Fundamento decisivo: Lei nº 13.709/2018, arts. 1º, 6º, I, e 46, caput: “Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.” No caso, a autarquia federal está submetida à LGPD e deve observar finalidade legítima e medidas de segurança, o que torna correta a alternativa D.

• Verifique primeiro se a alternativa respeita o âmbito de aplicação da LGPD: ela alcança pessoas jurídicas de direito público e de direito privado.
• Sempre teste afirmações sobre tratamento de dados pelo princípio da finalidade: não há circulação ou uso livre sem propósito legítimo, específico e explícito.
• Segurança da informação e princípios da LGPD são exigências cumulativas, não alternativas excludentes.