Questão de Direito Digital

A empresa X, com sede no Canadá, pretende criar um sistema universal de identificação pessoal a partir do cadastro da biometria da íris. A proposta permite que qualquer pessoa, mediante escaneamento ocular realizado por um dispositivo específico da empresa, obtenha um identificador digital único, associado a um token, sem necessidade de apresentar nome, CPF ou qualquer documento oficial. A fim de expandir sua atuação global, a empresa X instalou estandes em diversas cidades do Brasil, para atendimento ao público brasileiro. Na política de privacidade e no termo de consentimento apresentados àqueles que desejavam obter seu identificador digital, a empresa afirmava que a coleta dos dados ocorreria para "fins de identificação e autenticação, sem prejuízo de utilização dos dados para outras finalidades de interesse da empresa X". Diante do cenário apresentado, é correto afirmar que o tratamento de dados pessoais realizado pela empresa X: