Seu navegador não oferece leitura em voz alta. Você pode ler o guia normalmente.
A profissão em resumo
- O que faz
- Administra os bancos de dados do órgão e executa o que a LGPD manda fazer com dados pessoais: eliminar, bloquear, anonimizar, corrigir, proteger e registrar operações (Lei 13.709/18, arts. 5º, 15, 16 e 18).
- Formação exigida
- A LGPD não trata de formação. Os editais de DBA costumam pedir formação em TI e conhecimento de SGBD, SQL, backup, desempenho e segurança; confira o requisito do cargo.
- Como se ingressa
- Concurso público para o cargo de TI do órgão (CF/88, art. 37, II); o edital define a área, a formação exigida e o programa.
- Idade mínima
- Nenhuma norma citada neste guia fixa idade mínima para o cargo. Para cargo público federal civil, a Lei 8.112/90 exige 18 anos (art. 5º); em outros entes, vale a lei local e o edital.
- Idade máxima
- Nenhuma norma citada neste guia prevê idade máxima. Em concurso civil, limite de idade só se admite se a lei do cargo o previr e a natureza das atribuições o justificar (Súmula 683 do STF); confira o edital.
- Atribuições
- Política de retenção e eliminação (arts. 15 e 16), atendimento técnico das requisições do titular (art. 18), registro das operações (art. 37), segurança dos dados e apoio na comunicação de incidentes (arts. 46 a 49).
- Com quem lida
- Titulares de dados, por meio das requisições dirigidas ao controlador, e os agentes com quem os dados foram compartilhados, que devem ser informados de correções e eliminações (art. 18, § 6º).
- Onde atua
- Áreas de tecnologia da informação de órgãos e entidades públicas que mantêm bancos de dados com dados pessoais.
Idade e outros requisitos mudam por carreira e por edital. Entenda a regra geral em limite de idade em concurso e veja o mapa de carreiras com idade fixada em lei. O edital vigente prevalece.
O administrador de banco de dados (DBA) é quem, na prática, executa o que a LGPD manda fazer com dados pessoais: eliminar, bloquear, anonimizar, corrigir, proteger e registrar. Entender os artigos que se traduzem em operações no banco ajuda tanto no dia a dia do cargo quanto em prova, porque as bancas gostam de cobrar o texto da lei com situações técnicas.
Verbos da lei, comandos do banco
A LGPD usa verbos com definição própria no art. 5º. Dois deles são do território do DBA: bloqueio é a suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados; eliminação é a exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado. A diferença muda a implementação: bloquear preserva o dado, apenas impede o uso; eliminar remove.
| Verbo na LGPD | O que significa no banco |
|---|---|
| Bloqueio (art. 5º, XIII) | marcar registros como indisponíveis para uso, preservando o armazenamento |
| Eliminação (art. 5º, XIV) | remover dados, inclusive de cópias e réplicas sob controle do órgão |
| Anonimização (art. 5º, XI) | transformar o dado para que perca associação a um indivíduo |
Quando o tratamento acaba e o dado deve sair
O art. 15 lista as hipóteses de término do tratamento: verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários; fim do período de tratamento; comunicação do titular, inclusive revogação do consentimento, resguardado o interesse público; e determinação da autoridade nacional em caso de violação da lei.
O art. 16 diz que os dados pessoais serão eliminados após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para:
- cumprimento de obrigação legal ou regulatória pelo controlador;
- estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização;
- transferência a terceiro, desde que respeitados os requisitos de tratamento da lei; ou
- uso exclusivo do controlador, vedado acesso por terceiro, e desde que anonimizados.
Para o DBA, isso exige uma política de retenção: tabela por tabela, qual a finalidade, qual o prazo ou evento que encerra o tratamento e o que acontece depois (eliminação, anonimização ou guarda por obrigação legal). Em órgão público, a retenção também depende das regras de gestão documental e de prazos legais próprios, que variam conforme o dado.
Direitos do titular que viram requisições
O art. 18 dá ao titular, mediante requisição ao controlador, direitos como confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, portabilidade, eliminação de dados tratados com consentimento (exceto as hipóteses do art. 16) e informação sobre o compartilhamento. O § 5º diz que o requerimento é atendido sem custos para o titular, nos prazos e termos do regulamento. O § 6º manda informar, de maneira imediata, os agentes com quem houve uso compartilhado sobre correção, eliminação, anonimização ou bloqueio, para que repitam o procedimento.
Operacionalmente, é o DBA quem localiza o titular em todos os sistemas, extrai os dados, aplica a correção ou a eliminação e registra o que fez. Sem inventário de dados e sem chaves de relacionamento bem modeladas, cada requisição vira uma caça. Por isso a boa modelagem e normalização tem efeito jurídico indireto.
Registro, segurança e incidentes
- Art. 37: controlador e operador devem manter registro das operações de tratamento de dados pessoais, especialmente quando baseado no legítimo interesse. Logs de acesso e de alteração apoiam esse dever.
- Art. 46: medidas de segurança técnicas e administrativas para proteger os dados de acessos não autorizados e de destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito, desde a concepção até a execução.
- Art. 47: o dever de segurança persiste mesmo após o término do tratamento.
- Art. 48: comunicação à autoridade nacional e ao titular de incidente que possa acarretar risco ou dano relevante.
- Art. 49: os sistemas devem ser estruturados para atender requisitos de segurança, padrões de boas práticas e governança.
Para o DBA, entram controle de acesso por perfil, trilha de auditoria, criptografia de dados sensíveis em repouso e em trânsito e backup com política de retenção. Note a tensão com a eliminação: eliminar do banco produtivo não basta se cópias antigas de backup mantêm o dado. A política deve prever como e quando as cópias expiram.
Exemplo resolvido
Um cidadão pede a eliminação de dados que forneceu com consentimento para receber avisos de um programa do órgão.
- Verificar se o tratamento se baseou em consentimento (art. 18, VI) e se há hipótese do art. 16 que autorize a conservação, como obrigação legal.
- Se não houver, eliminar os dados em todos os bancos e réplicas sob controle do órgão e registrar a operação.
- Se houve compartilhamento, comunicar os destinatários (art. 18, § 6º).
- Se parte do dado precisa ser mantida por obrigação legal, manter apenas o necessário e informar ao titular as razões (art. 18, § 4º, II).
- Anotar o procedimento no registro das operações.
Como ler o edital
Cargos de DBA ou administrador de dados pedem formação em TI e conhecimento de SGBD, SQL, backup, desempenho e segurança. Confira o programa e compare com os temas acima. A parte de legislação costuma incluir LGPD e normas de segurança; veja LGPD no poder público para o ângulo de órgãos públicos.
Erros comuns
- Confundir bloqueio com eliminação.
- Eliminar no banco produtivo e esquecer cópias e réplicas.
- Tratar a política de retenção como assunto só do jurídico.
- Não manter registro das operações e dos acessos.
- Ignorar que o dever de segurança continua depois do fim do tratamento.
Próximos passos
- Compare com o analista de dados.
- Veja segurança da informação como carreira.
- Estude carreiras de TI no serviço público.
Fontes e atualização
Conferido na fonte acima na data de publicação deste guia. Prazos de retenção em órgãos públicos dependem de normas próprias; confira o texto vigente e o edital.