Fundamento decisivo: Lei nº 13.709/2018, art. 5º, II; art. 6º, I; art. 11, caput: “Art. 5º Para os fins desta Lei, considera-se: II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;” “Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;” “Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:”. Como o caso trata de dados médicos e de saúde compartilhados pelo hospital com empresa terceirizada, incide o regime reforçado da LGPD, que veda tratamento incompatível com a finalidade informada e exige enquadramento nas hipóteses legais, tornando correta a alternativa A.

• Se o dado for de saúde, comece pelo art. 5º, II: ele é dado pessoal sensível.
• Em dados sensíveis, verifique sempre se o tratamento está dentro das hipóteses do art. 11; nunca presuma liberdade de uso ou compartilhamento.
• Confidencialidade não substitui o princípio da finalidade: sigilo não autoriza reutilização para outro propósito.
• Sigilo profissional e incidência da LGPD coexistem; um não exclui o outro.