Com base na Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/18) contida nas fontes, a alternativa correta é a C: lícito, pois realizado com base no legítimo interesse.

Art. 7º O TRATAMENTO DE DADOS PESSOAIS somente poderá ser realizado nas seguintes hipóteses:

IX. quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; o

JDC 685: O interesse legítimo do terceiro, mencionado no inciso IX do art. 7º da Lei Geral de Proteção de Dados, não se restringe à pessoa física ou jurídica singularmente identificadas,admitindo-se sua utilização em prol de grupos ou da coletividade para atividades de tratamento que sejam de seu interesse.

Fonte: Legislação360

Se entendi bem a explicação para o gabarito, esse "legítimo interesse" parece subjetivo demais. Com exceção de compartilhamento com organizações criminosas, fica difícil pensar numa hipótese em que o compartilhamento pela empresa seria considerado ilícito, uma vez que ela sempre o faria a fim de atender seus interesses.

A LGPD, em si, é extremamente subjetiva. Note que, nos termos do inciso IX do art. 7º, é possível tratar dados pessoais, independentemente de consentimento, quando necessário para atender aos interesses legítimos do controlador. O inciso I do art. 10º, por sua vez, fala que uma das finalidades legítimas, para a qual poderá haver legítimo interesse do controlador, é o "apoio e promoção de atividades do controlador".

Ora, quase tudo pode ser enquadrado nisso...

A alternativa C está correta. Segundo a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018), o tratamento de dados pessoais pode ser fundamentado em outras bases legais além do consentimento. No caso narrado, o Art. 7º, inciso IX, AUTORIZA o tratamento para atender aos legítimos interesses do CONTROLADOR (a instituição de ensino), desde que a finalidade seja LEGÍTIMA (oferecer benefício educacional), haja uma expectativa razoável do titular e sejam respeitados seus direitos fundamentais (garantidos pelo envio único e opção de opt-out).

Abaixo, a fundamentação dos erros das alternativas, com as devidas correções e dispositivos legais:

• Erro da A: [...] ilícito, pois de Jorge para sua inclusão em lista de publicidade.
• Fundamento: O consentimento é apenas uma das dez bases legais previstas no Art. 7º da LGPD. O legítimo interesse (inciso IX) permite o marketing direto sem consentimento prévio, desde que respeitados os direitos do titular e oferecida a opção de interrupção (descadastramento).
• Erro da B: [...] ilícito, pois de Jorge para o compartilhamento de seus dados pessoais.
• Fundamento: Conforme o Art. 7º, § 5º, da LGPD, o controlador que obteve os dados (instituição de ensino) pode utilizá-los para finalidades legítimas sem novo consentimento, especialmente quando o compartilhamento ocorre para benefícios ao titular dentro de um mesmo contexto ou grupo econômico, amparado no legítimo interesse.
• Erro da D: Lícito, pois realizado com base na .
• Fundamento: A base legal de execução de contrato (Art. 7º, V) aplica-se quando o tratamento é estritamente necessário para cumprir o que foi pactuado. Jorge foi contratado para trabalhar na instituição de ensino; a oferta de curso de idiomas de outra empresa, embora benéfica, não é essencial para o cumprimento do seu contrato de trabalho.
• Erro da E: Ilícito, pois de dados pessoais entre empresas do mesmo grupo econômico com finalidade lucrativa.
• Fundamento: Não existe vedação legal ao compartilhamento entre empresas do mesmo grupo econômico para fins lucrativos. Ao contrário, o Art. 10, inciso II, da LGPD reforça que o legítimo interesse pode basear o tratamento para a promoção das atividades do controlador.

Complementando:o controlador é a instituição de ensino superior particular onde Jorge trabalha.

De acordo com a Lei Geral de Proteção de Dados (LGPD), o controlador é definido como a "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais".