Uma empresa operadora de dados de folha de pagamento de um órgão público sofreu vazamento de nomes, CPFs e dados bancários dos servidores. O controlador não comunicou o incidente à Autoridade Nacional de Proteção de Dados (ANPD) nem aos titulares, por entender facultativa a medida. Apurou‑se, ainda, que a operadora usava os dados, sem instrução do controlador, para ofertar produtos financeiros.

Com base nessa situação hipotética e na Lei nº 13.709/2018 – Lei Geral de Proteção de Dados (LGPD) –, julgue os itens a seguir.