Fundamento decisivo: Lei nº 13.709/2018, art. 6º, I: "Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;"; art. 6º, VII: "Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;"; e art. 46, caput: "Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito." No caso, a autarquia federal deve revisar seus procedimentos de tratamento de dados observando finalidade legítima e medidas de segurança adequadas, o que torna correta a alternativa A.

• Se a alternativa afirmar tratamento ou compartilhamento de dados sem vinculação à finalidade, elimine-a.
• Em LGPD, segurança é requisito cumulativo, não substitutivo dos demais princípios.
• A administração pública também está submetida à LGPD; desconfie de alternativas que a excluam.
• A expressão "sistema interno" não afasta a incidência da LGPD nem libera compartilhamento indiscriminado.