Bibliothèques et médiathèques : gestion des prêts et conformité CNIL post‑RGPD

Lecture rapide

La proposition de loi « Bibliothèques, médiathèques (Déclaration n° 09) » a été adoptée par la CNIL le 22 avril 1999. Présentée devant la Commission nationale, elle encadre les traitements automatisés relatifs à la gestion des prêts de livres, supports audiovisuels, œuvres artistiques et consultations d’archives publiques, en fixant les finalités, les catégories de données collectées, les durées de conservation et les droits des personnes concernées.

Analyse juridique

1. Contexte de la norme simplifiée NS 09 pour les bibliothèques et médiathèques

1. La norme simplifiée n° 09 (NS 09) de la CNIL concerne les traitements automatisés d’informations nominatives relatifs à la gestion des prêts de livres, de supports audiovisuels et d’œuvres artistiques, ainsi qu’à la gestion des consultations de documents d’archives publiques. Elle vise des organismes publics et privés tels que bibliothèques, médiathèques, vidéothèques et services d’archives publiques. Depuis l’entrée en application du RGPD le 25 mai 2018, les normes adoptées par la CNIL n’ont plus de valeur juridique, mais la CNIL indique qu’elles peuvent encore servir de référentiel d’orientation pour les premières actions de conformité, sous réserve du respect des nouvelles règles.

2. Les finalités des traitements couverts par la NS 09 sont clairement circonscrites : gestion financière des prêts, récupération des ouvrages ou supports prêtés ou consultés, et élaboration de statistiques dépersonnalisées pour la gestion et l’amélioration des services (par exemple, identification des ouvrages ou documents d’archives les plus consultés, des auteurs ou des références les plus demandés). Cette limitation des finalités est cohérente avec les principes de proportionnalité et de minimisation des données posés par le RGPD.

2. Catégories de données traitées et périmètre fonctionnel

3. La NS 09 décrit précisément les données personnelles susceptibles d’être enregistrées. Pour l’emprunteur, il s’agit du nom, des prénoms, de l’adresse, de l’année de naissance, de la catégorie professionnelle, du numéro de téléphone, et, de manière facultative, de la nature de la recherche s’agissant des documents d’archives. Pour les caractéristiques du prêt ou de la communication, sont enregistrés la désignation de l’œuvre (titre, nom de l’auteur, de l’éditeur, etc.) ou du document d’archive, les cotes de catalogage ou de classement, la date du prêt ou de la consultation, ainsi que la ou les dates de relance. Ces données sont strictement liées à la gestion opérationnelle des prêts et consultations.

4. Les destinataires des données sont limités : services chargés de la gestion des prêts ou des consultations de documents d’archives, agents habilités pour les tâches comptables, administratives ou de contentieux, et supérieurs hiérarchiques des personnels ainsi que les membres des services d’inspection. Cette limitation des destinataires participe au respect du principe de confidentialité et de sécurité des données, en restreignant l’accès aux seules personnes ayant un besoin légitime dans le cadre de leurs fonctions.

3. Durées de conservation et logique de minimisation temporelle

5. La NS 09 fixe des durées de conservation strictes, illustrant une approche de minimisation temporelle. Les données relatives à l’identité de l’emprunteur sont conservées pendant la durée d’utilisation du service de prêt, la radiation devant intervenir d’office dans un délai d’un an à compter de la date de fin du prêt précédent. Les informations concernant chaque prêt sont conservées jusqu’à la fin du quatrième mois suivant la restitution de l’objet du prêt ; au‑delà, les informations sur support magnétique sont détruites et ne peuvent être conservées sur support papier que pour les besoins et la durée d’un contentieux éventuel. Les informations relatives aux consultations de documents d’archives sont conservées jusqu’au prochain inventaire (récolement) et dans la limite d’une durée maximale de dix ans.

6. Ces règles de conservation traduisent une volonté de limiter la traçabilité individuelle des usages au strict nécessaire pour la gestion des prêts, la sécurité des collections et la gestion des contentieux. Elles sont cohérentes avec le principe de limitation de la durée de conservation du RGPD, qui impose de ne pas conserver les données au‑delà de ce qui est nécessaire aux finalités poursuivies. La destruction des données sur support magnétique et la restriction de la conservation papier aux seuls besoins contentieux réduisent les risques d’atteinte à la vie privée liés à une conservation excessive.

4. Information des personnes et respect des droits « Informatique et Libertés »

7. La NS 09 rappelle l’obligation d’information des personnes lors de la collecte des données, en référence à l’article 32 de la loi du 6 janvier 1978 modifiée. Le responsable de traitement doit informer les usagers de son identité, des finalités du traitement (gestion des prêts, récupération des ouvrages, statistiques), du caractère obligatoire ou facultatif des informations collectées, des destinataires des données, de l’existence des droits reconnus par la loi (droit d’accès, de rectification, d’opposition, etc.), du service auprès duquel les exercer, ainsi que des transmissions envisagées. Ces mentions d’information doivent figurer sur les formulaires de collecte utilisés par les bibliothèques, médiathèques et services d’archives.

8. Cette exigence d’information s’inscrit dans le principe de transparence renforcé par le RGPD (articles 12 à 14), qui impose une information claire, compréhensible et aisément accessible. Dans le contexte des bibliothèques et médiathèques, elle permet aux usagers de comprendre l’usage de leurs données, la durée de conservation, les destinataires et les droits dont ils disposent, ce qui est essentiel pour instaurer une relation de confiance autour de la gestion des prêts et des consultations.

5. Sécurité, confidentialité et adaptation au RGPD

9. La NS 09 souligne la nécessité de prendre toutes dispositions pour assurer la sécurité des traitements et des informations, ainsi que la garantie des secrets protégés par la loi. Cela implique la mise en œuvre de mesures techniques et organisationnelles adaptées : contrôle d’accès aux systèmes de gestion des prêts, gestion des habilitations, protection des supports, procédures de sauvegarde et de restauration, et encadrement des accès aux données par les personnels. Ces exigences rejoignent les obligations de sécurité et de confidentialité posées par le RGPD (article 32), qui imposent aux responsables de traitement de garantir un niveau de sécurité approprié au risque.

10. La CNIL précise que, bien que la NS 09 n’ait plus de valeur juridique depuis le 25 mai 2018, elle peut encore être utilisée comme référence pratique pour orienter les premières démarches de conformité RGPD des bibliothèques, médiathèques et services d’archives. Les responsables de traitement doivent toutefois veiller à adapter ces recommandations aux nouvelles exigences du RGPD, notamment en matière de bases légales du traitement, de tenue de registres, d’analyse d’impact lorsque nécessaire, et de notification des violations de données. L’analyse de la NS 09 met ainsi en évidence une structure de traitement déjà largement alignée avec les principes de minimisation, de limitation de conservation, de transparence et de sécurité, qui peut être consolidée dans le cadre du RGPD.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.