SURF geeft negatief advies over Qualtrics na veertien hoge privacyrisico's

SURF geeft een negatief advies over enquêteplatform Qualtrics DesignXM. Een DPIA namens het Nederlandse hoger onderwijs telt veertien hoge risico's en één laag risico, en de leverancier zegt geen enkele maatregel toe om ze weg te nemen.

Voor elke organisatie die met Amerikaanse SaaS werkt is dit een bruikbaar toetsmoment, want SURF liep niet vast op een datalek of een technische fout. De toets liep vast op papier: op wat er in het privacybeleid van de leverancier staat tegenover wat er in de verwerkersovereenkomst is afgesproken. Dezelfde tegenstelling zit in de enquêtetools, formulierendiensten en analytics die bij een gemiddeld Nederlands bedrijf draaien, en je hebt geen privacyafdeling nodig om hem te vinden.

Een toets die eindigt in stoppen, niet in mitigeren

SURF is de ict-coöperatie van universiteiten, hogescholen, mbo-instellingen, academische ziekenhuizen en onderzoeksinstituten, en voert privacytoetsen uit namens haar leden. DesignXM wordt daar gebruikt om online beoordelingen, callcenter-interacties en enquêtes van studenten, docenten en medewerkers te verzamelen en analyseren.

Een DPIA eindigt normaal met een lijst maatregelen die de leverancier gaat doorvoeren. Hier gebeurde dat niet. Qualtrics betwist de risicoclassificatie en heeft zich niet verbonden aan mitigerende maatregelen, staat in het rapport, waarna SURF concludeert dat de hoge risico's zonder vaste en concrete toezeggingen van de leverancier niet oplosbaar zijn. Volgens SURF is dit de eerste keer dat een leverancier geen maatregelen toezegt; de coöperatie heeft de zaak ook aangekaart bij de Autoriteit Persoonsgegevens.

Even belangrijk is hoe SURF tot die veertien kwam. Qualtrics beantwoordde de gestelde vragen onvoldoende, waardoor de onderzoekers naar eigen zeggen een black box-benadering moesten kiezen: risico's kregen de classificatie hoog omdat er te weinig informatie was om ze lager in te schatten. Onwetendheid over een leverancier is in een DPIA dus geen neutrale uitkomst, maar een risico op zich.

Het privacybeleid dat de verwerkersovereenkomst tegenspreekt

Het zwaarste risico noemt SURF de gegevensagnostische aanpak, en dat is precies het punt dat elke inkoper kan natrekken. In het eigen privacybeleid van Qualtrics treedt het bedrijf voor zeven doeleinden op als verwerkingsverantwoordelijke in plaats van als verwerker: het leveren van de diensten, communicatie met de klant, het verbeteren, monitoren, personaliseren en beveiligen van de diensten, onderzoek en ontwikkeling, marketing en reclame, naleving en bescherming, en het trainen van kunstmatige-intelligentietools.

Dat ondermijnt de rolverdeling die je in een verwerkersovereenkomst juist vastlegt, en met de rolverdeling ook het beginsel van doelbinding. Een instelling spreekt af dat de leverancier alleen in opdracht verwerkt; het privacybeleid van diezelfde leverancier claimt zeggenschap over een rij eigen doelen, waaronder AI-training. Tilburg University zegt het in eigen woorden: het is niet duidelijk of en hoe Qualtrics onderzoeksdata met derden deelt of gebruikt voor AI-modeltraining, en de leverancier wil daar geen uitspraken over doen.

Vier bevindingen die elke SaaS-inkoper herkent

De overige hoge risico's zijn geen abstracties, maar concrete functies die in de standaardstand aan staan:

• Inloggen via proxy. Een beheerder kan namens een gebruiker inloggen zonder dat die daar vooraf of achteraf een melding van krijgt. Volgens de DPIA is dat een standaard ondersteuningsinstrument dat veelvuldig wordt gebruikt.
• Automatisch vertalen. Het platform stuurt enquête-inhoud naar Google Translate of Amazon Translate zonder dat een beheerder die functie centraal kan uitzetten. Daarmee kan één onderzoeker een doorgifte naar een Amerikaanse hyperscaler in gang zetten buiten de verwerkingsverantwoordelijke om.
• Cookies. In het technisch onderzoek vond SURF 25 cookies die niet in de cookieverklaring stonden. Zonder die informatie kan een instelling geen geldige toestemming vragen.
• Anonimisering. Qualtrics heeft geen nauwkeurigheidsstatistieken voor de anonimisering van Nederlandse gegevens en kon SURF niet vertellen of het model überhaupt op het Nederlands is getraind.

Qualtrics zelf legt de verantwoordelijkheid terug bij de klant. "De instelling bepaalt welke gegevens worden verzameld, van wie, en met welk doel", stelt het bedrijf in de oplegger die als afwijkend standpunt in het rapport is opgenomen.

Instellingen zetten de tool niet meteen uit

Het advies is een paraplu-oordeel over één configuratie, geen verbod. Elke instelling blijft zelf verwerkingsverantwoordelijke en moet de uitkomst vertalen naar de eigen situatie. Tilburg University maakte die afweging al en blijft Qualtrics voorlopig gecontroleerd gebruiken terwijl het samen met SURF een alternatief zoekt, omdat per direct stoppen onderzoek en onderwijs zou ontwrichten. De universiteit schat enkele risico's lager in dan SURF, maar houdt de kernrisico's hoog, versnelt de migratie van decentrale naar centrale omgevingen en wijst MS Forms aan als voorlopige uitwijk met minder functionaliteit.

Dat is de realistische uitkomst van zo'n oordeel: niet de stekker eruit, maar een aftelklok. En precies daar zit de les voor een bedrijf dat zijn eigen stack bekijkt. Een verwerkersovereenkomst is pas iets waard als het privacybeleid van dezelfde leverancier hem niet tegenspreekt, en als de leverancier de vragen erover beantwoordt.

Hetzelfde instrument, de tegenovergestelde uitkomst

De DPIA is de afgelopen jaren opgeschoven van compliance-formaliteit naar inkoopinstrument, en dit is de eerste keer dat het instrument een leverancier daadwerkelijk afwijst. Het contrast met eerdere toetsen is scherp. Toen SLM Rijk Google Cloud beoordeelde, bleven er geen bekende hoge risico's over zolang beheerders de aanbevolen maatregelen doorvoeren, en nam Google de rol van verwerker op zich in plaats van die van verwerkingsverantwoordelijke. Zelfde toetsmodel, zelfde Amerikaanse herkomst, tegenovergesteld resultaat.

Het verschil zat niet in het land waar de servers staan, maar in de bereidheid om te antwoorden. Dat maakt transparantie een harde inkoopeis in plaats van een vinkje: een leverancier die geen inzicht geeft in subverwerkers, anonimisering of AI-training laat zich niet toetsen, en wat niet te toetsen valt telt in een DPIA als hoog risico. Wie dat te laat ontdekt, ontdekt het zoals de Belastingdienst, die de AVG overtrad met Adobe Analytics in de betaalomgeving. Een gesprek vooraf met de leverancier is aanzienlijk goedkoper dan een migratie achteraf.