Em auditoria de um órgão público, constatou-se que terceirizados possuíam permissões superiores às necessárias, contas de antigos colaboradores continuavam ativas e determinados bancos de dados podiam ser acessados sem restrições adequadas. A administração alegou que, como ainda não havia evidência de vazamento, medidas adicionais de segurança só seriam exigíveis depois de um incidente. À luz da Lei nº 13.709/2018, essa interpretação é: 

Após um incidente de segurança, dois técnicos apresentaram conclusões categóricas. O primeiro afirmou que todo vazamento de qualquer dado pessoal produz automaticamente dano moral indenizável. O segundo sustentou que um ataque realizado por hacker sempre constitui fato exclusivo de terceiro e, por isso, afasta automaticamente a responsabilidade do agente de tratamento, independentemente das medidas de segurança adotadas. Considerando a LGPD e precedentes do Superior Tribunal de Justiça, a conclusão juridicamente adequada é: 

Em investigação de ato ilícito praticado pela internet, foram identificados o endereço IPv4 utilizado e um intervalo temporal de utilização. O provedor de conexão alegou que não poderia identificar o assinante sem que o requerente fornecesse previamente a porta lógica de origem, já que vários usuários poderiam compartilhar o mesmo IPv4 por CGNAT. De acordo com o Marco Civil da Internet e com o entendimento firmado pelo STJ no REsp 2.170.872/SP, assinale a alternativa correta.