数据主体有权要求数据在合法情况下向第三方转移，前提是数据处理基于合同或法律义务，因此D是正确答案。