Fundamento decisivo: A Lei nº 13.709/2018, art. 5º, incisos X, VI e II, estabelece: “X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;” “VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;” “II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;”. As três definições apresentadas correspondem literalmente a esses dispositivos, nessa ordem, o que determina a alternativa A.

• Distinga os agentes pela atribuição legal: competência decisória identifica o controlador; tratamento em nome dele identifica o operador.
• Quando a definição enumerar origem racial, religião, saúde e outras categorias do art. 5º, II, escolha o conceito específico de dado pessoal sensível, sem negar que ele também é dado pessoal.
• Reserve anonimização e dado anonimizado às definições que envolvam, respectivamente, perda da possibilidade de associação ao indivíduo e impossibilidade de identificação do titular.
• Reconheça tratamento pela abrangência de operações com dados pessoais: a expressão legal “como as que se referem a” introduz exemplos, não uma lista taxativa.