Uma grande empresa de comércio eletrônico sofreu violação de dados pessoais de mais de 150 mil clientes, expondo nome, CPF, endereço e dados de cartão de crédito. A empresa tomou conhecimento do incidente em 12 de março de 2025, mas somente comunicou o fato à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares em 18 de abril de 2025. Um titular afetado ajuizou ação de indenização por danos morais em razão da violação de dados pessoais.

Com base na literalidade da Lei Geral de Proteção de Dados Pessoais (Lei n° 13.709/2018), assinale a alternativa correta.