Réponse de l'Enssib
Date de la réponse
Lorsqu’un OPAC (catalogue public en ligne) propose aux usagers l’affichage de leur historique de prêts, les données personnelles ainsi traitées doivent être conservées pour une durée strictement limitée à la finalité du service, conformément au principe de minimisation des données prévu par le RGPD.
En l’absence de disposition spécifique dans le RGPD concernant les historiques de prêts en bibliothèque, la CNIL recommande de s’appuyer sur l’esprit de la norme simplifiée n°9 (désormais obsolète juridiquement mais toujours pertinente à titre indicatif). Celle-ci préconisait que les données relatives à un prêt soient supprimées au plus tard à la fin du quatrième mois suivant la restitution du document.
Ainsi, l’historique affiché à l’usager dans son espace personnel ne devrait pas conserver de données au-delà de ce délai, sauf en cas :
- d’obligation légale de conservation,
- ou de nécessité de gestion d’un litige en cours.
Dans ces cas, des durées spécifiques s’appliquent et doivent être justifiées.
Il convient de noter que le RGPD ne fait pas de distinction explicite entre l’usage interne (par le SIGB) et l’affichage à l’usager : les mêmes principes de durée s’appliquent donc par défaut. La norme simplifiée n°9 l'indique.
Enfin, le droit à la portabilité permet à un usager de demander la récupération de ses données personnelles, y compris ses historiques de prêts, mais ce droit n’a pas pour effet d’allonger la durée maximale de conservation prévue par la bibliothèque.