Article 38

1. Toute personne peut mandater une association régulièrement déclarée depuis cinq ans au moins ayant dans son objet statutaire la protection de la vie privée ou la protection des données à caractère personnel, une association de défense des consommateurs représentatives au niveau national et agréées en application de l'article L. 811-1 du code de la consommation, lorsque le traitement de données à caractère personnel affecte des consommateurs, une organisation syndicale de salariés ou de fonctionnaires représentative, au sens des articles L. 2122-1, L. 2122-5 ou L. 2122-9 du code du travail ou de l'article L. 222-2 du code général de la fonction publique, ou les syndicats représentatifs de magistrats de l'ordre judiciaire, lorsque le traitement affecte les intérêts des personnes que les statuts de cette organisation la chargent de défendre, une association ou une organisation dont l'objet statutaire est en relation avec la protection des droits et libertés lorsque ceux-ci sont méconnus dans le cadre d'un traitement de données à caractère personnel, ou une association dont cette personne est membre et dont l'objet statutaire implique la défense d'intérêts en relation avec les finalités du traitement litigieux, aux fins d'exercer en son nom les droits prévus aux articles 77 à 79 et 82 du règlement (UE) 2016/679 du 27 avril 2016. Elle peut également les mandater pour agir devant la Commission nationale de l'informatique et des libertés, contre celle-ci devant un juge ou contre le responsable de traitement ou son sous-traitant devant une juridiction lorsqu'est en cause un traitement relevant du titre III de la présente loi.