Fui na C por exclusão, mas, para mim, a maior impropriedade da contratação está no fato de um Estado-membro estar contratando um "serviço de alta complexidade tecnológica envolvendo defesa nacional". Se se trata de Defesa Nacional, só a União poderia se valer da hipótese.

Sobre a impossibilidade de se contratar uma empresa privada para fazer o tratamento de dados relativos à segurança pública, alguém tem algo a dizer? Alguma previsão legal ou jurisprudência?

Com a nova lei de licitação (14.133/21), é perfeitamente possível a contratação por dispensa de licitação, conforme art. 75, IV, "f".

f) bens ou serviços produzidos ou prestados no País que envolvam, cumulativamente, alta complexidade tecnológica e defesa nacional.

LEI Nº 8.666, DE 21 DE JUNHO DE 1993 (Em vigência quando a prova foi aplicada)

Art. 24. É dispensável a licitação:

XXVIII – para o fornecimento de bens e serviços, produzidos ou prestados no País, que envolvam, cumulativamente, alta complexidade tecnológica e defesa nacional, mediante parecer de comissão especialmente designada pela autoridade máxima do órgão.         (Incluído pela Lei nº 11.484, de 2007).

LEI Nº 14.133, DE 1º DE ABRIL DE 2021 (Atualmente em vigência)

Art. 75. É dispensável a licitação:

IV - para contratação que tenha por objeto:

f) bens ou serviços produzidos ou prestados no País que envolvam, cumulativamente, alta complexidade tecnológica e defesa nacional;

LEI Nº 13.709, DE 14 DE AGOSTO DE 2018 (LGPD)

Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais:

III - realizado para fins exclusivos de:

a) segurança pública;

b) defesa nacional;

c) segurança do Estado; ou

d) atividades de investigação e repressão de infrações penais; ou

(...)

§ 1º O tratamento de dados pessoais previsto no inciso III será regido por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei.

§ 2º É vedado o tratamento dos dados a que se refere o inciso III do caput deste artigo por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto de informe específico à autoridade nacional e que deverão observar a limitação imposta no § 4º deste artigo.

§ 3º A autoridade nacional emitirá opiniões técnicas ou recomendações referentes às exceções previstas no inciso III do caput deste artigo e deverá solicitar aos responsáveis relatórios de impacto à proteção de dados pessoais.

§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público.    (Redação dada pela Lei nº 13.853, de 2019)   Vigência

C — apontar ilegalidade em relação ao objeto e à contratada, vez que o tratamento de dados relativos à segurança pública não poderia ser realizado de forma autônoma por empresa privada.

Correta.

Art. 4º, III, “a”, da LGPD: a LGPD não se aplica ao tratamento de dados pessoais realizado para fins exclusivos de segurança pública.

Art. 4º, § 2º, da LGPD: é vedado o tratamento desses dados por pessoa de direito privado, salvo em procedimentos sob tutela de pessoa jurídica de direito público.