SURF adviseert het hoger onderwijs in Nederland om de enquêtedienst DesignXM van het Amerikaanse bedrijf Qualtrics niet te gebruiken. Uit onderzoek naar de dienst blijkt dat er allerlei hoge risico's zijn met betrekking tot transparantie en controle over de verwerking van persoonsgegevens. Deze risico's zijn niet door de leverancier opgelost, waardoor SURF een negatief advies voor het gebruik van de dienst geeft. SURF is een ict-coöperatie van Nederlandse onderwijs- en onderzoeksinstellingen.

Qualtrics DesignXM is een platform voor marktonderzoek en experience design. Onderwijs- en onderzoeksinstellingen gebruiken het om online beoordelingen, interacties via callcenters en sociale media en enquêtes van studenten, docenten en medewerkers te verzamelen en analyseren. SURF liet een Data Protection Impact Assessment (DPIA) naar de dienst uitvoeren. Met een DPIA worden privacyrisico's die bij het verwerken van gegevens komen kijken in kaart gebracht. Vervolgens kunnen er maatregelen worden getroffen om de risico's te verkleinen.

In totaal werden veertien hoge risico’s en één laag risico geïdentificeerd. Zo is er volgens het onderzoek een verlies van controle en transparantie met betrekking tot toestemming voor het verzamelen van gegevens, is niet bewezen dat de anonimiseringsprocessen effectief zijn, is er een onvolledig overzicht van subverwerkers, is er onvolledige informatie over cookies, wordt er niet voldaan aan inzage van betrokkenen en zijn er risico's met betrekking tot een ‘gegevensonafhankelijke’ benadering van gegevensverwerking, specifiek over de rol van Qualtrics als verwerker in plaats van verwerkingsverantwoordelijke.

"Door de onopgeloste hoge risico’s en het ontbreken van een plan van maatregelen door Qualtrics, geeft SURF op dit moment een negatief advies aan haar leden voor het gebruik van Qualtrics DesignXM op basis van de configuratie die in deze 'paraplu' DPIA is besproken. SURF raadt aangesloten instellingen aan om terughoudend te werk te gaan", aldus SURF. Qualtrics laat in een reactie op de DPIA weten dat het zich niet kan vinden in de beoordeling van de risico’s door SURF.