Um órgão público vinculado à União contrata uma sociedade empresária para fornecer uma solução de inteligência artificial destinada ao tratamento automatizado de decisões, com base em um banco de dados gerido pelo próprio órgão.
De acordo com as instruções fornecidas pelo gestor público responsável e com o que foi estabelecido em contrato, a sociedade empresária realiza as operações necessárias para viabilizar o tratamento dos dados.
À luz da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais -LGPD), analise as afirmativas a seguir.

I. A União, pessoa jurídica de direito público, é a controladora na hipótese. Não obstante, o órgão público responsável detém obrigações legais específicas perante os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), conforme dispõe a LGPD.
II. O gestor público responsável, atuando como servidor subordinado à União, caracteriza-se como autoridade de tratamento, podendo tomar decisões referentes ao tratamento de dados pessoais.
III. A sociedade empresária é a operadora, uma vez que realiza o tratamento dos dados, conforme as instruções fornecidas pelo gestor público responsável.

Está correto o que se afirma em