Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I e VII, e art. 46, caput: “Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; (...) VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; (...) Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.” Como o enunciado trata de autarquia federal revisando procedimentos de tratamento de dados para cumprir a LGPD, a consequência jurídica é que o tratamento deve observar finalidade legítima e medidas de segurança adequadas, exatamente como afirma a alternativa D.

• Em LGPD, verifique sempre se a alternativa respeita simultaneamente finalidade do tratamento e segurança; uma não substitui a outra.
• Se a questão envolver órgão ou entidade pública, descarte afirmações que excluam a incidência da LGPD ao poder público.
• Compartilhamento ou uso interno de dados só é compatível com a LGPD quando vinculado à finalidade legítima e ao contexto jurídico do tratamento.