Fundamento decisivo: Lei nº 13.709/2018 (LGPD), arts. 23, caput; 46, caput; 48, caput; 5º, XI: “Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, desde que: (...) Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Art. 5º Para os fins desta Lei, considera-se: (...) XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;”. No caso, a assertiva I se ajusta ao art. 23; a II é compatível com o dever de segurança do art. 46; a IV decorre do art. 48; e a V corresponde ao conceito legal de anonimização.

• Em Administração Pública, confira primeiro se o tratamento está ligado a finalidade pública e a competências ou atribuições legais; conveniência administrativa, sozinha, não basta.
• Separe base legal de deveres permanentes: segurança é obrigação autônoma da LGPD e não desaparece por haver consentimento.
• Na parte de incidentes, procure a condição legal exata: a comunicação é exigida quando o fato puder acarretar risco ou dano relevante.
• Na anonimização, verifique sempre a reversibilidade: ela só afasta a incidência da LGPD se não houver reversão com meios próprios ou com esforços razoáveis.