Critères de choix d'un logiciel de vote électronique CSE

La bonne question a changé : « est-ce sécurisé ? » ne suffit plus

Reformulez chaque argument commercial en mécanisme, et le marché se trie tout seul. « Notre solution est sécurisée » n'est pas un critère, c'est une affirmation. « Le bulletin est chiffré sur le poste de l'électeur, l'urne n'est jamais ouverte par une seule personne, et chaque opération est inscrite dans un journal infalsifiable » — ça, c'est un critère : un mécanisme qu'un tiers peut contrôler.

Cette page ne classe pas des marques. Elle vous donne la grille pour trancher entre deux devis qui se ressemblent, et le seul critère qui, à mon sens, départage vraiment : la vérifiabilité. Pas « le logiciel se dit-il sûr ? », mais « peut-il le démontrer ? ».

Un bon critère a trois qualités. Il s'appuie sur un texte — Code du travail, recommandation CNIL — donc il tient devant le juge. Il est observable : vous pouvez exiger un livrable écrit, pas une parole en réunion. Et il est discriminant : il sépare une offre sérieuse d'une plaquette, au lieu de figurer sur toutes.

Avant de comparer les outils : votre scrutin est-il autorisé à passer en ligne ?

Un oubli qui coûte des annulations : le vote électronique n'est jamais automatique. C'est une faculté, qui doit être expressément ouverte avant d'être utilisée. Tant qu'elle ne l'est pas, le meilleur logiciel du marché ne change rien — le scrutin doit se tenir à l'urne classique.

Deux voies. Celle que privilégie le Code du travail, c'est l'accord collectif (d'entreprise ou de groupe), qui prévoit le recours au vote électronique et en pose les principes. À défaut — pas de délégué syndical, ou négociation qui n'aboutit pas — l'employeur peut passer par une décision unilatérale ; la jurisprudence l'admet lorsque la négociation d'un accord a échoué. Dans les deux cas, les modalités concrètes se retrouvent ensuite dans le protocole d'accord préélectoral, négocié avec les organisations syndicales invitées.

Le dispositif technique, lui, est cadré par les articles R.2314-5 à R.2314-18 du Code du travail. Ils imposent notamment un cahier des charges décrivant le système et ses garanties, tenu à disposition des salariés et des syndicats. Retenez-le comme critère de sélection à part entière : un éditeur sérieux vous en fournit la trame. C'est un livrable, pas un argument.

Conformité CNIL : la recommandation a changé le 19 mars 2026

Premier tri, très concret : demandez à l'éditeur quelle recommandation CNIL il applique. S'il vous cite la délibération n°2019-053 du 25 avril 2019, sa documentation a un train de retard. Depuis le 19 mars 2026, c'est la recommandation issue de la délibération n°2026-045 qui fait référence — elle abroge à la fois la 2019-053 et l'ancienne recommandation de 2010. Beaucoup de pages concurrentes citent encore le texte périmé. Ce n'est pas anecdotique : ça vous dit à quel point leur conformité est réellement suivie.

La logique de fond, elle, se maintient : une approche par les risques, en trois niveaux. Le responsable de traitement — l'employeur — conduit une analyse et classe son scrutin en niveau 1, 2 ou 3, puis applique les garanties correspondantes. Plus l'enjeu et l'exposition sont élevés, plus les exigences montent. Le niveau 3, le plus strict, appelle notamment le chiffrement de bout en bout, le scellement, la séparation stricte identité/vote et une expertise indépendante du système avant sa première mise en œuvre.

Côté RGPD, la répartition des rôles doit figurer noir sur blanc au contrat : l'employeur est responsable de traitement, l'éditeur du logiciel est sous-traitant au sens de l'article 28. La base légale, c'est l'obligation légale d'organiser les élections professionnelles (article L.2314-4 et suivants). Et les données ne se conservent pas indéfiniment : l'article R.2314-17 fixe une conservation jusqu'à 15 jours après la proclamation, prolongée en cas de contentieux. Exigez le contrat de sous-traitance, l'AIPD et la durée de conservation, par écrit.

Un dernier réflexe, parce que l'abus de langage est fréquent : aucun logiciel n'est « certifié CNIL ». La CNIL recommande, elle ne certifie pas les produits de vote. « Certifié CNIL » ou « 100 % conforme » sur une plaquette, c'est un motif de méfiance, pas de réassurance. La formulation honnête est plus prudente : conçu pour la conformité, certifiable, pensé pour réussir une expertise indépendante.

Authentification : le code envoyé par mail est le maillon faible

C'est le critère le plus discriminant, et curieusement le plus négligé. La majorité des logiciels authentifient les électeurs avec un identifiant et un code envoyés par e-mail ou SMS. Pratique, oui. Solide, non. Un code qui transite peut être intercepté, transféré, deviné — ou tout simplement communiqué à un collègue, ce qui ouvre la porte au vote à la place d'autrui. C'est une faille de conception, et elle est partout.

L'alternative sérieuse, c'est l'authentification sans secret transmissible. La technologie qui propulse CSE Election s'appuie sur WebAuthn PRF : une clé d'accès (passkey), une clé matérielle ou la biométrie de l'appareil. Le secret est dérivé localement, sur le terminal de l'électeur, et ne quitte jamais son appareil. L'électeur s'enrôle en amont, puis vote d'un geste — rien à recevoir, rien à retenir, aucun code en circulation à intercepter.

Traduisez-le en risque juridique, c'est plus parlant : moins d'usurpation possible, donc moins de prise pour une contestation. La question à poser à chaque éditeur tient en une ligne : « Comment mes salariés s'authentifient-ils, et un secret transite-t-il par e-mail ou SMS ? » La réponse vous dit tout de suite si l'outil a été pensé pour aujourd'hui ou s'il traîne les habitudes de la décennie précédente.

Le dépouillement est le vrai test : ouvre-t-on les bulletins un par un ?

Voici où l'anonymat se gagne ou se perd — et l'on regarde rarement au bon endroit. Tout le monde dit « chiffrement de bout en bout ». La vraie question, c'est ce qui se passe au comptage. Un logiciel ordinaire déchiffre les bulletins un par un pour les additionner. Un logiciel à chiffrement homomorphe calcule le résultat directement sur l'urne chiffrée, sans jamais ouvrir un bulletin individuel.

La nuance n'est pas cosmétique. Tant qu'on déchiffre bulletin par bulletin, il existe un instant — même bref, même encadré — où « qui a voté quoi » pourrait, en théorie, être reconstitué. L'anonymat ne tient alors qu'à une promesse de procédure. Avec un chiffrement homomorphe à seuil (ElGamal sur courbe Ristretto255, preuves de validité de type FCMP++ et Bulletproofs), cet instant n'existe pas : le résultat sort de l'agrégat chiffré, jamais d'un bulletin ouvert. La clé de l'urne, elle, n'est détenue par personne seul : elle est répartie entre plusieurs porteurs — le bureau de vote en trustees, via un DKG à seuil — et l'urne ne s'ouvre que collectivement, à la clôture. Pas par l'éditeur. Pas par l'employeur.

Formulons-le proprement, parce que la surenchère est un piège : on ne vous promet pas un « anonymat total » ni qu'il serait « impossible de prouver son vote ». Ce qu'on peut affirmer, précisément, c'est qu'aucun reçu du contenu du vote n'est remis, qu'aucun bulletin n'est déchiffré individuellement, et que la coercition est réduite par conception. Cette prudence-là est bon signe. Méfiez-vous de l'inverse.

Vérifiabilité de bout en bout : le critère qui départage deux offres à égalité

Chiffrement et vérifiabilité, ce n'est pas la même chose — et la confusion coûte cher. Le chiffrement protège le secret du bulletin. La vérifiabilité prouve que le résultat correspond aux votes réellement exprimés. Presque tous les logiciels revendiquent le premier. Très peu offrent le second.

Les spécialistes la décomposent en trois maillons, et c'est exactement ce que vous devriez pouvoir contrôler, sans avoir à faire confiance à l'éditeur.

Quand deux offres semblent équivalentes sur la conformité, la sécurité affichée et le prix, posez la question d'arbitrage : « Pouvez-vous prouver, cryptographiquement, que le résultat reflète les votes exprimés, sans déchiffrer un seul bulletin ? » Peu d'éditeurs répondent oui sans broder. C'est précisément ce qui sépare un outil de vote d'une véritable preuve électorale — et ce qui, le jour d'un contentieux, tient dans un dossier.

Auditabilité et expertise indépendante : le critère qu'on cite sans l'outiller

« Expertise indépendante » est devenu un mot de brochure. Presque tous les éditeurs l'invoquent ; presque aucun n'explique ce que l'expert vérifie, ni si leur outil est conçu pour passer ce contrôle. Or, au niveau de risque le plus élevé, la CNIL recommande précisément que le système soit expertisé par un tiers avant sa première mise en œuvre. Autant que ce soit vérifiable, pas décoratif.

Concrètement, l'expert — distinct de l'éditeur, mandaté par votre entreprise — examine l'architecture et, quand c'est possible, le protocole cryptographique ; il contrôle le chiffrement et le scellement, l'authentification, la séparation identité/vote, la robustesse face à l'altération, l'intégrité du journal. Son rapport devient une preuve de conformité opposable. Encore faut-il que le logiciel soit architecturé pour rendre cette vérification possible.

C'est là que se joue la différence. Le profil CSE de la technologie Sephos est certifiable au niveau 3, c'est-à-dire pensé dès la conception pour l'expertise indépendante : les propriétés du scrutin reposent sur la cryptographie et un journal en ajout-seul, pas sur une parole d'éditeur. La bonne question à poser : « Votre système est-il conçu pour être expertisé, et pouvez-vous me transmettre un rapport ou son résumé ? » Un silence gêné est déjà une réponse.

Combien ça coûte, honnêtement ?

Sujet que la plupart des pages concurrentes contournent soigneusement : le prix. Deux modèles cohabitent. La tarification au nombre d'électeurs (prix unitaire, souvent dégressif) et le forfait par scrutin (un prix par palier d'effectif et périmètre). Beaucoup d'offres combinent les deux.

Ce qui fait varier la facture est objectif : le nombre d'électeurs d'abord, puis le nombre de tours, le niveau d'accompagnement (logiciel seul ou prise en charge complète), la configuration (multi-sites, multi-collèges) et les options (archivage longue durée, formation renforcée du bureau). Le piège classique : un prix d'appel bas qui exclut l'assistance ou le second tour n'est pas moins cher, il est moins complet. Comparez toujours à périmètre égal.

Pour fixer les idées, et sans valeur d'engagement : un petit CSE se règle en quelques centaines d'euros HT, une élection de PME courante tourne autour de 700 € HT, un grand effectif multi-sites plutôt vers 1 500 € HT, et au-delà, c'est du sur-mesure. Ces repères servent à cadrer un budget, pas à signer : seul un devis établi après analyse de votre configuration engage l'éditeur, et c'est le seul moyen de comparer à périmètre égal. Le simulateur ci-dessous vous donne une première estimation en deux minutes. Rappel utile : ce coût est à la charge de l'employeur, au titre des frais d'organisation des élections.

La checklist pour démasquer un logiciel générique

Aucun concurrent n'outille vraiment la phase de sélection. Voilà de quoi le faire. Pour chaque critère, une question précise et le livrable à réclamer en face. Envoyez-les par écrit, exigez des réponses écrites. Un éditeur solide répond sans détour ; un éditeur qui élude vient, lui aussi, de vous renseigner.

Une règle simple : ne vous contentez jamais d'une démonstration orale. Une promesse ne vaut que documentée dans un livrable que vous pourriez présenter à un expert ou à un juge. C'est toute la différence entre acheter de la confiance et acheter de la preuve.

Alors, CSE Election coche-t-elle ses propres critères ? En transparence

Jouons franc-jeu, puisque cette page défend une approche : CSE Election est la marque blanche de la technologie Sephos. Autrement dit, l'approche « vérifiable par conception » que je désigne ici comme supérieure, c'est la nôtre. Ce n'est pas une raison de me croire — c'est une raison de me demander les preuves, exactement comme vous le feriez avec n'importe quel éditeur.

Alors, critère par critère. Conformité : cahier des charges fourni, approche par niveaux de risque à jour de la recommandation 2026, profil CSE certifiable au niveau 3, conçu pour l'expertise indépendante. Sécurité : WebAuthn PRF sans mot de passe, chiffrement homomorphe à seuil, ouverture collective de l'urne, journal en ajout-seul. Anonymat : séparation inscrite dans la cryptographie, aucun déchiffrement individuel. Vérifiabilité : preuves de bout en bout, du bulletin chiffré au résultat. Accompagnement : un expert dédié qui connaît votre dossier. Prix : un devis détaillé, sans coûts cachés.

Une limite, assumée : ce profil niveau 3 couvre exclusivement les élections du CSE. Référendums, sondages, assemblées générales, tirages au sort relèvent d'une offre distincte, avec ses propres garanties — non transférables. Cette spécialisation n'est pas un manque : c'est la garantie que la promesse CSE n'est pas diluée dans un usage généraliste.

Quelle offre pour vous ?

Prix fixe, tout inclus, sans frais cachés.

Questions fréquentes