Download original attachment
(PDF file)

This is an HTML version of an attachment to the Freedom of Information request 'Short-term compliance actions of EUI following Schrems II recommendations'.



 
 
 
 
 
 
 
LEONARDO CERVERA NAVAS 
DIRECTOR 
 
 
 
Heiko Roth 
e-mail: ask+request-10621-
xxxxxxxx@xxxxxxxx.xxx  
 
Brussels, 8 September 2022 
LCN/tt/vd D(2022)2096   C 2022-0093 
Please use xxxx@xxxx.xxxxxx.xx for all 
correspondence 
 
 
 
Subject: Your request for access to documents under Regulation (EC) 1049/2001 
 
Dear Mr Roth, 
 
On 23.01.2022, you sent an access to documents request to the European Data Protection 
Supervisor (“EDPS”) based on  Regulation  (EC) No  1049/2001, which we registered on  the 
next day. On 26.01.2022, we sent you an acknowledgement of receipt for your request also 
mentioning the deadline in accordance with Article 7(1) of Regulation (EC) 1049/2001. On 
11.02.2022,  the EDPS  informed  you  that  your  current  request  will be handled  in a  queue 
together with the five requests you had submitted on previous dates and will be answered 
one after the other. 
Your request for access to documents concerns documents relating to: 
  “Documents  regarding  the  above  mentioned  "mapping"  [as  per  EDPS  order  from 
05.10.2020], received from the EUIs [European Union institutions, agencies and bodies]. 
  "Transfer Impact Assessments", received from the EUIs. 
  c) "Joint Assessments", received from the EUIs.”. 
 
On  11.03.2022,  we  sent  you  a  Request  for  Clarification  letter  asking  for  “more  detailed 
information  about  the  documents  that  you  seek  to  obtain,  such  as  references,  dates  or 
periods during which the documents would have been produced, etc.” On 31.03.2022, you 
replied that you “can only specify [our] request if [we] provide [you] with a list of the titles 
of the documents”. By letter of 06.04.2022, we requested further clarifications. We did not 
receive an answer to that request. 
 
 
 
 
 
 
 
 
 
 
 
Our analysis showed that the 90 documents falling within the scope of your request (see 
Annex  I)  belong  to  EDPS’  open  investigation  case  2020-0766  “EDPS  strategy  for  the 
enforcement of Schrems II judgement for EUIs”. We identified that all documents are the 
same type (i.e. reports). Based on that, we concluded that the particular circumstances of 
the individual case represent an exception to the EDPS’ obligation to examine specifically 
and individually the documents to which access has been requested.1 
Furthermore, we concluded that more than one of the exceptions of Article 4 of Regulation 
(EC) 1049/2001 apply to all documents identified as explained hereafter.  
First, the EDPS has determined that Article 4(1) (a), first indent, of Regulation (EC) 1049/2001 
(“protection of the public interest as regards of public security”), applies to the documents 
concerned  as  they  contain  description  of  (i)  processes,  (ii)  security  controls  and  (iii) 
information  security  protocols,  related  to  EUIs’  data  and  information  exchange,  the 
disclosure of which may seriously threaten the day-to-day work and proper functioning of 
the organisations2. 
Furthermore,  the  EDPS has  determined  that  Article  4(2)  third  indent, of  Regulation  (EC) 
1049/2001 (“protection of the purpose of inspections, investigations and audits”) applies to 
all documents identified as they are currently part of an open EDPS investigations, and thus 
any disclosure of the documents at this stage of the investigation will serious undermine its 
outcome.  
In  particular,  disclosure  at  this  point  in  time  of  the  mapping  exercises,  Transfer  Impact 
Assessments or/and Joint Assessments conducted by EUIs, relating to the implementation 
of  the  Schrems  II  judgment  may  endanger  the  completion  of  the  exercise  by  hindering 
cooperation on the part of the supervised European Institutions and bodies subject to it. We 
note  that  the  Court  of  Justice  of  the  European  Union  has  clarified  that  the  concept  of 
"investigation" is likely to also cover the activity aimed at ascertaining facts in order to assess 
a given situation3. In that context, the EDPS, using his investigatory powers may gather and 
analyse information relating to the implementation of data protection requirements by the 
supervised EUIs. 
Finally,  we  have  concluded  that  Article  4  (3)  of  Regulation  (EC)  1049/2001  (“documents 
related  to  matter  where  the  decision  has  not  been  taken  by  the  institution  disclosure  of 
which would seriously undermine the institution's decision-making process”) of Regulation 
(EC) 1049/2001 apply to all documents concerned as any disclosure of the documents at this 
stage of the decision-making process will serious undermine the ability of the organisation 
to conduct internal discussions and form an independent decision. 
Following these conclusions, and in line with Regulation (EC) 1049/2001, we have examined 
whether there could be an overriding public interest in disclosing the documents, but have 
not been able to identify such an interest. 
Therefore, we regret to inform you that we cannot provide you with access to the above-
referred requested documents. 
 
 
                                                
1 See Judgment of the General Court of 13 September 2013 in case T-111/11, ClientEarth v Commission. 
2 See judgement in case T-174/95, Svenska Journalistförbundet v Council 
3 Judgment of the General Court of 4 October 2018 in case T-128/14, Daimler v Commission. 
2 
 

 
Please note that pursuant to Article 7(2) of Regulation (EC) No 1049/2001, you may submit 
a confirmatory application asking the EDPS to reconsider his position as regards the total 
or  partial  refusal  of  your  request.  Such  a  confirmatory  application  should  be  submitted 
within  15  working  days  upon  receipt  of  this  letter  to  the  EDPS  general  e-mail: 
xxxx@xxxx.xxxxxx.xx . 
Yours sincerely, 
 
 
Annex: 1 file 
 
 
 
Data Protection Notice 
 
According to Articles 15 and 16 of Regulation (EU) 2018/1725 (the Regulation) on the protection of natural 
persons with regard to the processing of  personal data by the Union institutions, bodies, offices and 
agencies  and  on  the  free  movement  of  such  data,  we  are  processing  your  personal  data,  where 
proportionate and necessary, for the purpose of answering your request. The legal base for this processing 
operation is Regulation (EC) 1049/2001 and Article 52(4) of the Regulation (EU) 2018/1725. Subject to 
applicable rules under EU legislation, the personal data relating to you, as provided in your request as 
well  as  personal  data  that  might  be  collected  while  processing  your  request,  are  used  solely  for  the 
purpose of replying to your request. EDPS staff members dealing with the request will have access to the 
case file containing your personal data on a need-to-know basis. All access to case files is logged.  Your 
personal data are not disclosed outside the EDPS. Your personal data will be stored electronically for a 
maximum of ten years after the closure of the case, or as long as the EDPS is under a legal obligation to 
do so. You have the right to access your personal data held by the EDPS and to relevant information 
concerning how we use it. You have the right to rectify your personal data. Under certain conditions, you 
have the right to ask that we delete your personal data or restrict its use. We will consider your request, 
take a decision and communicate it to you. For more information, please see Articles 14 to 21, 23 and 24 
of the Regulation. Please note that in some cases restrictions under Article 25 of the Regulation may 
apply. Any request to exercise your rights should be addressed to the EDPS at xxxx@xxxx.xxxxxx.xx. You 
may  contact  the  data  protection  officer  of  the  EDPS  (xxxxxxxx@xxxx.xxxxxx.xx),  if  you  have  any 
remarks or complaints regarding the way we process your personal data. You have the right to lodge a 
complaint with the EDPS, as supervisory authority. Any such request should be addressed to the EDPS 
at xxxx@xxxx.xxxxxx.xx. You can reach the EDPS in the following ways: E-mail: xxxx@xxxx.xxxxxx.xx; 
EDPS postal address: European Data Protection Supervisor, Rue Wiertz 60, B-1047 Brussels, Belgium. For 
more information, please refer to the extended version of the data protection notice available on the 
EDPS website: https://edps.europa.eu/data-protection/our-work/publications/other-documents/requests-
access-documents_en.  
 
 
 
3 
 
 
ANNEX I 
 
  
DOC ID 
DATE 
NAME 
SUBJECT 
FW: Our ref.: 2020-0766 -D(2020) 
1  COO.6515.100.4.411632 
30/11/2020  A(2020) 3853 
2477 
ref.: 2020-0766 -D(2020) 2477 - 
Follow up on the order of the 
EDPS of 5 October 2020 
addressed to all Union 
institutions, bodies and agencies 
2  COO.6515.100.3.411631 
30/11/2020  A(2020) 3852 
- Report templates 
RE: Our ref.: 2020-0766 -D(2020) 
3  COO.6515.100.2.411624 
30/11/2020  A(2020) 3849 
2477 
RE: Our ref.: 2020-0766 -D(2020) 
4  COO.6515.100.3.411607 
30/11/2020  A(2020) 3845 
2477 
Follow up on the order of the 
5  COO.6515.100.3.411638 
30/11/2020  A(2020) 3855 
EDPS of 5 October 2020 
RE: Our ref.: 2020-0766 -D(2020) 
6  COO.6515.100.3.411629 
30/11/2020  A(2020) 3851 
2477 
20-11-30 Letter 
Mr 
Wiewiórowski 
2020-0766 & 
7  COO.6515.100.4.411661 
30/11/2020  2020-0940 D-2744    
Ares(2020)7198649 - ERCEA reply 
to Order of the EDPS pursuant to 
Article 58(1)(a) of Regulation 
(EU) 2018/1725 to provide 
8  COO.6515.100.3.411627 
30/11/2020  A(2020) 3850 
information 
RE: Our ref.: 2020-0766 - D(2020) 
9  COO.6515.100.4.411598 
30/11/2020  A(2020) 3842 
2169 
Reply to the request for 
information (reference C 2020-
10  COO.6515.100.4.411585 
30/11/2020  A(2020) 3840 
0766) 
11  COO.6515.100.3.411546 
27/11/2020  A(2020) 3831 
C 2020-0766 - EMA reports 
C 2020-0766 - EMA reports 
submitted to EDPS in response to 
the Enforcement Order of 5 
12  COO.6515.100.4.411544 
27/11/2020  A(2020) 3830 
October 2020 
RE: Our ref.: 2020-0766 - D(2020) 
13  COO.6515.100.3.411539 
27/11/2020  A(2020) 3828 
2169 
14  COO.6515.100.3.411535 
27/11/2020  A(2020) 3826 
C 2020-0766 Reporting exercise 
RE: Our ref.: 2020-0766 -D(2020) 
15  COO.6515.100.2.411566 
30/11/2020  A(2020) 3832 
2477 
Our ref 2020-
0766 & 2020-0940 
D-2744 -- PART 
Our ref 2020-0766 & 2020-0940 
16  COO.6515.100.4.411671 
30/11/2020  III 
D-2744 -- PART III 
Our ref 2020-
0766 & 2020-0940  Our ref 2020-0766 & 2020-0940 
17  COO.6515.100.2.411673 
30/11/2020  D-2744 -- PART II  D-2744 -- PART II 
Our ref 2020-
0766 & 2020-0940  Our ref 2020-0766 & 2020-0940 
18  COO.6515.100.3.411672 
30/11/2020  D-2744 -- PART I  D-2744 -- PART I 
4 
 
 
RE: Our ref.: 2020-0766 -D(2020) 
19  COO.6515.100.2.411577 
30/11/2020  A(2020) 3837 
2477 
Re: Our ref.: 2020-0766 - D(2020) 
20  COO.6515.100.2.411437 
26/11/2020  A(2020) 3807 
2169 
RE: Our ref.: 2020-0766 - D(2020) 
21  COO.6515.100.2.411424 
26/11/2020  A(2020) 3803 
2169 
Reply to the Order of the EDPS 
pursuant to Article 58(1)(a) of 
Regulation (EU) 2018/1725 to 
22  COO.6515.100.4.411693 
30/11/2020  A(2020) 3859 
provide information 
RE: Our ref.: 2020-0766 -D(2020) 
23  COO.6515.100.4.411697 
30/11/2020  A(2020) 3860 
2477 
24  COO.6515.100.3.411703 
30/11/2020  A(2020) 3863 
RE: Our ref.: 2020-0766 
Your ref.: 2020-0766 - D(2020) 
25  COO.6515.100.4.411701 
30/11/2020  A(2020) 3862 
2169 - Reply from F4E 
FW: Our ref.: 2020-0766 - D(2020) 
26  COO.6515.100.4.411706 
30/11/2020  A(2020) 3864 
2169 [Decrypted TLS] 
[EDPS Case 2020-0766] - EDPS 
Order to provide information - 
27  COO.6515.100.3.411713 
30/11/2020  A(2020) 3866 
EDPB reply [OUT2020-0130] 
RE: Our ref.: 2020-0766 - D(2020) 
28  COO.6515.100.3.411711 
30/11/2020  A(2020) 3865 
2169 
Our ref. 2020-0766 & 2020-0940 
29  COO.6515.100.2.411717 
30/11/2020  A(2020) 3867 
D-2744 -- [ PART III ]..  [3] 
Information concerning data 
transfers to third countries. - RE: 
Our ref.: 2020-0766 - D(2020) 
30  COO.6515.100.3.411718 
30/11/2020  A(2020) 3868 
2169 
Your Ref C 2020-0766 – EIOPA 
31  COO.6515.100.4.411724 
30/11/2020  A(2020) 3871 
Reply 
Ares(2020)7213074 - Reply to 
your letter of 2nd October 2020 
“order of the EDPS pursuant to 
Article 58(1)(a) of Regulation 
(EU) 2018/1725 to provide 
32  COO.6515.100.4.411721 
30/11/2020  A(2020) 3870 
information Ref. C2020-0766” 
Ares(2020)7214009 - [Re] Order 
of the EDPS pursuant to Article 
58(1)(a) of Regulation (EU) 
33  COO.6515.100.3.411726 
30/11/2020  A(2020) 3872 
2018/1725 to provide information 
RE: Our ref.: 2020-0766 -D(2020) 
34  COO.6515.100.2.410907 
20/11/2020  A(2020) 3717 
2477 
GUE/NGL template on 
processing operations leading to 
transfer of personal data to non-
35  COO.6515.100.2.410904 
20/11/2020  A(2020) 3716 
EU countries. 
RE: Our ref.: 2020-0766 - D(2020) 
36  COO.6515.100.2.410032 
12/11/2020  A(2020) 3538 
2169 
Transfers of personal data to 
37  COO.6515.100.3.410221 
13/11/2020  A(2020) 3576 
third countries 
RE: Our ref.: 2020-0766 - D(2020) 
38  COO.6515.100.4.410415 
17/11/2020  A(2020) 3619 
2169 
EDPS order- EUIs mapping data 
39  COO.6515.100.2.411732 
01/12/2020  A(2020) 3874 
transfers- C 2020-0766 
5 
 
 
RE: Our ref.: 2020-0766 - D(2020) 
40  COO.6515.100.4.411100 
23/11/2020  A(2020) 3745 
2169 
RE: Our ref.: 2020-0766 - D(2020) 
41  COO.6515.100.3.411146 
24/11/2020  A(2020) 3753 
2169 
FW: Our ref.: 2020-0766 - D(2020) 
42  COO.6515.100.4.411183 
24/11/2020  A(2020) 3759 
2169 
RE: EFSA reply EDPS case 2020-
0766 - contracts (3) (last 
43  COO.6515.100.2.411930 
02/12/2020  A(2020) 3905 
message) 
RE: EFSA reply EDPS case 2020-
44  COO.6515.100.3.411898 
01/12/2020  A(2020) 3901 
0766 - contracts (1) 
EFSA reply to order pursuant to 
Art. 58(1)(a) EDPR - EDPS case 
45  COO.6515.100.2.411895 
01/12/2020  A(2020) 3900 
2020-0766 (1) 
RE: Our ref.: 2020-0766 - D(2020) 
46  COO.6515.100.2.411892 
01/12/2020  A(2020) 3899 
2169 
Order of the EDPS pursuant to 
Article 58(1)(a) of Regulation 
(EU) 2018/1725 to provide 
47  COO.6515.100.4.411848 
01/12/2020  A(2020) 3897 
information 
RE: Our ref.: 2020-0766 - D(2020) 
48  COO.6515.100.3.411818 
01/12/2020  D(2020) 2750 
2169 
RE: Our ref.: 2020-0766 - D(2020) 
49  COO.6515.100.4.411812 
01/12/2020  A(2020) 3891 
2169 
[Report on international 
50  COO.6515.100.3.411807 
01/12/2020  A(2020) 3889 
transfers ] 
EEAS Reporting on Mapping 
exercise - International Transfers 
RE: Our ref.: 2020-0766 -D(2020) 
51  COO.6515.100.3.411802 
01/12/2020  A(2020) 3888 
2477 
RE: Our ref.: 2020-0766 - D(2020) 
52  COO.6515.100.3.411785 
01/12/2020  A(2020) 3887 
2169 
RE: Our ref.: 2020-0766 - D(2020) 
53  COO.6515.100.3.411784 
01/12/2020  A(2020) 3886 
2169 
Ref. EUIPO - C 2020-0766 Order 
of the EDPS pursuant to Article 
58(1)(a) of Regulation (EU) 
54  COO.6515.100.2.411784 
01/12/2020  A(2020) 3885 
2018/1728 to provide information 
RE: Our ref.: 2020-0766 -D(2020) 
55  COO.6515.100.2.411780 
01/12/2020  A(2020) 3884 
2477 
RE: Our ref.: 2020-0766 - D(2020) 
56  COO.6515.100.2.411778 
01/12/2020  A(2020) 3883 
2169 
RE: Our ref.: 2020-0766 -D(2020) 
57  COO.6515.100.3.411775 
01/12/2020  A(2020) 3882 
2477 
Order of the EDPS pursuant to 
Article 58(1)(a) of Regulation 
58  COO.6515.100.3.411770 
01/12/2020  A(2020) 3881 
(EU) 2018/1725 
RE: Our ref.: 2020-0766 - D(2020) 
59  COO.6515.100.4.411765 
01/12/2020  A(2020) 3880 
2169 
RE: Our ref.: 2020-0766 -D(2020) 
60  COO.6515.100.4.411760 
01/12/2020  A(2020) 3879 
2477 
61  COO.6515.100.4.411757 
01/12/2020  A(2020) 3878 
2020-0766 -D(2020) 2477 
Your ref.: 2020-0766 - D(2020) 
62  COO.6515.100.4.411734 
01/12/2020  A(2020) 3875 
2169 
6 
 
 
RE: Our ref.: 2020-0766 -D(2020) 
63  COO.6515.100.4.411751 
01/12/2020  A(2020) 3876 
2477 - EFCA Answer 
RE: Order of the EDPS pursuant 
to Article 58(1)(a) of Regulation 
(EU) 2018/1725 (EDPS ref.: 2020-
0766 - D(2020)2169) 
64  COO.6515.100.4.411752 
01/12/2020  A(2020) 3877 
[RMIncoming-2020-000737] 
RE: EFSA reply EDPS case 2020-
0766 - contracts (3) (last 
65  COO.6515.100.2.411935 
02/12/2020  A(2020) 3906 
message) 
RE: Our ref.: 2020-0766 - D(2020) 
66  COO.6515.100.4.411939 
02/12/2020  A(2020) 3908 
2169 
Order of the EDPS pursuant to 
Article 58(1)(a) of Regulation 
(EU) 2018/1725 to provide 
information, dated 2 October 
67  COO.6515.100.2.411946 
02/12/2020  A(2020) 3911 
2020 
68  COO.6515.100.4.411951 
02/12/2020  ECB reports 
ECB reports 
EDPS Synthesis 
69  COO.6515.100.2.412144 
03/12/2020  of information 
EDPS Synthesis of information 
RE: RE: Our ref.: 2020-0766 - 
70  COO.6515.100.4.411994 
02/12/2020  D(2020) 2780 
D(2020) 2169 
Ares(2020)7356643 - 2020-0766 - 
D(2020) 2477 - your information 
order regarding international 
71  COO.6515.100.3.412332 
07/12/2020  A(2020) 3974 
transfers of data 
your request of 2 October 2020 - 
Order of the European Data 
Protection Supervisor (EDPS) 
pursuant to Article 58(1)(a) of 
Regulation (EU) 2018/1725 to 
provide information on transfers 
of personal data to third 
72  COO.6515.100.4.413067 
10/12/2020  A(2020) 4041 
countries 
Reporting on international 
transfers ( case C 2020-766) - 
73  COO.6515.100.4.413343 
11/12/2020  A(2020) 4062 
OLAF / Ares(2020)7532543 
Reply to the order of the EDPS 
pursuant to Article 58(1)(a) of 
74  COO.6515.100.3.413364 
11/12/2020  A(2020) 4076 
Regulation (EU) 2018/1725 
FW: [EXTERNAL] Our ref.: 2020-
75  COO.6515.100.3.413437 
14/12/2020  A(2020) 4085 
0766 -D(2020) 2477 
Reply to the order of the EDPS 
pursuant to Article 58(1)(a) of 
76  COO.6515.100.4.412262 
04/12/2020  A(2020) 3959 
Regulation (EU) 2018/1725 
RE: Our ref.: 2020-0766 -D(2020) 
77  COO.6515.100.3.411998 
02/12/2020  A(2020) 3914 
2477 
Upcoming reporting from OLAF 
78  COO.6515.100.2.412945 
09/12/2020  A(2020) 4012 
case 2020 766 
RE: Our ref.: 2020-0766 -D(2020) 
79  COO.6515.100.4.415726 
04/01/2021  A(2021) 0002 
2477 
PD: GEDA D(2020)34146 - EDPS 
CASE C2020_0766 - EDPS order 
on personal data transfers cases 
80  COO.6515.100.2.420808 
09/02/2021  A(2021) 0482 
to third countries 
7 
 
 
Copy of 
EUI_replies_over
81  COO.6515.100.3.421722 
17/02/2021  view 
  
82  COO.6515.100.2.421798 
18/02/2021  Reminders 
Reminders 
83  COO.6515.100.4.421816 
18/02/2021  A(2021) 0619 
RE: Case 2020-0766 
84  COO.6515.100.3.421969 
22/02/2021  A(2021) 0640 
RE: Case 2020-0766 
RE: RE: RE: Our ref.: 2020-0766 - 
85  COO.6515.100.2.422084 
23/02/2021  A(2021) 0667 
D(2020) 2169 
86  COO.6515.100.4.422199 
24/02/2021  A(2021) 0696 
RE: Case 2020-0766 
87  COO.6515.100.2.422498 
01/03/2021  A(2021) 0759 
RE: Case 2020-0766 
88  COO.6515.100.3.422989 
05/03/2021  A(2021) 0857 
RE: Case 2020-0766 
Provision of information 
regarding data transfers to third 
89  COO.6515.100.2.423123 
08/03/2021  A(2021) 0879 
countries (ref. C 2020-0766) 
@EXT: RE: Case 2020-0766 
(compliance with Schrems II 
90  COO.6515.100.4.423225 
09/03/2021  A(2021) 0901 
guidance) 
 
8