SURF DPIA signaleert 14 hoge risico’s bij Qualtrics DesignXM  

SURF heeft 14 hoge risico’s en één laag risico vastgesteld in de Data Protection Impact Assessment (DPIA) op Qualtrics DesignXM, een platform voor marktonderzoek en experience design. 

Qualtrics DesignXM is een Experience Management (XM-)platform dat onderwijs- en onderzoeksinstellingen gebruiken om enquêtes van studenten, docenten en medewerkers te verzamelen en analyseren.  

14 hoge risico’s geïdentificeerd  

De DPIA identificeert 14 hoge risico’s en één laag risico. In de beoordeling van SURF hebben verschillende hoge risico’s te maken met gebrek aan transparantie en controle over de verwerking van persoonsgegevens. De risico’s hebben betrekking op het volgende: 

• Een ‘gegevensonafhankelijke’ benadering van gegevensverwerking, specifiek over de rol van Qualtrics als verwerker in plaats van verwerkingsverantwoordelijke.  
• Gebrek aan bewijs van effectieve anonimiseringsprocessen.  
• Een onvolledig overzicht van subverwerkers.  
• Verlies van controle en transparantie met betrekking tot toestemming voor het verzamelen van gegevens. 
• Onvolledige informatie over cookies.  
• Niet volledig voldoen aan verzoeken om inzage van betrokkenen (DSAR’s).

Gedetailleerde informatie over alle geïdentificeerde risico’s is te vinden in ons DPIA-rapport.  

Afwijkende mening Qualtrics   

Qualtrics is het niet eens met de beoordeling van SURF van deze risico’s. Het rapport vermeldt daarom een verschil in mening tussen SURF en de leverancier. Qualtrics heeft zijn standpunten uiteengezet in een afzonderlijk document, genaamd ‘Oplegger’, dat is opgenomen in de DPIA. We adviseren onze leden om kennis te nemen van het standpunt van Qualtrics, omdat hierdoor een volledig beeld ontstaat van de uitkomst van de DPIA.  

Wat dit betekent voor onze leden 

Door de onopgeloste hoge risico’s en het ontbreken van een plan van maatregelen door Qualtrics, geeft SURF op dit moment een negatief advies aan haar leden voor het gebruik van Qualtrics DesignXM op basis van de configuratie die in deze 'paraplu' DPIA is besproken. SURF raadt aangesloten instellingen aan om terughoudend te werk te gaan. Als Qualtrics besluit stappen te zetten om mitigerende maatregelen te nemen, dan zal SURF de uitkomst van deze DPIA opnieuw evalueren op basis van eventuele relevante nieuwe informatie.  

SURF heeft deze DPIA bij Qualtrics uitgevoerd namens en in opdracht van haar leden, als een ‘paraplu’-beoordeling. Als gegevensbeheerder beoordelen instellingen zelf of hun gebruik van het platform voldoet aan de vereisten van de AVG. Nederlandse onderwijs- en onderzoeksinstellingen moeten deze uitkomst vertalen naar hun eigen specifieke situatie en dienen zelf te beslissen over hun toekomstige gebruik van Qualtrics-diensten. 

Lees het volledige rapport  

Lees de volledige bevindingen van het onderzoek in de DPIA.
Wil je liever de Nederlandse vertaling van de samenvatting, risico's en mitigerende maatregelen uit de DPIA lezen, dan kan dat in dit document (let op: het gaat hier om een informele vertaling, bij tegenstrijdigheden is de Engelse versie leidend).

Vragen?  

Neem dan contact met ons op via vendorcompliance@surf.nl.  

(Sub)verwerkers in de Verenigde Staten  

SURF is bijzonder alert op verwerking door leveranciers en hun gelieerde subleveranciers die in de VS zijn gevestigd. Zie voor meer informatie het eerder opgestelde algemene informatiedocument over het gebruik van in de VS gevestigde leveranciers.