Determinada sociedade empresária de grande porte, sediada no Brasil, sofreu um incidente de segurança que resultou na exfiltração de dados pessoais de milhares de titulares. A equipe de segurança da informação identificou que o ataque explorou uma vulnerabilidade no sistema de autenticação, permitindo acesso não autorizado ao banco de dados. Imediatamente após a confirmação do incidente, a empresa adotou medidas para conter o vazamento e comunicou o fato à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, conforme previsto na Lei nº 13.709/2018 (LGPD).

Considerando as disposições da LGPD sobre segurança e boas práticas, analise as afirmativas a seguir:

I. A empresa deve manter registro das operações de tratamento de dados pessoais que realizar, especialmente quando baseado em legítimo interesse, conforme art. 37 da LGPD.

II. A comunicação do incidente à ANPD e aos titulares é obrigatória sempre que o incidente puder acarretar risco ou dano relevante aos titulares, sendo que a ANPD poderá dispensar a comunicação aos titulares caso o incidente não represente risco relevante a eles.

III. A responsabilidade da empresa por danos causados pelo incidente é objetiva, independentemente de culpa, conforme o art. 42 da LGPD, mas a empresa pode se eximir de responsabilidade se comprovar que não realizou o tratamento de dados ou que o dano decorreu de culpa exclusiva do titular ou de terceiro.

IV. A ANPD pode determinar à empresa a adoção de medidas de segurança adicionais, como a elaboração de relatório de impacto à proteção de dados pessoais (RIPD), mesmo que o tratamento não seja de alto risco.

Está correto o que se afirma em: