SURF DPIA ziet 14 hoge risico’s bij Qualtrics DesignXM

Qualtrics DesignXM is een Experience Management (XM-)platform dat onderwijs- en onderzoeksinstellingen gebruiken om enquêtes van studenten, docenten en medewerkers te verzamelen en analyseren zo meldt SURF.

14 hoge risico’s geïdentificeerd

De DPIA identificeert 14 hoge risico’s en één laag risico. In de beoordeling van SURF hebben verschillende hoge risico’s te maken met gebrek aan transparantie en controle over de verwerking van persoonsgegevens. De risico’s hebben betrekking op het volgende:

Een ‘gegevensonafhankelijke’ benadering van gegevensverwerking, specifiek over de rol van Qualtrics als verwerker in plaats van verwerkingsverantwoordelijke.

Gebrek aan bewijs van effectieve anonimiseringsprocessen.

Een onvolledig overzicht van subverwerkers.

Verlies van controle en transparantie met betrekking tot toestemming voor het verzamelen van gegevens.

Onvolledige informatie over cookies.

Niet volledig voldoen aan verzoeken om inzage van betrokkenen (DSAR’s).

Gedetailleerde informatie over alle geïdentificeerde risico’s is te vinden in ons DPIA-rapport.

Afwijkende mening Qualtrics

Qualtrics is het niet eens met de beoordeling van SURF van deze risico’s. Hetrapport vermeldt daarom een verschil in mening tussen SURF en de leverancier. Qualtrics heeft zijn standpunten uiteengezet in een afzonderlijk document, genaamd ‘Oplegger’, dat is opgenomen in de DPIA. We adviseren onze leden om kennis te nemen van het standpunt van Qualtrics, omdat hierdoor een volledig beeld ontstaat van de uitkomst van de DPIA.

Wat dit betekent voor onze leden

Door de onopgeloste hoge risico’s en het ontbreken van een plan van maatregelen door Qualtrics, geeft SURF op dit moment een negatief advies aan haar leden voor het gebruik van Qualtrics DesignXM op basis van de configuratie die in deze 'paraplu' DPIA is besproken. SURF raadt aangesloten instellingen aan om terughoudend te werk te gaan. Als Qualtrics besluit stappen te zetten om mitigerende maatregelen te nemen, dan zal SURF de uitkomst van deze DPIA opnieuw evalueren op basis van eventuele relevante nieuwe informatie.

SURF heeft deze DPIA bij Qualtrics uitgevoerd namens en in opdracht van haar leden, als een ‘paraplu’-beoordeling. Als gegevensbeheerder beoordelen instellingen zelf of hun gebruik van het platform voldoet aan de vereisten van de AVG. Nederlandse onderwijs- en onderzoeksinstellingen moeten deze uitkomst vertalen naar hun eigen specifieke situatie en dienen zelf te beslissen over hun toekomstige gebruik van Qualtrics-diensten.

Lees het volledige rapport

Lees de volledige bevindingen van het onderzoek op de website van SURF Vendor Compliance.