L'article 9 prévoit qu'un décret en Conseil d'État, pris après avis de la CNIL, doit intervenir en application des dispositions nouvelles.
Il est cependant nécessaire que la loi apporte des garanties supplémentaires en prévoyant que le décret devra notamment apporter des précisions quant aux catégories d'informations collectées et traitées dans le traitement et fixer la durée de conservation de ces données, les modalités d'habilitation des destinataires ainsi que les conditions dans lesquelles les personnes intéressées pourront exercer leur droit d'accès.