SURF DPIA signaleert 14 hoge risico’s bij Qualtrics DesignXM

Qualtrics DesignXM is een Experience Management (XM-)platform dat onderwijs- en onderzoeksinstellingen gebruiken om enquêtes van studenten, docenten en medewerkers te verzamelen en analyseren zo meldt SURF.

14 hoge risico’s geïdentificeerd

De DPIA identificeert 14 hoge risico’s en één laag risico. In de beoordeling van SURF hebben verschillende hoge risico’s te maken met gebrek aan transparantie en controle over de verwerking van persoonsgegevens. De risico’s hebben betrekking op het volgende:

• Een ‘gegevensonafhankelijke’ benadering van gegevensverwerking, specifiek over de rol van Qualtrics als verwerker in plaats van verwerkingsverantwoordelijke.
• Gebrek aan bewijs van effectieve anonimiseringsprocessen.
• Een onvolledig overzicht van subverwerkers.
• Verlies van controle en transparantie met betrekking tot toestemming voor het verzamelen van gegevens.
• Onvolledige informatie over cookies.
• Niet volledig voldoen aan verzoeken om inzage van betrokkenen (DSAR’s).
• Gedetailleerde informatie over alle geïdentificeerde risico’s is te vinden in ons DPIA-rapport.

Afwijkende mening Qualtrics

Qualtrics is het niet eens met de beoordeling van SURF van deze risico’s. Het rapport vermeldt daarom een verschil in mening tussen SURF en de leverancier. Qualtrics heeft zijn standpunten uiteengezet in een afzonderlijk document, genaamd ‘Oplegger’, dat is opgenomen in de DPIA. SURF adviseert leden om kennis te nemen van het standpunt van Qualtrics, omdat hierdoor een volledig beeld ontstaat van de uitkomst van de DPIA.

Wat dit betekent voor onze leden

Door de onopgeloste hoge risico’s en het ontbreken van een plan van maatregelen door Qualtrics, geeft SURF op dit moment een negatief advies aan haar leden voor het gebruik van Qualtrics DesignXM op basis van de configuratie die in deze 'paraplu' DPIA is besproken. SURF raadt aangesloten instellingen aan om terughoudend te werk te gaan. Als Qualtrics besluit stappen te zetten om mitigerende maatregelen te nemen, dan zal SURF de uitkomst van deze DPIA opnieuw evalueren op basis van eventuele relevante nieuwe informatie.

SURF heeft deze DPIA bij Qualtrics uitgevoerd namens en in opdracht van haar leden, als een ‘paraplu’-beoordeling. Als gegevensbeheerder beoordelen instellingen zelf of hun gebruik van het platform voldoet aan de vereisten van de AVG. Nederlandse onderwijs- en onderzoeksinstellingen moeten deze uitkomst vertalen naar hun eigen specifieke situatie en dienen zelf te beslissen over hun toekomstige gebruik van Qualtrics-diensten.

Lees het volledige rapport

Lees de volledige bevindingen van het onderzoek op de website van SURF Vendor Compliance.

Reactie Qualtrics

Qualtrics meldt in een reactie: "Wat betreft de recente DPIA van SURF voor DesignXM is Qualtrics het absoluut oneens met de risico conclusies en het advies aan Nederlandse onderwijs- en onderzoeksinstellingen. Met het vertrouwen van meer dan 40.000 klanten wereldwijd hanteren een strikt beveiligings- en privacykader om klantgegevens te beschermen."

"Wij zijn van mening dat de DPIA feitelijke onjuistheden bevat, essentiële informatie over de functies van ons product achterwege laat, en de grenzen vervaagt tussen de verantwoordelijkheden van de dataverwerker (data processor) en de verwerkingsverantwoordelijke (data controller). Als selfservice-platform ontwikkelt Qualtrics de onderliggende technologie en voorziet het instellingen van een tool voor gegevensbeheer. Omdat individuele instellingen zelf bepalen welke gegevens ze verzamelen en voor welke doeleinden, behouden zij de controle over het beheer van hun specifieke risicoprofiel."

"Qualtrics blijft openstaan voor samenwerking met SURF en elke instelling die gebruikmaakt van de diensten van Qualtrics om deze onjuistheden in de DPIA te corrigeren. We blijven Nederlandse onderwijs- en onderzoeksinstellingen ondersteunen met veilige, betrouwbare technologie."

"Ons beveiligings- en privacykader wordt ondersteund door diverse certificeringen, waaronder ISO 27001, ISO 27701, ISO 42001, FedRAMP High, HITRUST en SOC 2 Type 2. Meer informatie is te vinden op https://www.qualtrics.com/platform/security/. Qualtrics biedt zijn klanten via het Trust Center ook alles wat nodig is om beveiligingsbeoordelingen uit te voeren."