Kirjaston asiakkaiden yksityisyys ja tietosuoja-asetus: tunnistautuminen, välityspalvelimen lokit, hakupalvelut ja analytiikka

Tieteellinen kirjasto tietää, mitä sen asiakkaat lainaavat, hakevat ja lukevat. Siksi kirjaston tiedot ovat korkeakoulun arkaluonteisimpia tietoja, vaikka ne näyttävät tavallisilta järjestelmälokeilta. Tässä oppaassa kerrotaan, mitä henkilötietoja kirjasto käsittelee, mitä käsittelyperusteita sovelletaan, miten välityspalvelin ja federoitu kirjautuminen toimivat tietosuojan kannalta, mitä kustantajat ja toimittajat näkevät ja kuinka kauan eurooppalaiset yliopistokirjastot todellisuudessa säilyttävät lokejaan.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

1. Mitä henkilötietoja tieteellinen kirjasto käsittelee?

Tieteellinen kirjasto käsittelee jokaisen rekisteröityneen asiakkaan henkilöllisyys- ja tilitietoja, lainoja, varauksia ja maksuja koskevia tapahtumatietoja sekä lokitietoja järjestelmistä, joiden kautta käytetään e-aineistoja. Yhdessä nämä näyttävät, kuka luki mitä ja milloin. Kun mukaan lisätään tilavaraukset, chat, kameravalvonta ja tekoälyhakutyökalut, kirjastolla voi olla yksityiskohtainen kuva kunkin asiakkaan älyllisestä elämästä.

Tärkeimmät tietoryhmät ovat:

• Asiakastiedot. Nimi, opiskelija- tai henkilöstönumero, sähköpostiosoite, asiakasryhmä (opiskelija, henkilöstö, ulkopuolinen), kirjastokortin numero ja joskus henkilötunnus. Esimerkiksi Linköpingin yliopiston kirjasto mainitsee lainaajarekisterissään nimen, henkilötunnuksen, sähköpostiosoitteen ja LiU-ID:n.
• Lainat, varaukset ja maksut. Voimassa olevat lainat, varaukset, palautuskehotukset ja maksut. Se, säilytetäänkö yhteys henkilöön palautuksen jälkeen, on keskeinen suunnitteluratkaisu (katso osio 10).
• Kaukolainat ja kopiopalvelu. Tilauslomakkeet, joissa mainitaan tilaaja ja nimeke ja jotka usein välitetään toiselle kirjastolle tai kaupalliselle toimittajalle.
• Kurssikirjallisuusluettelot. Luettelot yhdistävät opettajat, opintojaksot ja nimekkeet, ja jotkin järjestelmät tallentavat opiskelijoiden klikkaukset.
• Tunnistautumis- ja välityspalvelinlokit. IP-osoite, käyttäjätunnus tai istuntotunniste, aika ja artikkelin tai tietokannan URL-osoite. Nämä lokit ovat suorin tallenne siitä, mitä henkilö on lukenut.
• Hakupalvelujen hakulokit. Hakusanat, tallennetut haut, suosikit ja klikkaustiedot kirjaston tietokannassa tai hakupalvelussa (discovery).
• Tila- ja laitevaraukset. Kuka varasi minkäkin tilan ja milloin, usein kolmannen osapuolen varauspalvelussa.
• Chat- ja sähköpostineuvonta. Vapaamuotoiset kysymykset, jotka voivat paljastaa tutkimusaiheita ja henkilökohtaisia olosuhteita.
• Kameravalvonta ja kulunvalvonta. Kirjastorakennusten kuvatallenteet ja kulkutiedot.
• Verkko- ja käyttöanalytiikka. Verkkosivuston analytiikka, kustantajien käyttötilastot ja kirjastoanalytiikan koontinäytöt.
• Tekoälyhakuavustajat. Kysymykset, jotka kirjoitetaan esimerkiksi Primo Research Assistantiin tai Scopus AI:hin, sekä keskusteluhistoria.

Myös IP-osoitteet ja istuntotunnisteet ovat henkilötietoja. Tietosuoja-asetuksen johdanto-osan 30 kappaleen mukaan luonnolliset henkilöt voidaan yhdistää heidän laitteidensa tuottamiin verkkotunnisteisiin, kuten IP-osoitteisiin ja evästetunnisteisiin, ja näitä jälkiä voidaan käyttää profiilien luomiseen. Välityspalvelimen loki on siksi henkilötietoa, vaikka siinä ei olisi nimeä.

2. Mitä käsittelyperusteita kirjaston käsittelyyn sovelletaan?

Julkisessa korkeakoulussa kirjaston peruspalvelujen tavallinen käsittelyperuste on yleisen edun mukainen tehtävä tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti, joskus yhdessä sopimuksen (6 artiklan 1 kohdan b alakohta) kanssa lainojen osalta ja lakisääteisen velvoitteen (6 artiklan 1 kohdan c alakohta) kanssa kirjanpitoaineiston osalta. Suostumus kuuluu vapaaehtoisiin lisäpalveluihin. Viranomaiset eivät voi käyttää oikeutettua etua tehtäviensä hoitamiseksi tapahtuvassa käsittelyssä.

Todelliset tietosuojaselosteet näyttävät, miten tämä toimii käytännössä:

• Université Paris Cité ilmoittaa digitaalisen kirjastonsa käsittelyperusteeksi ”l’exécution d’une mission d'intérêt public (article 6.1.e du RGPD)” (yleisen edun mukaisen tehtävän suorittaminen, tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta).
• Madridin Complutense-yliopiston kirjasto mainitsee laina-, lukusali- ja kaukopalvelunsa perusteiksi sekä sopimuksen (6 artiklan 1 kohdan b alakohta) että yleisen edun (6 artiklan 1 kohdan e alakohta) ja viittaa Espanjan yliopistolakiin.
• Linköpingin yliopiston kirjasto määrittelee lainaajasuhteen lainasopimukseksi, mikä vastaa sopimusta käsittelyperusteena.

Suostumus sopii toimintoihin, joista käyttäjä voi kieltäytyä menettämättä palvelua, kuten henkilökohtaisen lainaushistorian säilyttämiseen, henkilökohtaiseen tiliin tallennettuihin hakuihin tai kustantajan alustan personointiin. Korkeakoulun ja sen opiskelijoiden ja henkilöstön välisen epäsuhdan vuoksi suostumus on huono peruste kaikelle, mitä käyttäjä ei voi välttää.

Erityiset henkilötietoryhmät. Asetuksen 9 artiklan 1 kohta kieltää käsittelemästä tietoja, joista ilmenee muun muassa poliittisia mielipiteitä, uskonnollinen vakaumus, terveydentila tai seksuaalinen suuntautuminen, ellei jokin poikkeus sovellu. Lainatietoja tai välityspalvelimen lokia ei tavallisesti käsitellä näiden asioiden selvittämiseksi. Validemicin analyysi Lainaushistoriasta voi silti päätellä niitä, mikä on hyvä syy luokitella kirjaston lokit vaikutustenarvioinnissa ja tietoturvaluokittelussa erittäin arkaluonteisiksi ja säilyttää niitä vain lyhyen aikaa.

Kansalliset salassapitosäännöt voivat lisätä suojaa. Ruotsissa Linköpingin yliopiston kirjasto muistuttaa käyttäjiä siitä, että kirjaston tiedot ovat salassa pidettäviä julkisuus- ja salassapitolain (OSL) 40 luvun 3 §:n nojalla. Selvittäkää, onko omassa maassanne vastaava kirjastoa koskeva salassapitosäännös, koska se vaikuttaa siihen, mitä kirjasto voi luovuttaa esimerkiksi asiakirjapyynnön perusteella.

Säilytyksen rajoittamisen periaatteen (5 artiklan 1 kohdan e alakohta) mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa, vain niin kauan kuin on tarpeen. Lokien kannalta tämä on tärkein sääntö. Sisäänrakennettu ja oletusarvoinen tietosuoja (25 artikla) tukee järjestelmien määrittämistä keräämään vähemmän alusta alkaen. Artiklojen tekstit löytyvät sivulta tietosuoja-asetus selitettynä.

3. Miksi kirjaston tietosuoja on tiedonvapauden kysymys

Kirjaston tietosuoja ei ole vain vaatimustenmukaisuutta. Kirjastoala pitää lukemisen luottamuksellisuutta vapaan tiedonhankinnan edellytyksenä: jos käyttäjät kokevat olevansa tarkkailtuja, he voivat välttää tiettyjä aiheita. Tämä eettinen perusta on usein tiukempi kuin tietosuoja-asetuksen vähimmäistaso, ja se antaa kirjastoille vahvan perustelun neuvotteluissa toimittajien kanssa.

IFLAn hallituksen 14.8.2015 hyväksymä IFLA Statement on Privacy in the Library Environment varoittaa, että liiallisella tiedonkeruulla voi olla ”a chilling effect on society” (lamaannuttava vaikutus yhteiskuntaan). Se suosittaa, että kirjastojen ”should reject electronic surveillance and any type of illegitimate monitoring” (tulisi torjua sähköinen valvonta ja kaikenlainen oikeudeton tarkkailu) ja että niiden ”should take measures to limit collection of personal information about their users and the services that they use.” (tulisi ryhtyä toimiin rajoittaakseen käyttäjiään ja heidän käyttämiään palveluja koskevien henkilötietojen keräämistä.) Lausumassa todetaan myös, että kirjastot voivat ”refuse to acquire services that collect excessive data” (kieltäytyä hankkimasta palveluja, jotka keräävät liikaa tietoja).

”The relationship between the library and the user is one of confidentiality.” (Kirjaston ja käyttäjän välinen suhde on luottamuksellinen.)

Yhdysvalloissa, jossa tietosuoja-asetusta ei ole, American Library Association asettaa samankaltaisia odotuksia. ALA:n Library Bill of Rights -julistuksen tietosuojaa koskevassa tulkinnassa, jota on viimeksi muutettu 29.6.2025, todetaan, että ”confidentiality is essential for free inquiry” (luottamuksellisuus on vapaan tiedonhankinnan edellytys) ja että kirjastojen ”should only collect and store the PII required for specific, clearly disclosed purposes.” (tulisi kerätä ja säilyttää vain tiettyihin, selvästi ilmoitettuihin tarkoituksiin tarvittavia henkilötietoja.) ALA:n Library Privacy Guidelines for Vendors lisää, että ”User data should not be retained in perpetuity.” (Käyttäjätietoja ei pidä säilyttää ikuisesti.) Nämä tekstit ovat hyödyllinen vertailukohta eurooppalaisille kirjastoille, jotka hankkivat palveluja yhdysvaltalaisilta toimittajilta: toimittajat tuntevat nämä odotukset.

NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems (joulukuu 2015) laadittiin kirjastojen, kustantajien ja ohjelmistotoimittajien yhteistyönä. Periaatteiden tavoitteena on ”balancing the expectations library users have regarding their intellectual freedoms and their privacy” (tasapainottaa kirjaston käyttäjien tiedonvapauteen ja yksityisyyteen liittyviä odotuksia), ja niissä on periaatteita tiedonkeruusta ja -käytöstä, anonymisoinnista, tietojen jakamisesta muille ja anonyymin käytön tukemisesta. Library Freedom Project, joka kuvaa itseään sanoin ”a network of values-driven librarians working together to build information democracy” (arvopohjaisten kirjastoammattilaisten verkosto, joka rakentaa yhdessä tiedon demokratiaa), kouluttaa kirjastoammattilaisia käytännön tietosuojatyöhön.

4. Välityspalvelimen lokit: mitä EZproxy ja OpenAthens tallentavat?

OCLC:n EZproxyn kaltainen välityspalvelin on käyttäjän ja kustantajan välissä, joten sen lokeihin tallentuu jokainen pyyntö: IP-osoite, aika, URL-osoite ja asetuksista riippuen käyttäjätunnus. OpenAthens toimii sen sijaan identiteetinhallinnan palveluna (identity provider) ja välittää attribuutteja kustantajille. Kummassakin tapauksessa kirjasto päättää suuresta osasta sitä, mitä kirjataan, luovutetaan ja säilytetään, joten asetukset ovat tietosuojapäätös.

EZproxy

OCLC:n dokumentaatiossa mainitaan neljä lokityyppiä. Päälokiin ezproxy.log tallentuu EZproxyn ja sisällöntarjoajien välinen liikenne, mukaan lukien käyttäjän IP-osoite, pyynnön aika, pyydetty URL-osoite, HTTP-tila ja siirretyt tavut. Oletusmuoto on %h %l %u %t "%r" %s %b, jossa %u on ”Username used to log into EZproxy if Option LogUser appears in config.txt” (EZproxyyn kirjautumisessa käytetty käyttäjätunnus, jos config.txt-tiedostossa on Option LogUser). Auditointilokiin tallentuvat kirjautumiset, epäonnistuneet kirjautumiset ja estetyt käyttöyritykset. Valinnainen SPU-loki tallentaa jokaisen klikkauksen aloitus-URL-osoitteeseen (starting point URL).

Tarkistettavat kohdat asetuksissa:

• Käyttäjätunnukset lokeissa. Ilman asetusta Option LogUser päälokissa on IP- ja istuntotietoja eikä käyttäjätunnuksia. Päättäkää, tarvitsetteko käyttäjätunnuksia väärinkäytösten selvittämiseen ja jos tarvitsette, kuinka pitkään.
• Auditointilokin säilytys. OCLC:n mukaan AuditPurge-direktiivin oletusarvo on 7 päivää, ja OCLC toteaa myös: ”OCLC suggests increasing the AuditPurge time period to 180” (OCLC suosittaa AuditPurge-ajan pidentämistä 180:een). Kyse on tietoturvasuosituksesta eikä oikeudellisesta vaatimuksesta. Asettakaa aika, jonka tietosuojavastaava voi perustella.
• Palveluna tarjottu EZproxy. OCLC:n ylläpitämässä EZproxyssa auditointiloki säilytetään 180 päivää, ja ”The default retention period for all other logs is set to 400 days.” (Kaikkien muiden lokien oletussäilytysaika on 400 päivää.) OCLC lisää: ”The minimum log retention period can be adjusted to 180 days, while the maximum is 1830 days.” (Lokien vähimmäissäilytysajaksi voidaan asettaa 180 päivää ja enimmäisajaksi 1 830 päivää.) Palveluasiakkaiden, jotka haluavat alle 180 päivää, kannattaa ottaa asia kirjallisesti esiin OCLC:n kanssa.
• EZproxy Analytics. OCLC huomauttaa, että ”the data may contain usernames and/or IP addresses” (tiedoissa voi olla käyttäjätunnuksia ja/tai IP-osoitteita) ja että lokitiedostot kopioidaan samalla alueella olevaan AWS:ssä toimivaan analytiikkaympäristöön. Jos otatte sen käyttöön, kirjatkaa se käsittelytoimeksi ja tarkistakaa, että käsittelysopimus kattaa sen.
• Pseudonyymit tunnisteet. EZproxy 7.1 ”introduced an optional feature that releases pseudonymous identifiers to content providers” (toi valinnaisen ominaisuuden, joka luovuttaa sisällöntarjoajille pseudonyymejä tunnisteita), jotta kustantajat voivat ilmoittaa väärinkäytöstä pseudonyymin perusteella sen sijaan, että kirjasto paljastaisi käyttäjän henkilöllisyyden.

Kirjastot julkaisevat, mitä ne kirjaavat. Oslon yliopiston kirjasto luettelee IP-osoitteen, aineiston URL-osoitteen, päivämäärän ja kellonajan, HTTP-tiedot, EZproxyn istuntotunnisteen ja ”Username of your account at UiO” (UiO-tilisi käyttäjätunnus) ja kertoo, että se ”stores the following data about your web traffic for 6 months before it is deleted” (säilyttää seuraavat verkkoliikennettäsi koskevat tiedot 6 kuukautta ennen poistamista) yliopiston järjestelmä- ja tietoturvalokitusta koskevien yleisten sääntöjen mukaisesti.

OpenAthens

OpenAthens ilmoittaa, että se ”acts as a data processor for customers who subscribe to the service” (toimii palvelun tilaavien asiakkaiden henkilötietojen käsittelijänä), joten korkeakoulu on rekisterinpitäjä ja tarvitsee 28 artiklan mukaisen sopimuksen OpenAthensin kanssa. Dokumentaation mukaan kaikille palveluntarjoajille luovutetaan oletuksena Targeted ID, jota kuvataan sanoin ”A pseudonymous user identifier generated by the system” (järjestelmän tuottama pseudonyyminen käyttäjätunniste) ja joka on eri jokaiselle palvelulle. Targeted ID korvataan pairwise-id-attribuutilla, joka OpenAthensin mukaan on ”Only released by default for domains created after November 2023” (oletuksena luovutettu vain marraskuun 2023 jälkeen luotuille domaineille). Kirjasto voi ohittaa luovutuskäytännön kustantajakohtaisesti, ja juuri tätä kautta nimi ja sähköpostiosoite alkavat joskus kulkea personointitoimintoja varten. OpenAthensin tietosuojasivulla on vain yleinen maininta säilytyksestä, joten pyytäkää auditointi- ja käyttölokien säilytysajat kirjallisesti.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

5. Federoitu kirjautuminen: mitä kirjaston pitäisi luovuttaa kustantajille?

Federoidussa kirjautumisessa korkeakoulun identiteetinhallinnan palvelu lähettää kustantajalle attribuutteja SAML-väitteessä. Kirjasto ja IT voivat päättää, mitä attribuutteja kukin kustantaja saa. Lisensoidun aineiston osalta tietosuojaystävällinen oletus on organisaatioon sidottu affiliaatio ja vain tarvittaessa pseudonyyminen palvelukohtainen tunniste. Pysyvän käyttäjätunnuksen tai sähköpostiosoitteen luovuttaminen antaa kustantajalle mahdollisuuden yhdistää toiminta nimettyyn henkilöön.

eduGAIN, SeamlessAccess ja entiteettiluokat

Kansalliset tutkimus- ja koulutusalan federaatiot (esimerkiksi Norjan Feide, jota Nordin yliopisto käyttää EZproxy-kirjautumiseen, ja UK Access Management Federation) ovat yhteydessä toisiinsa eduGAINin kautta. eduGAINin sivuston mukaan se mahdollistaa sen, että federaatiot ”interconnect, so that participating institutions and services can collaborate without the need to establish individual bilateral connections.” (liittyvät toisiinsa niin, että mukana olevat organisaatiot ja palvelut voivat tehdä yhteistyötä ilman erillisiä kahdenvälisiä yhteyksiä.) Sivuston reaaliaikaisten tilastojen mukaan federaatioita oli 9.10.2026 yhteensä 84.

SeamlessAccess on monien kustantajasivustojen ”Access through your institution” -painike. Sitä ylläpitää GÉANTin, Internet2:n, NISOn ja STM:n muodostama koalitio. Sen tietosuojasivun mukaan se ”runs its software locally in your browser and stores this information in browser local storage” (suorittaa ohjelmistoaan paikallisesti selaimessasi ja tallentaa nämä tiedot selaimen paikalliseen tallennustilaan), eli viimeksi valitsemasi organisaatiot, eikä nimeä tai sähköpostiosoitetta tallenneta. Painike auttaa käyttäjää löytämään oman kirjautumisensa; attribuuttien luovutuksesta päättää edelleen identiteetinhallinnan palvelu.

REFEDSin entiteettiluokat antavat yhteisen sanaston attribuuttien luovutukselle:

REFEDS Data Protection Code of Conduct (v2, 28.3.2022) on erillinen luokka palveluntarjoajille, jotka sitoutuvat tietosuoja-asetukseen perustuviin sääntöihin ennen attribuuttien vastaanottamista. Se on hyödyllistä näyttöä, mutta se ei korvaa omaa arviointianne.

Pairwise-id vai eduPersonPrincipalName

eduPersonPrincipalName (ePPN) näyttää sähköpostiosoitteelta ja on sama kaikissa palveluissa, joten kaksi kustantajaa, jotka molemmat saavat sen, voivat yhdistää käyttäjän toiminnan. eduPersonTargetedID ja sen seuraaja pairwise-id antavat samalle henkilölle eri arvon kussakin palvelussa. UK Access Management Federationin mukaan ”very little personally identifying information carried by either eduPersonScopedAffiliation or eduPersonTargetedID” (eduPersonScopedAffiliation ja eduPersonTargetedID sisältävät hyvin vähän henkilöä yksilöivää tietoa), joten ne on turvallista luovuttaa mille tahansa palvelulle, mutta se lisää, että ”your organisation should do its own risk analysis in consultation with its data protection officer” (organisaation tulisi tehdä oma riskianalyysinsa yhdessä tietosuojavastaavan kanssa).

Validemicin analyysi Järkevä oletus kustantajille on: organisaatioon sidottu affiliaatio kaikille, pairwise-id vain palveluille, joissa on henkilökohtaisia toimintoja, ja nimi tai sähköpostiosoite vain kustantajan dokumentoidun pyynnön ja kirjaston ja tietosuojavastaavan päätöksen jälkeen. Käykää luovutuskäytännöt läpi vuosittain, koska yhtä toimintoa varten myönnetyt poikkeukset jäävät helposti voimaan.

6. Mitä kustantajat näkevät? Kolmansien osapuolten seuranta alustoilla

Vähäisilläkin attribuuteilla kustantajien verkkosivustot voivat kerätä tietoja evästeiden, skriptien ja laitetunnistuksen (fingerprinting) avulla. Tutkimuksissa on löydetty mainonta- ja analytiikkaseurantaa merkittäviltä tieteellisiltä alustoilta. Kirjasto ei yleensä voi suoraan vaikuttaa kustantajan verkkosivustoon, joten lisenssi, käsittelysopimus ja selkeä tiedottaminen käyttäjille ovat tärkeimmät keinot.

Cody Hansonin tutkimus User Tracking on Academic Publisher Platforms (2019) tarkasteli artikkelisivuja 15 kustantajan alustalla. Hän löysi Googlen koodia 14 alustalta ja Googlen DoubleClick-mainosverkon 13 alustalta, ja sivut latasivat keskimäärin 18 kolmannen osapuolen resurssia 139 eri lähteestä. Hänen johtopäätöksensä oli, että kirjastojen tietosuojaselosteet ”do not accurately represent the current state of patron privacy in use of licensed resources” (eivät kuvaa tarkasti asiakkaiden yksityisyyden todellista tilaa lisensoitujen aineistojen käytössä) ja että ”publishers don’t need RA21 or even what we typically think of as PII to identify library users.” (kustantajat eivät tarvitse RA21:tä tai edes sitä, mitä tavallisesti pidämme henkilötietoina, tunnistaakseen kirjaston käyttäjät.)

Vuonna 2021 Saksan tutkimusrahoittaja DFG:n tieteellisten kirjastopalvelujen ja tietojärjestelmien toimikunta (DFG AWBI) julkaisi taustapaperin Data tracking in research: aggregation and use or sale of usage data by academic publishers. Siinä kuvataan mikrokohdentamista, huutokauppavirtojen (bidstream) tietoja ja kirjastoille ehdotettuja ”vakoiluohjelmia” (spyware), ja varoitetaan, että tällainen seuranta ”can fundamentally contradict academic freedom and informational self-determination” (voi olla perustavanlaatuisesti ristiriidassa akateemisen vapauden ja tiedollisen itsemääräämisoikeuden kanssa). DFG:n mukaan sen suositukset johtivat siihen, että Saksan DEAL-sopimuksiin suurten kustantajien kanssa tuli ”a separate section on data protection and data tracking” (erillinen tietosuojaa ja tietojen seurantaa koskeva osio). Tämä on malli, jota muut konsortiot voivat hyödyntää.

Yhdysvaltalainen avoimen tieteen koalitio SPARC kirjoitti huhtikuussa 2021, että kaksi suurta kirjastoalan toimittajaa ”have been building sophisticated, global systems of surveillance” (ovat rakentaneet kehittyneitä, maailmanlaajuisia valvontajärjestelmiä), ja kehotti kirjastoja harkitsemaan ”a renewed focus on contractual terms (particularly privacy clauses)” (uudenlaista huomiota sopimusehtoihin, erityisesti tietosuojalausekkeisiin). Nämä ovat edunvalvonnallisia kannanottoja; lukekaa ne syinä esittää kysymyksiä, ei havaintoina mistään yksittäisestä sopimuksesta.

Mitä kirjasto voi tehdä:

1. Pyytäkää jokaiselta alustalta luettelo sisältösivujen kolmansien osapuolten skripteistä ja evästeistä sekä tieto siitä, käytetäänkö niitä mainontaan.
2. Lisätkää lisenssiin tai konsortiosopimukseen tietosuojaa ja seurantaa koskeva lauseke, kuten DEAL-sopimuksissa tehtiin. Lisenssilausekkeista kerrotaan oppaassa kirjaston lisenssit, tekoäly sekä teksti- ja tiedonlouhinta.
3. Selvittäkää, toimiiko kustantaja käyttötietojen osalta rekisterinpitäjänä vai käsittelijänä. Useimmilla lisensoiduilla alustoilla kustantaja on oman verkkosivustonsa rekisterinpitäjä, joten 28 artiklan mukainen sopimus ei ole oikea väline; oikea väline ovat lisenssin tietosuojaehdot.
4. Kertokaa käyttäjille selkeästi, että kustantajien sivustoilla on omat tietosuojakäytäntönsä ja evästeensä, kuten IFLAn lausuma suosittaa.

7. Hakupalvelujen hakulokit ja tekoälyavustajat

Hakupalvelun hakulokeihin tallentuu se, mitä ihmiset etsivät, mikä voi paljastaa enemmän kuin se, mitä he lainaavat. Tekoälyavustajat tuovat uuden kerroksen: vapaamuotoiset kysymykset ja keskusteluhistorian, joita kielimallin tarjoaja käsittelee. Kysykää toimittajilta erikseen, mitä toimittaja kirjaa lokeihin ja mitä kielimallin tarjoaja säilyttää.

Lyhyt säilytys on mahdollista. Erfurtin yliopiston kirjaston Discovery-hakuportaalin tietosuojaselosteen mukaan palvelimen lokitiedot ”is deleted regularly (after a period of 5 days)” (poistetaan säännöllisesti, 5 päivän jälkeen), ja linkkipalvelimen (link resolver) tarjoaja säilyttää IP-osoitteita verkkopalvelimensa lokeissa 7 päivää. Tallennetut suosikit ja hakuhistoria säilytetään vuoden ajan käyttäjän viimeisestä kirjautumisesta.

Tekoälyavustajien käytäntöjä toimittajat kuvaavat eri tavoin:

• Primo Research Assistant (Ex Libris, osa Clarivatea). Knowledge Centerin mukaan ”Clarivate does not use your data to directly or indirectly train LLMs” (Clarivate ei käytä tietojanne suoraan tai välillisesti kielimallien kouluttamiseen) ja ”Neither your input nor the licensed content are stored by the LLM” (kielimalli ei tallenna syötettänne eikä lisensoitua aineistoa). Sivulla ei nimetä kielimallin tarjoajaa eikä kerrota, kuinka kauan Clarivate itse säilyttää kyselyjä. Kysykää molempia.
• Scopus AI (Elsevier). Elsevierin tuotesivun mukaan tavalliset keskustelut ovat ”Stored indefinitely until your contract ends or customer/user request deletion” (tallennettuina toistaiseksi, kunnes sopimus päättyy tai asiakas tai käyttäjä pyytää poistoa), kun taas väliaikaiset keskustelut ovat ”Held for up to 30 days only.” (tallessa enintään 30 päivää.) Sivun mukaan on sovittu, ettei käyttäjien kyselyjä tallenneta eikä käytetä ChatGPT:n kouluttamiseen. Scopus AI -tietosuojakatsauksemme esittelee Elsevierin muun dokumentaation.

Validemicin analyysi Kehotelokit ovat uudenlainen kirjaston tallenne. Kysymys kuten ”tutkimuksia sairauteni hoidosta” paljastaa enemmän kuin hakusana. Käsitelkää kehotelokeja kuten hakulokeja: lyhyt säilytys, ei käyttöä mallien koulutukseen, pääsy rajattu tukihenkilöstöön ja selkeä tiedotus käyttäjille. Kehottakaa käyttäjiä olemaan liittämättä näihin työkaluihin tutkittavia koskevia henkilötietoja. Aihetta käsitellään tarkemmin oppaassa tietosuoja-asetus ja tekoälytyökalut tutkimuksessa.

8. Kirjastojärjestelmät ja toimittajien käsittelysopimukset

Kirjastojärjestelmässä on asiakasrekisteri ja kaikki tapahtumat, ja useimmat järjestelmät ovat nykyään toimittajan ylläpitämiä. Toimittaja on silloin käsittelijä, ja korkeakoulu tarvitsee 28 artiklan mukaisen sopimuksen, alikäsittelijäluettelon ja selkeät anonymisointiasetukset. Avoimen lähdekoodin järjestelmät, joita ylläpitää tukipalveluyritys, edellyttävät saman sopimuksen ylläpitäjän kanssa.

Alman usein kysytyissä kysymyksissä todetaan myös, että se ”conforms to FERPA guidelines” (noudattaa FERPAn ohjeita), mikä viittaa yhdysvaltalaiseen lakiin. Kyse ei ole tietosuoja-asetusta koskevasta lausumasta, joten eurooppalaisten velvoitteiden osalta nojatkaa allekirjoitettuun käsittelysopimukseen. Itse sopimuksen arviointiin käsittelysopimuksen tarkistustyökalu vertaa sitä 28 artiklan 3 kohtaan, ja toimittajakyselyn laatimistyökalu auttaa esittämään kirjaston toimittajille oikeat kysymykset. Yleinen prosessi on kuvattu oppaassa toimittaja-arvioinnista.

9. Kirjastoanalytiikka ja oppimisanalytiikka

Kirjastot yhdistävät yhä useammin lainoja, e-aineistojen käyttöä ja tilojen käyttöä kokoelmapäätöksiä varten, ja jotkin korkeakoulut yhdistävät kirjaston käytön opintomenestykseen. Kootut tilastot ovat ongelmattomia. Tunnistettavan kirjaston käytön yhdistäminen yksittäisten opiskelijoiden suorituksiin on profilointia, joka edellyttää selkeää tarkoitusta, käsittelyperustetta ja yleensä vaikutustenarviointia.

Readingin yliopiston kirjasto edustaa yleistä mallia: henkilötiedot poistetaan jäsenyyden päätyttyä, kun taas ”Transaction data for Students are anonymised and kept indefinitely.” (Opiskelijoiden tapahtumatiedot anonymisoidaan ja säilytetään toistaiseksi.) Kohan pseudonymisoidut tilastot ja Alman anonymisointiajot tukevat samaa lähestymistapaa. Varmistakaa, että anonymisointi on todellista: lainatietue, josta asiakas on poistettu mutta jossa on harvinainen laitos, päivämäärä ja nimeke, voi silti viitata yhteen henkilöön.

Jos kirjasto toimittaa tietoja oppimisanalytiikkaohjelmaan, sovelletaan oppaamme oppimisanalytiikasta ja tietosuoja-asetuksesta sääntöjä: käyttötarkoitussidonnaisuus, läpinäkyvyys, vastustamisoikeus yleisen edun mukaisessa tehtävässä sekä tekoälysäädöksen säännöt oppimistuloksia arvioivalle tekoälylle, joita sovelletaan 2.12.2027 alkaen. Validemicin analyysi Lukemista koskevat tiedot ovat analytiikassa arkaluonteinen lähtötieto, koska ne kertovat siitä, mistä opiskelijat ovat kiinnostuneita, eivät vain siitä, miten he menestyvät. Monet kirjastot päättävät toimittaa vain koottuja tietoja.

10. Kuinka kauan yliopistokirjastot todellisuudessa säilyttävät kirjaston tietoja?

Eurooppalaisten yliopistokirjastojen julkaistut tietosuojaselosteet osoittavat, että lyhyet ajat ovat toimivia: lainan ja henkilön yhteys poistetaan palautettaessa, välityspalvelimen lokeja säilytetään 90 päivästä kuuteen kuukauteen, chat ja kameravalvonta poistetaan noin 30 päivän jälkeen. Alla olevassa taulukossa lainataan 9.10.2026 luettuja selosteita. Ajat ovat kunkin organisaation omia valintoja, eivät oikeudellisia vaatimuksia.

Kaksi linjaa erottuu. Ensinnäkin henkilön ja lainan yhteyden poistaminen palautettaessa on yleistä eri maissa, ja se aiheuttaa harvoin käytännön ongelmia, koska myöhästymis- ja maksutiedot säilytetään, kunnes ne on hoidettu. Toiseksi kaukolainatietojen säilytysaikojen hajonta (30 päivää Etelä-Tanskassa, kaksi vuotta Åbo Akademissa, seitsemän vuotta Readingissa) osoittaa, että jotkin kirjastot sitovat kaukolainat talous- tai sopimusaineistoon. Jos säilytätte kaukolainatietoja pidempään, kirjatkaa perustelu. Säilytysaikataulun opas kertoo, miten nämä päätökset kirjataan.

11. Järjestelmä kerrallaan: tyypilliset tiedot, säilytys ja sopimuskohdat

Validemicin analyysi Alla olevat ehdotukset ovat lähtökohtia, jotka perustuvat edellä kuvattuun julkaistuun käytäntöön. Sovittakaa ne kansalliseen lainsäädäntöön, tietoturvapolitiikkaanne ja omiin tarkoituksiinne, ja kirjatkaa perustelut säilytysaikatauluun.

12. Tarkistuslista kirjastolle ja tietosuojavastaavalle

Lähteet

1. Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), 5, 6, 9, 25 ja 28 artikla sekä johdanto-osan 30 kappale (haettu 9.10.2026).
2. IFLA Statement on Privacy in the Library Environment, hyväksytty 14.8.2015 (haettu 9.10.2026).
3. IFLA Code of Ethics for Librarians and other Information Workers (pitkä versio), elokuu 2012 (haettu 9.10.2026).
4. ALA: Privacy, an Interpretation of the Library Bill of Rights, muutettu 29.6.2025 (haettu 9.10.2026).
5. ALA: Library Privacy Guidelines for Vendors, päivitetty 26.1.2020 (haettu 9.10.2026).
6. NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems, 10.12.2015 (haettu 9.10.2026).
7. Library Freedom Project (haettu 9.10.2026).
8. OCLC: EZproxy log files overview ja LogFormat directive (haettu 9.10.2026).
9. OCLC: How long are the logs kept for Hosted EZproxy (haettu 9.10.2026).
10. OCLC: EZproxy Analytics privacy considerations (haettu 9.10.2026).
11. OCLC: EZproxy pseudonymous identifier administration (haettu 9.10.2026).
12. OpenAthens: Privacy ja About released attributes (haettu 9.10.2026).
13. SeamlessAccess: Privacy and Trust ja About (haettu 9.10.2026).
14. eduGAIN: What is eduGAIN (haettu 9.10.2026).
15. REFEDSin entiteettiluokat: Anonymous Access, Pseudonymous Access, Personalized Access, Research and Scholarship ja Data Protection Code of Conduct v2 (haettu 9.10.2026).
16. UK Access Management Federation: attribuuttien luovutus (haettu 9.10.2026).
17. Cody Hanson, User Tracking on Academic Publisher Platforms, 2019 (haettu 9.10.2026).
18. DFG: Data tracking in research ja AWBI:n taustapaperi (englanniksi), 2021 (haettu 9.10.2026).
19. SPARC: Addressing the Alarming Systems of Surveillance Built By Library Vendors, 9.4.2021 (haettu 9.10.2026).
20. Ex Libris: GDPR ja Alma FAQ: Security and Privacy (haettu 9.10.2026).
21. Ex Libris Knowledge Center: Primo Research Assistant (haettu 9.10.2026).
22. Elsevier: Scopus AI -tuotesivu (haettu 9.10.2026).
23. FOLIO-dokumentaatio: Settings, Circulation (haettu 9.10.2026).
24. OCLC: GDPR, partnering with customers (haettu 9.10.2026).
25. Kohan käyttöohje: cron jobs (haettu 9.10.2026).
26. Oslon yliopiston kirjasto: privacy policy (haettu 9.10.2026).
27. Nordin yliopisto: Privacy notices for the University Library (haettu 9.10.2026).
28. Norjan arktinen yliopisto UiT: The University Library's Privacy Policy (haettu 9.10.2026).
29. Bergenin yliopisto: Privacy at the library (haettu 9.10.2026).
30. Radboudin yliopisto: University Library Privacy Statement (haettu 9.10.2026).
31. Etelä-Tanskan yliopiston kirjasto: Policy for protection of personal data (haettu 9.10.2026).
32. Linköpingin yliopiston kirjasto: Bibliotekets låneregler (haettu 9.10.2026).
33. Würzburgin musiikkikorkeakoulu: kirjaston tietosuojaseloste (haettu 9.10.2026).
34. Erfurtin yliopiston kirjasto: Privacy policy, search portal Discovery (haettu 9.10.2026).
35. Université Paris Cité: Données personnelles, gestion de la bibliothèque numérique (haettu 9.10.2026).
36. Madridin Complutense-yliopisto: seloste käsittelytoimista, Biblioteca (BUC) (haettu 9.10.2026).
37. Åbo Akademi: Interlibrary Loan Requests privacy notice (haettu 9.10.2026).
38. Arcada: Library register of borrowers (haettu 9.10.2026).
39. Readingin yliopiston kirjasto: Data retention policy (haettu 9.10.2026).
40. Wolfson College, Cambridge: Data Privacy Notice for Library Users (haettu 9.10.2026).

Tietoa tästä sivusta

Lähteet tarkistettu 9.10.2026. Luimme kyseisenä päivänä jokaisen edellä luetellun yliopistokirjaston tietosuojaselosteen, toimittajan asiakirjan ja ammatillisen lausuman, ja lainaamme vain lyhyitä otteita niiden alkuperäisessä muodossa; suluissa olevat suomennokset ovat omiamme. Säilytysajat ovat kunkin organisaation julkaisemia ja voivat muuttua; ne ovat esimerkkejä eivätkä oikeudellisia vaatimuksia. Oma tulkintamme, mukaan lukien osion 11 säilytysehdotukset, on merkitty Validemicin analyysiksi. Toimittajien kuvaukset tiivistävät julkista dokumentaatiota eivätkä ole väitteitä siitä, että jokin tuote olisi tai ei olisi tietosuoja-asetuksen mukainen; se riippuu sopimuksestanne, asetuksista ja käytöstä. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa. Jos huomaatte virheen tai kirjastonne julkaisee säilytysaikoja, jotka haluaisitte mukaan, ottakaa yhteyttä, niin korjaamme tai lisäämme ne.