Supprimer l’accès d’un ancien utilisateur à une borne partagée

Pour supprimer l’accès d’un utilisateur à une borne partagée, retirez tous ses moyens d’accès : invitation dans l’application, badges, droits d’administration et services reliés au compte. Désactivez ensuite ses badges dans la supervision, vérifiez que la borne a bien reçu la modification, puis testez un accès qui doit rester valide.

Vous saurez dresser l’inventaire des accès d’une personne qui part, choisir l’ordre des opérations pour garder la main sur la borne, comprendre pourquoi un badge désactivé peut encore ouvrir une session et décider de ce que vous gardez de l’historique.

Pourquoi retirer un seul accès ne suffit pas

Une même personne peut détenir plusieurs accès indépendants les uns des autres. Supprimer son compte dans l’application ne désactive pas forcément le badge resté dans son portefeuille, et l’inverse est vrai aussi.

Sur une borne partagée, on rencontre quatre familles d’accès. L’invitation dans l’application du fabricant permet de lancer une recharge ou de consulter la borne depuis un téléphone. Le badge RFID, une carte ou un porte-clés sans contact présenté devant le lecteur, autorise une session sans téléphone. Les droits d’administration permettent de modifier les réglages, d’inviter d’autres personnes ou de changer la puissance.

La quatrième famille passe souvent inaperçue : les intégrations. Un outil de gestion de flotte, une application domotique ou un tableau de refacturation peut être relié au compte de la borne par une autorisation donnée une fois pour toutes. Si ce lien a été créé avec le compte de l’ancien utilisateur, il continue de fonctionner tant que personne ne le révoque.

Sur une borne collective s’ajoute en général une supervision, c’est-à-dire un logiciel qui suit et pilote les bornes à distance. Lorsqu’elle utilise OCPP, le protocole ouvert que l’Open Charge Alliance définit pour relier les bornes aux systèmes qui les gèrent, ses listes d’utilisateurs et de badges peuvent être tenues à part de l’application grand public.

Faire l’inventaire avant de supprimer l’accès d’un utilisateur à la borne partagée

Avant de toucher à quoi que ce soit, notez sur une seule feuille tout ce que la personne peut utiliser. Cet inventaire évite d’oublier un badge et sert ensuite de trace de l’opération.

Partez de la liste des utilisateurs dans l’application et dans la supervision, puis de la liste des badges : numéro imprimé au dos, nom associé, date d’attribution. Si le départ se passe en bonne entente, demandez à la personne quels badges elle possède encore et si elle a relié la borne à d’autres services.

Accès	Où le retirer	Ce qu’il faut vérifier
Invitation dans l’application	Gestion des utilisateurs de l’application du fabricant	Le nom a disparu ; les autres invités sont toujours là
Badge RFID	Liste des badges de la supervision ou de l’application	Statut désactivé, modification reçue par la borne
Droits d’administration	Rôles du compte ou de la supervision	Un autre administrateur actif et testé
Identifiant partagé	Paramètres du compte	Mot de passe changé, adresse de récupération à jour
Intégrations	Services autorisés du compte	Autorisations révoquées, services utiles reconnectés
Refacturation	Outil de facturation ou de refacturation	Plus aucune session imputée à la personne

Traitez ensuite les lignes en commençant par l’administrateur, pour la raison qui suit.

Garder la main sur la borne avant de retirer un administrateur

Ne supprimez jamais le seul administrateur tant qu’un autre compte n’a pas reçu les mêmes droits et ne s’est pas connecté avec succès. Sinon, plus personne ne pourra inviter, désactiver un badge ou modifier un réglage.

L’ordre sûr tient en trois temps. D’abord, désignez le nouvel administrateur, avec un compte à son nom. Ensuite, faites-le se connecter et consulter un réglage, pour prouver que ses droits fonctionnent. Seulement alors, retirez l’ancien.

Le guide de la sécurité des données personnelles de la CNIL pose la règle de fond : un identifiant unique par utilisateur, le principe du moindre privilège (chacun ne dispose que des droits dont il a besoin) et le retrait des droits dès qu’une personne change de mission ou de poste, ainsi qu’à la fin de son contrat. Il recommande d’interdire les comptes partagés ; si un identifiant commun est inévitable, il prévoit une validation hiérarchique, le traçage des actions et le changement du mot de passe dès qu’une personne n’a plus besoin du compte.

Si l’ancien administrateur est parti sans transmettre ses accès, n’ouvrez pas la borne pour tenter une réinitialisation : contactez le fabricant ou l’exploitant, et confiez tout geste sur l’installation à un professionnel qualifié. Notre guide qui compare les droits administrateur et utilisateur dans une supervision aide à répartir les rôles.

Retirer un utilisateur dans l’application du fabricant

Chaque marque a sa propre procédure : suivez celle de votre équipement, dans son aide officielle. L’exemple de Wallbox montre ce qu’il faut chercher.

Selon la page d’assistance Wallbox sur le partage et la gestion des chargeurs, datée du 26 juin 2024, le titulaire partage un chargeur en invitant une personne par son adresse e-mail. Pour retirer l’accès, il ouvre « Gérer les utilisateurs », appuie sur l’icône de corbeille à côté du nom, puis confirme avec « Supprimer ».

Ce geste retire l’invitation dans l’application. La page ne traite ni des badges ni des services reliés au compte. Ne supposez pas qu’une autre marque synchronise les droits de la même manière : selon l’équipement, les badges peuvent vivre dans un menu distinct, ou seulement dans la supervision de l’exploitant.

Après la suppression, rafraîchissez la liste et vérifiez que les autres invités sont toujours présents. Faites une capture d’écran : elle rejoindra la trace de l’opération. Si la borne est aussi rattachée à une supervision, refaites la même vérification de ce côté, avec la personne qui l’administre.

Désactiver un badge : pourquoi il peut encore fonctionner quelque temps

Un badge désactivé dans la supervision n’est pas forcément refusé tout de suite par la borne. Tout dépend de ce que la borne garde en mémoire lorsqu’elle perd la connexion.

Selon le livre blanc de l’Open Charge Alliance sur la disponibilité des bornes, une borne OCPP hors ligne laisse les recharges en cours se poursuivre normalement, mais autoriser de nouvelles sessions peut devenir impossible. Pour limiter la gêne, OCPP prévoit deux mécanismes, plus un réglage à connaître.

Le cache d’autorisation

La borne garde le résultat des badges récemment utilisés : un badge accepté la dernière fois est présumé encore valide. L’OCA cite une durée de cache d’une semaine ou d’un mois, qui permet aux habitués de recharger normalement pendant une coupure. En contrepartie, le badge de l’ancien utilisateur peut encore passer tant que la borne n’a pas retrouvé sa supervision.

La liste d’autorisation locale

C’est une liste blanche versionnée, tenue à jour depuis la supervision. Fonction optionnelle, elle n’existe pas sur toutes les bornes. Quand elle est active, la révocation ne s’applique sur place qu’une fois la nouvelle version reçue.

Le réglage des badges inconnus

Un réglage OCPP (AllowOfflineTxForUnknownId en version 1.6) permet à une borne hors ligne d’accepter n’importe quel badge ; les sessions des badges inconnus ne pourront alors pas être facturées. Demandez à votre exploitant s’il est activé, et comment il met à jour le cache ou la liste après une révocation. Pour lire l’état de connexion, voyez comment distinguer panne réseau et panne de recharge.

Séparer la suppression des accès et la conservation de l’historique

Révoquer un droit de recharge et effacer des données sont deux décisions distinctes. La première se prend le jour du départ ; la seconde suit les règles de conservation que vous avez fixées.

Un historique de recharge nominatif contient des données personnelles. Selon la CNIL, le principe de minimisation impose que ces données soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité, c’est-à-dire de l’objectif du fichier. La CNIL rappelle aussi que cette finalité conditionne la durée de conservation.

Il n’existe donc pas de durée universelle pour les sessions d’un ancien utilisateur. Si elles servent à refacturer l’électricité, gardez-les le temps de clore et de justifier la refacturation. Si elles ne servent plus à rien, supprimez-les ou retirez-en le nom, selon ce que permet votre outil.

Les journaux techniques suivent une autre logique. Le guide de sécurité de la CNIL recommande de journaliser les activités des utilisateurs et les interventions techniques, y compris celles des administrateurs, et de conserver ces traces sur une période glissante de six mois à un an, sauf obligation légale ou besoin particulier, comme un contentieux. Ne supprimez donc pas le journal qui prouve que l’accès a été retiré.

Adapter la procédure au foyer, à l’entreprise ou à la copropriété

La méthode reste la même partout ; ce qui change, c’est la personne qui décide et la trace à conserver.

Dans un foyer

Séparation, colocataire qui déménage, enfant qui prend son indépendance : le titulaire du compte retire l’invitation et récupère le badge. Profitez-en pour revoir qui a encore besoin d’un accès ; notre guide pour partager un compte de borne dans le foyer détaille l’organisation des droits. Si la personne connaissait le mot de passe du compte principal, changez-le.

En entreprise

Le retrait s’inscrit dans la procédure de départ, comme la restitution de l’ordinateur. La CNIL recommande de retirer les droits à la fin du contrat : ajoutez une ligne « borne de recharge » à la liste de sortie, avec le nom de la personne habilitée à la traiter, et récupérez le badge en main propre.

En copropriété

Le gestionnaire désigné (syndic ou exploitant, selon l’organisation retenue) traite la demande, par exemple à la vente d’un lot ou au départ d’un locataire. Il consigne la date, le badge concerné et l’auteur de l’opération. Le nouvel occupant reçoit ses propres accès : on ne lui transmet pas le badge du précédent.

Vérifier que la suppression est bien prise en compte

Une suppression n’est terminée que lorsque vous avez constaté ses effets sur la borne elle-même. Faites ce contrôle sur place, ou à distance avec l’exploitant.

Déroulez cette liste de contrôle dans l’ordre :

Dans la supervision, la borne apparaît connectée et sa dernière communication est récente.
Le badge retiré figure comme désactivé ou bloqué, et non simplement « non attribué ».
Si la borne gère une liste locale, la supervision confirme la réception de la nouvelle version.
Si vous avez récupéré le badge, présenté devant la borne connectée, il est refusé.
Un badge qui doit rester valide démarre une session normalement.
Les autres utilisateurs figurent toujours dans l’application.
Les services encore utiles fonctionnent, reconnectés sous un compte actif.
La date, les accès retirés et le nom de la personne qui a opéré sont notés.

Ne vous connectez jamais au compte personnel de l’ancien utilisateur pour « vérifier » : testez vos propres accès, pas les siens. Si la borne était hors ligne au moment de la révocation, refaites le contrôle après son retour. Pour un badge perdu, voyez la procédure de révocation d’un badge de recharge perdu. Enfin, la CNIL recommande de revoir les habilitations au moins une fois par an : c’est l’occasion de repérer les comptes oubliés.

Préparer l’opération avec votre exploitant ou votre installateur

Sur une borne individuelle, l’application suffit souvent. Sur un parc supervisé, dont notre guide du logiciel de supervision de bornes décrit le fonctionnement, l’exploitant ou l’installateur qui a paramétré la supervision connaît les réglages hors ligne : posez-lui des questions précises.

Avant l’opération, demandez-lui :

où sont gérés les badges : dans l’application, dans la supervision ou dans les deux ;
si le cache d’autorisation et la liste locale sont activés, et comment une révocation parvient à la borne ;
si les badges inconnus sont acceptés hors ligne ;
qui détient les droits d’administrateur et comment en ajouter un ;
comment exporter l’historique avant tout nettoyage.

Pour un parc d’entreprise ou de copropriété, la page consacrée à la supervision OCPP de bornes de recharge présente l’accompagnement de Volticom, entreprise qualifiée QUALIFELEC IRVE ; vous pouvez décrire votre parc dans une demande de devis professionnel. Pour une simple question sur les droits d’une borne déjà installée, passez par la page de contact.

L’essentiel à retenir

Cinq points résument la démarche :

Une même personne peut détenir plusieurs accès indépendants : invitation, badge, droits d’administration, services reliés. Retirez-les tous.
Désignez et testez un nouvel administrateur avant de supprimer l’ancien.
Une borne OCPP hors ligne peut encore accepter un badge désactivé : vérifiez que la révocation lui est parvenue.
Retirer un accès n’oblige pas à effacer l’historique ; sa durée de conservation dépend de la finalité du fichier.
Notez la date et les accès retirés, et revoyez les habilitations au moins une fois par an, comme le recommande la CNIL.

Questions fréquentes

Comment supprimer l’accès d’un utilisateur à une borne partagée ?

Retirez chacun de ses accès, pas seulement son compte : l’invitation dans l’application du fabricant, ses badges dans la supervision ou l’application, ses droits d’administration et les services reliés au compte. Désignez d’abord un autre administrateur et vérifiez qu’il peut se connecter. Contrôlez ensuite que la borne est connectée, qu’un badge encore valide fonctionne, et notez la date de l’opération.

Supprimer quelqu’un de l’application désactive-t-il aussi son badge ?

Pas forcément. L’invitation dans l’application et le badge sans contact peuvent être gérés séparément : l’aide de Wallbox, par exemple, décrit le retrait d’un utilisateur invité sans traiter des badges. Vérifiez dans l’application et dans la supervision que chaque badge attribué à la personne est désactivé. Si vous l’avez récupéré, présentez-le devant la borne connectée : il doit être refusé.

Peut-on réattribuer le badge d’un ancien utilisateur à quelqu’un d’autre ?

Mieux vaut l’éviter. Un badge est enregistré dans la supervision sous un identifiant : si vous le confiez à une autre personne, les sessions des deux utilisateurs se mêlent dans l’historique, ce qui complique une refacturation ou la vérification d’un départ. Laissez l’ancien badge désactivé, rangez-le avec la trace de l’opération et attribuez au nouvel utilisateur un badge enregistré à son nom.

Faut-il effacer l’historique de recharge d’un ancien utilisateur ?

Non, pas automatiquement : retirer un accès et supprimer des données sont deux décisions distinctes. Il n’existe pas de durée universelle ; selon la CNIL, la durée de conservation dépend de la finalité du fichier, par exemple le temps de clore une refacturation. Pour les journaux techniques, son guide de sécurité recommande une conservation glissante de six mois à un an, sauf obligation légale ou besoin particulier.

Que faire si l’ancien utilisateur était le seul administrateur de la borne ?

Contactez le fabricant ou l’exploitant de la supervision : la reprise d’un compte suit une procédure propre à chaque marque, et les justificatifs demandés sont à vérifier auprès de lui. N’ouvrez pas la borne et ne tentez aucune réinitialisation sur l’installation : si un geste technique est nécessaire, il revient à un professionnel qualifié. À l’avenir, gardez toujours deux administrateurs nominatifs.

Faut-il changer le mot de passe d’un compte de borne partagé après un départ ?

Oui. La CNIL recommande d’interdire les comptes partagés et, lorsqu’un identifiant commun ne peut pas être évité, de changer le mot de passe dès qu’une personne n’a plus besoin du compte. Profitez-en pour passer à des comptes nominatifs, un par utilisateur, avec les seuls droits nécessaires. Vérifiez aussi l’adresse e-mail de récupération : si c’était celle de l’ancien utilisateur, remplacez-la.