Ce qui rend un vote électronique CSE vraiment conforme
La conformité ne tient pas dans une case cochée. Elle se construit sur quatre corpus qui se superposent : le Code du travail (art. L.2314-26 et R.2314-5 à R.2314-18), la recommandation de la CNIL du 19 mars 2026, le RGPD, et le secret du scrutin — un principe de valeur constitutionnelle. Chacun impose des garanties cumulatives : secret, sincérité, confidentialité, unicité. Et tous convergent vers une même exigence : une expertise indépendante du système avant sa première mise en œuvre.
L'enjeu réel n'est pas administratif, il est probatoire. Une élection CSE se conteste devant le tribunal judiciaire, dans les 15 jours qui suivent la proclamation. Une irrégularité substantielle — une atteinte au secret ou à la sincérité — et le scrutin est annulé, puis réorganisé. Coût, délai, climat social : la facture est salée.
D'où le parti pris de cette page. On ne vous répète pas que « c'est sécurisé ». On relie chaque exigence à un mécanisme que votre expert pourra vérifier lui-même. En clair : de quoi challenger n'importe quel prestataire, plaquette à la main.
Le cadre légal : ce que dit le Code du travail
Le CSE est obligatoire dès 11 salariés atteints pendant 12 mois consécutifs. Ses élus le sont pour 4 ans, durée réductible à 2 ou 3 ans par accord collectif. Le vote électronique est l'une des modalités possibles, aux côtés de l'urne et de la correspondance. Jamais une modalité par défaut.
Deux blocs d'articles cadrent le dispositif. L'article L.2314-26 renvoie au protocole d'accord préélectoral (PAP) le soin de fixer les modalités de vote, vote électronique compris. Les articles R.2314-5 à R.2314-18 ajoutent le socle technique : confidentialité, secret, sécurité, séparation stricte du fichier des électeurs et de l'urne, expertise indépendante, scellement, journalisation, conservation sous scellés, procès-verbaux.
Le point que trop de dossiers négligent : le vote électronique doit être autorisé en amont. Soit par un accord d'entreprise ou de groupe, soit — à défaut d'accord — par une décision unilatérale de l'employeur, prise après une tentative loyale de négociation. Le principe est ensuite transcrit dans le PAP. Sauter cette étape, c'est offrir un motif d'annulation sur un plateau.
- Art. L.2314-26 — les modalités de vote, dont le vote électronique, sont arrêtées dans le protocole d'accord préélectoral.
- Art. R.2314-5 à R.2314-18 — le socle technique : confidentialité, secret, séparation authentification/urne, expertise, scellement, PV.
- Accord ou DUE — autorisation préalable obligatoire, puis transcription au PAP. Pas de raccourci.
- Cahier des charges — établi conformément à la recommandation CNIL, tenu à la disposition des salariés sur le lieu de travail.
Le cahier des charges du dispositif n'est pas une formalité de plus : c'est une pièce de conformité opposable, à mettre à disposition des salariés (et sur l'intranet le cas échéant). Son absence fragilise tout le scrutin.
Recommandation CNIL du 19 mars 2026 : ce qui a changé
Première chose à vérifier chez un prestataire : quelle recommandation cite-t-il ? Beaucoup renvoient encore à la délibération n°2019-053 du 25 avril 2019. Elle est abrogée. Le texte en vigueur est la délibération n°2026-045 du 19 mars 2026, qui remplace aussi l'ancienne délibération 2010-371. Citer un référentiel périmé, ce n'est pas un détail : c'est un signal.
La logique des trois niveaux de risque demeure, mais la mécanique se durcit. Là où l'ancienne grille laissait de la place à l'appréciation, la nouvelle impose un scoring : on évalue les menaces pesant sur le scrutin, on additionne les points, le total fixe le niveau. Un score de 0 à 4 place au niveau 1, de 5 à 8 au niveau 2, au-delà de 8 au niveau 3. Le score agrège des critères concrets : sensibilité du scrutin, taille de l'électorat, contentieux antérieur, exposition, complexité de l'organisation.
Dans les faits, un scrutin CSE se retrouve rarement au niveau 1. Enjeux de représentativité, effectifs, climat social parfois électrique : la plupart des élections atterrissent au niveau 2, voire au niveau 3 quand le contexte est tendu ou qu'un contentieux couve. À chaque niveau correspond une liste cumulative d'objectifs de sécurité numérotés.
Bâtir le scrutin pour le niveau 3 — même quand le scoring le classe au niveau 2 — évite de refaire l'architecture si le climat social se durcit entre la signature du PAP et la clôture. Un système taillé pour le niveau 3 couvre nativement les niveaux inférieurs.
Des objectifs CNIL aux garanties techniques : le mapping
Voilà ce qu'aucun prestataire au discours générique ne publie : pour chaque objectif de sécurité de la recommandation, le mécanisme concret qui le satisfait dans le profil CSE de CSE Election (technologie Sephos). C'est exactement la matière que votre expert indépendant viendra recalculer.
Trois objectifs concentrent le différenciateur, parce qu'ils sont les plus durs à tenir et que les solutions e-vote classiques ne les couvrent pas par conception : le seuil de secret entre plusieurs gardiens (1-08), la vérifiabilité du dépouillement par un outil tiers sans affaiblir le secret (3-02), et l'interdiction de manipuler le secret de déchiffrement sur un serveur capable de l'utiliser (3-04). C'est là, dans la troisième colonne, que se joue la conformité prouvée.
Une précision de vocabulaire, parce qu'elle compte. On parle d'un profil « conçu pour la conformité » et « certifiable au niveau 3 », destiné à l'expertise indépendante. Jamais « certifié CNIL » ni « 100 % conforme » : aucune solution ne l'est de droit. C'est l'expertise de votre scrutin, dans votre contexte, qui établit la conformité.
« Comment puis-je vérifier le dépouillement a posteriori, avec un outil tiers, sans que vous m'ouvriez les bulletins ? » (objectif 3-02). Si la réponse est « nos serveurs sont sécurisés », la conformité est promise, pas démontrée. La différence se mesure en contentieux.
Authentification : WebAuthn PRF contre le double canal
L'authentification est le premier maillon : seul l'électeur inscrit vote, une seule fois, sans que cela expose le sens de son bulletin (objectifs 1-03 et 2-08). La recommandation admet le double canal — un facteur par un canal, un autre par un canal distinct. C'est la pratique dominante du marché. C'est aussi son point faible.
Le problème du double canal est structurel : un identifiant ou un code, dès qu'il transite, peut être intercepté, transféré à un collègue ou extorqué par hameçonnage. Un secret qui se transmet est un secret qui peut voter à la place d'un autre. La question secrète en surcouche n'y change rien.
L'approche retenue est différente. Avec WebAuthn et l'extension PRF, l'électeur s'enrôle en amont avec une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil. Le jour J, il s'authentifie d'un geste, sans mot de passe. Le secret qui prouve son droit de vote est dérivé localement, sur son appareil, et n'est jamais transmis au serveur. Aucun code à intercepter, à transférer, à hameçonner.
Authentification forte sans mot de passe (clé d'accès, clé matérielle, biométrie), complétée de l'extension PRF qui dérive sur l'appareil un secret cryptographique jamais transmis au serveur. Elle protège l'unicité et la légitimité du vote sans créer d'identifiant transférable, moyennant un enrôlement préalable de la clé.
Compter sans jamais ouvrir un bulletin
Le secret du scrutin repose sur deux mécanismes qui doivent coexister. La séparation des données, d'abord : le fichier d'authentification, qui établit le droit de vote, et l'urne, qui contient les bulletins, restent cloisonnés. L'émargement atteste qu'un électeur a voté ; il n'enregistre pas ce qu'il a voté (objectif 1-07). Le chiffrement à la source, ensuite : le bulletin est chiffré sur l'appareil de l'électeur, avant toute transmission. Le serveur ne reçoit qu'un bulletin déjà scellé.
Reste à dépouiller sans ouvrir aucun vote. C'est le rôle du chiffrement homomorphe à seuil, sur un schéma de type ElGamal (courbe Ristretto255). La propriété homomorphe permet d'additionner mathématiquement l'ensemble des bulletins chiffrés en un résultat chiffré, sans en déchiffrer un seul. Seul le total est révélé — et son déchiffrement n'est confié à personne seul.
Une cérémonie de génération distribuée des clés (DKG) répartit la clé entre plusieurs gardiens (trustees). Le résultat ne se révèle que si un seuil coopère — 3 sur 5, par exemple. Aucun acteur isolé, pas même l'opérateur de la plateforme, ne détient la clé complète ni n'ouvre l'urne seul : c'est précisément ce qu'exigent les objectifs 1-08 et 3-04. Conséquence directe au sens du RGPD : le système ne prévoit aucune opération reliant un bulletin à son auteur. Une garantie de minimisation, pas un slogan.
- Chiffrement homomorphe — les bulletins chiffrés s'additionnent : on obtient le résultat sans ouvrir aucun vote.
- Seuil + DKG — la clé est partagée entre gardiens ; un seuil minimum doit coopérer pour révéler le seul total (objectif 1-08).
- Aucun déchiffrement individuel — le serveur ne peut pas ouvrir l'urne seul ; seul le résultat agrégé sort (objectif 3-04).
- Preuves ZK (Bulletproofs / FCMP++) — attestent la validité des bulletins et la correction du décompte, sans en révéler le contenu.
Une solution qui déchiffre les bulletins un par un pour les compter, même une fraction de seconde, ne satisfait pas l'objectif 3-04. L'absence de déchiffrement individuel est un choix d'architecture, pas une option qu'on active : on l'a, ou on ne l'a pas.
Vérifier après coup, sans faire confiance
La sincérité ne se joue pas qu'au chiffrement. Elle se joue dans la capacité à vérifier, après le scrutin, que le résultat proclamé correspond bien aux bulletins déposés. La recommandation l'exige à deux niveaux : l'électeur vérifie la présence de son bulletin (objectifs 1-11 et 2-07), et, au niveau 3, le dépouillement doit être vérifiable par un outil tiers sans affaiblir le secret (objectif 3-02).
La vérifiabilité de bout en bout se décompose en trois propriétés, résumées ci-dessous. Le point qui fait la différence est le dernier : n'importe qui, muni des preuves publiées, peut recalculer que le résultat correspond aux bulletins enregistrés — sans accéder à leur contenu et sans faire confiance à l'opérateur. On passe du « croyez-nous » au « vérifiez vous-même ».
Le scellement de l'urne découle de la même cérémonie DKG : à l'ouverture, les gardiens scellent ; aucune ouverture n'est possible avant la clôture, qui requiert la coopération du seuil. Chaque opération sensible — scellement, enregistrement, clôture, déchiffrement du total — est consignée dans le journal append-only. Quant au récépissé remis à l'électeur, il atteste que son vote a été pris en compte, sans jamais en révéler le contenu.
Déposé comme voulu (cast-as-intended)
Avant validation, l'électeur peut vérifier que le bulletin chiffré encode bien son choix.
Enregistré comme déposé (recorded-as-cast)
Un récépissé vérifiable atteste l'enregistrement dans l'urne (objectifs 1-11 / 2-07), sans révéler le contenu.
Compté comme enregistré (counted-as-recorded)
Le décompte est recalculable par un outil tiers (objectif 3-02), sans confiance envers l'opérateur.
Le reçu prouve que le vote a été pris en compte, jamais ce qu'a voté l'électeur. Le système ne délivre aucun reçu du contenu du vote et ne déchiffre pas les bulletins individuels : la coercition est fortement réduite par conception, sans recourir à des absolus.
RGPD : qui répond de quoi
Le RGPD répartit clairement les rôles. L'employeur est responsable de traitement : c'est lui qui décide d'organiser les élections et en fixe les finalités. CSE Election / Sephos intervient comme sous-traitant au sens de l'article 28, lié par un contrat (DPA) qui encadre le traitement pour le seul compte de l'employeur et sur ses instructions.
La base légale n'est pas le consentement, mais l'obligation légale d'organiser les élections du CSE (art. L.2314-4 et suivants). Trois obligations documentaires en découlent : une analyse d'impact (AIPD) avant la mise en œuvre — le vote électronique est un traitement à risque —, l'inscription au registre, et l'information des électeurs sur le traitement, leurs droits et la durée de conservation.
Sur la conservation, la règle est nette : les données et preuves du scrutin restent sous scellés jusqu'à l'épuisement des délais de recours, soit en pratique 15 jours après la proclamation (art. R.2314-17), sauf contentieux qui suspend la destruction. Au-delà, destruction ou archivage sécurisé. En amont, minimisation : on ne collecte que l'identification, le collège et l'émargement. Conserver « au cas où » est une faute, pas une prudence.
- Responsable de traitement — l'employeur, qui décide d'organiser les élections et en fixe les finalités.
- Sous-traitant (art. 28) — CSE Election / Sephos, sous contrat (DPA), sur instruction de l'employeur.
- Base légale — obligation légale d'organiser les élections (art. L.2314-4 et s.), pas le consentement.
- AIPD + registre — analyse d'impact obligatoire avant mise en œuvre ; inscription au registre des traitements.
- Conservation — sous scellés 15 j après proclamation (R.2314-17), sauf contentieux, puis destruction ou archivage.
Expertise indépendante : la preuve opposable
La recommandation impose une expertise indépendante du système avant sa première mise en œuvre, renouvelée en cas de modification substantielle. Confiée à un tiers compétent, elle couvre l'intégrité du logiciel, la constitution des listes, le déploiement, le scellement, le déroulement et le dépouillement. Elle débouche sur un rapport, qui vaut preuve de conformité opposable au juge.
Tout le monde subit cette obligation. L'idée ici est de la transformer en avantage : l'architecture est pensée pour être auditée, pas pour résister à l'audit. Authentification sans secret transmissible, chiffrement à seuil documenté, journal append-only, preuves de décompte recalculables par un tiers — chaque élément est là pour que l'expert vérifie, plutôt qu'il croie. Un système opaque rallonge et fragilise l'expertise ; un système conçu pour l'audit la sécurise.
C'est là que se joue une distinction décisive. Le marché parle d'un « outil expertisé », formule vague. On parle d'un profil CSE certifiable niveau 3 destiné à l'expertise indépendante : à votre expert, on fournit le mapping objectif CNIL ↔ mécanisme et la documentation d'architecture. Cela ne dispense pas l'employeur de faire expertiser son propre scrutin — c'est sa responsabilité — mais cela en réduit la durée, le coût et l'aléa.
Le profil CSE est conçu pour la conformité et pour l'expertise indépendante. On n'écrit ni « certifié CNIL » ni « déjà expertisé » : l'expertise porte sur votre scrutin, dans votre contexte, et reste à votre initiative. Notre rôle est de la rendre simple.
La grille pour démasquer un prestataire
Choisir ne se résume pas à comparer des prix ni à lire « conforme CNIL » sur une plaquette. La vraie sélection se fait sur une chose : la capacité à démontrer le respect des objectifs 2026 et à passer l'expertise indépendante. Voici les questions à envoyer à tout candidat. Ses réponses — ou son silence — sont révélatrices.
Un prestataire sérieux répond précisément, documents à l'appui, en citant les objectifs concernés. Un prestataire générique se réfugie derrière « haut niveau de sécurité » sans jamais ouvrir le capot. Gardez cette liste comme socle de votre cahier des charges sécurité.
Un signal ne trompe pas : la façon dont un prestataire réagit à la question 3-02. Une réponse utile décrit un mécanisme et propose un outil de vérification tiers. Une réponse qui esquive parle de certifications, de labels ou de la réputation de ses serveurs — sans jamais expliquer comment vous, ou votre expert, contrôleriez le décompte par vous-mêmes. L'esquive est une réponse en soi.
- Vérifiabilité a posteriori — puis-je vérifier le dépouillement avec un outil tiers, sans vous faire confiance ni affaiblir le secret (3-02) ?
- Seuil de secret — qui peut ouvrir l'urne : un acteur seul, ou un seuil de gardiens via DKG (1-08) ?
- Déchiffrement individuel — les bulletins sont-ils déchiffrés un par un à un moment quelconque (3-04) ?
- Authentification — un secret est-il transmis à l'électeur, ou l'authentification est-elle sans secret transmissible (WebAuthn PRF, 1-03) ?
- Journal d'audit — le journal est-il en ajout seul et horodaté ? Comment détecte-t-on une altération (2-09 / 3-05) ?
- Référentiel CNIL — citez-vous la délibération 2026-045 du 19 mars 2026, ou l'ancienne 2019-053 abrogée ?
- Expertise & RGPD — fournissez-vous le mapping à mon expert ? Quel contrat de sous-traitance (art. 28), quelle durée de conservation ?
Un expert dédié peut formaliser avec vous votre cahier des charges et votre AIPD, du cadrage juridique (accord ou DUE, PAP) jusqu'à l'archivage des preuves. Demandez un devis : la réponse détaille chaque garantie, objectif par objectif.
Pour aller plus loin
Cette page est le pilier du silo conformité. Chaque garantie évoquée ici est détaillée dans une page dédiée — cadre juridique, CNIL, RGPD, cryptographie, audit. Et si vous voulez confronter votre projet à un cas concret, demandez un devis : vous repartez avec des réponses précises, pas des superlatifs.