Если список обладает уникальными разрешениями (то есть не настроен на наследование от своего родителя), тогда разрешения можно настроить так, чтобы разрешать только группы, не включающие пользователя B.
Как только это будет сделано, пользователь Б даже не увидит список - он не будет знать, что он существует.
Если пользователь A перенаправляет пользователю B прямую ссылку на список, пользователь B вместо этого будет перенаправлен на страницу AccessDenied.aspx.