Quanto custa a adequação à LGPD: os números do mercado e o que custa zero

17 de setembro de 2026LGPD de Todos14 min de leitura

Uma adequação à LGPD contratada no mercado sai, em setembro de 2026, entre R$ 2.000 e R$ 15.000 de projeto para uma empresa sem departamento jurídico, e entre R$ 1.500 e R$ 6.000 por mês quando a proposta inclui encarregado ou acompanhamento. A lei, em si, não cobra nada: não existe taxa, cadastro, licença nem certificado oficial de adequação. O que custa é o trabalho, e o preço varia tanto porque o trabalho varia. Vale para os dois nomes que o mercado usa para a mesma entrega, adequação e compliance de dados: o que muda é a palavra na proposta, não o serviço.

Quem pesquisa o assunto encontra a mesma resposta em quase toda página da primeira tela do Google: depende. É verdade, e é insuficiente. Depende de quê, dentro de qual faixa, e qual parte do trabalho uma empresa consegue fazer sozinha são perguntas que têm resposta. Este texto reúne os números que existem em fontes abertas, com a data de cada um, mostra o que empurra o preço para cima e separa o que se paga do que não se paga a ninguém.

1. Por que quase ninguém publica preço

"Adequação à LGPD" não é um produto com escopo fixo, e por isso duas propostas para a mesma empresa podem sair com preços que diferem em cinco vezes sem que nenhuma das duas esteja errada. A palavra cobre desde um diagnóstico de duas horas com um relatório no fim até um programa de governança com encarregado, treinamento anual e auditoria.

A lei não descreve um pacote. Ela lista obrigações: ter base legal para cada operação, informar o titular, atender pedidos dentro do prazo, manter registro das operações de tratamento, adotar medidas de segurança, comunicar incidente relevante. Cada obrigação dessas vira uma entrega diferente conforme a empresa. Uma clínica com prontuário eletrônico, convênio e laboratório parceiro tem a mesma lei de uma loja de bairro com caderneta e WhatsApp, e trabalhos que não se comparam. O texto sobre quais documentos a sua empresa precisa mostra esse critério do outro lado: três valem para qualquer empresa que trate dado pessoal, e o resto depende do que ela faz.

O segundo motivo é comercial, e vale dizer em voz alta. Preço sem âncora pública é preço que pode subir conforme o cliente que entra pela porta. Quem pede três orçamentos para o mesmo escopo costuma ver isso na prática, e a diferença raramente se explica pelo que está escrito nas três propostas. A primeira defesa contra isso não é pesquisar mais preço; é pedir o escopo antes.

2. As faixas que existem em fontes abertas

Levantamentos públicos de preço existem, são poucos, e convergem mais do que a vagueza do mercado sugere. A tabela reúne o que três fontes de acesso livre informavam quando este texto foi escrito, em 17 de setembro de 2026, nas duas linhas que aparecem em quase toda proposta: o projeto, pago uma vez, e o acompanhamento, cobrado por mês.

Fora do projeto fechado, três itens costumam ser vendidos avulsos, e são os mais fáceis de comparar porque o escopo é curto. Uma análise só do site, com aviso de privacidade, banner e formulários, aparece a partir de R$ 500. Um diagnóstico ou auditoria de proteção de dados, sem execução, aparece a partir de R$ 2.000, chegando de R$ 3.000 a R$ 12.000 quando a empresa é de médio porte. E um encarregado próprio, com vínculo, aparece entre R$ 8.000 e R$ 14.000 por mês de custo total, o que explica por que o encarregado como serviço existe.

3. O que empurra o preço para cima

Quatro coisas explicam quase toda a diferença entre uma proposta de R$ 3.000 e uma de R$ 30.000 para empresas do mesmo tamanho: o tipo de dado, o número de sistemas, o número de fornecedores com acesso e o quanto já existe pronto. Nenhuma delas tem a ver com faturamento, e é por isso que a conversa por porte engana.

O tipo de dado. Dado sensível muda o regime inteiro. O Art. 11 tem lista própria de bases legais, mais estreita que a do Art. 7º, e a presença de dado sensível é o critério que mais aumenta a probabilidade de a ANPD considerar o tratamento de alto risco. Uma clínica, uma escola, uma academia ou qualquer empresa que use biometria trabalha em um patamar diferente de uma prestadora de serviço que só tem nome, telefone e nota fiscal.

O número de sistemas e formulários. Mapear é a parte cara, e ela cresce com a quantidade de lugares onde o dado entra e por onde ele passa. Site, loja virtual, sistema de gestão, planilha da equipe, ferramenta de disparo, grupo de WhatsApp, caderno da recepção. Cada um vira uma linha no registro das operações de tratamento, que o mercado também chama de RoPA ou de registro de atividades de tratamento, e cada linha custa uma conversa com quem usa aquilo todo dia.

Os fornecedores com acesso. Todo terceiro que enxerga dado dos seus clientes precisa de contrato com cláusula de proteção de dados, e a responsabilidade não sai da sua empresa quando o dado sai dela. O texto sobre o fornecedor que acessa os seus dados detalha o ponto. Quando algum desses fornecedores está fora do Brasil, e servidor de e-mail e nuvem já contam, entra também a análise de transferência internacional de dados, que é trabalho a mais em qualquer proposta séria.

O que já existe pronto. Quem chega com aviso de privacidade publicado, registro das operações começado e uma pessoa responsável definida paga por revisão. Quem chega do zero paga por construção, e a diferença entre as duas coisas costuma ser de metade do valor. Esta é a única das quatro que está inteiramente nas suas mãos antes de pedir o orçamento.

Existe também um desconto que a norma dá e que muita proposta ignora. A Resolução CD/ANPD nº 2/2022 cria um regime próprio para o agente de tratamento de pequeno porte, com registro das operações em formato simplificado, política de segurança simplificada, prazos de atendimento contados em dobro e dispensa da indicação de encarregado, desde que a empresa mantenha um canal de comunicação com o titular e com a ANPD. Se você está nesse regime e a proposta cobra pela forma completa de tudo isso, vale perguntar por quê. O texto sobre a LGPD na empresa sem departamento jurídico mostra o que sobra de obrigação depois desse alívio.

4. A conta que não entra na proposta: as suas horas

Nenhuma consultoria consegue responder sozinha a pergunta central da adequação, que é quais dados a sua empresa tem e para que serve cada um. Essa resposta mora na cabeça de quem atende, de quem emite nota e de quem faz a folha, e é por isso que toda adequação consome horas da sua equipe, contratada ou não.

Na prática, o trabalho que só a empresa faz tem quatro blocos. Listar onde o dado entra, o que exige percorrer cada canal de atendimento e cada formulário. Dizer para que cada dado serve, campo a campo, que é a pergunta que mais trava a conversa porque muita coleta nunca teve motivo escrito. Apontar quem acessa o quê, incluindo ex-funcionário e estagiário. E decidir por quanto tempo cada coisa fica guardada, que é a decisão que o texto sobre por quanto tempo guardar os dados destrincha.

Para uma empresa de até vinte pessoas, com um sistema de gestão e um site, isso cabe em algo entre dez e quarenta horas somadas, distribuídas por algumas semanas, quase sempre em blocos de uma hora com a pessoa certa. Quem contrata consultoria não elimina essas horas; troca parte delas por reunião. Quem não contrata paga esse custo inteiro em tempo próprio e nada além disso, porque a lei não exige fornecedor externo, nem assinatura de terceiro, nem parecer.

O inciso pede demonstração, e não procedência. Não importa quem escreveu o registro das operações, nem se ele saiu de uma consultoria, de uma plataforma ou do computador do dono. Importa que ele exista, que descreva a empresa de verdade e que alguém consiga mostrar. É essa a régua que o texto sobre como comprovar a adequação aplica documento a documento.

5. O que a lei não cobra, e o selo que não existe

Não há taxa, inscrição, licença, anuidade nem cadastro pago para tratar dados pessoais no Brasil, e não existe certificado oficial de adequação à LGPD. A empresa também não precisa avisar a ANPD de que se adequou. Tudo o que se paga, paga-se a um particular, por um serviço, e nunca ao poder público por uma autorização.

A palavra "selo" aparece na lei em um contexto só. O Art. 33 lista as garantias que autorizam transferência internacional de dados, e uma delas são selos, certificados e códigos de conduta regularmente emitidos; o Art. 35 dá à autoridade nacional a tarefa de definir o conteúdo dessas garantias e de analisá-las. Fora dali, a lei não cria selo de conformidade para empresa nenhuma, não manda ninguém se registrar e não menciona certificação de adequação.

Isso importa porque existe um mercado de "certificado LGPD" vendido como se fosse exigência. Um certificado desses é, no máximo, o registro de que um fornecedor privado analisou a empresa em uma data. Pode ter valor comercial, como argumento diante de um cliente que pergunta, e o texto sobre como responder ao questionário do cliente mostra o que costuma ser pedido de verdade nessas horas. Mas ele não vale como defesa diante da ANPD, que olha as medidas e a prova delas, e não o papel de quem as vendeu.

6. Quanto custa não fazer

A conta do outro lado tem duas partes, e a mais provável para uma empresa sem departamento jurídico não é a multa. É o negócio que não fecha porque o cliente pediu prova de adequação e a resposta demorou, ou não veio.

A parte que todo mundo cita é a sanção. O Art. 52 prevê multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, e esse número circula sem o resto da moldura, que muda tudo: a lista de sanções começa em advertência, a aplicação é gradativa e vem depois de processo com ampla defesa. O texto sobre a multa da LGPD destrincha a dosimetria. O ponto que interessa para o orçamento é o § 1º do mesmo artigo: a boa-fé, a adoção demonstrada de mecanismos internos e a política de boas práticas contam a favor da empresa na hora de dosar a sanção. São atenuantes que não existem sem registro, e é o registro que a adequação produz.

A parte que aparece muito antes é comercial. Contrato com empresa maior, edital, credenciamento de convênio e cadastro de fornecedor novo passaram a trazer perguntas sobre proteção de dados, e elas chegam com prazo. Uma empresa que não tem aviso publicado, registro das operações nem pessoa de contato responde com silêncio ou com promessa, e as duas coisas custam. Esse custo não aparece em nenhuma tabela porque ele tem a forma de um negócio que foi para outro fornecedor.

7. Como ler duas propostas sem ser especialista

Seis perguntas separam uma proposta de adequação de uma entrega de modelos com o nome da sua empresa no cabeçalho, e nenhuma delas exige conhecimento jurídico para ser feita. Faça as seis por escrito, às duas propostas, e compare as respostas antes de comparar os valores.

Quantos sistemas e canais serão mapeados, pelo nome? Proposta que não lista os lugares onde o dado entra vai entregar documento genérico, porque não perguntou nada. Quais documentos saem, um a um? "Documentação completa" não é entrega; registro das operações, aviso de privacidade, política de segurança e contrato com fornecedor são. Quem escreve e quem revisa? O nome e a formação de quem assina mudam o serviço, e mudam o preço. O que acontece quando chegar um pedido de titular? Pedido de acesso e de exclusão têm prazo, e é bom saber de antemão se atender está dentro ou fora do combinado. O que acontece se houver incidente? Comunicação à ANPD tem prazo curto e formulário próprio. E o que fica com a empresa no fim? Arquivos editáveis, no seu poder, ou acesso a uma plataforma que você perde quando o contrato acabar.

Uma nota sobre a comparação com o caminho gratuito, para não haver dúvida sobre de onde este texto fala. A nossa plataforma faz o diagnóstico, o plano e os documentos sem cobrar, e o que ela não faz é exatamente o que uma consultoria boa faz bem: sentar com a sua equipe, olhar o seu contrato, discordar de você quando for o caso e assinar um parecer. Empresa com dado sensível em escala, com operação complexa ou com processo em curso na ANPD tem motivo de sobra para pagar por isso. As outras costumam ter motivo para começar sozinhas e chamar ajuda no ponto em que ela faz diferença. O que entra nesse caminho, item a item, está na página da adequação à LGPD gratuita.

8. Perguntas frequentes

Quanto custa a adequação à LGPD para uma empresa pequena?

As faixas publicadas em fontes abertas em setembro de 2026 vão de R$ 2.000 a R$ 15.000 no projeto pago uma vez, e de R$ 1.500 a R$ 6.000 por mês quando a proposta inclui encarregado ou acompanhamento contínuo. A amplitude é grande porque adequação não é um produto com escopo fixo: a mesma palavra cobre desde um diagnóstico de duas horas até um programa com treinamento, auditoria e plantão. Antes de comparar preço, peça a lista de entregas de cada proposta, porque é ela que explica a diferença.

Dá para se adequar à LGPD sem contratar consultoria?

Dá, e para a maioria das empresas que trata dado de rotina é o caminho mais barato e mais honesto. A lei não exige que a adequação seja feita por terceiro, nem que o resultado seja assinado por alguém credenciado. O que ela exige é que a empresa saiba quais dados trata, para quê, com qual base legal, por quanto tempo, e consiga demonstrar isso. O custo, nesse caso, deixa de ser fatura e passa a ser hora: quem faz sozinho gasta entre dez e quarenta horas de gente que conhece o negócio, distribuídas em algumas semanas.

Quanto custa um DPO ou encarregado terceirizado?

O encarregado como serviço aparece em fontes abertas entre R$ 1.500 e R$ 8.000 por mês, conforme o porte e o volume de pedidos esperado, e um encarregado próprio com vínculo aparece entre R$ 8.000 e R$ 14.000 por mês de custo total. Antes de contratar, confira se a sua empresa precisa: a Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte da indicação de encarregado, desde que mantenha um canal de comunicação com o titular e com a ANPD.

Existe certificado ou selo de adequação à LGPD?

Não existe certificado oficial de adequação. A Lei nº 13.709/2018 só menciona selos e certificados em um contexto, o das garantias para transferência internacional de dados, e ainda assim como algo que precisa ser reconhecido pela autoridade. Não há cadastro de empresas adequadas, não há taxa, e nenhuma entidade privada foi credenciada para atestar conformidade. Um certificado comprado vale como registro de que um fornecedor analisou a empresa, e nada além disso.

A ANPD cobra alguma taxa para a empresa se adequar?

Não. Não existe inscrição, registro, licença ou anuidade paga à ANPD para tratar dados pessoais no Brasil. A empresa também não precisa comunicar à autoridade que se adequou. O contato com a ANPD acontece em duas situações previstas na lei: quando há comunicação de incidente de segurança relevante, e quando a autoridade pede esclarecimentos ou instaura um processo. Qualquer cobrança apresentada como taxa obrigatória de LGPD é de um particular, e não do poder público.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 6º, X, 7º, 11, 33, 35, 41, 42 e 52 · Resolução CD/ANPD nº 2/2022 · Decripte, guia de compra, atualizado em 27/06/2026 · Cronoshare, faixas de orçamento por porte · Implementando a LGPD, preço de entrada publicado

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.