SURF heeft een Data Protection Impact Assessment (DPIA) uitgevoerd op HR2day, een allround HRM en Payroll systeem. Daarin zijn 16 hoge risico’s gevonden. HR2day heeft aangegeven voor eind 2026 mitigerende maatregelen te treffen, maar ook instellingen wordt geadviseerd om in actie te komen. Instellingen kunnen HR2day voorlopig wel blijven gebruiken.