II SÉRIE-A — NÚMERO 94 24 Artigo 36.o Tratamento de dados 1 - São objeto de recolha e tratamento os elementos de identificação do titular referidos nos artigos 7.o, 8.o e 29.o. 2 - O tratamento de elementos de identificação do titular ocorre associado às seguintes operações do cartão de cidadão: a) Receção, instrução e execução dos pedidos de emissão, atualização e substituição; b) Receção e execução dos pedidos de cancelamento; c) Personalização do cartão de cidadão; d) Geração e envio dos códigos de ativação e de utilização do cartão de cidadão ao respetivo titular, bem como dos códigos relativos aos certificados digitais; e) Entrega do cartão de cidadão ao respetivo titular ou a quem o representa; f) Credenciação e autenticação da identidade do cidadão para efeitos de comunicação eletrónica; g) Execução dos pedidos de ativação e de revogação dos certificados digitais; h) Comunicação às autoridades policiais competentes do número de documento do cartão de cidadão cancelado por perda, furto ou roubo. 3 - A recolha e o tratamento dos dados necessários às operações referidas no número anterior, com exceção da prevista na alínea c), só podem ser efetuados por entidades ou serviços do Estado e da Administração Pública, respetivos funcionários ou agentes. Artigo 37.o Comunicação de dados 1 - A execução dos pedidos referidos na alínea a) do n.o 2 do artigo anterior envolve sucessivas ligações, em separado, com cada uma das bases de dados que permitem a confirmação ou a geração do número de identificação civil, do número de identificação fiscal, do número de utente dos serviços de saúde e do número de identificação da segurança social, para incluir, subsequentemente, esses números na personalização do cartão de cidadão. 2 - No decurso das ligações referidas no número anterior, a cada base de dados são enviados unicamente os elementos de identificação cujo tratamento está autorizado à entidade responsável por essa mesma base, nos termos da Lei n.o 67/98, de 26 de outubro. 3 - As ligações referidas no n.o 1 não devem incluir, em caso algum, a indicação do número de documento do cartão de cidadão. 4 - Para além do seu tratamento nas operações de personalização do cartão de cidadão, os ficheiros com a imagem facial, assinatura, altura e impressões digitais são comunicados apenas à base de dados de identificação civil. 5 - Os ficheiros com os dados referidos no artigo 29.o são comunicados apenas às bases de dados de identificação perante os serviços de saúde. Artigo 38.o Entidade responsável 1 - O IRN, IP, é a entidade responsável, nos termos e para os efeitos previstos na Lei n.o 67/98, de 26 de outubro, pelo tratamento e proteção dos dados pessoais nas operações referidas nos artigos 36.o e 37.o 2 - Compete ao IRN, IP, pôr em prática as medidas técnicas e organizativas adequadas à satisfação das exigências estabelecidas nos artigos 10.o, 11.o, 14.o e 15.o da Lei n.o 67/98, de 26 de outubro. 3 - Atua por conta da entidade responsável a pessoa singular ou coletiva, serviço ou organismo a quem sejam confiadas, nos termos previstos na Lei n.o 67/98, de 26 de outubro, operações relacionadas com o cartão de cidadão, nomeadamente a emissão de certificados qualificados e a personalização do cartão de cidadão, cumprindo-se os requisitos legais e regulamentares exigíveis pelo Sistema de Certificação Eletrónica do Estado,