Un tableau de recharge proportionné ne contient que les données personnelles nécessaires à un objectif écrit à l’avance. En entreprise, dimensionner le parking, refacturer l’électricité et dépanner une borne sont trois besoins distincts : chacun appelle son niveau de détail, ses destinataires et sa durée de conservation, plutôt qu’un fichier nominatif unique gardé « au cas où ».
Vous saurez ensuite rédiger la finalité de chaque tableau, choisir entre volumes agrégés, numéro de badge et nom, informer les salariés et le comité social et économique au bon moment, régler les droits d’accès du logiciel de supervision et vérifier ce que contiennent réellement ses exports.
Quelles données personnelles de recharge une entreprise collecte-t-elle ?
Dès qu’une session peut être rattachée à quelqu’un, le tableau contient des données personnelles. La CNIL définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable, directement par son nom ou indirectement, par exemple par une plaque d’immatriculation ou un identifiant.
Un logiciel de supervision, le système qui reçoit à distance les informations des bornes, enregistre pour chaque session un point de charge, des heures, une énergie et, souvent, le badge qui l’a déclenchée. Ce numéro paraît anonyme, mais tant que quelqu’un peut retrouver son titulaire dans la table d’attribution, il désigne une personne.
La CNIL précise que l’identification peut aussi résulter du croisement de plusieurs informations. Sur un parking où un seul salarié arrive avant 7 h, l’heure de branchement suffit à le reconnaître, même sans colonne « nom ».
Le règlement général sur la protection des données (RGPD) fixe le cadre à son article 5 : des finalités déterminées, explicites et légitimes, des données limitées au nécessaire, une conservation sous forme identifiante pas plus longue que nécessaire, une sécurité appropriée, et la capacité pour l’entreprise de démontrer qu’elle respecte ces principes.
Écrire la finalité de chaque tableau avant de choisir les colonnes
Écrivez d’abord à quoi sert le tableau. Selon la CNIL, qui explique comment définir la finalité d’un fichier, celle-ci doit être déterminée, légitime et explicite, et elle conditionne à la fois la pertinence des données et leur durée de conservation.
Une bonne finalité se vérifie. « Répartir les places équipées entre les véhicules de service et ceux des salariés à partir des volumes des six derniers mois » se contrôle ; « suivre la recharge » ne se contrôle pas, et justifie n’importe quelle colonne.
Appliquez ensuite à chaque colonne le principe de minimisation : pour la CNIL, les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. Demandez pour chacune quelle décision ou quelle opération deviendrait impossible sans elle ; si aucune, elle sort du tableau.
Rédigez une finalité par usage, pas une pour tout l’outil : le responsable du projet, la comptabilité et le mainteneur obtiennent alors trois vues des mêmes sessions, chacune réduite à ce qu’elle exige.
Une matrice pour relier chaque besoin à son niveau de détail
La matrice suivante sert de point de départ : elle associe à chaque usage le niveau de détail qui suffit le plus souvent, et ce qu’il vaut mieux laisser hors du tableau. Faites valider vos traitements réels par la personne chargée de la protection des données.
| Usage | Données qui suffisent en général | Niveau d’identification | À laisser hors du tableau | Destinataires |
|---|---|---|---|---|
| Dimensionnement | Sessions, énergie et durées agrégées par créneau et par groupe de places | Aucun | Noms, numéros de badge, plaques | Responsable du projet, installateur |
| Refacturation | Identifiant de session, badge, énergie, période | Nominatif, pour les seuls conducteurs concernés | Heures détaillées quand un total mensuel suffit | Comptabilité habilitée |
| Assistance | Borne, connecteur, statut, code d’erreur, heure | Numéro de badge en cas d’échec d’autorisation | Historique complet du conducteur | Support, mainteneur |
| Sécurité de l’outil | Connexions et actions des comptes du logiciel | Utilisateurs du logiciel | Sessions sans lien avec l’incident | Administrateur désigné |
La colonne des destinataires compte autant que celle des données : un historique nominatif, même réduit aux colonnes utiles à la comptabilité, expose chaque conducteur s’il est ouvert à tout un service.
Dimensionner le parking avec des volumes agrégés
Pour décider combien de points ajouter, et à quelle puissance, l’identité des conducteurs n’apporte rien. Demandez au logiciel une vue par tranche horaire et par groupe de places : sessions commencées, énergie délivrée, durée de branchement.
Vérifiez ce que recouvre la durée. En OCPP 1.6, protocole ouvert qui relie la borne à sa supervision, une transaction commence quand le véhicule est branché et l’autorisation accordée, et se termine quand l’autorisation prend fin. OCPP 2.0.1 permet de la caler sur le branchement, sur l’autorisation ou sur l’occupation de la place. Deux parcs réglés différemment ne produisent donc pas des durées comparables : notre guide pour lire un historique de sessions sans confondre énergie et durée détaille ce piège.
Prenons un exemple : des sessions de 9 heures pour 12 kWh. À 7,4 kW, 12 kWh se délivrent en 12 ÷ 7,4 ≈ 1,6 heure au mieux. Les voitures restent donc garées bien plus longtemps qu’elles ne chargent, ce qui oriente vers des puissances modestes et un partage des places, sans qu’aucun nom soit nécessaire.
Sur un petit effectif, agrégez par semaine ou par groupe de places, pour qu’aucun créneau ne désigne une seule personne. Notre article sur le dimensionnement d’une infrastructure de recharge explique comment passer de ces volumes au nombre de points.
Facturer ou refacturer : quand le nominatif se justifie
La refacturation justifie souvent un rattachement nominatif, parce qu’il faut savoir qui doit quoi. Limitez-le aux personnes concernées et au détail que la facture exige.
Vérifiez d’abord si un suivi individuel est nécessaire. Selon le Bulletin officiel de la sécurité sociale (BOSS), jusqu’au 31 décembre 2027, l’avantage en nature résultant de l’utilisation à titre personnel d’une borne mise à disposition sur le lieu de travail est négligé, y compris pour le véhicule du salarié et l’électricité. Si l’entreprise offre la recharge au bureau, l’évaluation de cet avantage ne demande donc pas de relevé par salarié.
La situation change hors du lieu de travail. Le BOSS indique que l’électricité prise en charge par l’employeur pour l’usage personnel d’un véhicule appartenant au salarié, ou d’un hybride rechargeable fourni par l’entreprise, doit être réintégrée dans l’assiette des cotisations : il faut alors un montant par personne. Pour une voiture de fonction 100 % électrique utilisée à titre professionnel et privé, l’employeur peut prendre en charge toute l’électricité sans réintégration jusqu’au 31 décembre 2027.
Pour facturer, un total mensuel par badge et un identifiant de session pour les contestations suffisent souvent. La valeur des kWh mesurés comme base de facturation dépend du matériel : faites-la préciser par le fournisseur. Notre guide sur la refacturation de l’électricité aux salariés détaille les montages possibles.
Traiter une panne à partir de la borne, pas du conducteur
La plupart des diagnostics partent de la borne : identifiant du point de charge, connecteur, statut, code d’erreur et heure. Le nom du conducteur ne dit rien de l’origine d’une panne.
En OCPP, la borne signale l’état de chaque connecteur, par exemple Available, Charging, Unavailable ou Faulted en version 1.6. Selon l’Open Charge Alliance, Unavailable et Faulted peuvent indiquer une indisponibilité, mais toutes les pannes n’y apparaissent pas : une erreur d’autorisation n’est pas signalée par la borne. C’est le cas où le numéro de badge devient utile, pour vérifier s’il est actif, bloqué ou inconnu.
Une borne hors ligne laisse les recharges en cours se poursuivre et transmet leurs messages au retour de la connexion. Des sessions peuvent donc apparaître en retard sans erreur de quiconque. Notre guide pour distinguer panne réseau et panne de recharge aide à trier ces alertes.
Organisez deux niveaux : le support voit bornes, statuts et numéros de badge ; une seule personne habilitée relie un badge à son titulaire quand il faut prévenir quelqu’un.
Salariés : informer, consulter le CSE et ne pas détourner les relevés
Quand les sessions sont rattachées à des salariés nommés, le code du travail s’ajoute au RGPD. L’article L1222-4 du code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance.
Dans les entreprises d’au moins 50 salariés, l’article L2312-38 prévoit que le comité social et économique (CSE) est informé et consulté, avant la décision de mise en œuvre, sur les moyens permettant un contrôle de l’activité des salariés, et informé avant l’introduction de traitements automatisés de gestion du personnel. Un historique nominatif des heures d’arrivée ressemble à un tel outil : posez la question avant le déploiement.
L’article L1121-1 exige enfin que toute restriction aux droits et libertés des personnes soit justifiée par la nature de la tâche et proportionnée au but recherché. En pratique, des relevés collectés pour la recharge ne deviennent pas un outil de pointage ou d’évaluation. La CNIL applique ce raisonnement aux badges d’accès : un relevé destiné à la sécurité des entrées et sorties ne peut pas servir à vérifier les horaires.
N’importez pas non plus dans le tableau les positions transmises par une voiture connectée : la CNIL considère les données de localisation comme hautement personnelles.
Accès, journaux, durées et exports : régler l’outil avant la mise en service
Les risques viennent souvent des réglages par défaut : comptes partagés, droits larges, conservation sans limite, exports complets.
Des droits au plus juste
Le guide de la sécurité des données personnelles de la CNIL recommande le moindre privilège, un identifiant unique par utilisateur sans compte partagé, le retrait des droits dès qu’une personne change de poste ou quitte l’entreprise, et une revue des habilitations au moins une fois par an. Notre comparatif des droits administrateur et utilisateur dans une supervision aide à traduire ces principes en profils.
Des journaux et des durées écrits
Le même guide conseille de journaliser les actions des utilisateurs et des administrateurs, et de conserver ces traces sur une période glissante de six mois à un an, sauf obligation légale ou besoin particulier comme un contentieux. Pour les historiques de sessions nominatifs, la CNIL ne fixe pas de durée propre : déduisez-la de chaque finalité, par exemple la clôture et le contrôle d’une période de refacturation, puis écrivez-la. Ne reprenez pas la durée unique que le logiciel propose par défaut. Les factures et pièces justificatives de refacturation suivent une autre règle : l’article L123‑22 du code de commerce impose aux commerçants et aux sociétés commerciales de les conserver dix ans. Archivez-les à part, avec un accès restreint.
Des exports testés
Faites la démonstration avec des données fictives. Vérifiez les colonnes exportées, les droits de chaque profil et les possibilités de suppression ou d’agrégation : un champ masqué à l’écran peut rester présent dans le fichier exporté.
Préparer le projet avec l’installateur et le fournisseur
Les choix de données se font avec le choix des bornes et de la supervision. Préparez ces réponses avant la visite technique :
- la liste des finalités, en une phrase chacune ;
- pour chaque finalité, les colonnes nécessaires et leur niveau : agrégé, badge ou nom ;
- les profils d’accès et la personne qui attribue et retire les badges ;
- la durée de conservation de chaque vue et la façon de supprimer ou d’agréger ;
- le calendrier d’information des salariés et, à partir de 50 salariés, du CSE ;
- un jeu de données fictives pour tester les exports pendant la démonstration.
Demandez au fournisseur de montrer où se règlent droits, durées et exports. Notre guide du logiciel de supervision complète les questions fonctionnelles à poser.
Volticom installe les bornes des entreprises et met en place leur supervision OCPP, avec des interventions partout en France. Décrivez votre parc et vos usages dans une demande de devis professionnel ; suivent une visite technique et un devis détaillé. Objectif : devis sous 48 h après dossier complet.
L’essentiel à retenir
- Chaque tableau de recharge a une finalité écrite, et chaque colonne doit servir une décision ou une opération précise.
- Le dimensionnement se fait avec des volumes agrégés par créneau, sans nom ni numéro de badge.
- Le nominatif se limite à la refacturation et aux personnes concernées ; jusqu’au 31 décembre 2027, la recharge offerte sur le lieu de travail est un avantage en nature négligé.
- Les salariés sont informés avant toute collecte (article L1222-4) et, à partir de 50 salariés, le CSE est consulté sur les outils de contrôle de l’activité ; les relevés de recharge ne servent pas à vérifier les horaires.
- Droits minimaux, comptes individuels, revue annuelle des accès, journaux conservés de six mois à un an et exports testés avec des données fictives.
Questions fréquentes
Les données personnelles de recharge en entreprise relèvent-elles du RGPD ?
Oui, dès qu’une session peut être rattachée à une personne, par un nom, un badge attribué ou une plaque d’immatriculation. La CNIL range ces identifiants indirects parmi les moyens d’identifier quelqu’un. L’article 5 du RGPD s’applique alors : finalités déterminées, données limitées au nécessaire, conservation proportionnée et sécurité appropriée. Des volumes agrégés sur un groupe assez large pour ne reconnaître personne réduisent d’autant les risques.
Faut-il informer les salariés avant d’activer les badges de recharge ?
Oui. L’article L1222-4 du code du travail interdit de collecter une information personnelle sur un salarié au moyen d’un dispositif dont il n’a pas été informé au préalable. Expliquez-leur avant la mise en service ce qui est enregistré, pourquoi, qui y accède et pendant combien de temps. Dans les entreprises d’au moins 50 salariés, prévoyez aussi l’information et la consultation du CSE prévues par l’article L2312-38.
L’employeur peut-il utiliser l’historique de recharge pour contrôler les horaires ?
Non, pas s’il a été collecté pour gérer la recharge. La CNIL rappelle qu’un fichier ne peut pas servir à un autre objectif que celui qui a été défini, et elle applique ce principe aux badgeuses : un relevé destiné à la sécurité des accès ne sert pas à vérifier les horaires. Un nouvel usage demande sa propre finalité, l’information des salariés et, selon l’effectif, l’avis du CSE.
Combien de temps conserver l’historique des sessions de recharge ?
La CNIL ne fixe pas de durée propre à ces historiques. Déduisez-la de chaque finalité, par exemple le temps de clore et de contrôler une période de refacturation, puis supprimez ou agrégez les données. Les durées prévues pour la géolocalisation des véhicules ne se transposent pas. Pour les journaux de connexion au logiciel, la CNIL conseille une période glissante de six mois à un an.
La recharge offerte aux salariés au bureau est-elle un avantage en nature ?
Non, jusqu’au 31 décembre 2027. Selon le BOSS, l’avantage en nature tiré de l’utilisation personnelle d’une borne mise à disposition sur le lieu de travail est négligé, y compris pour le véhicule personnel du salarié et l’électricité. Un suivi par salarié n’est donc pas nécessaire pour ce motif. Les textes consultés ne fixent pas la règle applicable après cette date.
Qui doit avoir accès au tableau de bord de la supervision ?
Seules les personnes qui en ont besoin pour leur mission, chacune avec son propre identifiant. Le guide de sécurité de la CNIL recommande le moindre privilège, l’absence de comptes partagés, le retrait des droits à chaque changement de poste ou départ, et une revue des habilitations au moins une fois par an. Le support technique peut souvent travailler sur les bornes et les badges sans voir les noms.
