Uma sociedade empresária do ramo de tecnologia da informação, sediada no Brasil, realiza tratamento de dados pessoais de usuários residentes no território nacional, tendo como base legal o consentimento do titular. Em determinado momento, decide compartilhar esses dados com uma empresa parceira localizada no exterior, sem obter novo consentimento específico para essa finalidade. Além disso, a empresa não possui um encarregado de proteção de dados designado formalmente, mas alega que essa exigência não se aplica a empresas de médio porte. Diante desse cenário, considere as afirmativas a seguir:

I. O compartilhamento de dados pessoais com empresa no exterior, sem novo consentimento específico, é permitido desde que a empresa parceira esteja localizada em país que proporcione grau de proteção de dados adequado ao previsto na LGPD, independentemente da finalidade original do consentimento.

II. A designação de encarregado de proteção de dados é obrigatória para todas as pessoas jurídicas que realizam tratamento de dados pessoais, inclusive as de médio porte, sendo que a Autoridade Nacional de Proteção de Dados (ANPD) pode dispensar essa exigência apenas para agentes de pequeno porte, nos termos de regulamentação específica.

III. O consentimento do titular, quando utilizado como base legal para o tratamento, deve ser fornecido por escrito, em cláusula destacada, e pode ser revogado a qualquer momento, mediante manifestação expressa do titular, por procedimento gratuito e facilitado.

IV. A transferência internacional de dados pessoais somente é permitida quando o país de destino possuir decisão de adequação emitida pela ANPD ou quando o controlador oferecer garantias específicas, como cláusulas contratuais padrão, desde que observados os direitos dos titulares e os princípios da LGPD.

Está correto o que se afirma em: