No que diz respeito à proteção de dados pessoais, julgue o item seguinte, conforme a Lei nº 13.709/2018. 

O operador é a pessoa natural ou jurídica a quem competem as decisões primordiais e estratégicas referentes ao tratamento de dados pessoais coletados.

A exclusividade da ANPD para aplicar sanções administrativas por infração à LGPD é incompatível com a articulação de sua atuação junto a outros órgãos e entidades dotados de competências sancionatórias e normativas afetas à proteção de dados pessoais, já que a exclusividade pressupõe atuação isolada, sem qualquer interação institucional.

As sanções de suspensão parcial do funcionamento do banco de dados, a suspensão do exercício da atividade de tratamento e a proibição parcial ou total das atividades relacionadas ao tratamento de dados poderão ser aplicadas pela ANPD como sanção inicial e isolada, independentemente da aplicação prévia de qualquer outra penalidade ao mesmo caso concreto.

O operador que descumprir as obrigações da legislação de proteção de dados pessoais ou deixar de seguir as instruções lícitas do controlador equipara-se a esse para fins de responsabilização solidária pelos danos causados pelo tratamento, ressalvadas as hipóteses de exclusão de responsabilidade previstas na LGPD.

Suponha-se que um controlador tenha identificado um incidente de segurança envolvendo dados pessoais e concluído que a ocorrência poderia acarretar risco ou dano relevante aos titulares. Nesse caso, é correto afirmar que o controlador deverá comunicar o incidente tanto à Autoridade Nacional de Proteção de Dados quanto aos titulares afetados.

Nas hipóteses excepcionais de tratamento de dados pessoais para fins de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais, o tratamento da totalidade dos dados por essa entidade privada somente é admitido quando esta possuir capital integralmente constituído pelo Poder Público.

Dado pessoal coletado no exterior por empresa estrangeira está sempre fora do alcance da LGPD, independentemente de vir a ser compartilhado com agentes de tratamento brasileiros ou transferido para outro país, desde que o país de origem do dado ofereça grau de proteção adequado ao previsto na legislação brasileira.

Suponha-se que uma universidade pública tenha solicitado acesso a informações pessoais para realizar uma pesquisa científica prevista em lei e de evidente interesse público, assegurada a não identificação dos titulares. Nesse caso, é correto afirmar que o fornecimento das informações depende do consentimento expresso das pessoas a que elas se referem.

O dever de garantir a segurança das informações relativas aos dados pessoais, após o término do tratamento, subsiste apenas para o controlador e o operador, não alcançando outras pessoas que tenham intervindo em alguma de suas fases.

Suponha-se que, após corrigir dado pessoal inexato a pedido do titular, o CREF-15 tenha postergado para a atualização cadastral mensal a comunicação aos agentes de tratamento com os quais compartilhou o dado, embora fosse possível comunicá-los imediatamente, sem esforço desproporcional. Nesse caso, é correto afirmar que a medida atende à LGPD, pois assegura que os demais agentes repitam a correção.