Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I: "I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;"; art. 6º, VII: "VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;"; art. 46, caput: "Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito." Como o enunciado trata de autarquia federal que revisa procedimentos de tratamento de dados pessoais em sistemas informatizados, aplica-se exatamente a exigência legal de finalidade legítima e de adoção de medidas de segurança, o que conduz à correção da alternativa A.

• Se a alternativa falar em tratamento de dados, confira primeiro se ela respeita cumulativamente finalidade e segurança; uma não substitui a outra.
• Em órgão ou entidade pública, parta da premissa de que a LGPD se aplica, com tratamento vinculado à finalidade pública, ao interesse público e às competências legais.
• Desconfie de expressões absolutas como "livremente", "independentemente da finalidade" ou "dispensa" de princípios legais; a base da LGPD vai no sentido contrário.