L'article 11 prévoit déjà un recours très limité à la sous-traitance. Son alinéa 8 précise bien que « l'État assure la collecte, le traitement et la conservation des données à caractère personnel ainsi recueillies » ; seule la conception du traitement peut être soit assurée par l'État, soit confiée à un tiers. Tant le Conseil d'État que la Cnil ont relevé que la sous-traitance était limitée à la seule conception des outils de traitement ; ils ont considéré qu'il s'agissait là d'une garantie de proportionnalité du dispositif. Enfin, il n'apparaît pas souhaitable d'inscrire des référentiels réglementaires dans un texte législatif, comme le fait l'amendement CL100. Avis défavorable.