Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I, e art. 46, caput: “Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; (...) Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.” No caso, a autarquia federal revisa o tratamento de dados pessoais em sistemas informatizados, de modo que a LGPD exige observância de finalidade legítima e adoção de medidas de segurança, o que confirma a alternativa A e afasta as demais.

• Se a alternativa tratar de dados pessoais no setor público, confira primeiro se há finalidade pública, interesse público e vínculo com competência legal; tratamento interno não é livre por si só.
• Não separe segurança da informação dos princípios da LGPD: segurança é dever legal e também princípio expresso da lei.
• Sempre descarte alternativas que limitem a LGPD apenas ao setor privado, porque a lei se aplica expressamente a pessoas jurídicas de direito público e privado.