CDOL
カードが暗号文を計算する前に、端末へ渡してほしいデータを書き並べた、ICカードの買い物リスト。
Card Risk Management Data Object Listは、EMVのタグと長さだけを並べたリストで、値は含まない。カードは2つ持っており、CDOL1はタグ8C、CDOL2はタグ8Dに入っている。典型的な項目は、金額（9F02）、通貨、国コード、日付、取引種別、端末のTVR、端末が生成した乱数（9F37）などである。端末は各タグの値を調べ、その順番どおりにつなげて、GENERATE ACコマンドで送る。
カードはこのバイト列からアプリケーション暗号文を導く。CDOL1は1回目の呼び出しに、CDOL2は発行者の応答を受けた後の2回目に使われるため、応答コードが含まれる。リストはコードではなくデータなので、発行者は端末に一切手を入れずに、暗号文が何を束ねるかを決められる。端末がタグを渡し忘れるとゼロ埋めされ、カードはそれにも文句を言わず署名する。