Le départ d’un conducteur ne se termine pas au retour du véhicule. Tant qu’un accès à l’application de flotte, une carte carburant ou une clé secondaire reste actif, l’exploitation conserve un risque sans responsable opérationnel. La sortie doit donc être pilotée comme une intervention courte avec un propriétaire, une heure de clôture et une preuve pour chaque action.
Cette procédure complète le dossier conducteur créé à l’arrivée. Elle ne traite ni le motif de la rupture ni le choix du statut juridique : elle sécurise uniquement les moyens confiés par la flotte.
Nommer un responsable de sortie
Le responsable d’exploitation ouvre une fiche de départ dès que la date est certaine. Il liste le véhicule affecté, les clés, badges, cartes, équipements, applications et dossiers accessibles. Chaque élément reçoit un détenteur, une échéance et un statut : récupéré, désactivé, transféré ou à traiter.
La CNIL recommande de supprimer les permissions dès qu’une personne n’est plus habilitée et d’éviter les comptes partagés. La flotte doit donc identifier les comptes nominatifs, mais aussi les accès génériques dont le mot de passe aurait été connu du conducteur.
Fermer les accès dans le bon ordre
- Figer les courses et opérations encore ouvertes.
- Exporter les pièces nécessaires au suivi de ces opérations.
- Révoquer les sessions de l’application de dispatch, de recharge, de carburant et de parking.
- Retirer le conducteur des listes de véhicules et d’assurance selon la procédure contractuelle.
- Changer les codes partagés qui ne peuvent pas être révoqués individuellement.
La révocation doit être horodatée. Une capture d’écran isolée ne suffit pas si l’outil propose un journal d’administration : conserver l’identifiant de l’action et la personne qui l’a exécutée.
Balayer le périmètre réel de la flotte
La dernière affectation ne suffit pas. Un conducteur peut avoir utilisé plusieurs véhicules, un boîtier de clés, deux cartes d’énergie, une application de parking et un espace documentaire commun. La fiche de sortie rapproche donc l’identité avec le registre complet des habilitations et des supports, puis contrôle chaque ligne. Cette vue transversale empêche de fermer le compte du véhicule habituel tout en oubliant un accès obtenu lors d’un remplacement.
Pour chaque système, inscrire quatre preuves : compte recherché, action exécutée, heure effective et contrôle par une seconde personne. Lorsqu’un fournisseur ne permet pas la révocation immédiate, le support est bloqué par téléphone ou courriel, le numéro de dossier est conservé et une échéance de confirmation est attribuée.
Récupérer les moyens physiques
Le retour reprend le registre des clés, mais ajoute les cartes de lavage, de recharge, de carburant, de péage et de stationnement. Le responsable vérifie le numéro de chaque support, pas seulement son apparence. Une carte manquante est immédiatement bloquée ; elle ne reste pas « à récupérer plus tard ».
Le véhicule est inspecté avec le kilométrage, le niveau d’énergie, les alertes, les effets présents et les photographies utiles. L’objectif n’est pas d’attribuer une faute sur place, mais de figer l’état avant une nouvelle affectation.
La restitution est contradictoire lorsque les deux parties sont disponibles : la flotte note les écarts, le conducteur peut formuler une réserve, puis chacun reçoit la même version. Un désaccord sur un dommage ne doit jamais retarder le blocage d’une carte de paiement ou d’un accès numérique. La sécurité des moyens et le traitement du litige suivent deux circuits séparés.
Traiter les données sans effacer les preuves
Fermer un compte ne signifie pas supprimer immédiatement tout historique. Les durées de conservation dépendent de la finalité, des obligations et des contentieux possibles. La flotte sépare les données nécessaires à la comptabilité, à la preuve des courses ou à un incident des accès qui doivent cesser immédiatement.
L’accès aux données de géolocalisation reste limité aux personnes habilitées. Le dossier sur la géolocalisation de flotte précise cette frontière.
Le test des vingt-quatre heures
Le lendemain, une seconde personne contrôle quatre points : aucune session active, aucun support financier utilisable, aucun véhicule encore affecté, aucun compte partagé inchangé. Toute anomalie devient un incident de sortie avec une action datée.
Trois indicateurs constituent le socle : pourcentage de sorties clôturées le jour prévu, nombre de moyens manquants et délai moyen de révocation. Ils se suivent par départ, non dans une moyenne qui masquerait un accès oublié. Le tableau conserve aussi une liste nominative des sorties encore ouvertes, avec le propriétaire de l’action suivante et sa date limite.
Source officielle et action immédiate
La référence de sécurité est la fiche de la CNIL sur la gestion des habilitations, publiée le 13 mars 2024. L’action immédiate consiste à prendre le dernier départ connu et vérifier si la flotte peut produire la preuve de fermeture pour chaque accès, clé et carte. Si elle ne le peut pas, la procédure n’est pas encore contrôlable.
Cas d’exploitation : une sortie annoncée à 17 heures
À 15 heures, le responsable exporte les courses encore ouvertes et désigne le régulateur qui les reprendra. À 16 h 30, il contrôle deux clés, un badge de recharge, une carte de lavage et un terminal. À 17 heures, l’administrateur ferme le dispatch et la messagerie professionnelle ; la personne chargée des moyens de paiement bloque la carte. À 17 h 15, le véhicule passe au statut « sans conducteur » et ne peut plus recevoir de mission.
Si la seconde clé manque, la fiche ne passe pas artificiellement au vert. Le support reçoit le statut « manquant, blocage impossible » et le responsable évalue une reprogrammation ou un changement matériel selon le système. Si une dernière course se termine après 17 heures, l’heure de retrait est liée à sa clôture et approuvée par le responsable : une exception datée vaut mieux qu’un accès officieusement maintenu.
Tableau de contrôle et responsabilités
| Objet | Responsable | Preuve | Blocage |
|---|---|---|---|
| Applications | Administrateur habilité | Journal de révocation | Session encore active |
| Cartes et badges | Gestionnaire de flotte | Statut fournisseur | Support utilisable |
| Clés et véhicule | Chef d’équipe | Registre et état signé | Élément absent |
| Dossiers ouverts | Responsable d’exploitation | Réattribution nominative | Aucun repreneur |
La cible interne peut être 100 % des moyens critiques clôturés avant la fin du jour prévu. Ce choix n’est pas un délai légal ; il rend visible toute exception. Le délai moyen reste secondaire : une seule carte encore active justifie une revue.