SURF heeft een Data Protection Impact Assessment (DPIA) uitgevoerd op Profit van AFAS, een allround HRM en Payroll systeem. Daarin zijn 14 hoge risico’s geïdentificeerd. AFAS heeft aangegeven voor eind 2026 mitigerende maatregelen te treffen. Voorlopig kunnen instellingen Profit blijven gebruiken. Tegelijkertijd adviseert SURF instellingen om in actie te komen.