« Le meilleur prestataire », vraiment ?
« Meilleur » ne veut rien dire tant qu'on n'a pas précisé sur quel critère. L'ergonomie ? Le prix ? Le nombre de scrutins au compteur ? Sur ce marché, presque tout le monde raconte la même histoire : « solution sécurisée », « conforme CNIL », « chiffrement de niveau bancaire ». Voxaly/Docaposte, Neovote, Quizzbox, Alphavote, People Vox, Election-Europe : le vocabulaire est interchangeable. Plusieurs de ces éditeurs sont sérieux. Mais aucune de ces formules ne se vérifie de l'extérieur — elles vous demandent de faire confiance.
Or vous n'êtes pas là pour faire confiance. Vous organisez une élection opposable, dont dépend la légitimité de vos élus pour quatre ans, et dont vous répondrez — l'employeur est responsable de traitement — si un délégué syndical la porte devant le tribunal judiciaire. Sur ce terrain, le bon prestataire n'est pas celui qui rassure le mieux. C'est celui qui vous met en position de prouver.
C'est le fil de cette page. Je laisse volontairement de côté le classement « top 10 » que vous trouverez partout ailleurs, pour vous donner autre chose : la grille qui sépare une garantie démontrable d'un argument commercial, et les questions précises à poser avant de signer.
Autant le dire tout de suite. CSE Election est la marque blanche de la technologie Sephos. L'approche que cette page désigne comme supérieure — la vérifiabilité par conception — est donc la nôtre. Vous voilà prévenu. Lisez ce qui suit comme un cadre de décision à retourner contre nous aussi : c'est justement l'intérêt d'une solution vérifiable, vous n'avez pas à me croire.
La seule question qui départage : « pouvez-vous me le prouver ? »
Pendant vingt ans, la question a été « est-ce sécurisé ? ». Elle est dépassée. Tout le monde répond oui, et personne ne ment vraiment : chacun a un chiffrement, un pare-feu, une procédure. La question qui trie aujourd'hui les prestataires tient en une phrase — pouvez-vous me le prouver, sans que je vous fasse confiance ?
Deux familles d'architectures y répondent très différemment. L'approche déclarative repose sur la parole du fournisseur et le constat d'un tiers : « nos serveurs sont sécurisés », « un commissaire de justice a constaté ». C'est respectable, mais opaque — vous croyez, vous ne vérifiez pas. L'approche vérifiable par conception attache les garanties au scrutin lui-même, sous forme de preuves cryptographiques qu'un expert peut recalculer. La confidentialité et l'intégrité ne sont plus des promesses tenues par l'opérateur : ce sont des propriétés mathématiques.
En clair : dans le premier cas, la sécurité dépend de la vertu du prestataire ; dans le second, elle tient même si le prestataire est malhonnête. Pour un scrutin qu'on peut vous contester, la différence n'a rien de cosmétique.
La question à poser en rendez-vous : qui peut ouvrir un bulletin ?
Si vous ne devez retenir qu'une seule question, c'est celle-là : « concrètement, qui, chez vous, peut déchiffrer un bulletin individuel ? » La réponse dit tout du reste.
Dans beaucoup d'architectures, le dépouillement consiste à déchiffrer chaque bulletin avant de compter. Même encadrée par un bureau de vote, cette étape crée un moment où des votes existent en clair quelque part, et l'anonymat repose alors sur des garanties organisationnelles : séparation des rôles, surveillance, confiance dans l'opérateur. Le chiffrement homomorphe à seuil supprime ce moment. Le système additionne les bulletins chiffrés et n'obtient que le résultat agrégé ; aucun bulletin nominatif n'est jamais déchiffré.
La clé de l'urne, elle, n'existe nulle part en un seul exemplaire. Elle est générée puis répartie entre plusieurs détenteurs (DKG, trustees) selon un schéma à seuil : il faut en réunir un nombre minimum pour ouvrir l'urne à la clôture — jamais une personne isolée, jamais l'éditeur seul. Côté électeur, même logique de preuve. L'authentification passe par WebAuthn PRF (clé d'accès, clé matérielle ou biométrie de l'appareil), avec un secret dérivé localement qui ne transite jamais par le réseau. Rien à intercepter, rien à hameçonner.
Effet concret sur la fraude et la pression : le système ne remet aucun reçu du contenu du vote, seulement la preuve que le vote a été pris en compte. L'électeur ne détient donc rien de déchiffré à montrer sous contrainte ou à monnayer. Je reste prudent sur les absolus — aucune technologie n'efface la pression sociale — mais l'architecture retire le levier matériel de la coercition.
Procédé qui additionne des bulletins chiffrés et produit le résultat sans jamais déchiffrer un seul bulletin. « À seuil » signifie que la clé de l'urne est répartie entre plusieurs trustees, et qu'il en faut un nombre minimum pour l'ouvrir — jamais une personne isolée. Concrètement, ni l'éditeur ni l'hébergeur ne peuvent lire un vote nominatif. Techniquement : ElGamal sur Ristretto255, avec des preuves (FCMP++, Bulletproofs) attestant qu'un bulletin est valide sans le révéler.
La grille à opposer à n'importe quel prestataire
Voici l'outil pratique. Transformez chaque promesse en question fermée et exigez une réponse précise — pas un adjectif. Un prestataire qui maîtrise sa technologie répond sans détour. Celui qui se réfugie derrière « c'est propriétaire » ou « c'est confidentiel » vous répond quand même : il vous dit qu'il ne peut pas remplir la ligne.
Le tableau oppose le discours générique du marché à une réponse vérifiable. Retenez qu'une case « non documenté » n'est pas neutre : sur un scrutin contestable, l'absence de preuve est un risque, pas un détail de forme.
Conformité : la bonne recommandation CNIL, celle de 2026
Test express de la fraîcheur d'un prestataire : demandez-lui quelle recommandation CNIL il applique. Si la réponse est « la délibération de 2019 », c'est un signal. Depuis le 19 mars 2026, la recommandation en vigueur est la délibération CNIL n°2026-045, qui abroge la 2019-053 du 25 avril 2019 (et l'ancienne 2010-371). Beaucoup de pages concurrentes citent encore le texte périmé. Elles ne mentent pas sur le fond — la logique reste proche — mais elles n'ont pas mis à jour, ce qui en dit long sur leur suivi réglementaire.
La recommandation conserve l'approche par les risques : avant tout déploiement, une analyse classe le scrutin en niveau 1, 2 ou 3. Niveau 1, faible enjeu — sécurité de base et authentification fiable. Niveau 2 — authentification renforcée, confidentialité accrue. Niveau 3, le plus exigeant — chiffrement de bout en bout, cloisonnement strict entre le fichier des électeurs et l'urne, mécanismes empêchant qu'un acteur unique (hébergeur ou éditeur compris) ne maîtrise seul l'urne, et expertise indépendante approfondie. Un CSE tendu, multi-sites ou à antécédents de contentieux relève typiquement du niveau 3.
Deux mises au point qui font gagner du temps. Côté RGPD, la répartition des rôles est nette : l'employeur est responsable de traitement, le prestataire est sous-traitant au sens de l'article 28 ; la base légale n'est pas le consentement mais l'obligation légale d'organiser les élections (art. L.2314-4 du Code du travail) ; les fichiers sont conservés sous scellés jusqu'à 15 jours après la proclamation (art. R.2314-17), au-delà en cas de recours. Et surtout : « certifié CNIL » n'existe pas. La CNIL recommande, elle ne certifie pas. J'emploie donc « conçu pour la conformité » et « certifiable » pour le profil CSE de niveau 3 — conçu pour réussir une expertise indépendante que vous restez libre de diligenter.
La CNIL émet des recommandations, pas des certifications. Personne n'est « certifié CNIL » ni « 100 % conforme ». Méfiez-vous aussi d'un prestataire qui cite encore la délibération 2019-053 : depuis le 19 mars 2026, c'est la n°2026-045 qui s'applique.
Ce qu'un prestataire complet doit vraiment couvrir
La sécurité vérifiable est le socle, pas le périmètre entier. Un scrutin, c'est aussi un enchaînement d'étapes juridiques et logistiques où l'on peut trébucher : autorisation du recours, listes, calcul des sièges, PV, télétransmission. Regardez ce que le prestataire prend en charge — et ce qu'il vous laisse sur les bras.
Deux points sensibles à vérifier nommément. Le calcul des sièges d'abord : représentation proportionnelle à la plus forte moyenne, avec quotient électoral et parité femmes-hommes — c'est l'étape où une erreur se conteste le plus facilement. Les procès-verbaux ensuite : ils doivent sortir au format Cerfa (n°15822*03 pour les titulaires, n°15823*03 pour les suppléants) et partir sous quinze jours au centre de traitement des élections professionnelles, à l'inspection du travail et aux syndicats qui le demandent. Un prestataire qui automatise ces deux points vous retire un vrai risque d'erreur.
- Cadre du recours — modèles d'accord ou de décision unilatérale, articulation avec le protocole d'accord préélectoral (le PAP n'ouvre pas, à lui seul, le droit au vote électronique).
- Listes électorales — import structuré, détection des doublons et des inéligibilités.
- Enrôlement — mise en place de l'authentification WebAuthn avant l'ouverture du scrutin.
- Scrutin — ouverture et clôture scellées, suivi de la participation par collège, quorum à la moitié des inscrits.
- Sièges et PV — calcul à la plus forte moyenne, procès-verbaux Cerfa générés, parité contrôlée.
- Après le vote — télétransmission au CTEP et archivage des preuves, journal d'audit inclus.
Combien ça coûte, franchement
L'angle mort de tout le marché : aucune page de tête n'affiche un prix. Nous, si. Pas des fourchettes vaseuses — une grille, par tranche d'électeurs. C'est du self-service : vous accédez à la plateforme, vous paramétrez, vous votez.
Ces forfaits couvrent la plateforme et le scrutin de bout en bout, deux tours inclus. Ce qui sort du cadre self-service — paramétrage par nos équipes, rendez-vous, accompagnement juridique personnalisé, exigences DSI/RSSI sur gros effectif — passe en offre sur devis. C'est assumé : je préfère un prix bas et honnête sur ce qui est standard, et un devis clair sur ce qui ne l'est pas.
Pour situer votre cas exact, réglez le curseur du simulateur sur votre nombre d'électeurs, puis demandez un devis : lui seul engage et précise le périmètre. Un repère pour comparer les offres concurrentes, souvent affichées « à partir de » : exigez le périmètre complet. Un prix bas qui exclut l'assistance pendant le vote ou la télétransmission n'est pas un bon prix, c'est un prix incomplet.
L'offre principale couvre la plateforme, les deux tours, les collèges, le dépouillement, les PV et l'archivage. L'accompagnement sur mesure (paramétrage, juridique, expertise indépendante) relève du devis. Simulez votre offre, puis demandez un devis personnalisé — les montants sont HT.
Comment trancher, sans y passer un mois
Vous n'avez pas besoin de dix rendez-vous. Vous avez besoin de poser cinq bonnes questions, par écrit, et de lire les réponses. Une réponse précise est bon signe. Une esquive — « c'est propriétaire », « faites-nous confiance » — en est un autre. Voici la checklist courte à opposer à chaque prestataire, y compris à moi.
Le meilleur moyen de départager reste de tester le parcours et de dérouler cette checklist en direct. Demandez une démonstration, ou un devis calé sur votre effectif : vous verrez vite qui répond point par point et qui botte en touche.
- Qui ouvre l'urne ? — un acteur seul, ou une ouverture collective à seuil ?
- Les bulletins sont-ils déchiffrés ? — individuellement, ou seulement en agrégat chiffré ?
- Quelle authentification ? — des codes hameçonnables, ou WebAuthn (secret jamais transmis) ?
- Quelle recommandation CNIL ? — la n°2026-045 de mars 2026, ou l'ancienne 2019-053 ?
- Quel contrat RGPD ? — un contrat de sous-traitance article 28, et quelle durée de conservation ?
- Quel périmètre au prix affiché ? — ce qui est inclus, et ce qui bascule en devis ?
Quelle offre pour vous ?
Prix fixe, tout inclus, sans frais cachés.