Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I, VII, e art. 46, caput: “Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; (...) VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; (...) Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.” Como o caso trata de autarquia federal que armazena dados pessoais e revisa seus procedimentos, incidem simultaneamente a exigência de finalidade legítima e o dever de segurança, o que confirma a alternativa A.

• Em LGPD, verifique primeiro se a alternativa respeita a finalidade do tratamento; sem propósito legítimo, específico e informado, a assertiva tende a estar errada.
• Segurança da informação não substitui os princípios da LGPD; ela se soma a eles.
• Se a alternativa excluir órgão público da incidência da LGPD, confronte com o art. 1º, que alcança pessoa jurídica de direito público e privado.