faixas de investimento

As faixas abaixo são ordens de grandeza praticadas no mercado brasileiro para empresas digitais de pequeno e médio porte. Servem para calibrar expectativa, não como tabela. O valor real depende dos fatores descritos acima e varia bastante entre escritórios, consultorias e empresas de tecnologia que vendem plataforma de governança.

Escopo	Para quem faz sentido	O que entra	Prazo típico	Ordem de grandeza
Diagnóstico	Empresa que não sabe onde está	Entrevistas, levantamento de fluxos, relatório de lacunas e plano de ação priorizado	2 a 4 semanas	Baixa
Essencial	Operação digital enxuta, poucos sistemas, sem dado sensível	Diagnóstico, política de privacidade, termo de uso, aviso de cookies, base legal definida e cláusula padrão para fornecedores	4 a 8 semanas	Média baixa
Completo	Empresa com equipe, múltiplos sistemas e clientes corporativos	Tudo do essencial, mais mapeamento detalhado, registro de operações, revisão contratual com operadores, plano de resposta a incidente, procedimento de atendimento ao titular e treinamento	3 a 5 meses	Média alta
Setor regulado ou dado sensível	Saúde, educação infantil, crédito, seguros	Tudo do completo, mais relatório de impacto, análise de base legal por finalidade e interface com regulação setorial	4 a 8 meses	Alta
Encarregado externo e manutenção	Quem já se adequou e precisa sustentar	Canal do titular, resposta a solicitações, atualização de documentos, apoio em incidente e revisão periódica	Contínuo	Mensal recorrente

Repare que a tabela não coloca preço absoluto. Isso é proposital. Qualquer número fechado publicado em artigo envelhece rápido e serve mais para ancorar negociação do que para informar. O que não muda é a lógica: o preço acompanha o escopo, e escopo se mede em sistemas mapeados, contratos revisados e documentos produzidos.

O que cada etapa entrega de verdade

Diagnóstico é a etapa que a maioria pula e depois lamenta. Ele responde onde os dados entram, onde ficam, quem acessa, com quem são compartilhados e qual é a base legal de cada finalidade. Sem isso, escrever política de privacidade é ficção: o documento descreve um tratamento que ninguém conferiu se acontece daquele jeito. Política que não corresponde à prática é prova contra a empresa, não a favor.

Documentação vem depois. Política de privacidade, aviso de cookies, termo de uso e o registro das operações de tratamento previsto no artigo 37 da LGPD. Esse registro é o documento que a empresa apresenta se a ANPD pedir explicação, e é também o que sustenta uma resposta rápida quando um titular reclama.

Revisão contratual costuma ser a parte mais subestimada. Todo fornecedor que trata dado em nome da empresa precisa de cláusula específica dizendo o que pode fazer, por quanto tempo, sob quais medidas de segurança e o que acontece no fim do contrato. Isso vale para a agência de tráfego, para a ferramenta de automação, para o desenvolvedor freelancer e para o contador. Quem quer entender como esse tipo de cláusula se encaixa em documentos digitais pode olhar o material sobre contratos digitais e termos de uso.

Plano de resposta a incidente é o item que separa projeto real de projeto decorativo. A LGPD obriga a comunicação de incidente de segurança relevante à ANPD e ao titular em prazo razoável, e a autoridade já regulamentou o procedimento de comunicação. No dia do vazamento ninguém tem tempo de descobrir quem avisa quem. O plano existe para que a primeira hora seja de contenção e registro, não de pânico.

Treinamento fecha o ciclo. A maior parte dos incidentes em empresa pequena não vem de ataque sofisticado, vem de planilha com base de clientes enviada por e-mail pessoal, acesso de ex-funcionário que nunca foi revogado e senha compartilhada no grupo do time. Documento não resolve isso. Rotina resolve.

Onde o orçamento é realmente consumido

Quem nunca contratou um projeto desses imagina que o custo está na redação dos documentos. Está no levantamento. A escrita da política de privacidade de uma empresa digital média ocupa poucas horas depois que o mapeamento existe. O que consome o cronograma é descobrir que o time comercial mantém uma base paralela em planilha, que a integração com a plataforma de pagamento envia mais campos do que precisa, que um fornecedor antigo continua com acesso ativo e que ninguém sabe onde estão os backups de 2021.

Essa parte é lenta porque depende de conversa com pessoas ocupadas e de conferência em sistema. Um projeto bem tocado gasta a maior fatia do esforço em entrevista, inventário e revisão contratual, uma fatia menor em redação e uma fatia pequena em treinamento e ajuste final. Quando a proposta inverte essa proporção e promete entregar tudo em uma semana, o que está sendo vendido é modelo preenchido com o nome da empresa.

Existe um efeito colateral positivo nisso. Empresa que faz o levantamento direito costuma encontrar, no caminho, contrato vencido, fornecedor sem cláusula de confidencialidade, permissão de acesso esquecida e custo de ferramenta que ninguém usa mais. O projeto de LGPD acaba pagando parte de si mesmo em organização operacional.

Encarregado pelo tratamento de dados: interno ou externo

A LGPD exige que o controlador indique um encarregado, o profissional que faz a ponte entre a empresa, os titulares e a ANPD, e que a identidade e o canal de contato dele sejam divulgados publicamente. A lei não diz que ele precisa ser funcionário nem que precisa ser advogado. Na prática existem três caminhos.

Modelo	Vantagem	Risco	Quando faz sentido
Encarregado interno acumulando função	Custo direto baixo, conhece a operação por dentro	Falta de tempo e de repertório jurídico, conflito de interesse com a área que trata os dados	Empresa pequena com operação simples e volume baixo de solicitações
Encarregado externo contratado	Repertório acumulado em vários projetos, independência, resposta padronizada	Depende de acesso rápido às áreas internas para funcionar	Empresa que quer conformidade sustentada sem criar cargo
Estrutura interna dedicada	Governança madura, resposta imediata, interlocução com auditoria de clientes	Custo fixo alto	Empresa com grande volume de titulares ou setor regulado

O erro clássico é nomear alguém do jurídico ou do TI, publicar o e-mail no rodapé do site e esquecer. Seis meses depois chega uma solicitação de exclusão, ninguém monitora aquela caixa, o prazo passa e a empresa vira caso. Encarregado sem processo por trás é decoração.

O custo de não fazer

A LGPD prevê no artigo 52 sanções administrativas que vão de advertência a multa simples de até 2% do faturamento da empresa no último exercício, limitada a cinquenta milhões de reais por infração. Há ainda multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos, suspensão parcial do funcionamento do banco de dados por até seis meses e, nos casos mais graves, proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. A ANPD publicou em 2023 o regulamento de dosimetria, que organiza como essas sanções são calculadas e quais circunstâncias agravam ou atenuam a penalidade.

Para a maior parte das empresas digitais, porém, a multa não é o primeiro custo a aparecer. O que aparece antes é mais prosaico. Contrato corporativo que trava no jurídico do cliente porque a empresa não tem política nem acordo de tratamento de dados. Ação individual de titular pedindo indenização por uso indevido de dados. Reclamação em órgão de defesa do consumidor. Fornecedor que corta integração porque a auditoria dele exigiu conformidade da cadeia. Vazamento que vira notícia e derruba conversão por semanas.

A conta que quase ninguém faz é a do retrabalho. Adequar depois de um incidente custa mais que adequar antes, porque agora existe prazo curto, existe autoridade perguntando, existe cliente cobrando e existe advogado trabalhando em regime de urgência. O mesmo projeto, feito sob pressão, sai por um múltiplo do valor tranquilo. Empresas que operam com e-commerce e SaaS sentem isso primeiro, porque a base de titulares cresce mais rápido que a estrutura interna de controle.

Erros que encarecem o projeto sem necessidade

O primeiro é comprar pacote de documento pronto. Política de privacidade genérica descreve tratamento que a empresa não faz e omite o que ela faz. Quando um titular ou um cliente corporativo confronta o documento com a prática, a divergência vira problema maior do que a ausência do documento.

O segundo é tratar LGPD como assunto exclusivo do jurídico. Quem sabe onde os dados ficam é o time de tecnologia. Quem sabe que existe uma planilha antiga com dez mil leads é o marketing. Projeto que não senta com essas pessoas produz mapeamento incompleto e precisa ser refeito.

O terceiro é contratar plataforma antes de entender o problema. Existem boas ferramentas de gestão de consentimento, de inventário de dados e de atendimento ao titular. Nenhuma delas decide qual é a base legal do seu tratamento nem revisa o contrato com a agência. Software automatiza processo que já existe. Comprado antes do processo, vira assinatura mensal ociosa.

O quarto é adequar e parar. A operação muda. Entra uma ferramenta nova, sai um fornecedor, o produto passa a coletar um dado que não coletava. Documento congelado no ano da contratação descreve uma empresa que não existe mais. Por isso o modelo de acompanhamento mensal costuma sair mais barato no acumulado do que dois projetos de adequação separados por dois anos.

O quinto é escolher fornecedor pelo menor preço sem comparar escopo. Duas propostas com o mesmo título podem ter uma diferença de dez vezes no trabalho envolvido. Comparar número sem comparar entrega é a forma mais eficiente de pagar barato por nada.

Como pedir uma proposta que dá para comparar

Antes de acionar qualquer fornecedor, reúna informação básica sobre a própria operação: quantas pessoas trabalham na empresa, quais ferramentas guardam dados de clientes, se existe dado sensível envolvido, quantos titulares estão na base aproximadamente, se já houve incidente ou reclamação e quais documentos jurídicos existem hoje. Com isso na mão, a conversa muda de patamar.

Depois, exija que a proposta responda a cinco pontos objetivos: quais entregáveis serão produzidos com nome e formato, quantas reuniões e com quais áreas, qual o cronograma por etapa, o que está fora do escopo e quem executa o trabalho. Proposta que não separa o que está fora do escopo é proposta que vai gerar aditivo.

Por fim, pergunte o que acontece depois da entrega. Adequação sem plano de manutenção é foto, não filme. Se o fornecedor não tem resposta para isso, provavelmente está vendendo documento, não conformidade. No escritório, esse ponto é definido já na reunião inicial, porque muda o desenho e o valor do projeto inteiro.

Empresas em estágio inicial costumam se beneficiar de um caminho enxuto, com diagnóstico e documentação essencial primeiro e revisão contratual no trimestre seguinte, conforme os contratos vão surgindo. Esse escalonamento aparece com frequência em assessoria para startups e agências, porque preserva caixa sem deixar a empresa descoberta no que é mais urgente.

Perguntas frequentes

Empresa pequena precisa mesmo se adequar à LGPD?

Precisa. A lei não isenta por porte ou faturamento. O que existe é o regime simplificado da Resolução CD/ANPD nº 2/2022 para agentes de tratamento de pequeno porte, que flexibiliza parte das obrigações documentais e amplia prazos, sem dispensar base legal, segurança e atendimento ao titular.

Dá para fazer a adequação sozinho, sem advogado?

Parte do trabalho sim, principalmente o levantamento de sistemas e a organização interna de acessos. A definição de base legal por finalidade, a revisão contratual com operadores e a resposta a incidente envolvem interpretação jurídica e risco de responsabilização, e é aí que a economia costuma sair cara.

Quanto tempo leva um projeto de adequação?

De poucas semanas, em uma operação simples com documentação parcial já existente, a vários meses em empresa com muitos sistemas ou dado sensível. O prazo depende menos do escritório e mais da velocidade com que a empresa entrega informação e acesso.

Política de privacidade pronta da internet resolve?

Não. O documento precisa descrever o tratamento que a empresa realmente faz, com as finalidades e bases legais corretas. Política divergente da prática enfraquece a defesa da empresa em vez de proteger, porque documenta por escrito algo que não acontece.

Vale mais contratar projeto fechado ou plano mensal?

Projeto fechado serve para sair do zero com escopo e orçamento definidos. Plano mensal serve para sustentar a conformidade em operação que muda de ferramenta, lança produto e assina contrato com frequência. Muitas empresas começam pelo projeto e migram para o acompanhamento contínuo depois da entrega.

Próximo passo

Se a sua empresa trata dados de clientes e ainda não sabe dizer onde eles estão, o primeiro movimento não é comprar documento. É mapear o cenário e descobrir o que é urgente e o que pode esperar. Fale com o escritório pelo WhatsApp e descreva a operação em poucas linhas para receber uma leitura inicial do escopo.

Este conteúdo é informativo e não substitui análise jurídica individual. Escopo, prazo e custo de um projeto de adequação dependem do modelo de negócio, dos sistemas utilizados, do tipo de dado tratado e da documentação existente em cada empresa.

---

Sobre o autor: Diego Castro é advogado inscrito na OAB/PI sob o número 15.613, especialista em Direito Digital, LGPD e contratos para empresas de tecnologia. Fundou o escritório Diego Castro Advogado em 2017, com atuação nacional e bases em Teresina e São Paulo.