La privacidad de los usuarios de bibliotecas en el RGPD: autenticación, registros del proxy, descubrimiento y analítica

Una biblioteca universitaria sabe qué toman en préstamo, qué buscan y qué leen sus usuarios. Eso convierte los datos de la biblioteca en algunos de los más sensibles que custodia una universidad, aunque parezcan simples registros de sistema. Esta guía explica qué datos personales trata una biblioteca, qué bases jurídicas se aplican, cómo funcionan el proxy y la autenticación federada desde el punto de vista de la privacidad, qué pueden ver los editores y los proveedores, y cuánto tiempo conservan sus registros bibliotecas universitarias europeas reales.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

1. ¿Qué datos personales trata una biblioteca universitaria?

Una biblioteca universitaria trata datos de identidad y de cuenta de cada usuario registrado, datos de transacciones sobre préstamos, reservas y sanciones económicas, y datos de registro de los sistemas que dan acceso a los recursos electrónicos. En conjunto muestran quién leyó qué y cuándo. Si se añaden la reserva de salas, el chat, la videovigilancia y las herramientas de búsqueda con IA, una biblioteca puede reunir una imagen detallada de la vida intelectual de cada usuario.

Las principales categorías son:

• Ficha del usuario. Nombre, identificador universitario, correo electrónico, tipo de usuario (estudiante, personal, externo), número de carné y, a veces, número de identificación nacional. La biblioteca de la Universidad de Linköping, por ejemplo, recoge en su registro de prestatarios el nombre, el número de identidad personal, el correo electrónico y el LiU-ID.
• Préstamos, reservas y sanciones. Préstamos en curso, reservas, avisos de retraso y sanciones económicas. Conservar o no el vínculo con la persona tras la devolución es una decisión de diseño clave (véase la sección 10).
• Préstamo interbibliotecario y suministro de documentos. Formularios de petición que identifican al solicitante y el título, que a menudo se transmiten a otra biblioteca o a un proveedor comercial.
• Bibliografías recomendadas. Las listas de lecturas de las asignaturas vinculan profesorado, asignaturas y títulos, y algunos sistemas registran los clics de los estudiantes.
• Registros de autenticación y del proxy. Dirección IP, nombre de usuario o identificador de sesión, hora y URL del artículo o de la base de datos. Estos registros son el testimonio más directo de lo que leyó una persona.
• Registros de búsqueda del descubrimiento. Términos de búsqueda, búsquedas guardadas, favoritos y datos de clics en el catálogo o en la herramienta de descubrimiento.
• Reserva de salas y equipos. Quién reservó qué sala y cuándo, a menudo en un servicio de reservas de terceros.
• Referencia por chat y correo electrónico. Preguntas en texto libre que pueden revelar temas de investigación y circunstancias personales.
• Videovigilancia y control de acceso. Imágenes y registros de entrada en los edificios de la biblioteca.
• Analítica web y de uso. Analítica del sitio web, estadísticas de uso de los editores y cuadros de mando de analítica bibliotecaria.
• Asistentes de búsqueda con IA. Preguntas escritas en herramientas como Primo Research Assistant o Scopus AI y el historial de conversaciones.

Las direcciones IP y los identificadores de sesión cuentan. El considerando 30 del RGPD explica que las personas físicas «pueden ser asociadas a identificadores en línea facilitados por sus dispositivos», entre ellos las direcciones de los protocolos de internet y los identificadores de sesión en forma de cookies, y que esos rastros pueden usarse para elaborar perfiles. Por eso un registro del proxy es un dato personal aunque no contenga ningún nombre.

2. ¿Qué bases jurídicas se aplican al tratamiento en la biblioteca?

En una universidad pública, la base jurídica habitual de los servicios bibliotecarios básicos es la misión de interés público del artículo 6.1.e) del RGPD, a veces combinada con el contrato (artículo 6.1.b) para los préstamos y con la obligación legal (artículo 6.1.c) para los registros contables. El consentimiento corresponde a las funciones opcionales. Las autoridades públicas no pueden recurrir al interés legítimo para el tratamiento realizado en el ejercicio de sus funciones.

Las cláusulas informativas reales muestran cómo funciona en la práctica:

• La Université Paris Cité indica para su biblioteca digital que la base jurídica es «l’exécution d’une mission d'intérêt public (article 6.1.e du RGPD)» (el cumplimiento de una misión de interés público, artículo 6.1.e del RGPD).
• La biblioteca de la Universidad Complutense de Madrid recoge tanto el contrato (art. 6.1.b) como el interés público (art. 6.1.e) para su servicio de préstamo, salas de lectura y préstamo interbibliotecario, con referencia a la ley española de universidades.
• La biblioteca de la Universidad de Linköping plantea la relación con el prestatario como un contrato de préstamo, lo que corresponde a la base contractual.

El consentimiento encaja en las funciones que el usuario puede rechazar sin perder el servicio, como guardar un historial de lectura personal, las búsquedas guardadas en una cuenta personal o la personalización en la plataforma de un editor. Por el desequilibrio entre una universidad y sus estudiantes y personal, el consentimiento es una base débil para todo aquello que el usuario no puede evitar.

Categorías especiales de datos. El artículo 9.1 prohíbe tratar datos que revelen, entre otras cosas, las opiniones políticas, las convicciones religiosas, la salud o la orientación sexual, salvo que se aplique una excepción. Un registro de préstamo o un registro del proxy no se trata normalmente con el fin de revelar esas cosas. Análisis de Validemic Aun así, un historial de lectura puede revelarlas por inferencia, lo que es una buena razón para tratar los registros de la biblioteca como datos de alta sensibilidad en vuestra EIPD y en vuestra clasificación de seguridad, y para conservarlos poco tiempo.

Las normas nacionales de confidencialidad pueden añadir protección. En Suecia, la biblioteca de la Universidad de Linköping recuerda a sus usuarios que los registros de la biblioteca están protegidos por el secreto del capítulo 40, artículo 3, de la Ley de acceso a la información pública y secreto (OSL). Comprobad si vuestro país tiene una disposición similar de secreto bibliotecario, porque afecta a lo que la biblioteca puede revelar, por ejemplo ante una solicitud de acceso a documentos públicos.

El principio de limitación del plazo de conservación del artículo 5.1.e) exige que los datos personales se mantengan «de forma que se permita la identificación de los interesados durante no más tiempo del necesario». En los registros, esa es la regla que más importa. La protección de datos desde el diseño y por defecto (artículo 25) respalda configurar los sistemas para que recojan menos desde el principio. Consultad nuestra página El RGPD explicado para el texto de estos artículos.

3. Por qué la privacidad en la biblioteca es una cuestión de libertad intelectual

La privacidad en la biblioteca no es solo una cuestión de cumplimiento. La profesión bibliotecaria considera la confidencialidad de lo que lee cada persona una condición para la libre investigación: si los usuarios creen que están vigilados, pueden evitar ciertos temas. Esta base ética suele ser más exigente que el mínimo del RGPD y da a las bibliotecas un argumento sólido en las negociaciones con los proveedores.

La declaración de la IFLA sobre la privacidad en el entorno bibliotecario (IFLA Statement on Privacy in the Library Environment), aprobada por su Junta de Gobierno el 14 de agosto de 2015, advierte de que la recogida excesiva de datos puede tener "a chilling effect on society" (un efecto disuasorio en la sociedad). Recomienda que las bibliotecas "should reject electronic surveillance and any type of illegitimate monitoring" (rechacen la vigilancia electrónica y cualquier tipo de seguimiento ilegítimo) y que "should take measures to limit collection of personal information about their users and the services that they use." (adopten medidas para limitar la recogida de información personal sobre sus usuarios y los servicios que utilizan). También señala que las bibliotecas pueden "refuse to acquire services that collect excessive data" (negarse a contratar servicios que recojan datos excesivos).

"The relationship between the library and the user is one of confidentiality." (La relación entre la biblioteca y el usuario es de confidencialidad.)

En Estados Unidos, donde no existe el RGPD, la American Library Association (ALA) fija expectativas similares. Su interpretación de la Library Bill of Rights sobre la privacidad, modificada por última vez el 29 de junio de 2025, afirma que "confidentiality is essential for free inquiry" (la confidencialidad es esencial para la libre investigación) y que las bibliotecas "should only collect and store the PII required for specific, clearly disclosed purposes." (solo deben recoger y almacenar los datos de identificación personal necesarios para fines específicos y claramente comunicados). Sus directrices de privacidad para proveedores (Library Privacy Guidelines for Vendors) añaden que "User data should not be retained in perpetuity." (los datos de los usuarios no deben conservarse indefinidamente). Estos textos son una referencia útil para las bibliotecas europeas que contratan con proveedores estadounidenses: esos proveedores conocen estas expectativas.

Los principios de consenso de NISO sobre la privacidad digital de los usuarios en los sistemas de bibliotecas, editores y proveedores de software (NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems, diciembre de 2015) se redactaron conjuntamente por bibliotecas, editores y proveedores de software. Buscan "balancing the expectations library users have regarding their intellectual freedoms and their privacy" (equilibrar las expectativas de los usuarios de las bibliotecas respecto de sus libertades intelectuales y su privacidad), con principios sobre la recogida y el uso de datos, la anonimización, la comunicación de datos a terceros y el apoyo al uso anónimo. El Library Freedom Project, que se describe como "a network of values-driven librarians working together to build information democracy" (una red de bibliotecarios guiados por valores que trabajan juntos para construir una democracia de la información), forma a bibliotecarios en el trabajo práctico de privacidad.

4. Registros del proxy: ¿qué registran EZproxy y OpenAthens?

Un servidor proxy como EZproxy de OCLC se sitúa entre el usuario y el editor, de modo que sus registros recogen cada petición: dirección IP, hora, URL y, si así se configura, el nombre de usuario. OpenAthens, en cambio, actúa como proveedor de identidad y transmite atributos a los editores. En ambos casos la biblioteca decide buena parte de lo que se registra, se envía y se conserva, así que la configuración es una decisión de protección de datos.

EZproxy

La documentación de OCLC describe cuatro tipos de registro. El registro principal, ezproxy.log, recoge el tráfico entre EZproxy y los proveedores de contenido, incluidas la dirección IP del usuario, la hora de la petición, la URL solicitada, el estado HTTP y los bytes transferidos. El formato por defecto es %h %l %u %t "%r" %s %b, donde %u es el "Username used to log into EZproxy if Option LogUser appears in config.txt" (nombre de usuario empleado para iniciar sesión en EZproxy si Option LogUser figura en config.txt). Los registros de auditoría recogen los inicios de sesión, los intentos fallidos y los accesos bloqueados. Un registro SPU opcional anota cada clic en una URL de punto de partida.

Aspectos que conviene revisar en vuestra configuración:

• Nombres de usuario en los registros. Sin Option LogUser, el registro principal contiene la IP y los datos de sesión, pero no los nombres de usuario. Decidid si necesitáis los nombres de usuario para investigar usos indebidos y, en ese caso, durante cuánto tiempo.
• Conservación del registro de auditoría. OCLC indica que la directiva AuditPurge tiene un valor por defecto de 7 días, y también que "OCLC suggests increasing the AuditPurge time period to 180" (OCLC sugiere ampliar el periodo de AuditPurge a 180). Es una sugerencia de seguridad, no un requisito legal. Fijad un plazo que vuestro DPD pueda justificar.
• EZproxy alojado. En el EZproxy alojado por OCLC, el registro de auditoría se conserva 180 días y "The default retention period for all other logs is set to 400 days." (el plazo de conservación por defecto de todos los demás registros es de 400 días). OCLC añade que "The minimum log retention period can be adjusted to 180 days, while the maximum is 1830 days." (el plazo mínimo puede ajustarse a 180 días y el máximo es de 1830 días). Los clientes del servicio alojado que quieran menos de 180 días deben plantearlo a OCLC por escrito.
• EZproxy Analytics. OCLC advierte que "the data may contain usernames and/or IP addresses" (los datos pueden contener nombres de usuario o direcciones IP) y que los ficheros de registro se replican en una instancia de analítica alojada en AWS en la misma región. Si lo activáis, incluidlo como actividad de tratamiento y comprobad que el contrato de encargo lo cubre.
• Identificadores seudónimos. EZproxy 7.1 "introduced an optional feature that releases pseudonymous identifiers to content providers" (introdujo una función opcional que envía identificadores seudónimos a los proveedores de contenido), de modo que los editores puedan comunicar un uso indebido mediante un seudónimo en lugar de que la biblioteca revele quién es el usuario.

Bibliotecas reales publican lo que registran. La biblioteca de la Universidad de Oslo enumera la dirección IP, la URL del recurso, la fecha y la hora, los detalles HTTP, el identificador de sesión de EZproxy y el "Username of your account at UiO" (nombre de usuario de la cuenta en la UiO), e indica que "stores the following data about your web traffic for 6 months before it is deleted" (almacena los siguientes datos sobre el tráfico web durante 6 meses antes de suprimirlos), en línea con las normas generales de la universidad sobre registros de sistema y de seguridad.

OpenAthens

OpenAthens afirma que "acts as a data processor for customers who subscribe to the service" (actúa como encargado del tratamiento para los clientes que se suscriben al servicio), de modo que la universidad es la responsable y necesita un contrato del artículo 28 con OpenAthens. Su documentación indica que por defecto se envía a todos los proveedores de servicio un Targeted ID, descrito como "A pseudonymous user identifier generated by the system" (un identificador seudónimo de usuario generado por el sistema), con un valor distinto para cada servicio. El Targeted ID se está sustituyendo por el atributo pairwise-id, del que OpenAthens dice: "Only released by default for domains created after November 2023" (solo se envía por defecto en los dominios creados después de noviembre de 2023). Las bibliotecas pueden modificar la política de envío para cada editor, y es ahí donde a veces empiezan a circular el nombre y el correo electrónico para funciones de personalización. La página de privacidad de OpenAthens solo ofrece una declaración general sobre la conservación, así que pedid por escrito el plazo de conservación de los registros de auditoría y de uso.

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

5. Autenticación federada: ¿qué debe enviar una biblioteca a los editores?

Con la autenticación federada, el proveedor de identidad de la universidad envía atributos al editor en una aserción SAML. La biblioteca y TI pueden decidir qué atributos recibe cada editor. Para el contenido con licencia, la opción por defecto respetuosa con la privacidad es una afiliación con ámbito y, solo si hace falta, un identificador seudónimo por pares. Enviar un nombre de usuario estable o un correo electrónico permite al editor vincular la actividad a una persona identificada.

eduGAIN, SeamlessAccess y las categorías de entidad

Las federaciones nacionales de investigación y educación (por ejemplo Feide en Noruega, que la Universidad Nord usa para el acceso a EZproxy, y la UK Access Management Federation) se conectan entre sí a través de eduGAIN. El sitio de eduGAIN explica que permite a las federaciones "interconnect, so that participating institutions and services can collaborate without the need to establish individual bilateral connections." (interconectarse, de modo que las instituciones y servicios participantes puedan colaborar sin necesidad de establecer conexiones bilaterales individuales). El 9 de octubre de 2026 sus estadísticas en directo mostraban 84 federaciones.

SeamlessAccess es el botón «Access through your institution» (acceder a través de vuestra institución) que aparece en muchos sitios de editores. Lo gestiona una coalición formada por GÉANT, Internet2, NISO y STM. Su página de privacidad indica que "runs its software locally in your browser and stores this information in browser local storage" (ejecuta su software localmente en el navegador y almacena esta información en el almacenamiento local del navegador), en concreto las últimas instituciones elegidas, y que no se almacena ningún nombre ni correo electrónico. El botón ayuda al usuario a encontrar su punto de acceso; el envío de atributos lo sigue decidiendo el proveedor de identidad.

Las categorías de entidad de REFEDS ofrecen un vocabulario común para el envío de atributos:

El código de conducta de protección de datos de REFEDS (Data Protection Code of Conduct, v2, 28 de marzo de 2022) es una categoría distinta para los proveedores de servicio que se comprometen a cumplir reglas basadas en el RGPD antes de recibir atributos. Es una evidencia útil, pero no sustituye a vuestra propia revisión.

Pairwise-id frente a eduPersonPrincipalName

eduPersonPrincipalName (ePPN) tiene el aspecto de una dirección de correo electrónico y es igual en todos los servicios, así que dos editores que lo reciban pueden correlacionar la actividad de un usuario. eduPersonTargetedID y su sucesor, pairwise-id, dan a cada servicio un valor distinto para la misma persona. La UK Access Management Federation considera que hay "very little personally identifying information carried by either eduPersonScopedAffiliation or eduPersonTargetedID" (muy poca información de identificación personal en eduPersonScopedAffiliation o eduPersonTargetedID) y que, por tanto, pueden enviarse sin riesgo a cualquier servicio, pero añade que "your organisation should do its own risk analysis in consultation with its data protection officer" (vuestra organización debe hacer su propio análisis de riesgos consultando a su delegado de protección de datos).

Análisis de Validemic Una opción por defecto razonable para los editores es: afiliación con ámbito para todos, pairwise-id solo para los servicios que ofrecen funciones personales, y nombre o correo electrónico solo tras una petición documentada del editor y una decisión de la biblioteca y del DPD. Revisad las políticas de envío cada año, porque las excepciones concedidas para una función tienden a quedarse.

6. ¿Qué pueden ver los editores? Rastreo de terceros en las plataformas

Incluso con atributos mínimos, los sitios web de los editores pueden recoger datos mediante cookies, scripts y huella digital del navegador (fingerprinting). Varios estudios han encontrado rastreadores publicitarios y de analítica en grandes plataformas académicas. La biblioteca normalmente no puede controlar directamente el sitio web de un editor, así que la licencia, el contrato de encargo y una información clara a los usuarios son las principales herramientas.

El estudio de Cody Hanson User Tracking on Academic Publisher Platforms (2019) examinó páginas de artículos de 15 plataformas de editores. Encontró código de Google en 14 de ellas y la red publicitaria DoubleClick de Google en 13, con páginas que cargaban una media de 18 recursos de terceros procedentes de 139 orígenes distintos. Concluyó que las declaraciones de privacidad de las bibliotecas "do not accurately represent the current state of patron privacy in use of licensed resources" (no reflejan con exactitud el estado actual de la privacidad de los usuarios en el uso de recursos con licencia) y que "publishers don’t need RA21 or even what we typically think of as PII to identify library users." (los editores no necesitan RA21, ni siquiera lo que solemos considerar datos de identificación personal, para identificar a los usuarios de las bibliotecas).

En 2021, el Comité de Servicios Bibliotecarios Científicos y Sistemas de Información de la Deutsche Forschungsgemeinschaft (DFG AWBI) publicó el documento informativo Data tracking in research: aggregation and use or sale of usage data by academic publishers. Describe el microtargeting, los datos del flujo de pujas publicitarias (bidstream) y propuestas de «spyware» para bibliotecas, y advierte de que ese rastreo "can fundamentally contradict academic freedom and informational self-determination" (puede contradecir de raíz la libertad académica y la autodeterminación informativa). La DFG informa de que sus recomendaciones dieron lugar a "a separate section on data protection and data tracking" (una sección específica sobre protección de datos y rastreo) en los acuerdos alemanes DEAL con los grandes editores. Es un modelo que pueden usar otros consorcios.

SPARC, la coalición estadounidense para la ciencia abierta, escribió en abril de 2021 que dos grandes proveedores de bibliotecas "have been building sophisticated, global systems of surveillance" (han estado construyendo sistemas de vigilancia sofisticados y globales), e instó a las bibliotecas a considerar "a renewed focus on contractual terms (particularly privacy clauses)" (una renovada atención a las condiciones contractuales, en particular las cláusulas de privacidad). Son posiciones de defensa de intereses; leedlas como motivos para hacer preguntas, no como conclusiones sobre ningún contrato concreto.

Qué puede hacer una biblioteca:

1. Pedir a cada plataforma una lista de los scripts y cookies de terceros de las páginas de contenido, y si alguno se usa con fines publicitarios.
2. Incluir una cláusula de protección de datos y rastreo en la licencia o en el acuerdo del consorcio, como hicieron los acuerdos DEAL. Consultad nuestra guía sobre licencias de bibliotecas, IA y minería de textos y datos para las cláusulas de licencia.
3. Comprobar si el editor actúa como responsable o como encargado respecto de los datos de uso. En la mayoría de las plataformas con licencia, el editor es responsable de su propio sitio web, así que un contrato del artículo 28 no es el instrumento adecuado; lo son las condiciones de protección de datos de la licencia.
4. Explicar con claridad a los usuarios que los sitios de los editores tienen sus propias políticas de privacidad y cookies, como recomienda la declaración de la IFLA.

7. Registros de búsqueda del descubrimiento y asistentes de investigación con IA

Los registros de búsqueda de una herramienta de descubrimiento recogen lo que la gente busca, que puede ser más revelador que lo que toma en préstamo. Los asistentes de investigación con IA añaden una nueva capa: preguntas en texto libre e historial de conversaciones, tratados por un proveedor de modelos de lenguaje. Preguntad a los proveedores por separado qué registra el proveedor y qué conserva el proveedor del modelo.

Una conservación corta es posible. La política de privacidad del portal de búsqueda Discovery de la biblioteca de la Universidad de Erfurt indica que los datos de registro del servidor se suprimen periódicamente, tras un plazo de 5 días ("is deleted regularly (after a period of 5 days)"), y que el proveedor del resolvedor de enlaces conserva las direcciones IP en los registros de su servidor web durante 7 días. Los favoritos guardados y el historial de búsqueda se conservan un año después del último inicio de sesión del usuario.

En los asistentes de IA, los proveedores describen sus prácticas de forma distinta:

• Primo Research Assistant (Ex Libris, parte de Clarivate). El Knowledge Center indica que "Clarivate does not use your data to directly or indirectly train LLMs" (Clarivate no usa vuestros datos para entrenar modelos de lenguaje, ni directa ni indirectamente) y que "Neither your input nor the licensed content are stored by the LLM" (el modelo de lenguaje no almacena ni vuestra consulta ni el contenido con licencia). No nombra al proveedor del modelo ni dice cuánto tiempo conserva Clarivate las consultas. Preguntad por ambas cosas.
• Scopus AI (Elsevier). La página del producto de Elsevier dice de las conversaciones estándar: "Stored indefinitely until your contract ends or customer/user request deletion" (se guardan indefinidamente hasta que termina el contrato o el cliente o usuario solicita su supresión); de las conversaciones temporales: "Held for up to 30 days only." (se conservan solo hasta 30 días). Afirma que existe un acuerdo por el que ninguna consulta de usuario se almacenará ni se usará para entrenar ChatGPT. Nuestra ficha de Scopus AI resume el resto de la documentación de Elsevier.

Análisis de Validemic Los registros de instrucciones (prompts) son un nuevo tipo de registro bibliotecario. Una pregunta como «estudios sobre el tratamiento de mi enfermedad» revela más que una cadena de búsqueda. Tratad los registros de prompts como los de búsqueda: conservación corta, sin uso para entrenamiento, acceso limitado al personal de soporte e información clara a los usuarios. Indicad a los usuarios que no peguen en estas herramientas datos personales de participantes en investigaciones. Nuestra guía el RGPD y las herramientas de IA en la investigación (en inglés) lo trata con más detalle.

8. Sistemas de gestión bibliotecaria y contratos de encargo

El sistema de gestión bibliotecaria contiene el registro de usuarios y todas las transacciones, y hoy la mayoría están alojados por el proveedor. El proveedor es entonces un encargado del tratamiento y la universidad necesita un contrato del artículo 28, una lista de subencargados y una configuración clara de la anonimización. Los sistemas de código abierto alojados por una empresa de soporte necesitan el mismo contrato con la empresa que los aloja.

Las preguntas frecuentes de Alma señalan también que "conforms to FERPA guidelines" (cumple las directrices de la FERPA), una ley estadounidense. No es una declaración sobre el RGPD, así que para las obligaciones europeas apoyaos en el contrato de encargo firmado. Para revisar el propio contrato, nuestro verificador de contratos de encargo lo contrasta con el artículo 28.3, y el generador de cuestionarios para proveedores os ayuda a hacer a los proveedores de la biblioteca las preguntas adecuadas. El proceso general figura en nuestra guía de evaluación de proveedores (en inglés).

9. Analítica bibliotecaria y analítica del aprendizaje

Las bibliotecas combinan cada vez más los préstamos, el uso de recursos electrónicos y el uso de los espacios para tomar decisiones sobre la colección, y algunas universidades vinculan el uso de la biblioteca con el éxito académico. Las estadísticas agregadas plantean pocos problemas. Vincular el uso identificable de la biblioteca con los resultados de cada estudiante es elaboración de perfiles y requiere una finalidad clara, una base jurídica y, normalmente, una EIPD.

La biblioteca de la Universidad de Reading muestra un patrón habitual: los datos personales se suprimen al terminar la condición de usuario, mientras que "Transaction data for Students are anonymised and kept indefinitely." (los datos de transacciones de los estudiantes se anonimizan y se conservan indefinidamente). Las estadísticas seudonimizadas de Koha y las tareas de anonimización de Alma permiten el mismo enfoque. Comprobad que la anonimización sea real: un registro de préstamo sin el usuario pero con un departamento, una fecha y un título poco comunes puede seguir apuntando a una sola persona.

Si la biblioteca aporta datos a un programa de analítica del aprendizaje, se aplican las reglas de nuestra guía sobre analítica del aprendizaje y RGPD (en inglés): limitación de la finalidad, transparencia, derecho de oposición cuando la base es la misión de interés público y las reglas del Reglamento de IA para la IA que evalúa resultados de aprendizaje, aplicables a partir del 2 de diciembre de 2027. Análisis de Validemic Los datos de lectura son un insumo sensible para la analítica porque reflejan aquello que despierta la curiosidad de los estudiantes, no solo su rendimiento. Muchas bibliotecas optarán por aportar solo datos agregados.

10. ¿Cuánto tiempo conservan los datos las bibliotecas universitarias reales?

Las cláusulas informativas publicadas por bibliotecas universitarias europeas demuestran que los plazos cortos son viables: vínculos de préstamo suprimidos al devolver, registros del proxy conservados entre 90 días y seis meses, chat y videovigilancia suprimidos a los 30 días aproximadamente. La tabla cita cláusulas leídas el 9 de octubre de 2026. Los plazos son elección de cada institución, no requisitos legales.

Destacan dos patrones. En primer lugar, suprimir el vínculo entre la persona y el préstamo al devolver es habitual en todos los países y rara vez causa problemas prácticos, porque los registros de retrasos y sanciones se conservan hasta que se resuelven. En segundo lugar, la dispersión en el préstamo interbibliotecario (30 días en el Sur de Dinamarca, dos años en Åbo Akademi, siete años en Reading) muestra que algunas bibliotecas lo vinculan a registros económicos o contractuales. Si conserváis el préstamo interbibliotecario durante más tiempo, dejad constancia del motivo. Nuestra guía sobre el calendario de conservación (en inglés) explica cómo documentar estas decisiones.

11. Sistema por sistema: datos habituales, conservación y aspectos contractuales

Análisis de Validemic Las sugerencias siguientes son puntos de partida basados en la práctica publicada que se recoge arriba. Adaptadlas a vuestro derecho nacional, a vuestra política de seguridad y a vuestras propias finalidades, y documentad los motivos en vuestro calendario de conservación.

12. Lista de comprobación para la biblioteca y el DPD

Fuentes

1. Reglamento (UE) 2016/679 (RGPD), artículos 5, 6, 9, 25 y 28 y considerando 30 (consultado el 9 de octubre de 2026).
2. IFLA Statement on Privacy in the Library Environment, aprobada el 14 de agosto de 2015 (consultado el 9 de octubre de 2026).
3. IFLA Code of Ethics for Librarians and other Information Workers (versión larga), agosto de 2012 (consultado el 9 de octubre de 2026).
4. ALA: Privacy, an Interpretation of the Library Bill of Rights, modificada el 29 de junio de 2025 (consultado el 9 de octubre de 2026).
5. ALA: Library Privacy Guidelines for Vendors, revisadas el 26 de enero de 2020 (consultado el 9 de octubre de 2026).
6. NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems, 10 de diciembre de 2015 (consultado el 9 de octubre de 2026).
7. Library Freedom Project (consultado el 9 de octubre de 2026).
8. OCLC: EZproxy log files overview y LogFormat directive (consultado el 9 de octubre de 2026).
9. OCLC: How long are the logs kept for Hosted EZproxy (consultado el 9 de octubre de 2026).
10. OCLC: EZproxy Analytics privacy considerations (consultado el 9 de octubre de 2026).
11. OCLC: EZproxy pseudonymous identifier administration (consultado el 9 de octubre de 2026).
12. OpenAthens: Privacy y About released attributes (consultado el 9 de octubre de 2026).
13. SeamlessAccess: Privacy and Trust y About (consultado el 9 de octubre de 2026).
14. eduGAIN: What is eduGAIN (consultado el 9 de octubre de 2026).
15. Categorías de entidad de REFEDS: Anonymous Access, Pseudonymous Access, Personalized Access, Research and Scholarship y Data Protection Code of Conduct v2 (consultado el 9 de octubre de 2026).
16. UK Access Management Federation: envío de atributos (consultado el 9 de octubre de 2026).
17. Cody Hanson, User Tracking on Academic Publisher Platforms, 2019 (consultado el 9 de octubre de 2026).
18. DFG: Data tracking in research y el documento informativo del AWBI (en inglés), 2021 (consultado el 9 de octubre de 2026).
19. SPARC: Addressing the Alarming Systems of Surveillance Built By Library Vendors, 9 de abril de 2021 (consultado el 9 de octubre de 2026).
20. Ex Libris: GDPR y Alma FAQ: Security and Privacy (consultado el 9 de octubre de 2026).
21. Ex Libris Knowledge Center: Primo Research Assistant (consultado el 9 de octubre de 2026).
22. Elsevier: página del producto Scopus AI (consultado el 9 de octubre de 2026).
23. Documentación de FOLIO: Settings, Circulation (consultado el 9 de octubre de 2026).
24. OCLC: GDPR, partnering with customers (consultado el 9 de octubre de 2026).
25. Manual de Koha: cron jobs (consultado el 9 de octubre de 2026).
26. Biblioteca de la Universidad de Oslo: privacy policy (consultado el 9 de octubre de 2026).
27. Universidad Nord: Privacy notices for the University Library (consultado el 9 de octubre de 2026).
28. UiT, Universidad Ártica de Noruega: The University Library's Privacy Policy (consultado el 9 de octubre de 2026).
29. Universidad de Bergen: Privacy at the library (consultado el 9 de octubre de 2026).
30. Universidad Radboud: University Library Privacy Statement (consultado el 9 de octubre de 2026).
31. Biblioteca de la Universidad del Sur de Dinamarca: Policy for protection of personal data (consultado el 9 de octubre de 2026).
32. Biblioteca de la Universidad de Linköping: Bibliotekets låneregler (consultado el 9 de octubre de 2026).
33. Universidad de Música de Wurzburgo: declaración de protección de datos de la biblioteca (consultado el 9 de octubre de 2026).
34. Biblioteca de la Universidad de Erfurt: Privacy policy, search portal Discovery (consultado el 9 de octubre de 2026).
35. Université Paris Cité: Données personnelles, gestion de la bibliothèque numérique (consultado el 9 de octubre de 2026).
36. Universidad Complutense de Madrid: registro de actividades de tratamiento, Biblioteca (BUC) (consultado el 9 de octubre de 2026).
37. Universidad Åbo Akademi: Interlibrary Loan Requests privacy notice (consultado el 9 de octubre de 2026).
38. Arcada: Library register of borrowers (consultado el 9 de octubre de 2026).
39. Biblioteca de la Universidad de Reading: Data retention policy (consultado el 9 de octubre de 2026).
40. Wolfson College, Cambridge: Data Privacy Notice for Library Users (consultado el 9 de octubre de 2026).

Sobre esta página

Fuentes verificadas el 9 de octubre de 2026. En esa fecha leímos cada cláusula informativa de bibliotecas universitarias, cada documento de proveedores y cada declaración profesional citados, y solo reproducimos fragmentos breves en su redacción original, con una traducción al español entre paréntesis cuando hace falta; las citas del RGPD siguen su texto oficial en español. Los plazos de conservación son los que publica cada institución y pueden cambiar; son ejemplos, no requisitos legales. Nuestra interpretación propia, incluidas las sugerencias de conservación de la sección 11, figura señalada como análisis de Validemic. Las descripciones de los proveedores resumen documentación pública y no afirman que ningún producto cumpla o no cumpla el RGPD, lo que depende de vuestro contrato, vuestra configuración y vuestro uso. Esta página ofrece información general, no asesoramiento jurídico. Si detectáis un error, o si vuestra biblioteca publica plazos de conservación que os gustaría que incluyéramos, escribidnos y lo corregiremos o lo añadiremos.