Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I, e art. 46, caput: "Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; [...] Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito." No caso de autarquia federal que trata dados pessoais em sistemas informatizados, a LGPD exige simultaneamente finalidade legítima e medidas de segurança, o que confirma a correção da alternativa B.

• Se a alternativa opõe segurança da informação aos princípios da LGPD, desconfie: a lei exige ambos cumulativamente.
• Verifique sempre o art. 1º da LGPD para excluir alternativas que tentem afastar sua incidência sobre pessoas jurídicas de direito público.
• Em compartilhamento de dados, inclusive interno, procure o critério da finalidade legítima e a vedação de tratamento posterior incompatível.