AFAS en SURF zetten samen de volgende stap na DPIA-onderzoek

Op ons advies kunnen instellingen Profit voorlopig blijven gebruiken. AFAS heeft aangegeven voor eind 2026 mitigerende maatregelen te treffen voor de gevonden risico’s. Tegelijkertijd adviseert SURF instellingen om zelf ook maatregelen te nemen.

Duidelijkheid over de bevindingen

Er werden in totaal 14 hoge risico’s gevonden, waarvoor in de DPIA mitigerende maatregelen zijn vastgelegd. Als deze zijn uitgevoerd blijven er alleen nog lage restrisico’s over. Een deel daarvan gaat over de privacyrechtelijke rolverdeling, contractuele afspraken en rechten van betrokkenen. SURF benadrukt daarbij dat deze punten vooral gaan over diagnostische gegevens. De meeste risico’s hebben dus geen betrekking op de gegevens over medewerkers die instellingen zelf in Profit invoeren.

Ook heeft SURF gekeken naar de algemene inrichting van Profit en naar de organisatie van gegevensverwerking en bijbehorende waarborgen.

Mitigerende maatregelen van AFAS

AFAS heeft aangegeven de mitigerende maatregelen voor eind 2026 te treffen. 

SURF test en beoordeelt de maatregelen begin 2027 opnieuw. Dan publiceren we een update DPIA en geven aan of de mitigerende maatregelen zijn geïmplementeerd. AFAS heeft zich tijdens het hele proces coöperatief en transparant opgesteld. Er zijn duidelijke afspraken gemaakt over hoe en wanneer de maatregelen worden geïmplementeerd. Dit betekent dat instellingen Profit voorlopig kunnen blijven gebruiken en continuïteit in hun processen houden.

Wat instellingen zelf kunnen doen

SURF adviseert instellingen ook om aanpassingen te doen binnen hun eigen organisatie. Deze aanpassingen zijn te vinden in de DPIA. Denk aan het bijsturen van interne processen en het aanpassen van de verwerkersovereenkomst tussen de instelling en AFAS.

Dat vraagt om een praktische aanpak. Breng in kaart welke afspraken nu gelden, wie intern verantwoordelijk is en welke processtappen eventueel aanscherping nodig hebben.

Softwaregebruik vraagt om samenwerking 

De uitkomst van het DPIA-traject laat zien dat zorgvuldig gebruik van software om samenwerking vraagt. AFAS werkt aan de afgesproken maatregelen. Instellingen moeten naar hun eigen processen en afspraken kijken en SURF volgt en test de voortgang. Zo ontstaat een duidelijke route voor alle betrokken partijen.

Lees het volledige rapport

Lees de volledige bevindingen van het onderzoek in de DPIA op de website van SURF Vendor Compliance.  

Vragen?

Neem contact met ons op via vendorcompliance@surf.nl.