Sobre a Lei Geral de Proteção de Dados Pessoais (Lei n° 13.709/2018), é correto afirmar que:

o tratamento de dados pessoais sensíveis somente poderá ocorrer quando o seu titular autorizar;

poderá ser considerado dado pessoal aquele utilizado para formação do perfil comportamental de determinada pessoa natural, se identificada;

é sempre vedado ao poder público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso;

o operador é o responsável por indicar o encarregado pelo tratamento de dados pessoais, cuja identidade e informações de contato deverão ser públicas;

o controlador deverá comunicar, no prazo de 48 horas, à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.