La constitution d'un fichier de données personnelles est soumise à déclaration auprès de la Commission Nationale de l'Informatique et des Libertés, la CNIL.

Voici ce qu'indique la CNIL  dans la norme simplifiée NS 09 concernant les bibliothèques et les médiathèques :

"La norme simplifiée n° 9 concerne les traitements relatifs à la gestion des prêts de livres, de supports audiovisuels et d'oeuvres artistiques et des consultations de documents d'archives publiques. Ils doivent avoir pour objet la gestion financière des prêts, la récupération des ouvrages ou supports prêtés et l’élaboration de statistiques.
Les données enregistrées sont relatives à l'emprunteur (identité, catégorie professionnelle, sous forme facultative la nature de la recherche) et les caractéristiques du prêt ou de la communication (désignation de l’oeuvre (titre, nom de l’auteur, de l’éditeur, etc.) ou du document d’archive, cotes de catalogage ou de classement, date, date(s) de relance). Les données enregistrées sont conservées pendant la durée d'utilisation du service de prêt (la radiation intervient d’office dans un délai d’un an à compter de la date de fin du prêt précédent). Les informations concernant chaque prêt sont conservées jusqu’à la fin du quatrième mois suivant la restitution de l’objet du prêt. Au-delà de ce délai, les informations sont détruites."

Les données relatives à un emprunteur doivent donc être détruites dans un délai d'un an à compter de la date de fin du dernier prêt.