Privacy van bibliotheekgebruikers onder de AVG: authenticatie, proxylogs, discovery en analytics

Een universiteitsbibliotheek weet wat haar gebruikers lenen, zoeken en lezen. Daardoor horen bibliotheekgegevens tot de gevoeligste gegevens van een universiteit of hogeschool, ook als ze eruitzien als gewone systeemlogs. Deze gids legt uit welke persoonsgegevens een bibliotheek verwerkt, welke grondslagen gelden, hoe proxy's en federatieve login werken vanuit privacyoogpunt, wat uitgevers en leveranciers kunnen zien, en hoe lang echte Europese universiteitsbibliotheken hun logs bewaren.

Gepubliceerd 9 oktober 2026 · Bronnen geraadpleegd 9 oktober 2026

Ook beschikbaar in: English · Svenska · Norsk · Suomi · Dansk · Français · Español · Português

1. Welke persoonsgegevens verwerkt een universiteitsbibliotheek?

Een universiteitsbibliotheek verwerkt identiteits- en accountgegevens van elke ingeschreven gebruiker, transactiegegevens over uitleningen, aanvragen en boetes, en loggegevens van de systemen die toegang geven tot elektronische bronnen. Samen laten die zien wie wat wanneer las. Voeg daar zaalreservering, chat, camerabewaking en AI-zoektools aan toe, en een bibliotheek kan een gedetailleerd beeld hebben van het intellectuele leven van elke gebruiker.

De belangrijkste categorieën zijn:

• Gebruikersregistratie. Naam, studenten- of personeelsnummer, e-mailadres, gebruikersgroep (student, medewerker, externe gebruiker), pasnummer, soms een nationaal identificatienummer. De bibliotheek van Linköping University vermeldt bijvoorbeeld naam, persoonsnummer, e-mailadres en LiU-ID in haar lenersregister.
• Uitleningen, reserveringen en boetes. Lopende uitleningen, reserveringen, aanmaningen en boetes. Of de koppeling met een persoon na terugbrengen wordt bewaard, is een belangrijke ontwerpkeuze (zie onderdeel 10).
• Interbibliothecair leenverkeer (IBL) en documentlevering. Aanvraagformulieren met de naam van de aanvrager en de titel, vaak doorgestuurd naar een andere bibliotheek of een commerciële leverancier.
• Literatuurlijsten. Literatuurlijsten bij vakken koppelen docenten, vakken en titels, en sommige systemen registreren de klikken van studenten.
• Authenticatie- en proxylogs. IP-adres, gebruikersnaam of sessie-ID, tijdstip en de URL van het artikel of de database. Deze logs zijn de meest directe registratie van wat iemand las.
• Zoeklogs van het discoverysysteem. Zoektermen, opgeslagen zoekopdrachten, favorieten en klikgegevens in de bibliotheekcatalogus of het discoverysysteem.
• Reservering van zalen en apparatuur. Wie welke ruimte wanneer reserveerde, vaak in een reserveringsdienst van een derde.
• Vragen via chat en e-mail. Vrije tekst die onderzoeksonderwerpen en persoonlijke omstandigheden kan onthullen.
• Camerabewaking en toegangscontrole. Beelden en toegangsregistraties van bibliotheekgebouwen.
• Web- en gebruiksstatistieken. Websitestatistieken, gebruiksstatistieken van uitgevers en dashboards voor bibliotheekanalytics.
• AI-zoekassistenten. Vragen die worden ingetypt in tools zoals Primo Research Assistant of Scopus AI, en de gespreksgeschiedenis.

IP-adressen en sessie-identificatoren tellen mee. Overweging 30 AVG legt uit dat natuurlijke personen "kunnen worden gekoppeld aan online-identificatoren via hun apparatuur, applicaties, instrumenten en protocollen", noemt daarbij IP-adressen en identificatiecookies, en stelt dat deze sporen kunnen worden gebruikt om profielen op te stellen. Een proxylog is dus een verzameling persoonsgegevens, ook als er geen naam in staat.

2. Welke grondslagen gelden voor verwerking door de bibliotheek?

Voor een publieke universiteit is de gebruikelijke grondslag voor de kerndiensten van de bibliotheek de taak van algemeen belang op grond van artikel 6, lid 1, sub e AVG, soms gecombineerd met de overeenkomst (artikel 6, lid 1, sub b) voor uitleningen en een wettelijke verplichting (artikel 6, lid 1, sub c) voor de boekhouding. Toestemming hoort bij optionele extra's. Het gerechtvaardigd belang is voor overheidsinstanties niet beschikbaar voor verwerkingen in het kader van de uitoefening van hun taken.

Echte privacyverklaringen laten zien hoe dit in de praktijk werkt:

• Université Paris Cité vermeldt voor haar digitale bibliotheek als grondslag "l’exécution d’une mission d'intérêt public (article 6.1.e du RGPD)" (de vervulling van een taak van algemeen belang).
• De bibliotheek van de Universidad Complutense de Madrid noemt zowel de overeenkomst (art. 6.1 b) als het algemeen belang (art. 6.1 e) voor uitleningen, leeszalen en interbibliothecair leenverkeer, met een verwijzing naar de Spaanse universiteitswet.
• De bibliotheek van Linköping University ziet de relatie met de lener als een leenovereenkomst, wat overeenkomt met de grondslag overeenkomst.

Toestemming past bij functies die een gebruiker kan weigeren zonder de dienst te verliezen, zoals het bewaren van een persoonlijke leesgeschiedenis, opgeslagen zoekopdrachten in een persoonlijk account of personalisatie op een uitgeversplatform. Door de ongelijke verhouding tussen een universiteit en haar studenten en medewerkers is toestemming een zwakke grondslag voor alles wat de gebruiker niet kan vermijden.

Bijzondere persoonsgegevens. Artikel 9, lid 1, verbiedt de verwerking van gegevens waaruit onder meer politieke opvattingen, religieuze overtuigingen, gezondheid of seksuele gerichtheid blijken, tenzij een uitzondering van toepassing is. Een uitleenregistratie of proxylog wordt normaal gesproken niet verwerkt om die dingen te onthullen. Validemics analyse Toch kan een leesgeschiedenis ze indirect onthullen. Dat is een goede reden om bibliotheeklogs in uw DPIA en informatieclassificatie als zeer gevoelig te behandelen en ze maar kort te bewaren.

Nationale geheimhoudingsregels kunnen extra bescherming bieden. In Zweden herinnert de bibliotheek van Linköping University gebruikers eraan dat bibliotheekgegevens onder de geheimhouding van hoofdstuk 40, artikel 3, van de Zweedse wet op openbaarheid en geheimhouding (OSL) vallen. Ga na of uw land een vergelijkbare geheimhoudingsbepaling voor bibliotheken kent, want die bepaalt wat de bibliotheek mag verstrekken, bijvoorbeeld bij een verzoek om openbaarmaking van documenten.

Het beginsel van opslagbeperking in artikel 5, lid 1, sub e eist dat persoonsgegevens "worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is". Voor logs is dat de regel die het zwaarst weegt. Gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25) ondersteunt het om systemen zo in te stellen dat ze vanaf het begin minder verzamelen. Zie onze pagina De AVG uitgelegd voor de tekst van deze artikelen.

3. Waarom bibliotheekprivacy een kwestie van intellectuele vrijheid is

Bibliotheekprivacy is niet alleen een nalevingsonderwerp. Het bibliotheekvak ziet de vertrouwelijkheid van wat mensen lezen als voorwaarde voor vrij onderzoek: als gebruikers denken dat ze worden gevolgd, vermijden ze misschien bepaalde onderwerpen. Deze ethische basis is vaak strenger dan het minimum van de AVG, en ze geeft bibliotheken een sterk argument in onderhandelingen met leveranciers.

De IFLA Statement on Privacy in the Library Environment, onderschreven door de IFLA Governing Board op 14 augustus 2015, waarschuwt dat overmatige gegevensverzameling "a chilling effect on society" (een afschrikkend effect op de samenleving) kan hebben. De verklaring beveelt aan dat bibliotheken "should reject electronic surveillance and any type of illegitimate monitoring" (elektronische surveillance en elke vorm van onrechtmatige monitoring moeten afwijzen) en dat ze "should take measures to limit collection of personal information about their users and the services that they use." (maatregelen moeten nemen om het verzamelen van persoonsgegevens over hun gebruikers en de diensten die zij gebruiken te beperken). Ook merkt ze op dat bibliotheken kunnen "refuse to acquire services that collect excessive data" (weigeren diensten aan te schaffen die overmatig gegevens verzamelen).

"The relationship between the library and the user is one of confidentiality." (De relatie tussen de bibliotheek en de gebruiker is er een van vertrouwelijkheid.)

In de Verenigde Staten, waar geen AVG geldt, stelt de American Library Association vergelijkbare verwachtingen. De interpretatie van de Library Bill of Rights over privacy van de ALA, laatst gewijzigd op 29 juni 2025, stelt dat "confidentiality is essential for free inquiry" (vertrouwelijkheid essentieel is voor vrij onderzoek) en dat bibliotheken "should only collect and store the PII required for specific, clearly disclosed purposes." (alleen de persoonsgegevens mogen verzamelen en opslaan die nodig zijn voor specifieke, duidelijk vermelde doeleinden). De Library Privacy Guidelines for Vendors voegen toe: "User data should not be retained in perpetuity." (Gebruikersgegevens mogen niet onbeperkt worden bewaard.) Deze teksten zijn een nuttig vergelijkingspunt voor Europese bibliotheken die bij Amerikaanse leveranciers inkopen: die leveranciers kennen deze verwachtingen.

De NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems (december 2015) zijn gezamenlijk opgesteld door bibliotheken, uitgevers en softwareleveranciers. Ze richten zich op "balancing the expectations library users have regarding their intellectual freedoms and their privacy" (het in evenwicht brengen van de verwachtingen die bibliotheekgebruikers hebben over hun intellectuele vrijheden en hun privacy), met principes over het verzamelen en gebruiken van gegevens, anonimisering, het delen van gegevens met anderen en het ondersteunen van anoniem gebruik. Het Library Freedom Project, dat zichzelf omschrijft als "a network of values-driven librarians working together to build information democracy" (een netwerk van waardengedreven bibliothecarissen die samen werken aan informatiedemocratie), traint bibliothecarissen in praktisch privacywerk.

4. Proxylogs: wat registreren EZproxy en OpenAthens?

Een proxyserver zoals EZproxy van OCLC staat tussen de gebruiker en de uitgever, dus de logs registreren elk verzoek: IP-adres, tijdstip, URL en, als dat is ingesteld, de gebruikersnaam. OpenAthens werkt in plaats daarvan als identity provider en geeft attributen door aan uitgevers. In beide gevallen bepaalt de bibliotheek grotendeels wat wordt gelogd, vrijgegeven en bewaard. Configuratie is dus een privacybeslissing.

EZproxy

De documentatie van OCLC noemt vier soorten logs. De hoofdlog ezproxy.log registreert het verkeer tussen EZproxy en contentaanbieders, inclusief het IP-adres van de gebruiker, het tijdstip van het verzoek, de opgevraagde URL, de HTTP-status en het aantal overgedragen bytes. Het standaardformaat is %h %l %u %t "%r" %s %b, waarbij %u de "Username used to log into EZproxy if Option LogUser appears in config.txt" (gebruikersnaam waarmee is ingelogd op EZproxy, als Option LogUser in config.txt staat) is. Auditlogs registreren aanmeldingen, mislukte aanmeldingen en geblokkeerde toegang. Een optionele SPU-log registreert elke klik op een starting point URL.

Punten om in uw configuratie te controleren:

• Gebruikersnamen in logs. Zonder Option LogUser bevat de hoofdlog IP- en sessiegegevens in plaats van gebruikersnamen. Bepaal of u gebruikersnamen nodig hebt voor onderzoek naar misbruik, en zo ja, hoe lang.
• Bewaartermijn van auditlogs. Volgens OCLC staat de directive AuditPurge standaard op 7 dagen, en ook: "OCLC suggests increasing the AuditPurge time period to 180" (OCLC raadt aan de AuditPurge-termijn te verhogen naar 180). Dat is een beveiligingsadvies, geen wettelijke eis. Kies een termijn die uw FG kan onderbouwen.
• Gehoste EZproxy. Bij door OCLC gehoste EZproxy wordt de auditlog 180 dagen bewaard en "The default retention period for all other logs is set to 400 days." (De standaardbewaartermijn voor alle andere logs is 400 dagen.) OCLC voegt toe: "The minimum log retention period can be adjusted to 180 days, while the maximum is 1830 days." (De minimale bewaartermijn kan worden aangepast tot 180 dagen, de maximale is 1830 dagen.) Klanten van de gehoste dienst die minder dan 180 dagen willen, moeten dat schriftelijk bij OCLC aankaarten.
• EZproxy Analytics. OCLC merkt op dat "the data may contain usernames and/or IP addresses" (de gegevens gebruikersnamen en/of IP-adressen kunnen bevatten), en dat logbestanden worden gerepliceerd naar een analytics-omgeving bij AWS in dezelfde regio. Schakelt u dit in, neem het dan op als verwerkingsactiviteit en controleer of de verwerkersovereenkomst het dekt.
• Pseudonieme identificatoren. EZproxy 7.1 "introduced an optional feature that releases pseudonymous identifiers to content providers" (introduceerde een optionele functie die pseudonieme identificatoren aan contentaanbieders doorgeeft), zodat uitgevers misbruik onder een pseudoniem kunnen melden in plaats van dat de bibliotheek bekendmaakt wie de gebruiker is.

Echte bibliotheken publiceren wat ze loggen. De bibliotheek van de Universiteit van Oslo noemt het IP-adres, de URL van de bron, datum en tijd, HTTP-gegevens, de sessie-ID van EZproxy en de "Username of your account at UiO" (gebruikersnaam van uw account bij UiO), en vermeldt dat ze "stores the following data about your web traffic for 6 months before it is deleted" (de volgende gegevens over uw webverkeer zes maanden bewaart voordat ze worden gewist), in lijn met de algemene regels van de universiteit voor systeem- en beveiligingslogging.

OpenAthens

OpenAthens stelt dat het "acts as a data processor for customers who subscribe to the service" (optreedt als verwerker voor klanten die een abonnement op de dienst hebben). De universiteit is dus verwerkingsverantwoordelijke en heeft een overeenkomst op grond van artikel 28 met OpenAthens nodig. Volgens de documentatie wordt standaard een Targeted ID aan alle dienstaanbieders vrijgegeven, beschreven als "A pseudonymous user identifier generated by the system" (een pseudonieme gebruikersidentificatie die het systeem genereert), met een andere waarde per dienst. Targeted ID wordt vervangen door het attribuut pairwise-id, dat volgens OpenAthens "Only released by default for domains created after November 2023" (alleen standaard wordt vrijgegeven voor domeinen die na november 2023 zijn aangemaakt) is. Bibliotheken kunnen het vrijgavebeleid per uitgever aanpassen, en juist daar gaan naam en e-mailadres soms stromen voor personalisatiefuncties. De privacypagina van OpenAthens geeft alleen een algemene verklaring over bewaren, dus vraag de bewaartermijn van audit- en gebruikslogs schriftelijk op.

Beoordeelt u op dit moment een leverancier? Validemic toetst de documenten van de leverancier aan de AVG en de AI-verordening, met een bron bij elke bevinding. Probeer de demo-omgeving

5. Federatieve login: wat moet een bibliotheek aan uitgevers vrijgeven?

Bij federatieve login stuurt de identity provider van de universiteit attributen naar de uitgever in een SAML-assertion. De bibliotheek en IT kunnen bepalen welke attributen elke uitgever ontvangt. Voor gelicentieerde content is de privacyvriendelijke standaard een scoped affiliation en, alleen als dat nodig is, een pseudonieme pairwise identifier. Wie een vaste gebruikersnaam of een e-mailadres vrijgeeft, laat de uitgever activiteit aan een persoon met naam koppelen.

eduGAIN, SeamlessAccess en de entity categories

Nationale federaties voor onderzoek en onderwijs (bijvoorbeeld Feide in Noorwegen, dat Nord University gebruikt voor inloggen op EZproxy, en de UK Access Management Federation) zijn met elkaar verbonden via eduGAIN. De website van eduGAIN beschrijft hoe federaties daardoor kunnen "interconnect, so that participating institutions and services can collaborate without the need to establish individual bilateral connections." (met elkaar verbinden, zodat deelnemende instellingen en diensten kunnen samenwerken zonder afzonderlijke bilaterale verbindingen op te zetten). Op 9 oktober 2026 toonden de actuele statistieken 84 federaties.

SeamlessAccess is de knop "Access through your institution" op veel uitgeverssites. Hij wordt beheerd door een samenwerkingsverband van GÉANT, Internet2, NISO en STM. Volgens de privacypagina "runs its software locally in your browser and stores this information in browser local storage" (draait de software lokaal in uw browser en slaat deze informatie op in de lokale opslag van de browser), namelijk de laatst gekozen instellingen, en worden geen naam of e-mailadres opgeslagen. De knop helpt de gebruiker zijn inlogpagina te vinden; welke attributen worden vrijgegeven, bepaalt nog steeds de identity provider.

De entity categories van REFEDS geven een gemeenschappelijk begrippenkader voor de vrijgave van attributen:

De REFEDS Data Protection Code of Conduct (v2, 28 maart 2022) is een aparte categorie voor dienstaanbieders die zich aan op de AVG gebaseerde regels binden voordat ze attributen ontvangen. Het is nuttig bewijs, maar het vervangt uw eigen beoordeling niet.

Pairwise-id tegenover eduPersonPrincipalName

eduPersonPrincipalName (ePPN) lijkt op een e-mailadres en is bij elke dienst hetzelfde, dus twee uitgevers die het allebei ontvangen, kunnen de activiteit van een gebruiker aan elkaar koppelen. eduPersonTargetedID en de opvolger pairwise-id geven elke dienst een andere waarde voor dezelfde persoon. De UK Access Management Federation meent dat er "very little personally identifying information carried by either eduPersonScopedAffiliation or eduPersonTargetedID" (zeer weinig persoonlijk identificerende informatie wordt meegestuurd met eduPersonScopedAffiliation of eduPersonTargetedID) en dat ze daarom veilig aan elke dienst kunnen worden vrijgegeven, maar voegt toe dat "your organisation should do its own risk analysis in consultation with its data protection officer" (uw organisatie een eigen risicoanalyse moet maken in overleg met haar functionaris gegevensbescherming).

Validemics analyse Een verstandige standaard voor uitgevers is: scoped affiliation voor iedereen, pairwise-id alleen voor diensten met persoonlijke functies, en naam of e-mailadres alleen na een vastgelegd verzoek van de uitgever en een besluit van de bibliotheek en de FG. Controleer het vrijgavebeleid jaarlijks, want uitzonderingen die voor één functie zijn toegestaan, blijven meestal bestaan.

6. Wat kunnen uitgevers zien? Tracking door derden op platforms

Ook met minimale attributen kunnen uitgeverswebsites gegevens verzamelen via cookies, scripts en fingerprinting. Onderzoek heeft advertentie- en analysetrackers gevonden op grote wetenschappelijke platforms. De bibliotheek heeft meestal geen directe invloed op de website van een uitgever, dus de licentie, de verwerkersovereenkomst en duidelijke informatie aan gebruikers zijn de belangrijkste middelen.

Het onderzoek User Tracking on Academic Publisher Platforms (2019) van Cody Hanson bekeek artikelpagina's op 15 uitgeversplatforms. Hij vond code van Google op 14 daarvan en het advertentienetwerk DoubleClick van Google op 13, waarbij pagina's gemiddeld 18 elementen van derden laadden uit 139 verschillende bronnen. Hij concludeerde dat privacyverklaringen van bibliotheken "do not accurately represent the current state of patron privacy in use of licensed resources" (de werkelijke stand van de privacy van gebruikers bij het gebruik van gelicentieerde bronnen niet juist weergeven), en dat "publishers don’t need RA21 or even what we typically think of as PII to identify library users." (uitgevers RA21 of zelfs wat we doorgaans als persoonsgegevens zien niet nodig hebben om bibliotheekgebruikers te identificeren).

In 2021 publiceerde de commissie voor wetenschappelijke bibliotheekdiensten en informatiesystemen van de Deutsche Forschungsgemeinschaft (DFG AWBI) het discussiestuk Data tracking in research: aggregation and use or sale of usage data by academic publishers. Het beschrijft microtargeting, bidstream-data en voorgestelde "spyware" voor bibliotheken, en waarschuwt dat zulke tracking "can fundamentally contradict academic freedom and informational self-determination" (fundamenteel in strijd kan zijn met academische vrijheid en informationele zelfbeschikking). De DFG meldt dat haar aanbevelingen hebben geleid tot "a separate section on data protection and data tracking" (een apart onderdeel over gegevensbescherming en datatracking) in de Duitse DEAL-overeenkomsten met grote uitgevers. Dat is een model dat andere consortia kunnen gebruiken.

SPARC, de Amerikaanse coalitie voor open wetenschap, schreef in april 2021 dat twee grote bibliotheekleveranciers "have been building sophisticated, global systems of surveillance" (geavanceerde, wereldwijde surveillancesystemen hebben opgebouwd), en riep bibliotheken op tot "a renewed focus on contractual terms (particularly privacy clauses)" (hernieuwde aandacht voor contractvoorwaarden, met name privacybepalingen). Dit zijn standpunten van een belangenorganisatie; lees ze als reden om vragen te stellen, niet als bevindingen over een specifiek contract.

Wat een bibliotheek kan doen:

1. Vraag elk platform om een lijst van scripts en cookies van derden op contentpagina's, en of er voor advertenties worden gebruikt.
2. Neem een bepaling over gegevensbescherming en tracking op in de licentie of de consortiumovereenkomst, zoals in de DEAL-overeenkomsten. Zie onze gids over bibliotheeklicenties, AI en text- en datamining voor licentiebepalingen.
3. Ga na of de uitgever voor gebruiksgegevens verwerkingsverantwoordelijke of verwerker is. Bij de meeste gelicentieerde platforms is de uitgever verwerkingsverantwoordelijke voor de eigen website. Een overeenkomst op grond van artikel 28 is dan niet het juiste instrument; privacybepalingen in de licentie wel.
4. Vertel gebruikers duidelijk dat uitgeverssites hun eigen privacybeleid en cookies hebben, zoals de IFLA-verklaring aanbeveelt.

7. Zoeklogs van discoverysystemen en AI-onderzoeksassistenten

Zoeklogs in een discoverysysteem registreren waar mensen naar zoeken, en dat kan meer zeggen dan wat ze lenen. AI-onderzoeksassistenten voegen een nieuwe laag toe: vragen in vrije tekst en gespreksgeschiedenis, verwerkt door een aanbieder van een taalmodel. Vraag leveranciers apart wat de leverancier logt en wat de modelaanbieder bewaart.

Korte bewaartermijnen zijn haalbaar. Volgens de privacyverklaring van de universiteitsbibliotheek van Erfurt voor haar zoekportaal Discovery worden serverloggegevens "is deleted regularly (after a period of 5 days)" (regelmatig gewist, na een periode van 5 dagen), en bewaart de aanbieder van de linkresolver IP-adressen 7 dagen in zijn webserverlogs. Opgeslagen favorieten en zoekgeschiedenis worden tot een jaar na de laatste aanmelding van de gebruiker bewaard.

Leveranciers beschrijven hun werkwijze voor AI-assistenten verschillend:

• Primo Research Assistant (Ex Libris, onderdeel van Clarivate). Het Knowledge Center vermeldt "Clarivate does not use your data to directly or indirectly train LLMs" (Clarivate gebruikt uw gegevens niet om direct of indirect taalmodellen te trainen) en "Neither your input nor the licensed content are stored by the LLM" (noch uw invoer noch de gelicentieerde content wordt door het taalmodel opgeslagen). Het noemt de modelaanbieder niet en zegt niet hoe lang Clarivate zelf vragen bewaart. Vraag naar beide.
• Scopus AI (Elsevier). Volgens de productpagina van Elsevier worden standaardgesprekken "Stored indefinitely until your contract ends or customer/user request deletion" (onbeperkt bewaard tot uw contract afloopt of de klant of gebruiker om verwijdering vraagt), terwijl tijdelijke gesprekken "Held for up to 30 days only." (maximaal 30 dagen worden bewaard). Elsevier vermeldt een afspraak dat geen gebruikersvragen worden opgeslagen of gebruikt om ChatGPT te trainen. Onze factsheet over Scopus AI zet de rest van de documentatie van Elsevier op een rij.

Validemics analyse Promptlogs zijn een nieuw soort bibliotheekregistratie. Een vraag als "studies over de behandeling van mijn aandoening" zegt meer dan een zoekterm. Behandel promptlogs als zoeklogs: korte bewaartermijn, geen gebruik voor training, toegang beperkt tot supportmedewerkers en duidelijke informatie aan gebruikers. Vraag gebruikers geen persoonsgegevens van onderzoeksdeelnemers in deze tools te plakken. Onze gids De AVG en AI-tools in onderzoek (Engels) gaat hier dieper op in.

8. Bibliotheeksystemen en verwerkersovereenkomsten

Het bibliotheeksysteem bevat het gebruikersregister en alle transacties, en de meeste systemen worden inmiddels door de leverancier gehost. De leverancier is dan verwerker en de universiteit heeft een overeenkomst op grond van artikel 28, een lijst met subverwerkers en duidelijke anonimiseringsinstellingen nodig. Opensourcesystemen die door een supportbedrijf worden gehost, vragen om dezelfde overeenkomst met dat hostingbedrijf.

De FAQ van Alma vermeldt ook dat het systeem "conforms to FERPA guidelines" (voldoet aan de FERPA-richtlijnen), een Amerikaanse wet. Dat is geen uitspraak over de AVG, dus vertrouw voor Europese verplichtingen op de ondertekende verwerkersovereenkomst. Voor de beoordeling van de overeenkomst zelf legt onze verwerkersovereenkomst-checker haar naast artikel 28, lid 3, en helpt de vragenlijstbouwer voor leveranciers u de juiste vragen aan bibliotheekleveranciers te stellen. Het algemene proces staat in onze gids over leveranciersbeoordeling (Engels).

9. Bibliotheekanalytics en learning analytics

Bibliotheken combineren steeds vaker uitleningen, gebruik van e-bronnen en ruimtegebruik voor collectiebeslissingen, en sommige universiteiten koppelen bibliotheekgebruik aan studiesucces. Geaggregeerde statistieken leveren weinig problemen op. Identificeerbaar bibliotheekgebruik koppelen aan de resultaten van individuele studenten is profilering en vraagt om een duidelijk doel, een grondslag en meestal een DPIA.

De bibliotheek van de University of Reading laat een gangbaar patroon zien: persoonsgegevens worden gewist na afloop van het lidmaatschap, terwijl "Transaction data for Students are anonymised and kept indefinitely." (transactiegegevens van studenten worden geanonimiseerd en onbeperkt bewaard). De gepseudonimiseerde statistieken van Koha en de anonimiseringstaken van Alma ondersteunen dezelfde aanpak. Controleer of de anonimisering echt is: een uitleenregistratie zonder lener maar met een zeldzame afdeling, datum en titel kan nog steeds naar één persoon wijzen.

Levert de bibliotheek gegevens aan een programma voor learning analytics, dan gelden de regels uit onze gids over learning analytics en de AVG (Engels): doelbinding, transparantie, het recht van bezwaar bij een taak van algemeen belang, en de regels van de AI-verordening voor AI die leerresultaten evalueert, die gelden vanaf 2 december 2027. Validemics analyse Leesgegevens zijn gevoelige invoer voor analytics, omdat ze weerspiegelen waar studenten nieuwsgierig naar zijn, niet alleen hoe ze presteren. Veel bibliotheken zullen ervoor kiezen alleen geaggregeerde gegevens aan te leveren.

10. Hoe lang bewaren echte universiteitsbibliotheken bibliotheekgegevens?

Gepubliceerde privacyverklaringen van Europese universiteitsbibliotheken laten zien dat korte termijnen werkbaar zijn: koppeling met uitleningen gewist bij terugbrengen, proxylogs bewaard van 90 dagen tot zes maanden, chats en camerabeelden gewist na ongeveer 30 dagen. De tabel hieronder citeert verklaringen die we op 9 oktober 2026 lazen. De termijnen zijn de eigen keuze van elke instelling, geen wettelijke eisen.

Twee patronen springen eruit. Ten eerste is het wissen van de koppeling tussen persoon en uitlening bij terugbrengen in veel landen gebruikelijk, en het levert zelden praktische problemen op, omdat aanmaningen en boetes worden bewaard tot ze zijn afgehandeld. Ten tweede laat de spreiding bij IBL-registraties (30 dagen bij Syddansk Universitet, twee jaar bij Åbo Akademi, zeven jaar bij Reading) zien dat sommige bibliotheken IBL koppelen aan financiële of contractuele administratie. Bewaart u IBL langer, leg dan vast waarom. Onze gids over bewaarschema's (Engels) legt uit hoe u deze beslissingen vastlegt.

11. Per systeem: gangbare gegevens, bewaartermijnen en contractpunten

Validemics analyse De suggesties hieronder zijn vertrekpunten op basis van de gepubliceerde praktijk hierboven. Pas ze aan uw nationale recht, uw beveiligingsbeleid en uw eigen doeleinden aan, en leg de redenen vast in uw bewaarschema.

12. Checklist voor bibliotheek en FG

Bronnen

1. Verordening (EU) 2016/679 (AVG), artikelen 5, 6, 9, 25, 28 en overweging 30 (geraadpleegd op 9 oktober 2026).
2. IFLA Statement on Privacy in the Library Environment, onderschreven op 14 augustus 2015 (geraadpleegd op 9 oktober 2026).
3. IFLA Code of Ethics for Librarians and other Information Workers (lange versie), augustus 2012 (geraadpleegd op 9 oktober 2026).
4. ALA: Privacy, an Interpretation of the Library Bill of Rights, gewijzigd op 29 juni 2025 (geraadpleegd op 9 oktober 2026).
5. ALA: Library Privacy Guidelines for Vendors, herzien op 26 januari 2020 (geraadpleegd op 9 oktober 2026).
6. NISO Consensus Principles on Users' Digital Privacy in Library, Publisher, and Software-Provider Systems, 10 december 2015 (geraadpleegd op 9 oktober 2026).
7. Library Freedom Project (geraadpleegd op 9 oktober 2026).
8. OCLC: EZproxy log files overview en LogFormat directive (geraadpleegd op 9 oktober 2026).
9. OCLC: How long are the logs kept for Hosted EZproxy (geraadpleegd op 9 oktober 2026).
10. OCLC: EZproxy Analytics privacy considerations (geraadpleegd op 9 oktober 2026).
11. OCLC: EZproxy pseudonymous identifier administration (geraadpleegd op 9 oktober 2026).
12. OpenAthens: Privacy en About released attributes (geraadpleegd op 9 oktober 2026).
13. SeamlessAccess: Privacy and Trust en About (geraadpleegd op 9 oktober 2026).
14. eduGAIN: What is eduGAIN (geraadpleegd op 9 oktober 2026).
15. Entity categories van REFEDS: Anonymous Access, Pseudonymous Access, Personalized Access, Research and Scholarship en Data Protection Code of Conduct v2 (geraadpleegd op 9 oktober 2026).
16. UK Access Management Federation: vrijgave van attributen (geraadpleegd op 9 oktober 2026).
17. Cody Hanson, User Tracking on Academic Publisher Platforms, 2019 (geraadpleegd op 9 oktober 2026).
18. DFG: Data tracking in research en het discussiestuk van de AWBI (Engels), 2021 (geraadpleegd op 9 oktober 2026).
19. SPARC: Addressing the Alarming Systems of Surveillance Built By Library Vendors, 9 april 2021 (geraadpleegd op 9 oktober 2026).
20. Ex Libris: GDPR en Alma FAQ: Security and Privacy (geraadpleegd op 9 oktober 2026).
21. Ex Libris Knowledge Center: Primo Research Assistant (geraadpleegd op 9 oktober 2026).
22. Elsevier: productpagina Scopus AI (geraadpleegd op 9 oktober 2026).
23. Documentatie van FOLIO: Settings, Circulation (geraadpleegd op 9 oktober 2026).
24. OCLC: GDPR, partnering with customers (geraadpleegd op 9 oktober 2026).
25. Koha-handleiding: cron jobs (geraadpleegd op 9 oktober 2026).
26. Bibliotheek van de Universiteit van Oslo: privacy policy (geraadpleegd op 9 oktober 2026).
27. Nord University: Privacy notices for the University Library (geraadpleegd op 9 oktober 2026).
28. UiT The Arctic University of Norway: The University Library's Privacy Policy (geraadpleegd op 9 oktober 2026).
29. Universiteit van Bergen: Privacy at the library (geraadpleegd op 9 oktober 2026).
30. Radboud Universiteit: University Library Privacy Statement (geraadpleegd op 9 oktober 2026).
31. Syddansk Universitetsbibliotek: Policy for protection of personal data (geraadpleegd op 9 oktober 2026).
32. Bibliotheek van Linköping University: Bibliotekets låneregler (geraadpleegd op 9 oktober 2026).
33. Hochschule für Musik Würzburg: privacyverklaring van de bibliotheek (geraadpleegd op 9 oktober 2026).
34. Universiteitsbibliotheek Erfurt: Privacy policy, search portal Discovery (geraadpleegd op 9 oktober 2026).
35. Université Paris Cité: Données personnelles, gestion de la bibliothèque numérique (geraadpleegd op 9 oktober 2026).
36. Universidad Complutense de Madrid: verwerkingsactiviteit Biblioteca (BUC) (geraadpleegd op 9 oktober 2026).
37. Åbo Akademi University: privacyverklaring voor IBL-aanvragen (Interlibrary Loan Requests) (geraadpleegd op 9 oktober 2026).
38. Arcada: Library register of borrowers (geraadpleegd op 9 oktober 2026).
39. Bibliotheek van de University of Reading: Data retention policy (geraadpleegd op 9 oktober 2026).
40. Wolfson College, Cambridge: Data Privacy Notice for Library Users (geraadpleegd op 9 oktober 2026).

Over deze pagina

Bronnen geraadpleegd op 9 oktober 2026. We hebben op die datum elke hierboven genoemde privacyverklaring van een universiteitsbibliotheek, elk leveranciersdocument en elke beroepsverklaring gelezen, en citeren alleen korte fragmenten in hun oorspronkelijke bewoording, met waar nodig een Nederlandse vertaling tussen haakjes; die vertaling is van ons. Citaten uit de AVG komen uit de officiële Nederlandse tekst. Bewaartermijnen zijn de termijnen die elke instelling heeft gepubliceerd en kunnen veranderen; het zijn voorbeelden, geen wettelijke eisen. Onze eigen interpretatie, inclusief de suggesties voor bewaartermijnen in onderdeel 11, staat gemarkeerd als Validemics analyse. Beschrijvingen van leveranciers vatten openbare documentatie samen en zijn geen uitspraken dat een product wel of niet aan de AVG voldoet; dat hangt af van uw contract, configuratie en gebruik. Deze pagina bevat algemene informatie en is geen juridisch advies. Ziet u een fout, of publiceert uw bibliotheek bewaartermijnen die we zouden moeten opnemen? Neem contact met ons op, dan corrigeren of vullen we het aan.