Quanto custa um software RGPD em Portugal? A resposta depende do âmbito do contrato: número de entidades, utilizadores, módulos, trabalho de implementação, apoio e condições para retirar os dados no fim. Uma mensalidade isolada não mostra o custo da decisão. Este guia ensina a comparar propostas para uma PME portuguesa, com um exemplo aritmético inteiramente hipotético. Não apresenta preços atuais de fornecedores nem assume que um programa substitua a análise jurídica feita pelo responsável pelo tratamento.
Comece pelas atividades que têm de ser geridas
O Regulamento Geral sobre a Proteção de Dados exige que o responsável possa demonstrar o cumprimento dos princípios, nos termos do artigo 5.º, n.º 2, e adote medidas adequadas de responsabilização, segundo o artigo 24.º. Não exige a compra de software. Uma organização com poucos tratamentos e responsáveis identificados pode manter registos e procedimentos fiáveis sem uma licença. Uma organização com muitas alterações, prestadores e pedidos dos titulares pode beneficiar de informação ligada e atribuída a pessoas concretas. O custo relevante é o do processo completo, não o da aplicação isolada.
A CNPD explica o registo das atividades de tratamento e disponibiliza modelos, incluindo para micro, pequenas e médias empresas. Esclarece que o responsável pelo tratamento e o subcontratante mantêm registos distintos quando exercem ambos os papéis, e que a derrogação do artigo 30.º, n.º 5, para organizações com menos de 250 trabalhadores tem aplicação excecional. Antes de pedir orçamento, faça um inventário: que tratamentos existem, quem é responsável por cada um, onde estão os dados e com que frequência a informação muda. O modelo de registo ajuda a construir esta base.
As cinco rubricas que devem constar de cada proposta
A licença é a primeira rubrica, mas pergunte qual é a unidade de cobrança. Um preço por utilizador pode abranger apenas administradores ou também proprietários de tratamentos e consultores. Um preço por tratamento pode mudar quando a organização separa corretamente duas finalidades que antes estavam numa só ficha. Um pacote por módulos pode excluir pedidos dos titulares, gestão de subcontratantes ou exportações. Peça os limites por escrito; as palavras «incluído» e «ilimitado» precisam de um âmbito contratual.
A implementação é a segunda. Pode significar apenas criar uma conta ou incluir migração, revisão da qualidade dos dados e formação. Peça a divisão das tarefas. Quem transforma a antiga folha de cálculo em fichas? Quem decide os prazos de conservação e valida destinatários? Quem confirma que as permissões internas não expõem os dados de recursos humanos a toda a equipa? O fornecedor pode apoiar a organização da informação; o responsável mantém as decisões sobre o seu tratamento.
A terceira é o tempo interno. Registe o trabalho de recolher informação junto das equipas, verificar contratos, aprovar alterações e responder aos titulares. Valorize esse tempo apenas como premissa de cálculo, não como tarifa de mercado. A quarta rubrica são as mudanças durante o contrato: novos utilizadores, outra sociedade, mais tratamentos ou um módulo de avaliação de impacto. A quinta é a saída: em que formato recebe registos, anexos, histórico e tarefas, em quanto tempo, e quanto custa apoio à migração?
Exemplo de custo total com números inventados
Imagine uma PME com uma atividade de comércio eletrónico, trinta tratamentos identificados e vários prestadores que atuam em seu nome. A proposta A custa, só neste exercício, 300 euros por mês e não cobra configuração, mas exige 80 horas de trabalho interno para preparar os dados. A proposta B custa 220 euros por mês, cobra 2 500 euros de implementação e exige 40 horas internas. Para comparar, atribuímos a cada hora interna um valor hipotético de 35 euros. Não são preços anunciados nem valores típicos do mercado português.
| Cálculo hipotético para 36 meses | Proposta A | Proposta B |
|---|---|---|
| Subscrição | 10 800 € | 7 920 € |
| Implementação cobrada | 0 € | 2 500 € |
| Preparação interna inicial | 2 800 € | 1 400 € |
| Soma antes da manutenção | 13 600 € | 11 820 € |
A diferença de 1 780 euros só vale se as propostas entregarem o mesmo resultado. Suponha que B cobre apenas cinco utilizadores e que a equipa precisa de oito. Ou que A exporta todos os anexos e B exporta apenas uma tabela. Volte ao fornecedor e peça preço e demonstração para o mesmo cenário. Não atribua um valor monetário à conformidade que não consiga justificar. Uma sanção hipoteticamente evitada não é receita nem poupança comprovada.
Que demonstração pedir ao fornecedor
Escolha uma alteração realista. A PME contrata uma nova plataforma de apoio ao cliente. Durante a demonstração, peça que se crie a atividade de tratamento, se identifiquem finalidade e categorias de dados, se ligue o prestador ao respetivo contrato e se registe quem aprova a informação. Depois peça uma exportação do registo para verificar se as informações continuam compreensíveis fora da aplicação. Se o vendedor mostrar apenas uma lista de funções, ainda não demonstrou que o processo serve à organização.
Introduza um pedido de acesso apresentado por um cliente por correio eletrónico. O artigo 12.º prevê resposta sem demora injustificada e, em qualquer caso, no prazo de um mês desde a receção; a prorrogação de dois meses exige necessidade ligada à complexidade ou ao número de pedidos e comunicação fundamentada dentro do primeiro mês. A CNPD descreve o exercício dos direitos. Pergunte se o programa apenas assinala o pedido, se distribui tarefas ou se acede a sistemas de origem. Mesmo que tenha integrações, alguém deve verificar a identidade quando necessário, avaliar as exceções e aprovar a resposta. Não pague por uma promessa genérica de «automação» sem conhecer estes limites.
Por fim, simule uma mudança de subcontratante. Verifique se é possível localizar os tratamentos afetados, a autorização dos subcontratantes ulteriores, as obrigações do artigo 28.º e o histórico da decisão. A análise do contrato de subcontratação é um trabalho diferente de guardar o ficheiro PDF. Se a proposta cobrar um módulo de contratos, esclareça se fornece apenas arquivo, alertas ou uma revisão efetiva das cláusulas, e quem assume esta última.
O que as ferramentas gratuitas conseguem fazer
Os modelos da CNPD podem ser adequados para começar. Um registo escrito, incluindo em formato eletrónico, cumpre a exigência formal do artigo 30.º quando contém os dados aplicáveis, é mantido atualizado e pode ser apresentado à autoridade a pedido. Uma folha de cálculo partilhada pode funcionar se os responsáveis forem conhecidos, as alterações forem controladas e a equipa conseguir encontrar a versão correta. Chamar-lhe «gratuita» omite o tempo interno, mas afirmar que não pode funcionar também seria incorreto.
Avalie a dificuldade concreta. Se os mesmos dados são copiados para registo, contratos e avaliações, as versões podem divergir. Se cada tratamento tem um dono e muda raramente, uma revisão programada pode bastar. Não compre a aplicação por receio de que a autoridade prefira uma marca ou formato; teste se o processo atual produz informação correta e se a aplicação resolve uma falha identificada. Uma proposta com muitas funções pode acrescentar trabalho de configuração sem melhorar as decisões.
Subcontratação, localização e condições contratuais
Quando o fornecedor trata dados pessoais por conta da PME, o artigo 28.º requer contrato ou outro ato jurídico vinculativo com os elementos previstos no regulamento. Confirme instruções, confidencialidade, segurança, subcontratantes ulteriores, assistência, eliminação ou devolução dos dados e possibilidade de auditoria. O conteúdo concreto do serviço determina o papel das partes; não presuma que todos os prestadores da empresa sejam subcontratantes. Um serviço de pagamentos que decide finalidades próprias pode ter posição diferente da empresa que aloja dados seguindo instruções.
Pergunte onde ficam a infraestrutura, as cópias de segurança e o apoio técnico, e quem pode aceder aos dados. A localização na União Europeia é útil para compreender a cadeia, mas não demonstra por si só que não há acesso ou transferência para país terceiro. Se os houver, examine as regras do capítulo V, o instrumento de transferência e as medidas pertinentes. A escolha de alojamento pode afetar o preço, mas não substitui essa análise. Peça documentação atual e inclua a sua revisão na manutenção prevista.
Para evitar custos de saída, faça uma exportação de teste antes de contratar. Receber um PDF do registo pode ser suficiente para consulta, mas não para migrar fichas, ligações e histórico para outro sistema. Pergunte se a documentação do formato está disponível, se os anexos mantêm associação aos tratamentos e em que prazo o fornecedor elimina as cópias depois da devolução. Um desconto por contrato longo só é vantajoso se os mecanismos de saída e de alteração de âmbito forem aceitáveis.
Não misture software, consultoria e EPD
Uma licença pode ajudar a organizar trabalho; uma consultoria pode analisar bases jurídicas ou uma avaliação de impacto; um encarregado de proteção de dados desempenha funções previstas nos artigos 37.º a 39.º quando a sua designação é obrigatória ou escolhida voluntariamente. São coisas diferentes. O programa não substitui automaticamente o EPD, e contratar um EPD não mantém sozinho todas as fichas atualizadas. Se a proposta junta serviços, peça resultados, responsáveis e preço de cada componente.
Considere uma PME que recebe poucos pedidos mas integra com frequência novos prestadores. O investimento pode estar na gestão de contratos e no registo, não num portal complexo de pedidos. Outra PME, com muitos clientes e poucos prestadores, pode dar prioridade à coordenação de respostas. Estes são exemplos de decisão, não perfis universais. A comparação de software de conformidade RGPD pode ajudar a estruturar critérios; o orçamento continua dependente do caso e da oferta efetiva.
Revise a proposta em dois horizontes
No primeiro ano, verifique se há trabalho de instalação, limpeza de dados e formação. Nos anos seguintes, estime a atualização das atividades e os limites de crescimento. Faça um cenário base e outro em que a empresa acrescenta uma sociedade, muda de prestador principal ou passa a receber mais pedidos. Se o contrato prevê revisão de preço, aplique a fórmula prevista, sem inventar aumentos. Compare também o prazo de pagamento e as condições para reduzir utilizadores ou módulos.
Depois de contratar, meça o resultado uma vez por ano. Quanto tempo demorou a encontrar uma ficha correta? Conseguiram demonstrar quem aprovou uma mudança? Os pedidos foram atribuídos e respondidos com evidência? Se a equipa continua a gerir tudo por mensagens fora da plataforma, a despesa pode não estar a produzir o benefício esperado. A solução pode ser formação, redefinição do processo ou um contrato mais pequeno. Avaliar a utilização real permite negociar a renovação com dados próprios, em vez de repetir uma estimativa comercial.
Compare custos com o resultado que a equipa consegue verificar
Não use uma promessa genérica de poupança de horas para justificar a compra. Meça uma tarefa existente: por exemplo, quanto tempo demora a identificar o dono de um tratamento, a confirmar a versão de um contrato ou a encontrar os sistemas relevantes para um pedido de acesso. Repita a tarefa durante uma demonstração com dados fictícios, anotando o que a plataforma fez e o que os trabalhadores continuaram a fazer. A diferença observada numa tarefa não deve ser multiplicada por todo o tempo anual de proteção de dados. Exponha a hipótese e a incerteza no pedido de aprovação do orçamento.
Também há resultados sem preço fácil. Conseguir distinguir informação aprovada de informação por verificar pode evitar uma resposta errada ao cliente. Encontrar rapidamente quem autorizou um novo subcontratante melhora a revisão do contrato. Estes benefícios podem justificar uma despesa mesmo quando a poupança de tempo é pequena, mas devem ser descritos como melhorias de controlo demonstradas no ensaio, não como redução garantida de coimas. A responsabilidade no RGPD exige decisões e provas adequadas ao caso, que continuam a depender da organização.
Um cenário de saída antes de assinar
Imagine que, dois anos depois, a PME muda de plataforma. Peça hoje ao fornecedor que mostre como entrega o registo, a informação dos subcontratantes e os documentos ligados, e como comunica a eliminação das cópias após a transição. O objetivo é descobrir se o menor preço inicial transfere trabalho para o momento da saída. Se a aplicação só exporta um PDF legível, calcule o esforço para reconstruir fichas num novo sistema; se exporta dados estruturados, teste se os campos mantêm significado. Não presuma que todos os anexos acompanham o ficheiro principal.
A saída também envolve acesso de antigos utilizadores, integrações e contas técnicas. Quem as encerra e quando? O contrato deve estabelecer a assistência necessária, os prazos e eventuais custos. Estes detalhes são relevantes mesmo para uma PME com poucos tratamentos, porque a informação sobre pessoas e fornecedores precisa de continuar protegida durante a migração. Perguntar cedo torna as propostas mais comparáveis e evita que a negociação se concentre apenas na mensalidade.
Perguntas frequentes
Qual é o preço mínimo de software RGPD?
Não existe um preço mínimo universal verificável para o âmbito de todas as PME. Peça propostas datadas e confira utilizadores, entidades, módulos, apoio e exportação. Os valores deste artigo são apenas hipotéticos.
Uma ferramenta gratuita basta?
Pode bastar quando produz registos e procedimentos completos, atualizados e controlados. A CNPD fornece modelos de registo. O fator decisivo é a capacidade da organização para manter a informação e executar as obrigações aplicáveis.
Uma plataforma elimina o risco de coima?
Não. A autoridade avalia factos e regras aplicáveis ao caso. Uma aplicação pode ajudar a documentar trabalho e identificar tarefas, mas não garante licitude, resposta correta ou ausência de incidentes.
Vale a pena pagar por mais módulos?
Só depois de mostrar que o módulo resolve uma necessidade concreta e de verificar os seus limites na proposta. Uma avaliação de impacto pode exigir análise humana mesmo quando existe um fluxo digital.
Conclusão
O custo de software RGPD para uma PME portuguesa é a soma do contrato e do trabalho necessário para usar e manter a informação. Compare fornecedores com o mesmo exemplo, peça preços escritos para um período comum e teste a exportação antes de decidir. Os modelos da CNPD continuam a ser uma opção válida quando a empresa consegue mantê-los corretamente; uma plataforma pode acrescentar valor quando a coordenação e a rastreabilidade se tornam difíceis. O critério final é a utilidade demonstrada no processo real.
Fontes jurídicas e institucionais verificadas em 27 de setembro de 2026.