Ce que l'infrastructure sait de ses utilisateurs
Chaque session enregistre l'identifiant du badge ou du compte, le point de charge, les horodatages, l'énergie délivrée, parfois l'identifiant du véhicule. Isolée, la donnée semble anodine ; agrégée, elle raconte : heures d'arrivée et de départ d'un salarié, jours de présence, week-ends au dépôt, habitudes d'un résident. C'est cette capacité à révéler les comportements qui qualifie le traitement, pas la technicité du kilowattheure.
Le périmètre RGPD s'arrête où l'individu n'est plus identifiable : les statistiques agrégées d'occupation d'un site, les courbes de puissance anonymisées, les données techniques des bornes n'en relèvent pas. La frontière se joue sur le rattachement à la personne, badge nominatif en tête.
L'employeur et les bornes du parking
- Finalités à définir et à s'y tenir : facturation, gestion de l'énergie, maintenance. Les données de charge ne sont pas un outil de contrôle des horaires, et les détourner en ce sens expose au contentieux prud'homal autant qu'à la CNIL.
- Information préalable des salariés : une note claire, quelles données, quelles finalités, quelles durées, et le référent à contacter ; le comité social s'informe de la mise en place comme pour tout dispositif susceptible de suivre l'activité.
- Le remboursement de la recharge à domicile importe des données du domicile dans l'entreprise : minimisation stricte, les kWh suffisent, pas les horaires détaillés.
- Accès restreints : le gestionnaire de flotte voit ce que sa mission exige, pas l'historique nominatif complet à toutes fins utiles.
Copropriétés, collectivités, bornes ouvertes au public
En copropriété, le traitement est généralement porté par l'opérateur de supervision qui facture : le syndic veille surtout à ce que le contrat le désigne clairement comme responsable ou sous-traitant, et à ce que les résidents soient informés. Les relevés individuels n'ont pas à circuler en assemblée générale : les totaux anonymisés suffisent aux comptes.
Pour la borne ouverte au public, s'ajoutent les données de paiement et l'itinérance : chaque maillon, opérateur de recharge, plateforme d'itinérance, opérateur de mobilité, traite sa part sous ses propres obligations, les contrats OCPI répartissant les rôles. La collectivité délégante s'assure que sa convention de délégation traite le sujet, c'est devenu un standard des cahiers des charges.
Les bonnes pratiques qui règlent 90 % du sujet
Côté organisation : inscrire le traitement au registre, définir des durées de conservation raisonnables, l'usage courant se satisfait de quelques années pour la facturation, moins pour le détail des sessions, restreindre les accès nominatifs, et écrire la note d'information des utilisateurs en français lisible. Côté contrats : vérifier que la plateforme de supervision héberge en Europe, chiffre les flux, encadre ses sous-traitants et assiste l'exploitant pour les demandes d'accès ou d'effacement.
Rien de tout cela n'est exorbitant : ce sont les réflexes de tout traitement moderne, appliqués à un domaine qui les découvre. Les plateformes sérieuses du marché les intègrent nativement, et c'est un critère de choix que nos équipes intègrent dans leurs cahiers des charges. Pour l'architecture d'ensemble, notre guide OCPP et OCPI replace chaque acteur dans la chaîne de données.