La vie privée des usagers des bibliothèques et le RGPD : authentification, journaux du proxy, outils de découverte et statistiques

Une bibliothèque universitaire sait ce que ses usagers empruntent, recherchent et lisent. Ses données comptent donc parmi les plus sensibles que détient une université, même lorsqu’elles ressemblent à de simples journaux techniques. Ce guide explique quelles données personnelles une bibliothèque traite, quelles bases légales s’appliquent, comment fonctionnent le proxy et l’authentification fédérée du point de vue de la vie privée, ce que voient les éditeurs et les fournisseurs, et combien de temps de véritables bibliothèques universitaires européennes conservent leurs journaux.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

1. Quelles données personnelles une bibliothèque universitaire traite-t-elle ?

Une bibliothèque universitaire traite des données d’identité et de compte pour chaque usager inscrit, des données de transaction sur les prêts, les réservations et les pénalités, et des données de journalisation issues des systèmes qui donnent accès aux ressources électroniques. Ensemble, elles montrent qui a lu quoi et quand. Si l’on ajoute la réservation de salles, le chat, la vidéosurveillance et les outils de recherche IA, une bibliothèque peut détenir un portrait détaillé de la vie intellectuelle de chaque usager.

Les principales catégories sont :

• Fiche lecteur. Nom, numéro d’étudiant ou d’agent, adresse électronique, catégorie d’usager (étudiant, personnel, lecteur extérieur), numéro de carte, parfois numéro d’identification national. La bibliothèque de l’université de Linköping, par exemple, mentionne le nom, le numéro d’identité personnel, l’adresse électronique et le LiU-ID dans son fichier des emprunteurs.
• Prêts, réservations et pénalités. Prêts en cours, réservations, lettres de rappel et pénalités. Conserver ou non le lien avec la personne après le retour est un choix de conception essentiel (voir la section 10).
• Prêt entre bibliothèques (PEB) et fourniture de documents. Formulaires de demande indiquant le demandeur et le titre, souvent transmis à une autre bibliothèque ou à un fournisseur commercial.
• Listes de lecture. Les bibliographies de cours relient enseignants, cours et titres, et certains systèmes enregistrent les clics des étudiants.
• Journaux d’authentification et du proxy. Adresse IP, identifiant de connexion ou identifiant de session, heure et URL de l’article ou de la base de données. Ces journaux sont la trace la plus directe de ce qu’une personne a lu.
• Journaux de recherche de l’outil de découverte. Termes recherchés, recherches enregistrées, favoris et données de clics dans le catalogue ou l’outil de découverte.
• Réservation de salles et de matériel. Qui a réservé quelle salle et quand, souvent dans un service de réservation tiers.
• Renseignement par chat et par courriel. Questions en texte libre qui peuvent révéler des sujets de recherche et des situations personnelles.
• Vidéosurveillance et contrôle d’accès. Images et enregistrements des entrées dans les bâtiments de la bibliothèque.
• Statistiques web et d’usage. Mesure d’audience du site, statistiques d’usage des éditeurs et tableaux de bord de la bibliothèque.
• Assistants de recherche IA. Questions saisies dans des outils comme Primo Research Assistant ou Scopus AI, et historique des conversations.

Les adresses IP et les identifiants de session comptent. Le considérant 30 du RGPD explique que les personnes physiques « peuvent se voir associer, par les appareils, applications, outils et protocoles qu’elles utilisent, des identifiants en ligne », en citant les adresses IP et les témoins de connexion, et que ces traces peuvent servir à créer des profils. Un journal du proxy est donc une donnée personnelle même s’il ne contient pas de nom.

2. Quelles bases légales s’appliquent aux traitements de la bibliothèque ?

Pour une université publique, la base légale habituelle des services essentiels de la bibliothèque est la mission d’intérêt public, article 6, paragraphe 1, point e, du RGPD, parfois combinée avec le contrat (article 6, paragraphe 1, point b) pour les prêts et l’obligation légale (article 6, paragraphe 1, point c) pour les pièces comptables. Le consentement relève des options facultatives. Les autorités publiques ne peuvent pas invoquer l’intérêt légitime pour les traitements effectués dans l’exécution de leurs missions.

Des mentions d’information réelles montrent comment cela fonctionne en pratique :

• L’Université Paris Cité indique pour sa bibliothèque numérique que la base légale est « l’exécution d’une mission d'intérêt public (article 6.1.e du RGPD) ».
• La bibliothèque de l’Universidad Complutense de Madrid mentionne à la fois le contrat (art. 6.1.b) et l’intérêt public (art. 6.1.e) pour son service de prêt, de salles de lecture et de prêt entre bibliothèques, en renvoyant à la loi espagnole sur les universités.
• La bibliothèque de l’université de Linköping présente la relation avec l’emprunteur comme un contrat de prêt, ce qui correspond au contrat.

Le consentement convient aux fonctions qu’un usager peut refuser sans perdre le service, comme la conservation d’un historique de lecture personnel, les recherches enregistrées dans un compte personnel ou la personnalisation sur la plateforme d’un éditeur. En raison du déséquilibre entre une université et ses étudiants et personnels, le consentement est une base fragile pour tout ce que l’usager ne peut pas éviter.

Catégories particulières de données. L’article 9, paragraphe 1, interdit le traitement des données qui révèlent, entre autres, les opinions politiques, les convictions religieuses, la santé ou l’orientation sexuelle, sauf exception. Un enregistrement de prêt ou un journal du proxy n’est normalement pas traité dans le but de révéler ces informations. Analyse de Validemic Un historique de lecture peut toutefois les révéler par déduction : c’est une bonne raison de classer les journaux de la bibliothèque comme données très sensibles dans votre AIPD et dans votre classification de sécurité, et de ne les conserver que brièvement.

Des règles nationales de confidentialité peuvent renforcer la protection. En Suède, la bibliothèque de l’université de Linköping rappelle à ses usagers que les données de la bibliothèque sont couvertes par le secret au titre du chapitre 40, article 3, de la loi sur l’accès à l’information et le secret (OSL). Vérifiez si votre pays prévoit une disposition comparable pour les bibliothèques, car elle conditionne ce que la bibliothèque peut communiquer, par exemple en réponse à une demande d’accès aux documents administratifs.

Le principe de limitation de la conservation de l’article 5, paragraphe 1, point e, exige que les données soient « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Pour les journaux, c’est la règle qui compte le plus. La protection des données dès la conception et par défaut (article 25) plaide pour des systèmes configurés de manière à collecter moins dès le départ. Voir notre page Le RGPD expliqué pour le texte de ces articles.

3. Pourquoi la confidentialité en bibliothèque touche-t-elle à la liberté intellectuelle ?

La confidentialité en bibliothèque n’est pas qu’une question de conformité. La profession considère la confidentialité des lectures comme une condition du libre accès au savoir : si les usagers se sentent observés, ils peuvent éviter certains sujets. Cette exigence déontologique est souvent plus stricte que le minimum du RGPD, et elle donne aux bibliothèques un argument solide dans les négociations avec les fournisseurs.

La déclaration de l’IFLA sur la vie privée dans l’environnement des bibliothèques (IFLA Statement on Privacy in the Library Environment), approuvée par le conseil d’administration de l’IFLA le 14 août 2015, avertit qu’une collecte excessive de données peut avoir « a chilling effect on society » (un effet dissuasif sur la société). Elle recommande que les bibliothèques « should reject electronic surveillance and any type of illegitimate monitoring » (rejettent la surveillance électronique et toute forme de contrôle illégitime) et qu’elles « should take measures to limit collection of personal information about their users and the services that they use. » (prennent des mesures pour limiter la collecte d’informations personnelles sur leurs usagers et sur les services qu’ils utilisent.) Elle relève aussi que les bibliothèques peuvent « refuse to acquire services that collect excessive data » (refuser d’acquérir des services qui collectent des données excessives).

« The relationship between the library and the user is one of confidentiality. » (La relation entre la bibliothèque et l’usager est une relation de confidentialité.)

Aux États-Unis, où le RGPD ne s’applique pas, l’American Library Association fixe des attentes comparables. L’interprétation de l’ALA sur la vie privée de la Library Bill of Rights, modifiée pour la dernière fois le 29 juin 2025, affirme que « confidentiality is essential for free inquiry » (la confidentialité est essentielle au libre questionnement) et que les bibliothèques « should only collect and store the PII required for specific, clearly disclosed purposes. » (ne devraient collecter et conserver que les informations personnelles nécessaires à des finalités précises et clairement annoncées.) Ses Library Privacy Guidelines for Vendors ajoutent : « User data should not be retained in perpetuity. » (Les données des usagers ne doivent pas être conservées indéfiniment.) Ces textes sont une comparaison utile pour les bibliothèques européennes qui achètent auprès de fournisseurs américains : ces fournisseurs connaissent ces attentes.

Les NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems (décembre 2015) ont été rédigés conjointement par des bibliothèques, des éditeurs et des fournisseurs de logiciels. Ils visent à « balancing the expectations library users have regarding their intellectual freedoms and their privacy » (concilier les attentes des usagers des bibliothèques en matière de libertés intellectuelles et de vie privée), avec des principes sur la collecte et l’utilisation des données, l’anonymisation, le partage des données avec des tiers et la possibilité d’un usage anonyme. Le Library Freedom Project, qui se présente comme « a network of values-driven librarians working together to build information democracy » (un réseau de bibliothécaires guidés par des valeurs qui œuvrent ensemble à une démocratie de l’information), forme les bibliothécaires à la protection de la vie privée au quotidien.

4. Journaux du proxy : qu’enregistrent EZproxy et OpenAthens ?

Un serveur proxy comme EZproxy d’OCLC s’interpose entre l’usager et l’éditeur : ses journaux enregistrent donc chaque requête, avec l’adresse IP, l’heure, l’URL et, si cela est configuré, l’identifiant de connexion. OpenAthens fonctionne plutôt comme un fournisseur d’identité et transmet des attributs aux éditeurs. Dans les deux cas, la bibliothèque décide en grande partie de ce qui est journalisé, transmis et conservé : la configuration est donc une décision de protection des données.

EZproxy

La documentation d’OCLC distingue quatre types de journaux. Le journal principal ezproxy.log enregistre le trafic entre EZproxy et les fournisseurs de contenu, notamment l’adresse IP de l’usager, l’heure de la requête, l’URL demandée, le statut HTTP et le volume transféré. Le format par défaut est %h %l %u %t "%r" %s %b, où %u correspond au « Username used to log into EZproxy if Option LogUser appears in config.txt » (identifiant utilisé pour se connecter à EZproxy si l’option LogUser figure dans config.txt). Les journaux d’audit enregistrent les connexions, les échecs de connexion et les accès bloqués. Un journal SPU facultatif enregistre chaque clic sur une URL de point d’entrée (starting point URL).

Points à vérifier dans votre configuration :

• Identifiants dans les journaux. Sans Option LogUser, le journal principal contient des données d’IP et de session plutôt que des identifiants de connexion. Décidez si vous avez besoin des identifiants pour enquêter sur des abus et, si oui, pour combien de temps.
• Conservation des journaux d’audit. Selon OCLC, la directive AuditPurge est fixée par défaut à 7 jours, et « OCLC suggests increasing the AuditPurge time period to 180 » (OCLC suggère de porter la durée AuditPurge à 180). Il s’agit d’une suggestion de sécurité, pas d’une obligation légale. Fixez une durée que votre DPO peut justifier.
• EZproxy hébergé. Pour l’EZproxy hébergé par OCLC, le journal d’audit est conservé 180 jours et « The default retention period for all other logs is set to 400 days. » (La durée de conservation par défaut de tous les autres journaux est fixée à 400 jours.) OCLC ajoute que « The minimum log retention period can be adjusted to 180 days, while the maximum is 1830 days. » (La durée minimale de conservation des journaux peut être ramenée à 180 jours, la durée maximale étant de 1 830 jours.) Les clients de l’offre hébergée qui souhaitent moins de 180 jours doivent le demander par écrit à OCLC.
• EZproxy Analytics. OCLC relève que « the data may contain usernames and/or IP addresses » (les données peuvent contenir des identifiants de connexion et/ou des adresses IP) et que les fichiers journaux sont répliqués vers une instance d’analyse hébergée chez AWS dans la même région. Si vous l’activez, inscrivez-le comme activité de traitement et vérifiez que le contrat de sous-traitance le couvre.
• Identifiants pseudonymes. EZproxy 7.1 « introduced an optional feature that releases pseudonymous identifiers to content providers » (a introduit une fonction facultative qui transmet des identifiants pseudonymes aux fournisseurs de contenu), afin que les éditeurs puissent signaler un usage abusif au moyen d’un pseudonyme sans que la bibliothèque ait à révéler l’identité de l’usager.

De véritables bibliothèques publient ce qu’elles journalisent. La bibliothèque de l’université d’Oslo mentionne l’adresse IP, l’URL de la ressource, la date et l’heure, des informations HTTP, l’identifiant de session EZproxy et le « Username of your account at UiO » (identifiant de votre compte à l’UiO), et indique qu’elle « stores the following data about your web traffic for 6 months before it is deleted » (conserve les données suivantes sur votre trafic web pendant 6 mois avant leur suppression), conformément aux règles générales de l’université sur la journalisation des systèmes et de la sécurité.

OpenAthens

OpenAthens indique qu’il « acts as a data processor for customers who subscribe to the service » (agit en qualité de sous-traitant pour les clients abonnés au service) : l’université est donc responsable du traitement et doit conclure un contrat au titre de l’article 28 avec OpenAthens. Selon sa documentation, un Targeted ID est transmis par défaut à tous les fournisseurs de services, décrit comme « A pseudonymous user identifier generated by the system » (un identifiant d’usager pseudonyme généré par le système), avec une valeur différente pour chaque service. Le Targeted ID est progressivement remplacé par l’attribut pairwise-id, qui selon OpenAthens est « Only released by default for domains created after November 2023 » (transmis par défaut uniquement pour les domaines créés après novembre 2023). Les bibliothèques peuvent modifier la politique de transmission éditeur par éditeur, et c’est là que le nom et l’adresse électronique commencent parfois à circuler pour des fonctions de personnalisation. La page d’OpenAthens sur la vie privée ne donne qu’une indication générale sur la conservation : demandez par écrit la durée de conservation des journaux d’audit et d’usage.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

5. Authentification fédérée : que doit transmettre une bibliothèque aux éditeurs ?

Avec l’authentification fédérée, le fournisseur d’identité de l’université envoie des attributs à l’éditeur dans une assertion SAML. La bibliothèque et la DSI peuvent décider quels attributs reçoit chaque éditeur. Pour les ressources sous licence, le réglage par défaut respectueux de la vie privée est une affiliation qualifiée et, seulement si nécessaire, un identifiant pseudonyme propre à chaque service. Transmettre un identifiant de connexion stable ou une adresse électronique permet à l’éditeur de rattacher l’activité à une personne nommément identifiée.

eduGAIN, SeamlessAccess et les catégories d’entités

Les fédérations nationales d’identités de l’enseignement supérieur et de la recherche (par exemple Feide en Norvège, utilisée par l’université Nord pour la connexion à EZproxy, et la UK Access Management Federation) sont reliées entre elles par eduGAIN. Le site d’eduGAIN explique qu’il permet aux fédérations « interconnect, so that participating institutions and services can collaborate without the need to establish individual bilateral connections. » (de s’interconnecter, afin que les établissements et services participants puissent collaborer sans devoir établir de connexions bilatérales individuelles.) Le 9 octobre 2026, ses statistiques en direct indiquaient 84 fédérations.

SeamlessAccess est le bouton « Access through your institution » (accès via votre établissement) présent sur de nombreux sites d’éditeurs. Il est géré par une coalition réunissant GÉANT, Internet2, NISO et STM. Sa page sur la vie privée indique qu’il « runs its software locally in your browser and stores this information in browser local storage » (exécute son logiciel localement dans votre navigateur et stocke ces informations dans le stockage local du navigateur), à savoir les derniers établissements choisis, et qu’aucun nom ni aucune adresse électronique ne sont conservés. Le bouton aide l’usager à trouver sa page de connexion ; la transmission des attributs reste décidée par le fournisseur d’identité.

Les catégories d’entités REFEDS offrent un vocabulaire commun pour la transmission d’attributs :

Le REFEDS Data Protection Code of Conduct (v2, 28 mars 2022) est une catégorie distincte destinée aux fournisseurs de services qui s’engagent à respecter des règles fondées sur le RGPD avant de recevoir des attributs. C’est un élément de preuve utile, mais il ne remplace pas votre propre évaluation.

Pairwise-id ou eduPersonPrincipalName

eduPersonPrincipalName (ePPN) ressemble à une adresse électronique et reste identique pour tous les services : deux éditeurs qui le reçoivent peuvent donc croiser l’activité d’un usager. eduPersonTargetedID et son successeur pairwise-id donnent à chaque service une valeur différente pour la même personne. La UK Access Management Federation estime qu’il y a « very little personally identifying information carried by either eduPersonScopedAffiliation or eduPersonTargetedID » (très peu d’informations permettant d’identifier une personne dans eduPersonScopedAffiliation comme dans eduPersonTargetedID), et donc qu’ils peuvent être transmis sans risque à tout service, mais ajoute que « your organisation should do its own risk analysis in consultation with its data protection officer » (votre organisation doit mener sa propre analyse de risques en concertation avec son délégué à la protection des données).

Analyse de Validemic Un réglage par défaut raisonnable pour les éditeurs : affiliation qualifiée pour tous, pairwise-id uniquement pour les services qui proposent des fonctions personnelles, et nom ou adresse électronique uniquement après une demande documentée de l’éditeur et une décision de la bibliothèque et du DPO. Réexaminez les politiques de transmission chaque année, car les exceptions accordées pour une fonction ont tendance à perdurer.

6. Que voient les éditeurs ? Le pistage par des tiers sur les plateformes

Même avec un minimum d’attributs, les sites des éditeurs peuvent collecter des données au moyen de cookies, de scripts et d’empreintes numériques. Des études ont relevé des traceurs publicitaires et de mesure d’audience sur de grandes plateformes académiques. La bibliothèque ne contrôle généralement pas directement le site d’un éditeur : la licence, le contrat de sous-traitance et une information claire des usagers sont donc les principaux leviers.

L’étude de Cody Hanson User Tracking on Academic Publisher Platforms (2019) a examiné les pages d’articles de 15 plateformes d’éditeurs. Il a trouvé du code Google sur 14 d’entre elles et le réseau publicitaire DoubleClick de Google sur 13, les pages chargeant en moyenne 18 ressources tierces provenant de 139 sources distinctes. Il conclut que les déclarations de confidentialité des bibliothèques « do not accurately represent the current state of patron privacy in use of licensed resources » (ne reflètent pas fidèlement l’état réel de la vie privée des usagers dans l’utilisation des ressources sous licence), et que « publishers don’t need RA21 or even what we typically think of as PII to identify library users. » (les éditeurs n’ont besoin ni de RA21 ni même de ce que nous considérons habituellement comme des informations personnelles pour identifier les usagers des bibliothèques.)

En 2021, la commission des services de bibliothèques scientifiques et des systèmes d’information de la Deutsche Forschungsgemeinschaft (DFG AWBI) a publié la note d’information Data tracking in research: aggregation and use or sale of usage data by academic publishers. Elle décrit le microciblage, les données du flux d’enchères publicitaires (bidstream) et des projets de « spyware » (logiciels espions) pour les bibliothèques, et avertit qu’un tel pistage « can fundamentally contradict academic freedom and informational self-determination » (peut contredire fondamentalement la liberté académique et l’autodétermination informationnelle). La DFG indique que ses recommandations ont conduit à « a separate section on data protection and data tracking » (une section distincte sur la protection des données et le pistage) dans les accords allemands DEAL avec les grands éditeurs. C’est un modèle dont d’autres consortiums peuvent s’inspirer.

SPARC, la coalition américaine pour la science ouverte, a écrit en avril 2021 que deux grands fournisseurs des bibliothèques « have been building sophisticated, global systems of surveillance » (ont construit des systèmes de surveillance sophistiqués et mondiaux), et a invité les bibliothèques à envisager « a renewed focus on contractual terms (particularly privacy clauses) » (une attention renouvelée aux clauses contractuelles, en particulier aux clauses de confidentialité). Il s’agit de prises de position militantes : lisez-les comme des raisons de poser des questions, et non comme des constats sur un contrat précis.

Ce qu’une bibliothèque peut faire :

1. Demander à chaque plateforme la liste des scripts et cookies tiers présents sur les pages de contenu, et si certains servent à la publicité.
2. Inscrire une clause sur la protection des données et le pistage dans la licence ou l’accord de consortium, comme l’ont fait les accords DEAL. Voir notre guide sur les licences documentaires, l’IA et la fouille de textes et de données pour les clauses de licence.
3. Vérifier si l’éditeur agit en qualité de responsable du traitement ou de sous-traitant pour les données d’usage. Pour la plupart des plateformes sous licence, l’éditeur est responsable du traitement pour son propre site : un contrat au titre de l’article 28 n’est pas l’instrument adapté, ce sont les clauses de protection des données de la licence qui le sont.
4. Indiquer clairement aux usagers que les sites des éditeurs ont leurs propres politiques de confidentialité et leurs propres cookies, comme le recommande la déclaration de l’IFLA.

7. Journaux de recherche de l’outil de découverte et assistants de recherche IA

Les journaux de recherche d’un outil de découverte enregistrent ce que les gens cherchent, ce qui peut être plus révélateur que ce qu’ils empruntent. Les assistants de recherche IA ajoutent une nouvelle couche : des questions en texte libre et un historique de conversation, traités par un fournisseur de modèle de langage. Demandez séparément aux fournisseurs ce qu’eux-mêmes journalisent et ce que conserve le fournisseur du modèle.

Une conservation courte est possible. La politique de confidentialité de la bibliothèque universitaire d’Erfurt pour son portail de recherche Discovery indique que les données des journaux du serveur « is deleted regularly (after a period of 5 days) » (sont supprimées régulièrement, après un délai de 5 jours), et que le fournisseur du résolveur de liens conserve les adresses IP dans les journaux de son serveur web pendant 7 jours. Les favoris et l’historique de recherche enregistrés sont conservés un an après la dernière connexion de l’usager.

Pour les assistants IA, les fournisseurs décrivent leurs pratiques de manière différente :

• Primo Research Assistant (Ex Libris, groupe Clarivate). Le Knowledge Center indique que « Clarivate does not use your data to directly or indirectly train LLMs » (Clarivate n’utilise pas vos données pour entraîner, directement ou indirectement, des grands modèles de langage) et que « Neither your input nor the licensed content are stored by the LLM » (ni votre requête ni le contenu sous licence ne sont conservés par le modèle de langage). Il ne nomme pas le fournisseur du modèle et ne précise pas combien de temps Clarivate conserve elle-même les requêtes. Demandez les deux.
• Scopus AI (Elsevier). La page produit d’Elsevier indique que les conversations standard sont « Stored indefinitely until your contract ends or customer/user request deletion » (conservées sans limite de durée jusqu’à la fin de votre contrat ou jusqu’à une demande de suppression du client ou de l’usager), tandis que les conversations temporaires sont « Held for up to 30 days only. » (conservées 30 jours au maximum.) Elle mentionne un accord selon lequel aucune requête d’usager ne sera conservée ni utilisée pour entraîner ChatGPT. Notre fiche Scopus AI présente le reste de la documentation d’Elsevier.

Analyse de Validemic Les journaux de requêtes adressées à l’IA sont un nouveau type de donnée de bibliothèque. Une question comme « études sur le traitement de ma maladie » en dit plus qu’une simple chaîne de recherche. Traitez ces journaux comme les journaux de recherche : conservation courte, aucune utilisation pour l’entraînement, accès limité au personnel d’assistance et information claire des usagers. Demandez aux usagers de ne pas coller dans ces outils de données personnelles concernant des participants à une recherche. Notre guide RGPD et outils d’IA dans la recherche traite ce sujet plus en détail.

8. SIGB et contrats de sous-traitance des fournisseurs

Le système intégré de gestion de bibliothèque (SIGB) contient le fichier des usagers et toutes les transactions, et la plupart sont désormais hébergés par le fournisseur. Celui-ci est alors sous-traitant, et l’université a besoin d’un contrat au titre de l’article 28, d’une liste des sous-traitants ultérieurs et de paramètres d’anonymisation clairs. Les systèmes libres hébergés par une société prestataire exigent le même contrat avec l’hébergeur.

La FAQ d’Alma indique aussi qu’Alma « conforms to FERPA guidelines » (est conforme aux lignes directrices FERPA), une loi américaine. Ce n’est pas une déclaration relative au RGPD : appuyez-vous sur le contrat de sous-traitance signé pour les obligations européennes. Pour examiner le contrat lui-même, notre vérificateur de contrat de sous-traitance le confronte à l’article 28, paragraphe 3, et le générateur de questionnaire fournisseur vous aide à poser les bonnes questions aux fournisseurs de la bibliothèque. La démarche générale figure dans notre guide d’évaluation des fournisseurs.

9. Statistiques de bibliothèque et analytique de l’apprentissage

Les bibliothèques croisent de plus en plus les prêts, l’usage des ressources électroniques et l’occupation des espaces pour leurs décisions de politique documentaire, et certaines universités relient l’usage de la bibliothèque à la réussite des étudiants. Les statistiques agrégées posent peu de problèmes. Relier un usage identifiable de la bibliothèque aux résultats d’étudiants individuels constitue un profilage et exige une finalité claire, une base légale et, en général, une AIPD.

La bibliothèque de l’université de Reading illustre une pratique courante : les données personnelles sont supprimées à la fin de l’inscription, tandis que « Transaction data for Students are anonymised and kept indefinitely. » (les données de transaction des étudiants sont anonymisées et conservées sans limite de durée.) Les statistiques pseudonymisées de Koha et les tâches d’anonymisation d’Alma permettent la même approche. Vérifiez que l’anonymisation est réelle : un enregistrement de prêt dont l’usager a été retiré mais qui conserve un département peu fréquent, une date et un titre peut encore désigner une seule personne.

Si la bibliothèque fournit des données à un programme d’analytique de l’apprentissage, les règles de notre guide sur l’analytique de l’apprentissage et le RGPD s’appliquent : limitation des finalités, transparence, droit d’opposition lorsque la base est la mission d’intérêt public, et règles du règlement sur l’IA pour les systèmes d’IA qui évaluent les acquis d’apprentissage, applicables à partir du 2 décembre 2027. Analyse de Validemic Les données de lecture sont une donnée d’entrée sensible pour l’analytique, car elles reflètent la curiosité des étudiants, et pas seulement leurs performances. De nombreuses bibliothèques choisiront de ne fournir que des données agrégées.

10. Combien de temps les bibliothèques universitaires conservent-elles réellement les données ?

Les mentions d’information publiées par des bibliothèques universitaires européennes montrent que des durées courtes sont praticables : lien avec le prêt supprimé au retour, journaux du proxy conservés de 90 jours à six mois, chat et vidéosurveillance supprimés au bout d’environ 30 jours. Le tableau ci-dessous cite des mentions lues le 9 octobre 2026. Les durées relèvent du choix de chaque établissement et ne sont pas des obligations légales.

Deux tendances se dégagent. D’abord, la suppression du lien entre la personne et le prêt au retour est courante dans tous les pays, et elle pose rarement des problèmes pratiques, car les relances et les pénalités sont conservées jusqu’à leur règlement. Ensuite, l’écart pour le PEB (30 jours au Danemark du Sud, deux ans à Åbo Akademi, sept ans à Reading) montre que certaines bibliothèques rattachent le PEB à des pièces financières ou contractuelles. Si vous conservez les données de PEB plus longtemps, consignez-en la raison. Notre guide sur le référentiel de conservation explique comment documenter ces décisions.

11. Système par système : données types, conservation et points contractuels

Analyse de Validemic Les suggestions ci-dessous sont des points de départ fondés sur les pratiques publiées présentées plus haut. Adaptez-les à votre droit national, à votre politique de sécurité et à vos propres finalités, et consignez les justifications dans votre référentiel de conservation.

12. Liste de contrôle pour la bibliothèque et le DPO

Sources

1. Règlement (UE) 2016/679 (RGPD), articles 5, 6, 9, 25, 28 et considérant 30 (consulté le 9 octobre 2026).
2. IFLA Statement on Privacy in the Library Environment, approuvée le 14 août 2015 (consulté le 9 octobre 2026).
3. IFLA Code of Ethics for Librarians and other Information Workers (version longue), août 2012 (consulté le 9 octobre 2026).
4. ALA : Privacy, an Interpretation of the Library Bill of Rights, modifiée le 29 juin 2025 (consulté le 9 octobre 2026).
5. ALA : Library Privacy Guidelines for Vendors, révisées le 26 janvier 2020 (consulté le 9 octobre 2026).
6. NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems, 10 décembre 2015 (consulté le 9 octobre 2026).
7. Library Freedom Project (consulté le 9 octobre 2026).
8. OCLC : EZproxy log files overview et LogFormat directive (consulté le 9 octobre 2026).
9. OCLC : How long are the logs kept for Hosted EZproxy (consulté le 9 octobre 2026).
10. OCLC : EZproxy Analytics privacy considerations (consulté le 9 octobre 2026).
11. OCLC : EZproxy pseudonymous identifier administration (consulté le 9 octobre 2026).
12. OpenAthens : Privacy et About released attributes (consulté le 9 octobre 2026).
13. SeamlessAccess : Privacy and Trust et About (consulté le 9 octobre 2026).
14. eduGAIN : What is eduGAIN (consulté le 9 octobre 2026).
15. Catégories d’entités REFEDS : Anonymous Access, Pseudonymous Access, Personalized Access, Research and Scholarship et Data Protection Code of Conduct v2 (consulté le 9 octobre 2026).
16. UK Access Management Federation : transmission des attributs (consulté le 9 octobre 2026).
17. Cody Hanson, User Tracking on Academic Publisher Platforms, 2019 (consulté le 9 octobre 2026).
18. DFG : Data tracking in research et la note d’information de l’AWBI (version anglaise), 2021 (consulté le 9 octobre 2026).
19. SPARC : Addressing the Alarming Systems of Surveillance Built By Library Vendors, 9 avril 2021 (consulté le 9 octobre 2026).
20. Ex Libris : GDPR et Alma FAQ : Security and Privacy (consulté le 9 octobre 2026).
21. Ex Libris Knowledge Center : Primo Research Assistant (consulté le 9 octobre 2026).
22. Elsevier : page produit Scopus AI (consulté le 9 octobre 2026).
23. Documentation FOLIO : Settings, Circulation (consulté le 9 octobre 2026).
24. OCLC : GDPR, partnering with customers (consulté le 9 octobre 2026).
25. Manuel de Koha : cron jobs (consulté le 9 octobre 2026).
26. Bibliothèque de l’université d’Oslo : privacy policy (consulté le 9 octobre 2026).
27. Université Nord : Privacy notices for the University Library (consulté le 9 octobre 2026).
28. UiT, université arctique de Norvège : The University Library's Privacy Policy (consulté le 9 octobre 2026).
29. Université de Bergen : Privacy at the library (consulté le 9 octobre 2026).
30. Université Radboud : University Library Privacy Statement (consulté le 9 octobre 2026).
31. Bibliothèque de l’université du Danemark du Sud : Policy for protection of personal data (consulté le 9 octobre 2026).
32. Bibliothèque de l’université de Linköping : Bibliotekets låneregler (consulté le 9 octobre 2026).
33. Hochschule für Musik de Würzburg : déclaration de protection des données de la bibliothèque (consulté le 9 octobre 2026).
34. Bibliothèque universitaire d’Erfurt : Privacy policy, search portal Discovery (consulté le 9 octobre 2026).
35. Université Paris Cité : Données personnelles, gestion de la bibliothèque numérique (consulté le 9 octobre 2026).
36. Universidad Complutense de Madrid : fiche du registre des traitements, Biblioteca (BUC) (consulté le 9 octobre 2026).
37. Université Åbo Akademi : Interlibrary Loan Requests privacy notice (consulté le 9 octobre 2026).
38. Arcada : Library register of borrowers (consulté le 9 octobre 2026).
39. Bibliothèque de l’université de Reading : Data retention policy (consulté le 9 octobre 2026).
40. Wolfson College, Cambridge : Data Privacy Notice for Library Users (consulté le 9 octobre 2026).

À propos de cette page

Sources vérifiées le 9 octobre 2026. Nous avons lu à cette date chaque mention d’information de bibliothèque universitaire, chaque document de fournisseur et chaque texte professionnel énumérés ci-dessus, et nous n’en citons que de courts extraits dans leur formulation d’origine, avec une traduction française entre parenthèses lorsque nécessaire. Les citations du RGPD reprennent le texte officiel français. Les durées de conservation sont celles publiées par chaque établissement et peuvent changer ; ce sont des exemples, pas des obligations légales. Notre propre interprétation, y compris les durées de conservation suggérées à la section 11, est signalée comme une analyse de Validemic. Les descriptions des fournisseurs résument leur documentation publique et n’affirment pas qu’un produit est ou n’est pas conforme au RGPD, ce qui dépend de votre contrat, de votre configuration et de votre usage. Cette page fournit une information générale et ne constitue pas un conseil juridique. Si vous repérez une erreur, ou si votre bibliothèque publie des durées de conservation que vous souhaitez voir figurer ici, contactez-nous et nous corrigerons ou compléterons la page.