Adequação à LGPD para Empresas: Prazo, Custo e Passo a Passo
A maioria das empresas que nos procura já sabe o que é a LGPD. O problema é outro: ninguém sabe dizer onde a empresa está exposta hoje, quanto tempo leva para resolver e quanto isso custa. Esse artigo responde essas três perguntas.
Antes de tudo, um esclarecimento que economiza dinheiro: adequação à LGPD não é um documento que se compra pronto. É um projeto que mexe em processo, sistema e contrato. Política de privacidade publicada no rodapé do site, sozinha, não adequa ninguém — e é exatamente onde muita empresa para.
O que a lei cobra na prática
A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a qualquer empresa que trate dados pessoais de pessoas no Brasil, independente do porte ou do setor. Não existe faixa de faturamento que isente.
As sanções da ANPD chegam a R$ 50 milhões por infração ou 2% do faturamento da empresa no Brasil. Mas na prática o custo que mais dói costuma vir antes da multa: contrato travado porque o cliente enterprise exigiu evidência de conformidade, auditoria reprovada, ou um incidente que vira notificação pública.
Se você ainda está na etapa anterior — entender a lei e a relação dela com segurança da informação — comece por LGPD e Segurança da Informação. Este artigo assume que essa parte já está clara e foca no projeto.
As 4 etapas de um projeto de adequação
Um projeto sério segue essa ordem. Pular etapa é o motivo mais comum de retrabalho.
1. Diagnóstico e mapeamento de dados
Antes de corrigir qualquer coisa, é preciso saber que dado pessoal a empresa coleta, por onde ele entra, onde fica armazenado, quem acessa e para onde vai. É o famoso inventário de dados, ou data mapping.
Essa etapa quase sempre revela surpresas: planilha com dado de cliente no drive pessoal de alguém, base antiga que ninguém lembra que existe, integração com fornecedor que recebe mais dado do que precisa. É aqui que o escopo real do projeto aparece — e por isso é a etapa que mais influencia o orçamento final.
2. Gap analysis
Com o mapa na mão, compara-se a situação atual com o que a lei exige e identifica-se cada lacuna, com risco e prioridade. O resultado não é uma lista genérica de boas práticas: é o que a sua empresa precisa resolver, na ordem em que importa. Essa é a base do trabalho de adequação e compliance que fazemos.
3. Plano de ação e implementação
A lacuna vira tarefa com responsável, prazo e esforço estimado. Na prática, o trabalho se divide em três frentes:
- Jurídica: bases legais de tratamento, política de privacidade, avisos de coleta, contratos com fornecedores e operadores, registro das operações de tratamento.
- Processual: canal e fluxo de atendimento ao titular, plano de resposta a incidente com o prazo de comunicação à ANPD, política de retenção e descarte, treinamento das equipes que lidam com dado pessoal.
- Técnica: controle de acesso por menor privilégio, criptografia em trânsito e em repouso, registro de logs e trilha de auditoria, anonimização onde couber, e teste das aplicações que tratam dado pessoal.
A frente técnica é a que mais empresa subestima. O artigo 46 da LGPD exige medidas de segurança aptas a proteger o dado — e uma aplicação com falha de controle de acesso expõe dado pessoal independentemente de quão boa esteja a política de privacidade.
4. Verificação e sustentação
Adequação não tem data de término. Sistema novo, fornecedor novo ou processo novo reabre o ciclo. A etapa final estabelece a rotina: revisão periódica do inventário, reavaliação de risco e pré-auditoria antes de qualquer auditoria externa.
Quanto tempo leva
O prazo depende de porte e maturidade, mas a faixa que observamos em campo é consistente:
- Pequenas e médias empresas: de 3 a 6 meses, contando levantamento, implementação de controles, treinamento e documentação.
- Empresas grandes ou com processos complexos: de 6 a 18 meses, principalmente quando há muitos sistemas legados, operação multinacional ou grande volume de fornecedores para revisar.
O que mais atrasa projeto não é a complexidade técnica: é a falta de um dono interno. Sem alguém com autoridade para decidir e cobrar as áreas, o cronograma escorrega independentemente de quem está conduzindo.
O que define o custo
Não existe preço de tabela para adequação à LGPD, e desconfie de quem oferece um. O orçamento é definido depois do diagnóstico, porque são estes fatores que mandam no esforço:
- Volume e sensibilidade dos dados. Dado de saúde, financeiro ou de criança e adolescente eleva a exigência de controle e, com ela, o esforço.
- Quantidade de sistemas e integrações. Cada sistema que trata dado pessoal entra no inventário e no plano.
- Cadeia de fornecedores. Operadores precisam de contrato e cláusula adequados; muitos fornecedores significam muitos contratos para revisar.
- Maturidade atual. Empresa que já tem controle de acesso, log e gestão de vulnerabilidade parte de muito mais perto da linha de chegada.
- Escopo escolhido. Só diagnóstico e plano, ou diagnóstico com implementação acompanhada até o fim.
Vale a mesma lógica que aplicamos em preço de pentest: o número isolado diz pouco. O que importa é o que está incluído e quem faz o trabalho.
Preço justo para o porte, sem terceirizar o trabalho
Adequação à LGPD tem fama de projeto caro, e boa parte dessa fama vem de consultoria que cobra por volume de documento entregue. Trabalhamos de outro jeito: escopo dimensionado ao porte real da empresa, sem pacote inflado com controle que a sua operação não precisa.
O que sustenta o custo-benefício, na prática:
- Quem faz o trabalho assina o relatório. Sem terceirização e sem repasse para júnior. Você fala direto com quem executou o diagnóstico.
- Escopo enxuto por decisão, não por corte. O diagnóstico define o que entra; o que não reduz risco não entra na conta.
- Time certificado. Profissionais com OSCP e CEH conduzindo a parte técnica, que é justamente onde a maioria dos projetos de LGPD falha.
- Segurança acessível como princípio. Atendemos de startup a grande corporação adaptando escopo e metodologia ao orçamento de cada uma — segurança de qualidade não deveria ser privilégio de quem tem time interno.
Uma ressalva honesta, e vale para qualquer fornecedor que você avaliar: preço muito abaixo do mercado costuma significar escopo reduzido, ferramenta automatizada no lugar de análise humana, ou ausência de acompanhamento até a correção. Compare o que está incluído antes de comparar o valor final.
Cinco erros que custam caro
- Começar pela política de privacidade. Escrever a política antes de mapear os dados produz um documento que descreve uma empresa que não existe. E documento que não bate com a prática é prova contra você numa fiscalização.
- Tratar como projeto só do jurídico. Metade das exigências é técnica. Sem TI e segurança na mesa, a adequação fica no papel.
- Esquecer os fornecedores. A empresa continua responsável pelo dado que envia a terceiro. Operador sem contrato adequado é exposição direta.
- Coletar mais do que precisa. Cada campo desnecessário no formulário é risco que não traz retorno. Minimização é o controle mais barato que existe.
- Não testar a aplicação. Não adianta ter política impecável se o sistema permite que um usuário acesse o cadastro de outro trocando um número na URL.
LGPD e ISO 27001 se conversam
São coisas diferentes com grande sobreposição. A LGPD é lei brasileira e foca em dado pessoal; a ISO 27001 é norma internacional e cobre a gestão de segurança da informação como um todo. Empresa que já tem um SGSI implantado chega na adequação à LGPD com boa parte do caminho andado — inventário de ativos, controle de acesso e gestão de incidente já existem. Vale planejar as duas juntas em vez de fazer o mesmo levantamento duas vezes.
Por onde começar esta semana
Se você ainda não tem um projeto em andamento, três passos dão um retrato inicial sem custo:
- Liste os sistemas que guardam dado de cliente ou de funcionário. Só a lista, sem detalhar.
- Para cada um, responda quem tem acesso e por quê. Quase sempre aparece acesso que não deveria existir.
- Verifique a exposição técnica dos seus domínios e aplicações.
Para o terceiro passo você pode usar nosso diagnóstico de segurança gratuito, que analisa mais de 30 pontos do seu domínio em minutos. Não substitui o mapeamento de dados, mas mostra rápido se há exposição óbvia.
Se quiser o diagnóstico completo, fale com a gente. A conversa inicial já serve para você entender onde a empresa está mais exposta, mesmo que decida conduzir o projeto internamente.
Perguntas Frequentes
Minha empresa é pequena. Preciso mesmo me adequar à LGPD?
Sim. A LGPD se aplica a qualquer empresa que trate dados pessoais de pessoas no Brasil, independente do porte. O que muda para empresa de pequeno porte é a simplificação de algumas obrigações previstas em resolução da ANPD, como registro de tratamento e prazos, mas não a obrigação de se adequar.
Quanto tempo leva a adequação à LGPD?
Para pequenas e médias empresas, um projeto com levantamento, implementação de controles, treinamento e documentação leva de 3 a 6 meses. Para empresas grandes ou com processos mais complexos, de 6 a 18 meses. O fator que mais influencia o prazo é a existência de um responsável interno com autoridade para decidir.
Quanto custa a adequação à LGPD?
Não há preço de tabela: o orçamento é definido após o diagnóstico, porque depende do volume e da sensibilidade dos dados tratados, da quantidade de sistemas e integrações, do tamanho da cadeia de fornecedores e da maturidade de segurança que a empresa já tem. Empresas que já possuem controle de acesso, gestão de logs e testes de segurança em dia partem de um esforço bem menor.
Preciso ter um DPO ou encarregado?
A LGPD exige a indicação de um encarregado pelo tratamento de dados pessoais, com identidade e contato divulgados publicamente. Não precisa ser um cargo dedicado nem um funcionário: pode ser um profissional interno acumulando a função ou um serviço terceirizado, desde que tenha condições reais de atender titulares e a ANPD.
Adequação à LGPD inclui teste de segurança?
Deveria. O artigo 46 exige medidas técnicas aptas a proteger os dados pessoais, e não há como afirmar que uma aplicação protege dado sem testá-la. Falhas de controle de acesso, como um usuário conseguir ver o cadastro de outro alterando um identificador, expõem dado pessoal mesmo com toda a documentação em ordem.
Já tenho política de privacidade no site. Isso basta?
Não. A política de privacidade é a parte visível de um conjunto muito maior: bases legais definidas, inventário de dados, contratos com operadores, canal de atendimento ao titular, plano de resposta a incidentes e controles técnicos. Política que descreve práticas que a empresa não executa cria risco adicional em vez de reduzir.