Suponha‑se que um Conselho Regional tenha coletado dados pessoais de profissionais registrados, com a finalidade exclusiva de emitir as carteiras de identidade profissional. Posteriormente, sem colher uma nova base legal ou dar aviso aos titulares, o órgão utilizou esse mesmo banco de dados para enviar anúncios publicitários de empresas parceiras privadas. Nesse caso, é correto afirmar que essa operação desrespeitou o princípio da finalidade previsto na LGPD.