Fundamento decisivo: Lei nº 13.709/2018, art. 5º, X: "X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;"; Lei nº 13.709/2018, art. 6º, I e III: "Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; (...) III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;"; Lei nº 13.709/2018, art. 7º, caput: "Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:". No caso, o envio da planilha por aplicativo de mensagens com dados pessoais para organizar confraternização configura tratamento e, por isso, deve observar finalidade, necessidade e hipótese legal adequada, o que conduz à alternativa D.

• Verifique primeiro se a conduta narrada é tratamento de dados; comunicação e transferência já são tratamento na LGPD.
• Não presuma licitude porque os titulares são servidores públicos ou porque o compartilhamento ocorreu dentro do órgão.
• Depois de identificar o tratamento, confira sempre finalidade, necessidade e existência de base legal no art. 7º.
• Interesse do grupo ou conveniência administrativa informal não substituem, por si sós, a finalidade pública nem a base legal exigida.