Lecture de plaques en parking d'entreprise : base légale, durée de conservation et information

Un lecteur de plaques posé en tête de rampe est une installation légère à poser et à paramétrer. La conformité du traitement qu'il crée l'est beaucoup moins : la plaque renvoie à un titulaire identifiable, ce qui fait entrer l'installation dans le champ du RGPD, avec une base légale à choisir, une durée de conservation à borner et une information à afficher avant la ligne de lecture.

Trois questions décident du paramétrage : quelle base légale selon que la rampe dessert des salariés, des visiteurs ou des transporteurs, quelles strates de données purger et à quel rythme, et que faire quand la caméra ne lit pas la plaque. Les réponses se prennent avant la commande, parce qu'elles conditionnent des réglages logiciels et des choix de matériel qui ne se rattrapent pas après la mise en service.

Une plaque d'immatriculation est une donnée personnelle, et le paramétrage en découle

Une immatriculation au format SIV, AA-123-AA depuis avril 2009, ne désigne personne par elle-même. Elle devient une donnée à caractère personnel dès qu'un recoupement permet de remonter au titulaire : accès au système d'immatriculation des véhicules, mais aussi et surtout, en pratique, le tableau interne qui associe une plaque à un nom de salarié et à une place attribuée. Ce tableau existe dans presque toutes les exploitations, il suffit à rendre le traitement nominatif.

La conséquence opérationnelle est ailleurs que dans la plaque elle-même. Chaque franchissement est enregistré avec un horodatage et un sens de passage. Une base qui conserve douze mois de passages reconstitue les heures d'arrivée et de départ de chaque véhicule identifié, donc de son conducteur habituel. C'est ce journal, et non l'image, qui expose l'exploitant.

Le fournisseur du lecteur ou l'éditeur du logiciel n'est pas responsable de traitement ; l'entité qui exploite le site l'est. Quand le logiciel est hébergé en mode cloud, il faut un contrat de sous-traitance conforme à l'article 28 du RGPD et la localisation des serveurs documentée. Ces deux pièces se réclament à la commande, pas au moment du contrôle.

Salariés, visiteurs, transporteurs : la base légale ne se choisit pas une fois pour toutes

Pour les salariés, la base retenue est l'intérêt légitime de l'article 6, paragraphe 1, point f, accompagné d'un test de mise en balance écrit qui expose la finalité de sécurité, l'absence de moyen moins intrusif et les garanties apportées. Le consentement ne tient pas : le lien de subordination le prive de la liberté qu'exige le règlement. La finalité doit ensuite être verrouillée, car l'article L1222-4 du code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui ne lui a pas été porté préalablement à sa connaissance, et le journal de passages devient contestable dès qu'il alimente une discussion sur les horaires. Le paramétrage protège mieux que la note de service : si le logiciel n'expose pas d'export par personne sur une plage de dates, la dérive est matériellement difficile.

Pour les visiteurs, la logique est différente. La plaque est le plus souvent saisie en amont par l'hôte, valable sur une plage horaire, et perd son objet dès la sortie. Une durée de vie de quelques jours suffit et se paramètre à la création de l'autorisation, ce qui évite d'accumuler une base de visiteurs occasionnels sans finalité.

Sur un site logistique, la plaque sert à séquencer un créneau de quai et à tracer l'entrée en zone de circulation d'engins. La finalité relève de la sécurité et de l'exécution du contrat de transport ; sur un site ICPE, elle se rattache aussi au plan de circulation. Cas particulier à traiter à part : la liste d'immatriculations interdites d'accès. C'est un traitement distinct, qui produit une décision défavorable, et qui appelle sa propre justification écrite ainsi qu'une voie de contestation identifiée.

Combien de temps garder les passages, et comment vérifier que la purge tourne vraiment

Trois strates coexistent et ne se purgent pas au même rythme. La liste des plaques autorisées est une donnée de droit d'accès : elle vit le temps de la relation contractuelle ou salariale, plus un délai court de gestion. Le journal des passages est une donnée d'événement, à durée nettement plus brève. Les images brutes de la caméra, si elles sont conservées, relèvent du régime de la vidéoprotection, l'usage retenant un mois comme borne haute et rarement comme cible.

Sur les journaux d'accès aux locaux, la doctrine de la CNIL retient un ordre de grandeur de trois mois, durée cohérente avec l'objectif de sécurité : au-delà, plus personne ne consulte un passage, et la base ne sert qu'à créer un risque. Une durée plus longue se défend, mais elle se défend par écrit, motif à l'appui, dans la fiche de registre.

La purge doit être une tâche planifiée dans la base, avec une trace d'exécution consultable, et non une manipulation trimestrielle confiée à un exploitant. La recette gagne à vérifier quatre points souvent oubliés : la table d'événements du logiciel, les exports CSV déposés sur un partage réseau, les sauvegardes de la base qui contiennent des enregistrements déjà effacés côté applicatif, et la corbeille interne de certains logiciels. Une purge qui ne balaie que la table principale laisse trois copies vivantes.

Information, consultation du CSE, registre : les trois pièces qui manquent le plus souvent

L'information doit être délivrée avant la collecte, donc avant la ligne de lecture. Un panneau implanté au niveau de la barrière, ou pire au-delà, ne remplit pas sa fonction : le conducteur a déjà été enregistré. Le support doit être lisible depuis le poste de conduite et mentionner l'identité du responsable de traitement, la finalité, la durée de conservation, les droits des personnes, le contact du délégué à la protection des données quand il existe et la possibilité de réclamation auprès de la CNIL. Une note d'information complète le dispositif pour le personnel, généralement en annexe du règlement intérieur.

La consultation des représentants du personnel se tient avant la mise en service. L'article L2312-38 du code du travail vise les moyens et techniques permettant un contrôle de l'activité des salariés, et un journal d'entrées et sorties horodatées entre dans cette catégorie. Une consultation organisée après la pose du portique ne régularise rien et fragilise l'usage ultérieur des données.

Côté documentaire, il faut une fiche dédiée au registre des activités de traitement prévu par l'article 30, distincte de celle du contrôle d'accès badge quand les deux systèmes ne partagent ni base ni finalité. L'analyse d'impact de l'article 35 n'est pas automatique pour une lecture de plaques seule ; elle le devient quand le système croise plaque et vidéo, couvre un site de grande capacité ou s'applique à une population importante. Précision utile en réunion : la lecture de plaques ne relève pas du régime de la biométrie, contrairement à la reconnaissance faciale, et l'assimilation des deux déclenche des exigences hors sujet.

Ce qui reste quand la lecture échoue : plaque encrassée, deux-roues, immatriculation étrangère

Le taux de lecture dépend de la géométrie plus que du logiciel. Un angle horizontal trop ouvert, une caméra trop haute par rapport au plan de la plaque, une approche trop rapide ou un éclairage infrarouge mal orienté dégradent l'OCR avant tout paramétrage. L'hiver ajoute son lot : le sel et la boue détruisent la rétroréflexion sur laquelle repose l'illumination infrarouge, et le taux chute sur les véhicules de chantier ou de livraison.

Les deux-roues posent un problème de principe. Il n'y a pas de plaque avant, et la plaque arrière est au format 210 x 130 mm depuis le 1er juillet 2015, avec des caractères plus petits, montée bas et souvent inclinée. Une caméra calée sur une plaque automobile ne la verra pas correctement. Restent deux options : une seconde caméra orientée vers l'arrière déclenchée après la boucle de détection, ou un moyen d'accès distinct de type badge ou émetteur radio pour cette population.

Les immatriculations étrangères se heurtent à la variété des formats, des polices et des couleurs de fond. Le moteur doit avoir les pays concernés chargés dans sa configuration, faute de quoi il rejette la lecture sans la signaler comme une erreur. Sur un quai desservi par des transporteurs européens, cette configuration se vérifie à la recette avec des relevés réels.

Le repli manuel n'est pas un détail de fin de cahier des charges. Il faut nommer le poste qui répond à l'interphone et ses plages d'occupation, prévoir une ouverture depuis l'interface d'exploitation avec saisie du motif, et conserver un moyen physique de secours. Un renvoi vers une ligne non décrochée transforme une lecture ratée en blocage de rampe, avec une file d'attente sur voirie.

La barrière reste une machine, et le lecteur ne change rien à ses obligations

Ajouter un lecteur de plaques ne modifie ni le classement de l'équipement ni les vérifications qui s'y attachent. La lisse ou le portail motorisé reste soumis aux exigences de sécurité d'usage : l'EN 12453 fixe les prescriptions de sécurité à l'utilisation des portes et portails motorisés, notamment la limitation des efforts et le comportement attendu à la détection d'obstacle, et l'EN 12978 traite des dispositifs de protection eux-mêmes, barres palpeuses et cellules. L'EN 13241 est la norme de produit des portes et portails industriels, commerciaux et de garage. Côté code du travail, l'article R4322-1 impose le maintien en état de conformité de l'équipement avec les règles techniques applicables à sa conception.

Quand l'équipement dessert un lieu de travail, l'arrêté du 21 décembre 1993 relatif aux vérifications et à l'entretien impose un entretien semestriel et la tenue d'un livret mentionnant les interventions. L'automatisation de l'identification ne réduit pas cette périodicité ; elle ajoute un sous-ensemble à contrôler, dont l'alignement de la caméra, l'état de la vitre et la propreté de l'illuminateur infrarouge.

Un point de conception mérite d'être imposé au fournisseur : la boucle de sécurité sous la lisse doit rester câblée indépendamment du lecteur et de sa logique logicielle. Une descente de lisse pilotée par un automate qui attend une réponse OCR crée un chemin de défaillance nouveau.

Limites et vérifications

Les textes, caractéristiques produit, prix, délais et pratiques de marché peuvent évoluer. Vérifiez les sources primaires, la documentation de la référence concernée et la situation du projet avant toute décision.

Aucune certification, référence client, statistique interne, offre commerciale ou performance IEF & CO n'est affirmée dans cet article sans dossier de preuve validé.