Quanto custa uma consultoria LGPD para pequenas e médias empresas

Por que não existe preço de tabela

Uma clínica com prontuários de pacientes, uma escola com dados de crianças e uma distribuidora que só guarda dados de contato de compradores estão sujeitas à mesma lei. Mas o trabalho de adequação de cada uma é muito diferente.

A LGPD exige que a empresa saiba quais dados pessoais trata, com que finalidade, com qual base legal, com quem compartilha e como protege. O preço da consultoria é, basicamente, o custo de levantar e organizar essas respostas e de criar as rotinas que as mantêm em dia. O panorama geral está em LGPD para empresas: como se adequar.

O que entra no projeto de adequação

Em operações com risco elevado, como uso intenso de dados sensíveis, entra ainda o relatório de impacto à proteção de dados.

O que mais pesa no preço

• Dados sensíveis. Saúde, biometria, religião, origem racial e dados de crianças exigem cuidados e documentação adicionais. Clínicas, laboratórios e escolas costumam ter projetos mais extensos.
• Número de sistemas. Cada software de gestão, CRM, plataforma de e-commerce ou planilha compartilhada precisa ser mapeado.
• Fornecedores e terceiros. Contabilidade, folha, marketing, nuvem: cada um é um compartilhamento que precisa de contrato adequado.
• Tamanho das equipes. Mais áreas e pessoas significam mais entrevistas e mais treinamento.
• Ponto de partida. Empresas com contratos e políticas já organizados gastam menos.

Para negócios online, há pontos específicos de cookies, consentimento e direito do consumidor. Veja direito digital e e-commerce.

A boa notícia para pequenas empresas

A ANPD criou um regime simplificado para agentes de tratamento de pequeno porte, que inclui microempresas, empresas de pequeno porte, startups e pessoas jurídicas sem fins lucrativos, entre outros. Os principais alívios são:

• Dispensa de indicar formalmente um encarregado, desde que haja um canal de comunicação com os titulares.
• Registro das operações de tratamento em formato simplificado.
• Prazos em dobro para várias obrigações, como responder a pedidos de titulares.
• Política de segurança simplificada.

Atenção: o regime simplificado não vale para quem faz tratamento de alto risco, como uso de dados sensíveis em larga escala ou monitoramento sistemático. Uma clínica pequena, por exemplo, pode não se enquadrar. Essa análise costuma ser o primeiro passo do diagnóstico, e ela pode reduzir bastante o custo do projeto.

Custos de manutenção

A adequação não termina com a entrega dos documentos. Novos sistemas, novos fornecedores e novas finalidades aparecem o tempo todo. Por isso a maioria das empresas mantém um acompanhamento mensal, que costuma incluir:

• O encarregado de dados terceirizado, quando a empresa precisa ou prefere ter um.
• Atendimento aos pedidos de titulares e à ANPD.
• Revisão de contratos novos e de mudanças em processos.
• Apoio imediato em caso de incidente de segurança, que tem prazo curto para comunicação à ANPD e aos titulares.
• Reciclagem periódica de treinamento.

Veja como funciona o serviço de encarregado externo, o contrato e os cuidados com conflito de interesses em DPO terceirizado.

Como as consultorias costumam cobrar

Ao comparar propostas, confira se o diagnóstico inclui o mapeamento real dos dados ou só um questionário, se os contratos com fornecedores estão no escopo e se há suporte em caso de incidente.

O kit pronto de LGPD não resolve

É comum encontrar pacotes com modelos de política de privacidade e termos de uso por um valor baixo. O problema é que a LGPD não pede documentos genéricos, e sim documentos que descrevam o que a empresa realmente faz com os dados.

Uma política de privacidade que não corresponde à prática é, em si, um risco: ela promete algo que a empresa não cumpre, o que pode ser usado contra ela por clientes, titulares e órgãos de defesa do consumidor.

Quanto custa não se adequar

As sanções da ANPD vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. A aplicação segue um regulamento de dosimetria que considera, entre outros fatores, o porte da empresa e a cooperação com a autoridade.

No dia a dia, porém, os riscos mais frequentes são outros:

• Clientes e parceiros que exigem conformidade para contratar ou renovar contratos, algo cada vez mais comum em cadeias de fornecimento de grandes empresas.
• Ações judiciais de titulares após vazamentos ou uso indevido de dados.
• Reclamações em órgãos de defesa do consumidor.
• Dano de reputação depois de um incidente mal administrado.

A LGPD é uma peça de um programa maior de integridade. Veja compliance empresarial e contratos empresariais.

Como receber uma proposta

Para uma proposta realista, ajuda ter em mãos a lista dos principais sistemas usados pela empresa, os fornecedores que recebem dados pessoais, o número aproximado de funcionários e de clientes, e qualquer documento de privacidade já existente.

O Moreira e Toledo atende empresas de São José dos Campos e da região, inclusive do polo tecnológico, e também à distância. Conheça nossa consultoria LGPD e a consultoria empresarial completa.

Perguntas frequentes