La vraie question à poser à un éditeur
Sur les fonctions du quotidien, les logiciels de vote CSE sérieux se ressemblent tous : gestion des collèges, deux tours, calcul des sièges à la plus forte moyenne, procès-verbaux Cerfa, assistance le jour du scrutin. Un tableau qui les note « 4 étoiles contre 5 » sur l'ergonomie ne vous apprend donc rien d'utile. Votre décision ne se joue pas là.
Elle se joue sur une question que presque aucun comparatif n'ose poser franchement : « est-ce sécurisé ? » ne veut plus rien dire — tout le monde répond oui, la main sur le cœur. La bonne question, c'est « pouvez-vous me le prouver sans que j'aie à vous croire sur parole ? ». En clair : un tiers peut-il vérifier que le résultat proclamé correspond bien aux bulletins déposés, sans jamais accéder au sens des votes ? Un éditeur capable de répondre à ça vous couvre le jour d'une contestation. Un éditeur qui esquive vous laisse seul face au juge, avec une attestation et des logs serveur.
Cette page ne classe donc pas les marques une par une avec des notes maison. Elle vous donne la grille pour interroger n'importe quel éditeur — nous compris — et séparer nettement ce qui relève de la preuve de ce qui relève du marketing.
CSE Election est la marque blanche de la technologie de vote Sephos. L'approche « vérifiable par conception » que ce comparatif désigne comme supérieure est donc la nôtre, et nous l'assumons. Ce n'est un problème que si vous ne pouvez rien vérifier — or c'est exactement ce que cette grille vous permet de faire, chez nous comme chez les autres.
Déclaratif ou vérifiable : les deux écoles du vote CSE
Derrière la douzaine d'éditeurs français — Voxaly (groupe Docaposte), Neovote, Quizzbox, Alphavote, People Vox, Election-Europe et quelques autres — il n'existe en réalité que deux écoles. Plusieurs de ces acteurs sont solides et opèrent des scrutins CSE depuis des années ; l'enjeu n'est pas de les disqualifier, mais de comprendre ce qui les sépare sur le seul terrain qui compte vraiment.
Première école, la sécurité déclarative : le système est chiffré, hébergé sérieusement, et vous recevez une attestation de conformité. La confidentialité et l'intégrité reposent sur la parole de l'opérateur. Tant qu'il n'y a pas de litige, ça tient parfaitement. Le jour d'une contestation, vous devez démontrer devant un juge ce que vous n'avez jamais pu vérifier vous-même.
Seconde école, la vérifiabilité par conception : l'architecture est pensée pour qu'un tiers — expert mandaté, membre du bureau de vote, organisation syndicale — puisse contrôler l'exactitude du scrutin sans faire confiance à l'éditeur. La preuve ne se déclare pas, elle se produit. C'est le camp de CSE Election, et le fil rouge de tout ce qui suit.
- Sécurité déclarative — chiffré, hébergé sérieusement, attestation à l'appui ; la confidentialité et l'intégrité reposent sur la parole de l'éditeur. Confortable, jusqu'au litige.
- Vérifiable par conception — un tiers peut contrôler l'exactitude du scrutin sans rien accorder à l'éditeur, et sans accéder au sens des votes. La preuve se produit, elle ne se déclare pas.
- Le jour d'une contestation — la première école vous demande de démontrer ce que vous n'avez jamais pu vérifier ; la seconde vous tend une preuve d'intégrité opposable.
Le cadre légal et la CNIL 2026 qui trient les outils
Un logiciel ne dispense jamais du droit, et c'est l'erreur qui coûte le plus cher. Le CSE est obligatoire dès 11 salariés atteints pendant 12 mois consécutifs, pour un mandat de 4 ans (réductible à 2 ou 3 ans par accord). Le recours au vote électronique, lui, est encadré par les articles R.2314-5 à R.2314-18 du Code du travail : il doit être autorisé par accord d'entreprise ou, à défaut, par décision unilatérale de l'employeur, puis inscrit dans le protocole d'accord préélectoral (PAP) négocié avec les syndicats. Sauter cette étape figure en tête des causes d'annulation devant le tribunal judiciaire.
Côté sécurité, attention à un décalage que peu d'éditeurs ont corrigé : la recommandation CNIL en vigueur est celle du 19 mars 2026 (délibération n°2026-045). Elle abroge l'ancienne délibération n°2019-053 du 25 avril 2019, encore citée un peu partout dans les argumentaires commerciaux. La logique des trois niveaux de risque demeure — le responsable de traitement classe son scrutin de 1 à 3 et applique les garanties correspondantes — mais si un prestataire vous vend encore la « 2019-053 » comme le texte de référence, vous savez à quel point sa documentation est à jour. Un test simple à faire passer en rendez-vous.
Sur le RGPD, la répartition des rôles ne se négocie pas. L'employeur est responsable de traitement, car c'est lui qui décide d'organiser le scrutin (base légale : l'obligation légale d'organiser les élections, art. L.2314-4). L'éditeur du logiciel intervient comme sous-traitant au sens de l'article 28, encadré par un contrat. Les données du scrutin sont conservées jusqu'à quinze jours après la proclamation des résultats (art. R.2314-17), délai prolongé en cas de contentieux. Rappel de calendrier utile : information du personnel au moins 90 jours avant le premier tour, premier tour réservé aux syndicats, second tour ouvert à toutes les candidatures sous quinze jours si le quorum — la moitié des inscrits par collège — n'est pas atteint.
Aucun logiciel n'est « certifié CNIL » : la CNIL recommande, elle ne certifie pas. Se dire « 100 % conforme » ou « certifié » est un signal d'alerte, pas un gage. La bonne formulation est « conçu pour la conformité » et « certifiable niveau 3 » — une architecture pensée pour réussir une expertise indépendante que votre entreprise peut mandater. C'est le positionnement de CSE Election.
Les 4 preuves à exiger avant de signer
Voici les quatre mécanismes qui font la différence entre « sécurisé » et « vérifiable ». Traduits en langage de décideur, pas de cryptographe. Exigez-les nommés et documentés dans le cahier des charges — pas résumés en « chiffrement fort ».
L'authentification d'abord. Beaucoup de solutions envoient encore un code par e-mail ou par SMS : un canal interceptable, transférable, et pointé par la CNIL sur les scrutins sensibles. CSE Election utilise WebAuthn avec l'extension PRF : l'électeur s'enrôle au préalable avec une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil, et le secret cryptographique est dérivé localement, sur le terminal. Il n'est jamais transmis au serveur. Aucun code à envoyer, donc rien à intercepter ni à extorquer.
Le chiffrement ensuite. Chaque bulletin est chiffré dès le poste de l'électeur (ElGamal sur la courbe Ristretto255). La propriété homomorphe permet d'additionner les votes alors qu'ils sont encore chiffrés : on obtient le total du scrutin sans jamais ouvrir un seul bulletin. La clé de déchiffrement du résultat n'appartient à personne seul — elle est répartie entre plusieurs garants (trustees) via une génération de clé distribuée (DKG), et il faut réunir un quorum pour déchiffrer le total agrégé. Des preuves à divulgation nulle (FCMP++, Bulletproofs) attestent qu'un bulletin est valide sans en révéler le contenu.
Restent deux propriétés décisives. L'absence de déchiffrement individuel des bulletins : le décompte porte sur l'agrégat chiffré, aucun bulletin nominatif n'est jamais lu, pas même par l'éditeur. Et le journal en écriture seule (ledger append-only), où chaque opération est horodatée et chaînée : toute altération y devient détectable. C'est ce qui transforme l'intégrité du scrutin en preuve opposable plutôt qu'en promesse commerciale.
Vérifiabilité de bout en bout et anti-coercition
La vérifiabilité de bout en bout (E2E-V) est le standard des systèmes de vote modernes, et elle est quasi absente du discours des logiciels CSE. Elle répond à la question que tout juriste devrait poser avant de signer : comment savoir, sans faire confiance à l'opérateur, que le résultat proclamé est exact ? Elle se décompose en trois contrôles, et aucun ne révèle le sens d'un vote.
Sur la coercition, restons précis là où beaucoup dérapent dans l'absolu. Aucun système ne rend « impossible » de prouver son vote, et méfiez-vous de qui l'affirme. En revanche, par conception, CSE Election ne délivre aucun reçu du contenu du vote : l'électeur obtient seulement la preuve que son bulletin a été pris en compte, sans en révéler le choix, et les bulletins ne sont jamais déchiffrés individuellement. Le risque de pression ou d'achat de voix est ainsi fortement réduit par conception — pas écarté par un slogan d'« anonymat total » qui ne tiendrait pas devant un expert.
Cast-as-intended — émis conformément à l'intention
l'électeur peut s'assurer que le bulletin chiffré correspond bien au choix qu'il a exprimé.
Recorded-as-cast — enregistré tel qu'émis
il peut vérifier que son bulletin a bien été déposé dans l'urne, sans altération.
Counted-as-recorded — compté tel qu'enregistré
toute personne autorisée peut contrôler que le total proclamé correspond aux bulletins enregistrés.
Combien ça coûte, sans langue de bois
Le grand angle mort du marché : presque tout le monde affiche « sur devis » sans le moindre repère, ce qui rend tout comparatif de prix impossible. Voici donc des ordres de grandeur honnêtes et indicatifs. Le coût réel dépend surtout du nombre d'électeurs — facteur principal, avec un tarif dégressif : un scrutin de 400 personnes ne coûte pas huit fois un scrutin de 50 — puis du nombre de tours, du niveau d'accompagnement et de la configuration (multi-sites, multi-collèges, options d'archivage).
Un point à cadrer pour votre budget : un second tour, lorsqu'il est nécessaire (quorum non atteint ou carence), remobilise la plateforme et le support. Il doit figurer noir sur blanc dans la proposition, pas apparaître en surprise sur la facture. Quant aux offres gratuites ou freemium, écartez-les d'emblée pour un scrutin CSE : elles ne gèrent ni la parité femmes-hommes, ni le quorum, ni les PV Cerfa, ni les garanties CNIL.
Les montants ci-dessous ne valent pas devis. Pour une estimation chiffrée sur votre situation réelle, passez par le simulateur ci-dessous, puis demandez un devis — seul le devis engage le prestataire.
Choisir selon votre taille et votre configuration
Le bon logiciel pour un CSE de 30 salariés mono-site n'est pas celui d'un groupe de 2 000 salariés répartis sur dix établissements. Trois paramètres orientent la décision autant que la sécurité : la taille de l'effectif, le nombre de collèges électoraux et la dispersion géographique.
PME mono-site avec un ou deux collèges : priorité à la simplicité du parcours électeur et à un accompagnement clé en main, parce que vous n'avez pas d'équipe dédiée à la logistique électorale. Entreprise multi-sites ou fortement en télétravail : le vote en ligne prend tout son sens en supprimant la contrainte de présence à l'urne, et le suivi de participation par collège devient un vrai levier pour atteindre le quorum.
Groupe à scrutins simultanés — CSE d'établissement et CSE central — : la robustesse de la plateforme et la capacité du prestataire à orchestrer le calendrier priment sur tout le reste. Dans tous les cas, plus l'enjeu social est fort, plus la capacité à prouver l'intégrité du scrutin vous protège. La vérifiabilité n'est pas un luxe de grand compte : c'est ce qui tient debout le jour du recours.
Contestation : la vérifiabilité comme assurance juridique
Rares sont les comparatifs qui parlent de ce qui se passe quand un scrutin est attaqué. C'est pourtant le moment où l'écart entre un fournisseur d'outil et un vrai partenaire devient brutal. Les délais sont courts : trois jours pour contester la régularité de l'électorat après publication des listes, quinze jours pour contester les résultats après leur proclamation. Passé ces fenêtres, les opérations deviennent définitives.
Face au juge, la valeur d'un logiciel se mesure à ce qu'il peut produire. Des logs serveur et une attestation, c'est mieux que rien, mais cela reste une preuve fondée sur la confiance accordée au système. Un ledger append-only, une urne ouverte collectivement et des bulletins jamais déchiffrés individuellement, c'est une preuve d'intégrité opposable — et, souvent, de quoi dissuader les recours dilatoires avant même l'audience. À mon sens, c'est là que la vérifiabilité cesse d'être un argument technique pour devenir une assurance juridique.
Pour aller plus loin
Sur les fonctions du quotidien, les logiciels de vote CSE sérieux se valent. Le tri se fait sur la preuve : vérifiable par un tiers, ou seulement affichée ? C'est le critère qui garde toute sa valeur le jour d'une contestation. Approfondissez avec les ressources ci-dessous, puis demandez un devis pour chiffrer votre scrutin.
Quelle offre pour vous ?
Prix fixe, tout inclus, sans frais cachés.