¿Cuánto cuesta la adecuación a la LGPD?

Por qué no existe un precio único — y cómo se forma realmente el costo de la LGPD

Quien busca "cuánto cuesta la adecuación a la LGPD" generalmente quiere un número. La respuesta honesta es que ese número no existe de la forma en que existe el precio de un software o de un plan de celular, y cualquier proveedor que fije un valor cerrado antes de mirar tu operación está adivinando o vendiendo un paquete genérico. La LGPD (Ley 13.709/2018) no es un producto que se instala; es un régimen de obligaciones que incide sobre cómo tu empresa recolecta, usa, comparte, almacena y descarta datos personales. El costo de adecuarse es, por lo tanto, proporcional a la complejidad de esa operación. Una panadería con 5 empleados y un registro simple de clientes tiene un esfuerzo de adecuación radicalmente diferente al de una fintech que trata CPF, score de crédito y datos de movimiento financiero de millones de personas.

En la práctica, el precio se forma a partir de cinco variables. La primera es el tamaño y el número de procesos que tratan datos: cuantas más áreas (RR. HH., marketing, ventas, financiero, atención) toquen datos personales, más entrevistas, mapeo y documentación exige el proyecto. La segunda es la sensibilidad de los datos: la LGPD da un tratamiento especial (art. 11) a los datos sensibles —origen racial, convicción religiosa, opinión política, afiliación a un sindicato, dato referente a la salud, a la vida sexual, dato genético o biométrico—. Las empresas que tratan esos datos (clínicas, laboratorios, aseguradoras, hospitales, fintechs) exigen controles técnicos más fuertes e Informes de Impacto más detallados, lo que eleva el costo. La tercera es la madurez previa de seguridad: una empresa que ya posee ISO 27001, política de seguridad de la información y controles de acceso parte de un nivel mucho más alto y paga menos por la adecuación, porque la mitad del trabajo técnico ya existe.

La cuarta variable es el alcance contratado, y aquí está el error más común de quien compra. La adecuación no es solo hacer un diagnóstico, ni solo publicar una política de privacidad en el sitio. Es un conjunto de entregas encadenadas: diagnóstico/gap analysis, mapeo de datos (RoPA), definición de bases legales, políticas y contratos, Informe de Impacto (RIPD) donde sea necesario, controles técnicos, capacitación y la operación continua de un Encargado. Contratar solo una porción (el famoso "kit de documentos") abarata la factura, pero no reduce el riesgo real. La quinta variable es el modelo de contratación: proyecto puntual con precio cerrado, contratación por hora, o suscripción mensual de un programa continuo. Cada modelo tiene una lógica de precio diferente, que detallamos más adelante. Entender esas cinco variables es lo que separa a quien compra bien de quien paga caro por poco, o paga poco por nada.

Qué compone el costo: cada entrega de la adecuación, explicada

Para dimensionar el presupuesto, hay que saber qué se está comprando. La adecuación a la LGPD es una secuencia de entregas, y cada una tiene un peso en el costo total. El punto de partida es el diagnóstico (gap analysis): un relevamiento del estado actual de la empresa frente a las exigencias de la ley, que identifica la distancia entre lo que existe y lo que la LGPD pide. Es la fase más barata y la más importante: sin ella, cualquier presupuesto de implementación es una conjetura. Un buen diagnóstico evalúa aspectos culturales, operativos y de sistemas, y produce un plan de acción priorizado por riesgo. Para una pyme, el diagnóstico aislado suele costar entre R$ 3.000 y R$ 12.000, según el número de áreas y la profundidad.

La entrega siguiente, y la más laboriosa, es el mapeo de datos (RoPA — Record of Processing Activities, o Registro de las Operaciones de Tratamiento). Es el inventario de qué datos personales trata la empresa, de dónde vienen, para qué sirven, con quién se comparten, dónde se almacenan, por cuánto tiempo y bajo qué base legal (art. 7.º para datos comunes, art. 11 para sensibles). El RoPA es la fundación de todo: sin él, no hay cómo definir bases legales correctas, escribir políticas verdaderas ni responder a una fiscalización. Exige entrevistas con cada área y, frecuentemente, análisis de sistemas. Es donde el esfuerzo —y la cuenta— más varían con el tamaño. Sobre el RoPA se construye, cuando es necesario, el RIPD (Informe de Impacto a la Protección de Datos Personales), exigido siempre que el tratamiento pueda generar riesgos a las libertades civiles y a los derechos fundamentales de los titulares, situación típica cuando hay tratamiento de datos sensibles a gran escala o uso del interés legítimo como base legal (arts. 5.º, XVII; 10, §3.º; y 38 de la LGPD). El RoPA describe lo que se hace; el RIPD demuestra que se hace con mitigación de riesgos.

Vienen después las entregas documentales y técnicas. Políticas y documentos: política de privacidad, política interna de protección de datos, política de cookies, avisos de privacidad, cláusulas contractuales con proveedores (operadores), plan de respuesta a incidentes y proceso de atención a los titulares (para los derechos del art. 18 — acceso, corrección, eliminación, portabilidad). Controles técnicos: cifrado, gestión de accesos, anonimización/seudonimización, logs, backup y monitoreo — el corazón de las "medidas de seguridad, técnicas y administrativas" que la LGPD exige en el art. 46. Capacitación y cultura: capacitar a los colaboradores, porque la mayoría de las filtraciones comienza en un error humano. Y, por fin, la operación continua del Encargado (DPO), el canal entre la empresa, los titulares y la ANPD (art. 41), cuyas atribuciones la ANPD reglamentó en la Resolución CD/ANPD n.º 18/2024. Nota que muchas de esas entregas no "terminan": las políticas se revisan, el RoPA se actualiza con cada nuevo proceso, las capacitaciones se repiten. Por eso la adecuación seria es un programa, no un proyecto de plazo cerrado.

Rangos de precio por tamaño y alcance (referencia de mercado brasileño, 2026)

La tabla más adelante trae rangos reales practicados en el mercado brasileño, organizados por tamaño y por tipo de contratación. Son intervalos, no una tabla de precios: sirven para que calibres expectativas e identifiques propuestas fuera de la curva (tanto las demasiado caras como las sospechosamente baratas). Trata los números como orden de magnitud: tu caso puede quedar por encima o por debajo según las cinco variables de la primera sección, especialmente la sensibilidad de los datos. Las empresas de salud, financiero y biometría tienden al tope de cada rango; las empresas con operación simple y bajo volumen de datos, a la base.

Hay un patrón importante incorporado en esos rangos: el proyecto puntual de adecuación (one-time) y el programa continuo (recurrente) son cosas separadas y se cobran por separado. El error de presupuesto más común es mirar solo el proyecto inicial y olvidar que la LGPD exige operación continua: un Encargado activo, atención a titulares, actualización del RoPA, respuesta a incidentes. Quien cierra solo el proyecto barato y abandona el mantenimiento se queda con un "sello de conformidad" que envejece en meses y no se sostiene en una fiscalización. Por eso la columna del programa continuo suele ser, a lo largo de un año, más relevante para el costo total que el proyecto inicial.

Vale también el contraste con el costo de mantener un DPO interno. Un Encargado interno calificado, con salario, cargas y beneficios, cuesta típicamente entre R$ 8.000 y R$ 20.000 por mes, y aun así una sola persona rara vez cubre lo jurídico, la seguridad de la información y los procesos al mismo tiempo. El DPO as a Service (Encargado tercerizado) entrega un equipo multidisciplinario por una fracción de eso. Para la mayoría de las pymes, tercerizar el Encargado es la decisión financiera y operativamente más racional; mantener un DPO interno tiene sentido sobre todo para empresas grandes, altamente reguladas o que tratan datos sensibles a escala. Atención a un detalle legal que afecta el costo: la Resolución CD/ANPD n.º 18/2024 permite que las microempresas y las empresas de pequeño porte tengan reglas simplificadas, pero no dispensa la existencia de un canal de comunicación con el titular; es decir, incluso el pequeño tiene obligación, e ignorarla ya rindió multa (caso Telekall).

Consultoría puntual vs. programa continuo: la diferencia que cambia el presupuesto

Esta es la distinción más importante para quien va a comprar, y la que más genera arrepentimiento cuando se ignora. La consultoría puntual de adecuación es un proyecto con principio, medio y fin: la empresa contrata, recibe diagnóstico, mapeo, políticas y un conjunto de recomendaciones, y el contrato se cierra. Es útil: es la forma de salir de cero y construir la fundación. Pero fotografía a la empresa en un momento. Al día siguiente del cierre, la operación sigue cambiando: entran nuevos sistemas, se contratan nuevos proveedores, nuevas campañas de marketing recolectan datos, entran y salen empleados. Cada uno de esos cambios crea un tratamiento de datos que el proyecto puntual no cubrió, porque ya había terminado.

El programa continuo (también llamado DPO as a Service, privacidad como servicio, o combinado con gestión de seguridad en el formato vCISO/seguridad normativa) es la operación permanente del compliance: el Encargado queda disponible como canal para titulares y ANPD, el RoPA se mantiene vivo, los nuevos procesos pasan por una evaluación de privacidad antes de entrar en producción, hay respuesta estructurada a incidentes, revisiones periódicas de políticas y capacitaciones recurrentes. Es exactamente eso lo que la LGPD presupone cuando habla de "adopción de medidas capaces de comprobar la observancia y el cumplimiento de las normas" y de un programa de gobernanza en privacidad (art. 50), y de mantenimiento de un Encargado (art. 41). La diferencia práctica: el proyecto puntual responde "¿la empresa estaba adecuada en marzo?"; el programa continuo responde "¿la empresa está adecuada hoy, y puede probarlo cuando la ANPD toque a la puerta?".

Desde el punto de vista del costo, la lectura honesta es: el proyecto puntual tiene el mayor desembolso concentrado al inicio (es donde está el trabajo pesado de mapeo y construcción), y el programa continuo es una mensualidad menor que se acumula. A lo largo de 24 o 36 meses, el continuo frecuentemente supera al puntual en valor total, y es dinero bien gastado, porque es lo que mantiene el riesgo controlado y la defensa jurídica en pie. La recomendación del consultor es directa: contrata el proyecto inicial y el programa continuo como un paquete pensado en conjunto, y desconfía de quien vende solo el proyecto sin mencionar el mantenimiento, porque o no entiende la ley o está vendiendo la parte fácil y dejándote el riesgo a ti.

El costo de NO adecuarse: sanciones de la ANPD, daños y lo que realmente está en juego

Toda decisión de compra de compliance se resuelve comparando el costo de hacer con el costo de no hacer. Y el costo de no adecuarse a la LGPD dejó de ser teórico. La sanción más citada es la multa simple: hasta el 2% de la facturación de la empresa, grupo o conglomerado en Brasil, en el último ejercicio, excluidos los tributos, limitada a R$ 50 millones por infracción (art. 52, II de la LGPD). "Por infracción" es la parte que asusta: no es un tope único por empresa, es por infracción constatada, y un mismo incidente puede caracterizar varias conductas autónomas. Hay además la multa diaria para forzar el cese de una violación (art. 52, III), la publicización de la infracción (que se vuelve daño reputacional automático), el bloqueo e incluso la eliminación de los datos involucrados (art. 52, IV y V), y la suspensión parcial o total del funcionamiento de la base de datos o de la propia actividad de tratamiento, sanciones que pueden paralizar la operación.

Cómo se calculan esas multas no es arbitrario. La dosimetría sigue los criterios del art. 52, §1.º, detallados en el Reglamento de Dosimetría (Resolución CD/ANPD n.º 4/2023), que clasifica las infracciones en leves, medias y graves: gravedad y naturaleza de la infracción, buena fe del infractor, ventaja obtenida, condición económica, reincidencia, grado del daño, cooperación y —este es el punto de inflexión— la adopción reiterada y demostrada de mecanismos y procedimientos internos capaces de minimizar el daño, orientados al tratamiento seguro y adecuado de datos (art. 52, §1.º, IX). En español claro: la empresa que invirtió en compliance documentado, funcional y verificable tiene eso reconocido como atenuante en el cálculo de la multa. No basta con tener una política de privacidad en el pie del sitio: lo que atenúa es el programa que funciona y se prueba. Invertir en adecuación no es solo evitar la multa; es construir, por anticipación, tu defensa jurídica para el día de la fiscalización.

Y la fiscalización llegó. La primera multa de la ANPD por incumplimiento (Proceso n.º 00261.000489/2022-62, contra la microempresa Telekall Infoservice) sumó R$ 14.400 —dos multas de R$ 7.200 más advertencia— y tuvo como una de las infracciones justamente la ausencia de Encargado (art. 41), probando que el porte pequeño no es escudo. La ANPD reglamentó las atribuciones del Encargado en la Resolución CD/ANPD n.º 18/2024, notificó a empresas por canales de atención y DPO inadecuados, mantiene el Panel de Fiscalización activo y, en 2025-2026, señaló foco en datos sensibles (salud y biometría). La era de la orientación terminó; entró la fase fiscalizadora. Súmese a eso lo que no aparece en ninguna multa: la responsabilidad civil por daños causados a los titulares (art. 42), las acciones individuales y colectivas, y el costo silencioso de una filtración que, según el informe Cost of a Data Breach 2025 de la IBM, costó en promedio R$ 7,19 millones por incidente en Brasil (llegando a R$ 11,43 millones en el sector de salud), sumando notificación, contención, pérdida de clientes y caída de ingresos. Ante esto, la pregunta deja de ser "¿cuánto cuesta adecuarse?" y pasa a ser "¿cuánto cuesta el día en que necesite probar que estaba adecuado, y no lo esté?".

Cómo contratar bien: qué mirar, qué exigir y las trampas de precio

La mayor trampa del mercado de LGPD es el paquete barato que entrega solo documentos. Cierras por un valor atractivo, recibes un conjunto de políticas y términos genéricos, pones un sello en el sitio y crees que estás adecuado. No lo estás. Sin mapeo de datos real, esos documentos describen una empresa que no existe: afirman bases legales que no se verificaron y prometen controles que nadie implementó. En un caso concreto de fiscalización o filtración, ese "kit" no atenúa nada: la ANPD evalúa la efectividad del programa, no la existencia de PDFs. Peor, puede agravar: una política que promete lo que la empresa no cumple es prueba documental contra ella misma. Paga por el mapeo y por los controles reales; el documento es la consecuencia, no el producto.

Lo que exigir de un buen proveedor, en forma de checklist: (1) que el presupuesto solo se cierre después de un diagnóstico mínimo, no antes — quien fija precio sin mirar la operación está adivinando; (2) que el alcance liste explícitamente diagnóstico, RoPA, bases legales, RIPD cuando aplique, políticas, controles técnicos, capacitación y la operación del Encargado — y que diga claramente qué está dentro y qué es aparte; (3) que separe el proyecto puntual del programa continuo en el presupuesto, con la mensualidad del mantenimiento declarada; (4) que presente quién firma técnicamente (jurídico + seguridad de la información, no solo abogado ni solo TI); (5) que ofrezca atención a titulares y respuesta a incidentes como proceso, no como promesa; y (6) que demuestre cómo va a mantener el RoPA vivo, y no solo entregarlo una vez.

Compara proveedores por lo que entregan, no por el precio de portada. Tres propuestas con valores parecidos pueden cubrir alcances completamente diferentes: una incluye Encargado por 12 meses, otra cobra la operación aparte, la tercera ni menciona el mantenimiento. Normaliza las propuestas al mismo alcance y horizonte (por ejemplo, costo total de los primeros 24 meses, proyecto + programa continuo) antes de decidir; es la única forma honesta de comparar. Y recuerda que la adecuación a la LGPD rara vez es una compra aislada: dialoga con tu postura de seguridad de la información (controles del art. 46), con el monitoreo de filtraciones que dispara el deber de notificación a la ANPD y a los titulares (art. 48), y con la gobernanza normativa en general. En Decripte, tratamos esto como un programa integrado: la Seguridad Normativa (LGPD + vCISO) construye y mantiene el compliance, el DPO as a Service asume el papel de Encargado de forma continua, y el monitoreo del Intelligence Center detecta la filtración antes de que se vuelva una crisis, y una multa. El objetivo no es vender un sello; es dejar a tu empresa genuinamente defendible el día en que la ANPD pregunte.

Rangos de precio de la adecuación a la LGPD por tamaño y tipo de contratación (mercado brasileño, 2026)

Términos clave

Adecuación a la LGPD

Conjunto de acciones que vuelve a una empresa conforme a la Ley General de Protección de Datos: diagnóstico, mapeo de datos, definición de bases legales, políticas, controles técnicos, capacitación y operación continua de un Encargado. No es un producto que se instala, sino un programa que se mantiene.

Encargado (DPO)

Persona o estructura designada por la empresa para actuar como canal de comunicación entre el controlador, los titulares de datos y la ANPD (art. 41 de la LGPD). Sus atribuciones fueron reglamentadas por la Resolución CD/ANPD n.º 18/2024. Puede ser interno o tercerizado (DPO as a Service).

RoPA (Registro de las Operaciones de Tratamiento)

Inventario documentado de todos los tratamientos de datos personales de la empresa: qué datos, origen, finalidad, base legal, compartimientos, almacenamiento y plazo de retención. Es la fundación de toda la adecuación — sin él, las políticas y las bases legales son presunciones.

RIPD (Informe de Impacto a la Protección de Datos)

Documento que describe los procesos de tratamiento que pueden generar riesgos a las libertades civiles y a los derechos fundamentales de los titulares, y las medidas para mitigarlos (arts. 5.º, XVII, y 38 de la LGPD). Exigible sobre todo en el tratamiento de datos sensibles a gran escala o en el uso del interés legítimo.

Datos sensibles

Categoría especial definida en el art. 11 de la LGPD: origen racial o étnico, convicción religiosa, opinión política, afiliación a un sindicato u organización religiosa/filosófica/política, dato referente a la salud o a la vida sexual, dato genético o biométrico. Exige bases legales y controles más rigurosos, elevando el costo de la adecuación.

Dosimetría de sanciones

Método por el cual la ANPD calcula el valor de las multas, definido en el art. 52, §1.º de la LGPD y detallado en la Resolución CD/ANPD n.º 4/2023. Considera gravedad, buena fe, ventaja obtenida, condición económica, reincidencia, cooperación y la existencia de un programa de gobernanza, que funciona como atenuante.

DPO as a Service

Modelo de tercerización del Encargado de datos, en el cual una empresa especializada asume continuamente el papel de DPO con un equipo multidisciplinario (jurídico + seguridad + procesos). Típicamente más económico que un DPO interno calificado y adecuado a la mayoría de las pymes.

Multa simple (art. 52, II)

Sanción pecuniaria de la ANPD de hasta el 2% de la facturación de la empresa, grupo o conglomerado en Brasil en el último ejercicio, excluidos los tributos, limitada a R$ 50 millones por infracción. Por ser 'por infracción', un único incidente puede generar varias multas autónomas.

Cómo decidir y contratar bien

1. Empieza por el diagnóstico (gap analysis), nunca por el presupuesto cerrado: exige que el proveedor mire tu operación antes de fijar cualquier precio — quien da un valor sin diagnosticar está adivinando o vendiendo un paquete genérico.
2. Mapea la sensibilidad de tus datos: si tratas datos de salud, financieros o biometría (art. 11), ten claro de antemano que estarás en el tope de los rangos de precio y necesitarás RIPD y controles técnicos más robustos.
3. Separa en el presupuesto el proyecto puntual (one-time) del programa continuo (mensual): pide los dos valores explícitos y desconfía de quien solo cotiza el proyecto y omite el mantenimiento del Encargado.
4. Exige un alcance detallado por entrega: diagnóstico, RoPA, bases legales, RIPD, políticas, controles técnicos, capacitación y operación del Encargado — con lo que está dentro y lo que es aparte declarado por escrito.
5. Decide entre DPO interno y DPO as a Service comparando costo total y cobertura: para la mayoría de las pymes, el Encargado tercerizado (R$ 1.500–15.000/mes) entrega más competencias por menos que un DPO interno (R$ 8 mil–20 mil/mes).
6. Normaliza las propuestas antes de comparar: llévalas todas al mismo alcance y horizonte (por ejemplo, costo total de los primeros 24 meses, proyecto + continuo) — el precio de portada engaña porque los alcances divergen.
7. Verifica quién firma técnicamente: un buen proveedor combina jurídico y seguridad de la información; huye de propuestas que son solo abogado (sin controles técnicos) o solo TI (sin base jurídica).
8. Trata la adecuación como parte de un programa integrado: conecta el compliance con tu postura de seguridad (art. 46) y con el monitoreo de filtraciones que dispara el deber de notificación (art. 48) — la adecuación aislada envejece rápido.

Preguntas frecuentes

Referencias

• ›LGPD (Ley n.º 13.709/2018) — sanciones administrativas (art. 52) y demás obligaciones — Planalto — http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• ›Resolución CD/ANPD n.º 4/2023 — Reglamento de Dosimetría y Aplicación de Sanciones Administrativas — ANPD / Diário Oficial da União — gov.br/anpd
• ›Resolución CD/ANPD n.º 18/2024 — Reglamento sobre la actuación del Encargado por el tratamiento de datos personales — ANPD / Diário Oficial da União — gov.br/anpd
• ›La ANPD aplica la primera multa por incumplimiento de la LGPD (caso Telekall, Proceso n.º 00261.000489/2022-62) — ANPD — gov.br/anpd/pt-br/assuntos/noticias
• ›IBM — Cost of a Data Breach Report 2025 (costo medio en Brasil: R$ 7,19 millones) — IBM — ibm.com/reports/data-breach
• ›Decripte — Seguridad Normativa (LGPD/vCISO) y DPO as a Service — decripte.com.br/plano/seguranca-normativa