A rede de farmácias Droga Saúde Eterna S.A. sofreu um ataque cibernético que resultou no vazamento de dados pessoais e sensíveis de milhares de consumidores.

Entre as informações divulgadas estavam nome, CPF, idade, histórico de medicamentos adquiridos, doenças e receitas médicas. A sociedade empresária, ao tomar conhecimento do incidente, comunicou o fato à Agência Nacional de Proteção de Dados (ANPD) e aos titulares afetados, cumprindo o dever previsto na Lei nº 13.709/2018 (LGPD).

O consumidor Guilherme, que estava entre os afetados, buscou esclarecimentos junto à farmácia, que lamentou o ocorrido e atribuiu o evento a terceiros, alegando ataque hacker inevitável. Inconformado, Guilherme ajuizou ação de indenização por danos materiais e morais, com fundamento na Lei Geral de Proteção de Dados (LGPD) e no Código de Defesa do Consumidor (CDC). 

Sobre a hipótese, com base na jurisprudência do Superior Tribunal de Justiça (STJ), na LGPD e no CDC, assinale a afirmativa correta.

A base de dados afeta a determinado coletivo, contendo dados pessoais sensíveis dos indivíduos que o integram, está sob a administração de um órgão da Administração Pública Direta da União. Certo órgão de pesquisa almejava usar os referidos dados, que considerava indispensáveis para a realização de um estudo, o que importaria no seu correlato tratamento.

Na situação descrita, à luz da Lei Geral de Proteção de Dados Pessoais (LGPD), é correto afirmar que o referido tratamento