Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I, e art. 46, caput: "Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; (...) Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão." A autarquia federal do enunciado está submetida à LGPD e, por isso, seu tratamento de dados deve observar finalidade legítima e medidas de segurança aptas à proteção dos dados, o que confirma a alternativa B.

• Se a alternativa admitir tratamento ou compartilhamento sem finalidade específica, elimine-a por violação ao art. 6º, I, da LGPD.
• Se a alternativa disser que segurança da informação dispensa outros deveres da LGPD, elimine-a: segurança é princípio e dever cumulativo, não excludente.
• Sempre verifique o âmbito de incidência da lei: a LGPD alcança pessoas jurídicas de direito público e privado.
• No setor público, procure a exigência de finalidade pública, interesse público e competência legal; isso afasta a ideia de uso irrestrito dos dados.