Anonymat du vote électronique CSE : de la promesse à la preuve

Anonymat, secret, confidentialité : trois mots qu'on mélange

Commençons par déminer le vocabulaire, parce que c'est là que naissent la plupart des malentendus — et que certains prestataires jouent. Trois notions circulent, elles ne veulent pas dire la même chose. Le secret du vote est un principe juridique. L'anonymat est une propriété technique. La confidentialité est une mesure de sécurité.

La confusion à retenir : une solution peut être parfaitement confidentielle — données chiffrées, accès restreints, hébergement durci — et pourtant garder, quelque part dans ses fichiers, le lien entre un électeur et son bulletin. Ce lien, même bien protégé, reste une bombe à retardement. Une réquisition, un administrateur indélicat, une faille, et le secret tombe. L'anonymat, lui, exige que ce lien n'existe pas, ou soit rendu mathématiquement irrécupérable. C'est bien plus exigeant que « on chiffre tout ».

Ce que la loi impose — et ce qu'elle laisse à votre prestataire

Le suffrage secret a valeur constitutionnelle, et le Code du travail le reprend sans détour : l'élection des membres du CSE se fait au scrutin secret, sous enveloppe ou par voie électronique (article L.2314-26). La dématérialisation ne suspend pas le secret ; elle oblige à le garantir autrement.

Le vote électronique est encadré par les articles R.2314-5 à R.2314-18. Ils exigent la confidentialité des données transmises, la sécurité de l'émission et de la réception du vote, l'intégrité et l'anonymat du scrutin. Le législateur fixe l'objectif. Il laisse à la CNIL et à votre prestataire le soin des moyens. D'où le rôle central de la recommandation CNIL : c'est le vrai mode d'emploi technique, et beaucoup l'appliquent encore dans une version périmée.

La CNIL a rebattu les cartes le 19 mars 2026

Point que beaucoup de fournisseurs n'ont pas encore intégré : la recommandation en vigueur n'est plus celle de 2019. La délibération n°2026-045 du 19 mars 2026 a abrogé la n°2019-053 (25 avril 2019) et la 2010-371. Concrètement, si un prestataire vous cite encore la « 2019-053 » comme sa référence, il travaille avec une carte périmée — un signal à ne pas négliger dans un appel d'offres.

Ce qui n'a pas bougé, c'est la logique par les risques. L'employeur, responsable de traitement, classe son scrutin dans l'un des trois niveaux après une analyse, puis applique des garanties proportionnées. La séparation identité/vote est attendue dès le niveau 2. Le niveau 3 — le plus exigeant — ajoute le chiffrement de bout en bout, le scellement de l'urne et une expertise indépendante avant la première mise en œuvre. Et une précision de vocabulaire qui compte : aucune solution n'est « certifiée CNIL ». La CNIL recommande, elle ne certifie pas de produits. Un fournisseur qui affiche « certifié CNIL » se trompe, ou vous trompe.

Le vrai pivot : séparer qui vote de ce qui est voté

S'il ne fallait retenir qu'un seul mécanisme, ce serait celui-là. Deux fichiers, jamais rapprochables. D'un côté la liste des électeurs et leurs moyens d'accès — l'authentification, l'émargement. De l'autre l'urne, qui ne contient que des bulletins, sans référence à leur auteur. La règle d'or tient en une phrase : le système sait QUE vous avez voté, jamais POUR QUI.

Sur CSE Election, cette séparation n'est pas une consigne d'exploitation qu'on peut oublier un jour de forte charge. Elle est inscrite dans l'architecture. Le moment où l'électeur s'authentifie et celui où son bulletin est scellé sont découplés — de sorte que l'ordre de dépôt ou l'horodatage ne permettent pas de recoller les morceaux après coup.

Une urne qu'on n'ouvre jamais bulletin par bulletin

C'est là que beaucoup de solutions montrent leur faiblesse. Elles chiffrent les bulletins, puis les déchiffrent un à un pour les compter. Ce déchiffrement individuel est précisément le moment où l'anonymat est le plus exposé : quelqu'un, en théorie, pourrait croiser l'ordre des bulletins ouverts avec les journaux. CSE Election supprime ce moment, tout simplement.

Le bulletin est chiffré dès le poste de l'électeur, en chiffrement homomorphe à seuil (ElGamal sur la courbe Ristretto255). Des preuves cryptographiques (FCMP++, Generalized Bulletproofs) attestent qu'un bulletin est bien formé et valide, sans jamais le déchiffrer. La propriété homomorphe permet ensuite d'additionner les bulletins chiffrés entre eux : on n'ouvre qu'un seul résultat, l'agrégat. Aucun bulletin nominatif n'est lu individuellement.

« À seuil » désigne la gestion de la clé. Elle n'existe nulle part en un seul exemplaire. Générée de façon distribuée (DKG), elle est répartie entre plusieurs détenteurs de confiance, les trustees. Il faut en réunir un nombre minimum pour ouvrir le résultat — jamais une seule personne, jamais l'éditeur seul, jamais l'employeur. En clair : l'anonymat ne repose sur la bonne foi de personne en particulier. Il est distribué.

Vérifier son vote sans pouvoir le prouver à personne

Objection classique : si je peux vérifier mon vote, je peux aussi le prouver à un chef qui me l'aurait « demandé ». La cryptographie tranche ce dilemme en séparant deux choses. La vérifiabilité individuelle permet à l'électeur de constater que son bulletin chiffré est bien dans l'urne — il en vérifie la présence, pas le contenu. La vérifiabilité universelle permet à un tiers (expert, organisation syndicale) de contrôler que le résultat proclamé correspond à l'ensemble des bulletins enregistrés, via des preuves publiques, sans qu'aucun bulletin ne soit ouvert.

Le point qui compte contre la coercition : le système ne délivre aucun reçu du contenu du vote. L'électeur peut prouver qu'il a voté ; il ne peut pas prouver à un tiers pour qui. La pression et l'achat de voix sont réduits par conception. Je n'écris pas qu'ils deviennent « impossibles » — personne de sérieux ne l'écrit, et une telle promesse ne résisterait pas à une expertise. Le mot juste, c'est « fortement réduits par la conception du système ».

L'anonymat, c'est aussi une assurance contre l'annulation

Pour un DRH ou un juriste social, l'anonymat n'est pas un raffinement d'ingénieur : c'est un risque chiffrable. L'atteinte au secret du vote reste l'une des premières causes d'annulation des élections professionnelles. Et le juge est sévère : la Cour de cassation retient de longue date que la méconnaissance du secret entraîne l'annulation, sans que le demandeur ait à prouver que l'irrégularité a faussé le résultat. Le secret est une garantie « substantielle ». S'il est compromis, la sanction tombe.

D'où l'intérêt d'un anonymat qui se démontre. Le journal d'audit en ajout-seul, l'absence de déchiffrement individuel, l'ouverture collective de l'urne ne sont pas des arguments de brochure : ce sont des éléments de preuve, opposables devant le juge, autrement plus solides qu'une attestation du prestataire. Côté RGPD, la répartition est nette : l'employeur reste responsable de traitement, CSE Election / Sephos intervient comme sous-traitant (art. 28), la base légale étant l'obligation d'organiser les élections (L.2314-4). Les fichiers nominatifs sont conservés jusqu'à quinze jours après la proclamation (R.2314-17), prolongés en cas de contentieux, puis détruits. Moins ces données survivent au scrutin, moins le risque de réidentification persiste.

Prouver plutôt que promettre : les questions qui départagent

Tous les fournisseurs jurent l'anonymat. Aucun slogan ne les départage — seules les bonnes questions le font. Le principe : exigez le « comment », pas le « oui ». Une bonne réponse nomme un mécanisme et explique comment un tiers peut le vérifier. Mauvais signe si l'on vous répond « c'est anonyme », « faites-nous confiance » ou « nous sommes certifiés CNIL » (rappel : ça n'existe pas).

C'est aussi tout le rôle de l'expertise indépendante : un tiers compétent, distinct du prestataire, qui contrôle avant la première mise en œuvre que les fichiers sont bien séparés, que le lien identité-vote ne se reconstitue pas à partir des journaux, que l'urne ne s'ouvre qu'à seuil et qu'aucun bulletin n'est déchiffré individuellement. Le profil CSE de la technologie Sephos est certifiable au niveau 3, conçu dès l'architecture pour cette vérification — pas pour être cru sur parole. Détail qui n'en est pas un : l'authentification repose sur WebAuthn PRF (clé d'accès, clé matérielle ou biométrie de l'appareil, secret dérivé localement et jamais transmis au serveur). Aucun code par e-mail à intercepter, donc rien à hameçonner du côté de l'identité de l'électeur.

Questions fréquentes