Biblioteksbrugeres privatliv efter GDPR: login, proxylogge, discovery og analyse

Et forskningsbibliotek ved, hvad brugerne låner, søger efter og læser. Det gør biblioteksdata til noget af det mest følsomme, et universitet har, selv når det ligner almindelige systemlogge. Denne guide forklarer, hvilke personoplysninger et bibliotek behandler, hvilke behandlingsgrundlag der gælder, hvordan proxy og fødereret login fungerer set fra et privatlivsperspektiv, hvad forlag og leverandører kan se, og hvor længe rigtige europæiske universitetsbiblioteker opbevarer deres logge.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

1. Hvilke personoplysninger behandler et forskningsbibliotek?

Et forskningsbibliotek behandler identitets- og kontooplysninger om hver registreret bruger, transaktionsdata om lån, bestillinger og gebyrer samt logdata fra de systemer, der giver adgang til elektroniske ressourcer. Tilsammen viser de, hvem der har læst hvad og hvornår. Lægger man lokalebooking, chat, tv-overvågning og AI-søgeværktøjer oven i, kan et bibliotek have et detaljeret billede af hver brugers intellektuelle liv.

De vigtigste kategorier er:

• Lånerregistrering. Navn, studie- eller medarbejdernummer, e-mail, brugergruppe (studerende, medarbejder, ekstern), kortnummer og nogle gange personnummer. Linköpings universitetsbibliotek angiver fx navn, personnummer, e-mail og LiU-ID i sit lånerregister.
• Lån, reserveringer og gebyrer. Aktuelle lån, reserveringer, rykkere og gebyrer. Om forbindelsen til personen bevares efter aflevering, er et centralt designvalg (se afsnit 10).
• Fjernlån og dokumentlevering. Bestillingsformularer med låners navn og titel, som ofte sendes videre til et andet bibliotek eller en kommerciel leverandør.
• Litteraturlister. Kursernes litteraturlister forbinder undervisere, kurser og titler, og nogle systemer registrerer de studerendes klik.
• Login- og proxylogge. IP-adresse, brugernavn eller sessions-ID, tidspunkt og URL til artiklen eller databasen. Disse logge er den mest direkte registrering af, hvad en person har læst.
• Søgelogge i discovery-systemer. Søgeord, gemte søgninger, favoritter og klikdata i bibliotekets katalog eller discovery-lag.
• Booking af lokaler og udstyr. Hvem der bookede hvilket lokale og hvornår, ofte i en bookingtjeneste fra en tredjepart.
• Chat og spørgetjeneste via e-mail. Spørgsmål i fritekst, der kan afsløre forskningsemner og personlige forhold.
• Tv-overvågning og adgangskontrol. Billeder og adgangsregistreringer for biblioteksbygningerne.
• Web- og brugsstatistik. Webanalyse, forlagenes brugsstatistik og dashboards til biblioteksanalyse.
• AI-søgeassistenter. Spørgsmål skrevet i værktøjer som Primo Research Assistant eller Scopus AI og samtalehistorikken.

IP-adresser og sessionsidentifikatorer tæller med. Betragtning 30 i GDPR forklarer, at fysiske personer kan forbindes med online-identifikatorer fra deres udstyr, fx IP-adresser og cookieidentifikatorer, og at disse spor kan bruges til at oprette profiler. En proxylog er derfor personoplysninger, selv om den ikke indeholder et navn.

2. Hvilke behandlingsgrundlag gælder for bibliotekets behandling?

For et offentligt universitet er det sædvanlige behandlingsgrundlag for bibliotekets kerneydelser opgave i samfundets interesse efter GDPR artikel 6, stk. 1, litra e, nogle gange kombineret med kontrakt (artikel 6, stk. 1, litra b) ved udlån og retlig forpligtelse (artikel 6, stk. 1, litra c) for regnskabsmateriale. Samtykke hører til frivillige ekstrafunktioner. Offentlige myndigheder kan ikke bruge legitim interesse til behandling som led i udførelsen af deres opgaver.

Rigtige privatlivsmeddelelser viser, hvordan det fungerer i praksis:

• Université Paris Cité angiver for sit digitale bibliotek, at behandlingsgrundlaget er »l’exécution d’une mission d'intérêt public (article 6.1.e du RGPD)« (udførelse af en opgave i samfundets interesse).
• Biblioteket ved Universidad Complutense de Madrid angiver både kontrakt (art. 6.1 b) og samfundets interesse (art. 6.1 e) for sin udlåns-, læsesals- og fjernlånstjeneste med henvisning til den spanske universitetslov.
• Linköpings universitetsbibliotek beskriver forholdet til låneren som en låneaftale, hvilket svarer til kontrakt.

Samtykke passer til funktioner, som brugeren kan sige nej til uden at miste ydelsen, fx en personlig lånehistorik, gemte søgninger med en personlig konto eller personalisering på en forlagsplatform. På grund af skævheden mellem et universitet og dets studerende og medarbejdere er samtykke et dårligt grundlag for alt det, brugeren ikke kan undgå.

Særlige kategorier af oplysninger. Artikel 9, stk. 1, forbyder behandling af oplysninger, der bl.a. afslører politisk eller religiøs overbevisning, helbred eller seksuel orientering, medmindre en undtagelse gælder. En lånepost eller en proxylog behandles normalt ikke for at afsløre den slags. Validemics analyse Alligevel kan en lånehistorik afsløre det indirekte, hvilket er en god grund til at behandle bibliotekets logge som meget følsomme data i konsekvensanalysen og sikkerhedsklassifikationen og kun gemme dem kort.

Nationale tavshedsregler kan give yderligere beskyttelse. I Sverige minder Linköpings universitetsbibliotek brugerne om, at bibliotekets registreringer er omfattet af tavshedspligt efter 40 kap. 3 § i offentlighets- och sekretesslagen (OSL). Undersøg, om jeres land har en lignende regel om tavshedspligt for biblioteker, fordi den påvirker, hvad biblioteket kan udlevere, fx ved en anmodning om aktindsigt.

Princippet om opbevaringsbegrænsning i artikel 5, stk. 1, litra e, kræver, at personoplysninger »opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt«. For logge er det den regel, der betyder mest. Databeskyttelse gennem design og standardindstillinger (artikel 25) taler for at konfigurere systemerne, så de indsamler mindre fra starten. Se vores side GDPR forklaret for teksten til disse artikler.

3. Hvorfor bibliotekets privatliv handler om intellektuel frihed

Privatliv på biblioteket er ikke kun et spørgsmål om compliance. Bibliotekarprofessionen ser fortrolighed om, hvad folk læser, som en forudsætning for fri søgen efter viden: Tror brugerne, at de bliver overvåget, undgår de måske bestemte emner. Denne etiske standard er ofte strengere end GDPR's minimumskrav, og den giver bibliotekerne et stærkt argument i forhandlinger med leverandører.

IFLA Statement on Privacy in the Library Environment, som IFLA's bestyrelse tilsluttede sig den 14. august 2015, advarer om, at overdreven dataindsamling kan have »a chilling effect on society« (en afskrækkende effekt på samfundet). Erklæringen anbefaler, at bibliotekerne »should reject electronic surveillance and any type of illegitimate monitoring« (bør afvise elektronisk overvågning og enhver form for illegitim overvågning), og at de »should take measures to limit collection of personal information about their users and the services that they use.« (bør træffe foranstaltninger til at begrænse indsamlingen af personoplysninger om deres brugere og de tjenester, de bruger.) Den bemærker også, at bibliotekerne kan »refuse to acquire services that collect excessive data« (afvise at købe tjenester, der indsamler for mange data).

»The relationship between the library and the user is one of confidentiality.« (Forholdet mellem biblioteket og brugeren er et fortroligt forhold.)

I USA, som ikke har GDPR, stiller American Library Association lignende forventninger. ALA's fortolkning af Library Bill of Rights om privatliv, senest ændret den 29. juni 2025, fastslår, at »confidentiality is essential for free inquiry« (fortrolighed er afgørende for fri søgen efter viden), og at bibliotekerne »should only collect and store the PII required for specific, clearly disclosed purposes.« (kun bør indsamle og opbevare de personoplysninger, der kræves til specifikke, klart oplyste formål.) ALA's Library Privacy Guidelines for Vendors tilføjer: »User data should not be retained in perpetuity.« (Brugerdata bør ikke opbevares for evigt.) Teksterne er en nyttig sammenligning for europæiske biblioteker, der køber hos amerikanske leverandører: Leverandørerne kender disse forventninger.

NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems (december 2015) blev skrevet i fællesskab af biblioteker, forlag og softwareleverandører. Principperne sigter mod »balancing the expectations library users have regarding their intellectual freedoms and their privacy« (at afveje biblioteksbrugernes forventninger til deres intellektuelle frihed og deres privatliv) og indeholder principper om indsamling og brug af data, anonymisering, deling af data med andre og understøttelse af anonym brug. Library Freedom Project, som beskriver sig selv som »a network of values-driven librarians working together to build information democracy« (et netværk af værdibaserede bibliotekarer, der arbejder sammen om at opbygge informationsdemokrati), uddanner bibliotekarer i praktisk privatlivsarbejde.

4. Proxylogge: hvad registrerer EZproxy og OpenAthens?

En proxyserver som OCLC's EZproxy sidder mellem brugeren og forlaget, så dens logge registrerer hver forespørgsel: IP-adresse, tidspunkt, URL og, hvis det er konfigureret, brugernavnet. OpenAthens fungerer i stedet som identitetsudbyder og sender attributter til forlagene. I begge tilfælde bestemmer biblioteket en stor del af, hvad der logges, frigives og gemmes, så konfigurationen er en databeskyttelsesbeslutning.

EZproxy

OCLC's dokumentation nævner fire typer logge. Hovedloggen ezproxy.log registrerer trafikken mellem EZproxy og indholdsleverandørerne, herunder brugerens IP-adresse, tidspunkt for forespørgslen, forespurgt URL, HTTP-status og overførte bytes. Standardformatet er %h %l %u %t "%r" %s %b, hvor %u er »Username used to log into EZproxy if Option LogUser appears in config.txt« (det brugernavn, der bruges til at logge ind i EZproxy, hvis Option LogUser står i config.txt). Revisionslogge registrerer login, mislykkede login og blokeret adgang. En valgfri SPU-log registrerer hvert klik på en starting point URL.

Punkter, I bør tjekke i jeres konfiguration:

• Brugernavne i loggene. Uden Option LogUser indeholder hovedloggen IP- og sessionsdata i stedet for brugernavne. Beslut, om I har brug for brugernavne til at undersøge misbrug, og i givet fald hvor længe.
• Opbevaring af revisionslogge. OCLC oplyser, at direktivet AuditPurge som standard er 7 dage, og også at »OCLC suggests increasing the AuditPurge time period to 180« (OCLC foreslår at øge AuditPurge-perioden til 180). Det er et sikkerhedsforslag, ikke et lovkrav. Fastsæt en periode, som jeres databeskyttelsesrådgiver kan begrunde.
• Hostet EZproxy. For EZproxy hostet af OCLC gemmes revisionsloggen i 180 dage, og »The default retention period for all other logs is set to 400 days.« (Standardperioden for opbevaring af alle andre logge er 400 dage.) OCLC tilføjer, at »The minimum log retention period can be adjusted to 180 days, while the maximum is 1830 days.« (Minimumsperioden for opbevaring af logge kan justeres til 180 dage, mens maksimum er 1830 dage.) Hostede kunder, der ønsker under 180 dage, bør tage det op skriftligt med OCLC.
• EZproxy Analytics. OCLC bemærker, at »the data may contain usernames and/or IP addresses« (data kan indeholde brugernavne og/eller IP-adresser), og at logfilerne replikeres til en analyseinstans hostet hos AWS i samme region. Slår I funktionen til, så registrér den som en behandlingsaktivitet, og tjek, at databehandleraftalen dækker den.
• Pseudonyme identifikatorer. EZproxy 7.1 »introduced an optional feature that releases pseudonymous identifiers to content providers« (indførte en valgfri funktion, der frigiver pseudonyme identifikatorer til indholdsleverandører), så forlagene kan indberette misbrug under et pseudonym i stedet for, at biblioteket oplyser, hvem brugeren er.

Rigtige biblioteker offentliggør, hvad de logger. Universitetsbiblioteket i Oslo angiver IP-adressen, ressourcens URL, dato og tid, HTTP-oplysninger, EZproxy-sessions-ID og »Username of your account at UiO« (brugernavnet på din konto ved UiO) og skriver, at det »stores the following data about your web traffic for 6 months before it is deleted« (gemmer følgende data om din webtrafik i 6 måneder, før de slettes), i overensstemmelse med universitetets generelle regler for system- og sikkerhedslogning.

OpenAthens

OpenAthens oplyser, at tjenesten »acts as a data processor for customers who subscribe to the service« (fungerer som databehandler for kunder, der abonnerer på tjenesten), så universitetet er dataansvarligt og skal have en aftale efter artikel 28 med OpenAthens. Ifølge dokumentationen frigives der som standard et Targeted ID til alle tjenesteudbydere, beskrevet som »A pseudonymous user identifier generated by the system« (en pseudonym brugeridentifikator genereret af systemet), med en forskellig værdi for hver tjeneste. Targeted ID er ved at blive afløst af attributten pairwise-id, som ifølge OpenAthens »Only released by default for domains created after November 2023« (kun frigives som standard for domæner oprettet efter november 2023). Bibliotekerne kan tilsidesætte frigivelsespolitikken for hvert forlag, og det er her, navn og e-mail nogle gange begynder at flyde for at understøtte personaliseringsfunktioner. OpenAthens' privatlivsside indeholder kun en generel oplysning om opbevaring, så bed skriftligt om opbevaringsperioden for revisions- og brugslogge.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

5. Fødereret login: hvad bør et bibliotek frigive til forlagene?

Ved fødereret login sender universitetets identitetsudbyder attributter til forlaget i en SAML-assertion. Biblioteket og IT kan bestemme, hvilke attributter hvert forlag modtager. For licenseret indhold er den privatlivsvenlige standard en tilknytning med domæne og, kun hvis det er nødvendigt, en pseudonym parvis identifikator. Frigiver man et fast brugernavn eller en e-mailadresse, kan forlaget koble aktiviteten til en navngiven person.

eduGAIN, SeamlessAccess og entitetskategorierne

De nationale føderationer for forskning og uddannelse (fx Feide i Norge, som Nord universitet bruger til login i EZproxy, og UK Access Management Federation) er forbundet med hinanden gennem eduGAIN. eduGAIN's websted beskriver, hvordan det giver føderationerne mulighed for at »interconnect, so that participating institutions and services can collaborate without the need to establish individual bilateral connections.« (forbinde sig med hinanden, så de deltagende institutioner og tjenester kan samarbejde uden at skulle etablere individuelle bilaterale forbindelser.) Den 9. oktober 2026 viste webstedets aktuelle statistik 84 føderationer.

SeamlessAccess er knappen »Access through your institution« på mange forlags websteder. Den drives af en koalition af GÉANT, Internet2, NISO og STM. Ifølge tjenestens privatlivsside »runs its software locally in your browser and stores this information in browser local storage« (kører softwaren lokalt i din browser og gemmer disse oplysninger i browserens lokale lager), nemlig de seneste institutioner, du har valgt, og der gemmes hverken navn eller e-mail. Knappen hjælper brugeren med at finde sit login; frigivelsen af attributter bestemmes stadig af identitetsudbyderen.

REFEDS' entitetskategorier giver et fælles sprog for frigivelse af attributter:

REFEDS Data Protection Code of Conduct (v2, 28. marts 2022) er en særskilt kategori for tjenesteudbydere, der forpligter sig til regler baseret på GDPR, før de modtager attributter. Det er nyttig dokumentation, men det erstatter ikke jeres egen vurdering.

Pairwise-id over for eduPersonPrincipalName

eduPersonPrincipalName (ePPN) ligner en e-mailadresse og er den samme hos alle tjenester, så to forlag, der begge modtager den, kan sammenkæde en brugers aktivitet. eduPersonTargetedID og efterfølgeren pairwise-id giver hver tjeneste en forskellig værdi for den samme person. UK Access Management Federation mener, at der er »very little personally identifying information carried by either eduPersonScopedAffiliation or eduPersonTargetedID« (meget lidt personhenførbar information i både eduPersonScopedAffiliation og eduPersonTargetedID), og at de derfor sikkert kan frigives til alle tjenester, men tilføjer, at »your organisation should do its own risk analysis in consultation with its data protection officer« (jeres organisation bør lave sin egen risikoanalyse i samråd med databeskyttelsesrådgiveren).

Validemics analyse En fornuftig standard for forlag er: tilknytning med domæne til alle, pairwise-id kun til tjenester med personlige funktioner og navn eller e-mail kun efter en dokumenteret anmodning fra forlaget og en beslutning truffet af biblioteket og databeskyttelsesrådgiveren. Gennemgå frigivelsespolitikkerne hvert år, fordi undtagelser, der gives for én funktion, har det med at blive stående.

6. Hvad kan forlagene se? Sporing fra tredjeparter på platformene

Selv med et minimum af attributter kan forlagenes websteder indsamle data via cookies, scripts og fingerprinting. Undersøgelser har fundet trackere til annoncering og analyse på store akademiske platforme. Biblioteket kan som regel ikke styre et forlags websted direkte, så licensaftalen, databehandleraftalen og klar information til brugerne er de vigtigste redskaber.

Cody Hansons undersøgelse User Tracking on Academic Publisher Platforms (2019) gennemgik artikelsider på 15 forlagsplatforme. Han fandt kode fra Google på 14 af dem og Googles annoncenetværk DoubleClick på 13, og siderne indlæste i gennemsnit 18 elementer fra tredjeparter fra 139 forskellige kilder. Han konkluderede, at bibliotekernes privatlivserklæringer »do not accurately represent the current state of patron privacy in use of licensed resources« (ikke giver et retvisende billede af brugernes privatliv ved brug af licenserede ressourcer), og at »publishers don’t need RA21 or even what we typically think of as PII to identify library users.« (forlagene hverken har brug for RA21 eller det, vi normalt forstår ved personoplysninger, for at identificere biblioteksbrugere.)

I 2021 offentliggjorde Deutsche Forschungsgemeinschafts udvalg for videnskabelige bibliotekstjenester og informationssystemer (DFG AWBI) notatet Data tracking in research: aggregation and use or sale of usage data by academic publishers. Det beskriver mikromålretning, bidstream-data og foreslået »spyware« til biblioteker og advarer om, at sådan sporing »can fundamentally contradict academic freedom and informational self-determination« (grundlæggende kan stride mod den akademiske frihed og den informationelle selvbestemmelsesret). DFG oplyser, at anbefalingerne førte til »a separate section on data protection and data tracking« (et særskilt afsnit om databeskyttelse og datasporing) i de tyske DEAL-aftaler med store forlag. Det er en model, som andre konsortier kan bruge.

SPARC, den amerikanske koalition for åben forskning, skrev i april 2021, at to store biblioteksleverandører »have been building sophisticated, global systems of surveillance« (har opbygget avancerede, globale overvågningssystemer), og opfordrede bibliotekerne til at overveje »a renewed focus on contractual terms (particularly privacy clauses)« (et fornyet fokus på aftalevilkår, særligt privatlivsklausuler). Det er interessepolitiske holdninger; læs dem som grunde til at stille spørgsmål, ikke som konklusioner om en bestemt aftale.

Hvad et bibliotek kan gøre:

1. Bed hver platform om en liste over scripts og cookies fra tredjeparter på indholdssiderne, og spørg, om nogen af dem bruges til annoncering.
2. Indsæt en klausul om databeskyttelse og sporing i licens- eller konsortieaftalen, som DEAL-aftalerne gjorde. Se vores guide om bibliotekslicenser, AI og tekst- og datamining for licensklausuler.
3. Tjek, om forlaget er dataansvarlig eller databehandler for brugsdata. For de fleste licenserede platforme er forlaget dataansvarligt for sit eget websted, så en aftale efter artikel 28 er ikke det rette instrument; det er databeskyttelsesvilkår i licensaftalen.
4. Fortæl brugerne klart, at forlagenes websteder har deres egne privatlivspolitikker og cookies, som IFLA's erklæring anbefaler.

7. Søgelogge i discovery-systemer og AI-forskningsassistenter

Søgelogge i et discovery-system registrerer, hvad folk leder efter, hvilket kan afsløre mere end det, de låner. AI-forskningsassistenter tilføjer et nyt lag: spørgsmål i fritekst og samtalehistorik, der behandles af en udbyder af sprogmodeller. Spørg leverandørerne særskilt, hvad leverandøren logger, og hvad modeludbyderen gemmer.

Kort opbevaring er mulig. Universitetsbiblioteket i Erfurts privatlivspolitik for søgeportalen Discovery oplyser, at serverlogdata »is deleted regularly (after a period of 5 days)« (slettes regelmæssigt, efter 5 dage), og at udbyderen af linkresolveren gemmer IP-adresser i sine webserverlogge i 7 dage. Gemte favoritter og søgehistorik gemmes i et år efter brugerens seneste login.

Leverandørerne beskriver deres praksis for AI-assistenter forskelligt:

• Primo Research Assistant (Ex Libris, en del af Clarivate). Knowledge Center skriver, at »Clarivate does not use your data to directly or indirectly train LLMs« (Clarivate ikke bruger jeres data til direkte eller indirekte at træne sprogmodeller), og at »Neither your input nor the licensed content are stored by the LLM« (hverken jeres input eller det licenserede indhold gemmes af sprogmodellen). Der står ikke, hvem modeludbyderen er, eller hvor længe Clarivate selv gemmer forespørgsler. Spørg om begge dele.
• Scopus AI (Elsevier). Elseviers produktside oplyser, at almindelige samtaler »Stored indefinitely until your contract ends or customer/user request deletion« (gemmes tidsubegrænset, indtil kontrakten ophører, eller kunden eller brugeren anmoder om sletning), mens midlertidige samtaler »Held for up to 30 days only.« (kun opbevares i op til 30 dage). Siden oplyser, at der er en aftale om, at ingen brugerforespørgsler gemmes eller bruges til at træne ChatGPT. Vores faktaark om Scopus AI gennemgår resten af Elseviers dokumentation.

Validemics analyse Prompt-logge er en ny type biblioteksregistrering. Et spørgsmål som »studier om behandling af min sygdom« afslører mere end en søgestreng. Behandl prompt-logge som søgelogge: kort opbevaring, ingen brug til træning, adgang begrænset til supportmedarbejdere og klar information til brugerne. Bed brugerne om ikke at indsætte personoplysninger om forsøgspersoner i disse værktøjer. Vores guide GDPR og AI-værktøjer i forskning (på engelsk) går mere i dybden.

8. Biblioteksystemer og leverandørernes databehandleraftaler

Biblioteksystemet indeholder lånerregistret og alle transaktioner, og de fleste systemer hostes i dag af leverandøren. Leverandøren er så databehandler, og universitetet skal have en aftale efter artikel 28, en liste over underdatabehandlere og klare indstillinger for anonymisering. Open source-systemer, der hostes af et supportfirma, kræver den samme aftale med hostingfirmaet.

Almas FAQ bemærker også, at systemet »conforms to FERPA guidelines« (overholder FERPA-retningslinjerne), som er en amerikansk lov. Det er ikke en udtalelse om GDPR, så støt jer til den underskrevne databehandleraftale for de europæiske forpligtelser. Til gennemgang af selve aftalen holder vores tjekker til databehandleraftaler den op mod artikel 28, stk. 3, og værktøjet til leverandørspørgeskemaer hjælper jer med at stille biblioteksleverandørerne de rigtige spørgsmål. Den generelle proces står i vores guide til leverandørvurdering (på engelsk).

9. Biblioteksanalyse og læringsanalyse

Bibliotekerne kombinerer i stigende grad lån, brug af e-ressourcer og brug af lokaler i beslutninger om samlingerne, og nogle universiteter kobler brugen af biblioteket til de studerendes studiesucces. Aggregeret statistik rejser få problemer. At koble identificerbar biblioteksbrug til den enkelte studerendes resultater er profilering og kræver et klart formål, et behandlingsgrundlag og som regel en konsekvensanalyse.

Biblioteket ved University of Reading viser et almindeligt mønster: Personoplysninger slettes, når medlemskabet ophører, mens »Transaction data for Students are anonymised and kept indefinitely.« (transaktionsdata for studerende anonymiseres og gemmes tidsubegrænset). Kohas pseudonymiserede statistik og Almas anonymiseringsjob understøtter samme tilgang. Tjek, at anonymiseringen er reel: En lånepost, hvor låneren er fjernet, men med et sjældent institut, en dato og en titel, kan stadig pege på én person.

Hvis biblioteket leverer data til et læringsanalyseprogram, gælder reglerne i vores guide om læringsanalyse og GDPR (på engelsk): formålsbegrænsning, gennemsigtighed, retten til indsigelse ved opgave i samfundets interesse og AI-forordningens regler for AI, der evaluerer læringsresultater, som gælder fra 2. december 2027. Validemics analyse Læsedata er følsomme input til analyse, fordi de afspejler, hvad de studerende er nysgerrige efter, ikke kun hvordan de klarer sig. Mange biblioteker vil vælge kun at levere aggregerede data.

10. Hvor længe gemmer rigtige universitetsbiblioteker biblioteksdata?

Offentliggjorte privatlivsmeddelelser fra europæiske universitetsbiblioteker viser, at korte perioder kan lade sig gøre: forbindelsen til lånet slettet ved aflevering, proxylogge gemt i 90 dage til seks måneder, chat og tv-overvågning slettet efter omkring 30 dage. Tabellen nedenfor citerer meddelelser læst den 9. oktober 2026. Perioderne er den enkelte institutions eget valg, ikke lovkrav.

To mønstre skiller sig ud. For det første er det almindeligt på tværs af lande at slette forbindelsen mellem person og lån ved aflevering, og det giver sjældent praktiske problemer, fordi oplysninger om overskredne lån og gebyrer gemmes, indtil de er afklaret. For det andet viser spredningen for fjernlån (30 dage på Syddansk Universitetsbibliotek, to år på Åbo Akademi, syv år i Reading), at nogle biblioteker knytter fjernlån til økonomiske eller aftalemæssige registreringer. Gemmer I fjernlån længere, så skriv ned hvorfor. Vores guide til slettepolitik (på engelsk) forklarer, hvordan disse beslutninger dokumenteres.

11. System for system: typiske data, opbevaring og aftalepunkter

Validemics analyse Forslagene nedenfor er udgangspunkter baseret på den offentliggjorte praksis ovenfor. Tilpas dem til jeres nationale ret, jeres sikkerhedspolitik og jeres egne formål, og notér begrundelserne i jeres slettepolitik.

12. Tjekliste for bibliotek og databeskyttelsesrådgiver

Kilder

1. Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 5, 6, 9, 25, 28 og betragtning 30 (hentet 9. oktober 2026).
2. IFLA Statement on Privacy in the Library Environment, vedtaget 14. august 2015 (hentet 9. oktober 2026).
3. IFLA Code of Ethics for Librarians and other Information Workers (lang version), august 2012 (hentet 9. oktober 2026).
4. ALA: Privacy, an Interpretation of the Library Bill of Rights, ændret 29. juni 2025 (hentet 9. oktober 2026).
5. ALA: Library Privacy Guidelines for Vendors, revideret 26. januar 2020 (hentet 9. oktober 2026).
6. NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems, 10. december 2015 (hentet 9. oktober 2026).
7. Library Freedom Project (hentet 9. oktober 2026).
8. OCLC: EZproxy log files overview og LogFormat directive (hentet 9. oktober 2026).
9. OCLC: How long are the logs kept for Hosted EZproxy (hentet 9. oktober 2026).
10. OCLC: EZproxy Analytics privacy considerations (hentet 9. oktober 2026).
11. OCLC: EZproxy pseudonymous identifier administration (hentet 9. oktober 2026).
12. OpenAthens: Privacy og About released attributes (hentet 9. oktober 2026).
13. SeamlessAccess: Privacy and Trust og About (hentet 9. oktober 2026).
14. eduGAIN: What is eduGAIN (hentet 9. oktober 2026).
15. REFEDS' entitetskategorier: Anonymous Access, Pseudonymous Access, Personalized Access, Research and Scholarship og Data Protection Code of Conduct v2 (hentet 9. oktober 2026).
16. UK Access Management Federation: frigivelse af attributter (hentet 9. oktober 2026).
17. Cody Hanson, User Tracking on Academic Publisher Platforms, 2019 (hentet 9. oktober 2026).
18. DFG: Data tracking in research og AWBI-notatet (engelsk), 2021 (hentet 9. oktober 2026).
19. SPARC: Addressing the Alarming Systems of Surveillance Built By Library Vendors, 9. april 2021 (hentet 9. oktober 2026).
20. Ex Libris: GDPR og Alma FAQ: Security and Privacy (hentet 9. oktober 2026).
21. Ex Libris Knowledge Center: Primo Research Assistant (hentet 9. oktober 2026).
22. Elsevier: produktsiden for Scopus AI (hentet 9. oktober 2026).
23. FOLIO-dokumentation: Settings, Circulation (hentet 9. oktober 2026).
24. OCLC: GDPR, partnering with customers (hentet 9. oktober 2026).
25. Koha-manualen: cron jobs (hentet 9. oktober 2026).
26. Universitetsbiblioteket i Oslo: privacy policy (hentet 9. oktober 2026).
27. Nord universitet: Privacy notices for the University Library (hentet 9. oktober 2026).
28. UiT Norges arktiske universitet: The University Library's Privacy Policy (hentet 9. oktober 2026).
29. Universitetet i Bergen: Privacy at the library (hentet 9. oktober 2026).
30. Radboud Universiteit: University Library Privacy Statement (hentet 9. oktober 2026).
31. Syddansk Universitetsbibliotek: Persondatapolitik (hentet 9. oktober 2026).
32. Linköpings universitetsbibliotek: Bibliotekets låneregler (hentet 9. oktober 2026).
33. Hochschule für Musik Würzburg: bibliotekets databeskyttelseserklæring (hentet 9. oktober 2026).
34. Universitetsbiblioteket i Erfurt: Privacy policy, search portal Discovery (hentet 9. oktober 2026).
35. Université Paris Cité: Données personnelles, gestion de la bibliothèque numérique (hentet 9. oktober 2026).
36. Universidad Complutense de Madrid: fortegnelse over behandlingsaktiviteter, Biblioteca (BUC) (hentet 9. oktober 2026).
37. Åbo Akademi: privatlivsmeddelelse for fjernlånsbestillinger (hentet 9. oktober 2026).
38. Arcada: Library register of borrowers (hentet 9. oktober 2026).
39. University of Reading Library: Data retention policy (hentet 9. oktober 2026).
40. Wolfson College, Cambridge: Data Privacy Notice for Library Users (hentet 9. oktober 2026).

Om denne side

Kilderne er kontrolleret 9. oktober 2026. Vi har læst hver af de meddelelser fra universitetsbiblioteker, de leverandørdokumenter og de faglige erklæringer, der er nævnt ovenfor, på denne dato og citerer kun korte uddrag i deres oprindelige ordlyd, med en dansk oversættelse i parentes, hvor det er nødvendigt; oversættelserne er vores egne og ikke ordrette citater. Syddansk Universitetsbiblioteks formulering er citeret fra den danske version af persondatapolitikken. Opbevaringsperioderne er dem, den enkelte institution har offentliggjort, og kan ændre sig; de er eksempler, ikke lovkrav. Vores egen fortolkning, herunder forslagene til opbevaring i afsnit 11, er markeret som Validemics analyse. Beskrivelserne af leverandører opsummerer offentlig dokumentation og er ikke udtalelser om, at et produkt overholder eller ikke overholder GDPR, hvilket afhænger af jeres aftale, konfiguration og brug. Siden er generel information og ikke juridisk rådgivning. Hvis du finder en fejl, eller hvis dit bibliotek offentliggør opbevaringsperioder, som du gerne vil have med, så kontakt os, så retter eller tilføjer vi det.