Artigo 38.º

1 - O IRN, I. P., é a entidade responsável pelo tratamento de dados pessoais nas operações referidas nos artigos 36.º e 37.º, nos termos e para os efeitos definidos na Lei n.º 58/2019, de 8 de agosto, e no Regulamento Geral de Proteção de Dados, aprovado pelo Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016.

2 - Cabe ao IRN, I. P., assegurar os direitos de informação, de acesso, de oposição ou de retificação dos dados pelos respetivos titulares, bem como velar pela legalidade da consulta ou comunicação da informação.

3 - Atua por conta do IRN, I. P., enquanto entidade responsável pelo tratamento de dados pessoais, a pessoa singular ou coletiva, serviço ou organismo a quem sejam confiadas, nos termos previstos na Lei n.º 58/2019, de 8 de agosto, e no Regulamento Geral de Proteção de Dados, operações relacionadas com o cartão de cidadão, nomeadamente a emissão de certificados qualificados e a personalização do cartão de cidadão, cumprindo-se os requisitos legais e regulamentares exigíveis pelo Sistema de Certificação Eletrónica do Estado, previsto no Decreto-Lei n.º 12/2021, de 9 de fevereiro.

4 - (Revogado.)

5 - O sistema de informação responsável pelo ciclo de vida do cartão de cidadão deve estar dotado das garantias de segurança necessárias a impedir a consulta, a modificação, a supressão, a inclusão ou a comunicação de dados por quem não esteja legalmente habilitado.