II SÉRIE-A — NÚMERO 177 68 Artigo 36.o Tratamento de dados 1 – São objeto de recolha e tratamento os elementos de identificação do titular referidos nos artigos 7.o, 8.o e 29.o. 2 – O tratamento de elementos de identificação do titular ocorre associado às seguintes operações do cartão de cidadão: a) Receção, instrução e execução dos pedidos de emissão, atualização e renovação; b) Receção e execução dos pedidos de cancelamento; c) Personalização do cartão de cidadão; d) Geração e envio dos códigos de ativação e de utilização do cartão de cidadão ao respetivo titular, bem como dos códigos relativos aos certificados digitais; e) Entrega do cartão de cidadão ao respetivo titular ou a quem o representa; f) Credenciação e autenticação da identidade do cidadão para efeitos de comunicação eletrónica; g) Execução dos pedidos de ativação e de revogação dos certificados digitais; h) Comunicação às autoridades policiais competentes do número de documento do cartão de cidadão cancelado por perda, furto ou roubo. 3 – A recolha e o tratamento dos dados necessários às operações referidas no número anterior, com exceção da prevista na alínea c), só podem ser efetuados por entidades ou serviços do Estado e da Administração Pública e respetivo pessoal qualificado. Artigo 37.o Comunicação de dados 1 – A execução dos pedidos referidos na alínea a) do n.o 2 do artigo anterior envolve sucessivas ligações, em separado, com cada uma das bases de dados que permitem a confirmação ou a geração do número de identificação civil, do número de identificação fiscal, do número de utente dos serviços de saúde e do número de identificação da segurança social, para incluir, subsequentemente, esses números na personalização do cartão de cidadão. 2 – No decurso das ligações referidas no número anterior, a cada base de dados são enviados unicamente os elementos de identificação cujo tratamento está autorizado à entidade responsável por essa mesma base, nos termos da Lei n.o 67/98, de 26 de outubro, alterada pela Lei n.o 103/2015, de 24 de agosto. 3 – As ligações referidas no n.o 1 não devem incluir, em caso algum, a indicação do número de documento do cartão de cidadão. 4 – Para além do seu tratamento nas operações de personalização do cartão de cidadão, os ficheiros com a imagem facial, assinatura, altura e impressões digitais são comunicados apenas à base de dados de identificação civil. 5 – Os ficheiros com os dados referidos no artigo 29.o são comunicados apenas às bases de dados de identificação perante os serviços de saúde. Artigo 38.o Entidade responsável 1 – O IRN, IP, é a entidade responsável, nos termos e para os efeitos previstos na Lei n.o 67/98, de 26 de outubro, alterada pela Lei n.o 103/2015, de 24 de agosto, pelo tratamento e proteção dos dados pessoais nas operações referidas nos artigos 36.o e 37.o. 2 – Compete ao IRN, IP, pôr em prática as medidas técnicas e organizativas adequadas à satisfação das exigências estabelecidas nos artigos 10.o, 11.o, 14.o e 15.o da Lei n.o 67/98, de 26 de outubro, alterada pela Lei n.o 103/2015, de 24 de agosto. 3 – Atua por conta da entidade responsável a pessoa singular ou coletiva, serviço ou organismo a quem