Kan ik als ontwikkelaar de AVG-risico’s van mijn software bij de klant leggen?

Een lezer vroeg me:
Ik ben een eenmansbedrijf dat software maakt voor kassasystemen. Ik heb een klant die vasthoudt aan een legacy systeem van mij, waar persoonsgegevens in zitten. Ik kan echt niet meer 100% instaan dat dit veilig is gezien de leeftijd van het systeem, maar deze klant wil het persé aanhouden en alle risico’s dragen. Kan ik op een of andere manier alle AVG risico’s bij de klant leggen, of kan dit niet en zit er niets anders op dan het systeem echt af te sluiten?
Bij een onsite applicatie kun je alle verantwoordelijkheid verleggen, dat zou ik wel expliciet doen met een aparte verklaring.

Bij SaaS ben jij verwerker van die persoonsgegevens, en de AVG bepaalt apart dat ook jij aansprakelijk bent naar betrokkenen toe en dat jij apart beboet kan worden door de AP als het systeem niet adequaat is. Dat kun je niet verleggen met een contract.

Het beste dat je bij SaaS kunt doen is afspreken dat de klant je vrijwaart van eventuele boetes en claims. Dat betekent dan nog steeds dat jij ze moet betalen, maar je mag je dan omdraaien en ze verhalen op je klant die zo nodig dit systeem moest gebruiken. Punt is natuurlijk wel dat als de klant in de tussentijd gestopt is of failliet verklaard, er niets te halen is.

Arnoud

Het bericht Kan ik als ontwikkelaar de AVG-risico’s van mijn software bij de klant leggen? verscheen eerst op Ius Mentis.

Gerelateerde berichten:

• Wat moet ik doen als mijn klant me productiedata geeft om te testen? (29/01/18 08:10)
• Ik wil niet aansprakelijk zijn voor kwijtgeraakte bestellingen! (19/04/10 08:56)
• Ik wil mijn data van mijn leverancier! (19/09/12 08:16)
• Is e-mail nou wel of niet veilig genoeg voor communicatie van basale persoonsgegevens? (08/11/16 08:13)
• Heb je nou voor pentesten óók al een verwerkersovereenkomst nodig? (03/02/20 08:17)

Reacties:

Er zijn nog geen reacties op dit bericht.