Archivage du vote électronique CSE : durées de conservation et preuve d'intégrité

Combien de temps garder les fichiers d'un vote électronique CSE ?

Réponse courte : les fichiers du scrutin — programmes, urne, émargement, sauvegardes, résultats — restent sous scellés jusqu'à l'expiration du délai de recours, soit quinze jours après la proclamation, puis sont détruits. C'est l'article R.2314-17 du Code du travail. Une seule exception : si l'élection est contestée, le scellé tient jusqu'à la décision de justice définitive.

Le piège classique : cette durée ne concerne QUE le scrutin. Les procès-verbaux d'élection, les comptes, les registres du CSE suivent d'autres règles — de trois à dix ans selon la pièce. Confondre les deux régimes, c'est soit détruire une preuve encore utile, soit conserver des données personnelles qu'on aurait dû effacer.

Ce que dit vraiment l'article R.2314-17

Le texte tient en trois temps. À la fin du dépouillement, le système est scellé immédiatement — pas le lendemain, pas après vérification. Sont figés : copie des programmes sources et exécutables, matériels, fichiers d'émargement, listes de candidats, sauvegardes, résultats. Ces scellés courent jusqu'à l'expiration du délai de recours ; sans recours, on détruit ; avec recours, on prolonge jusqu'à la décision définitive.

La clause qu'on oublie presque toujours de lire : la procédure de décompte des votes doit pouvoir être exécutée de nouveau. En clair, le législateur ne demande pas de conserver des fichiers, il demande de conserver de quoi recompter. Une archive scellée mais impossible à rejouer ne remplit pas l'objectif du texte, même parfaitement rangée. C'est là que beaucoup de solutions respectent la lettre et manquent l'esprit.

Le calendrier, de la clôture à la destruction

L'archivage du scrutin est rythmé par les délais de recours. Le maîtriser évite les deux erreurs symétriques : effacer trop vite, ou garder par confort. La trame ci-dessous est la référence, à ajuster selon qu'un contentieux survient ou non.

La destruction n'est pas la fin de l'histoire, c'est une opération à documenter. Un procès-verbal de destruction daté et signé atteste que l'effacement a eu lieu, à la bonne date, sous le contrôle des bonnes personnes — c'est cette trace qu'un contrôle CNIL peut vous demander.

L'autre archivage : durées des PV et documents du CSE

Élus et juristes cherchent souvent l'autre versant du sujet : combien de temps garder les procès-verbaux, les comptes, les registres du CSE ? Ces pièces ne relèvent pas de R.2314-17 et n'ont rien à voir avec le scellement de l'urne. Leurs durées découlent des règles de prescription, des obligations comptables et du RGPD.

Un cas mérite l'attention : le procès-verbal d'élection, établi sur les Cerfa n°15822*03 (titulaires) et n°15823*03 (suppléants). Il se conserve bien au-delà des quinze jours du scrutin, car il prouve la composition du comité pendant tout le mandat. À ne surtout pas aligner sur la durée des fichiers de vote.

Conserver ne suffit pas : il faut pouvoir rejouer

Tous les prestataires scellent quelque chose. Presque aucun n'explique comment un tiers rejouerait le décompte à partir de l'archive. C'est pourtant tout l'écart entre une archive passive — « croyez-nous sur parole » — et une archive qui se vérifie sans qu'on ait à vous croire.

Avec CSE Election, marque blanche propulsée par la technologie Sephos, la rejouabilité n'est pas une clause de contrat, c'est une propriété cryptographique. Le chiffrement homomorphe à seuil agrège les bulletins chiffrés sans jamais en déchiffrer un seul individuellement ; l'ouverture de l'urne exige de réunir un seuil de détenteurs de clés (les trustees), issus d'une génération de clés distribuée (DKG). Conséquence pour l'archive : l'urne conservée ne contient aucun bulletin individuel destiné à être lu séparément. Elle est non ré-identifiante par conception.

Soyons précis sur la portée. Le système ne délivre aucun reçu du contenu du vote et ne procède jamais au déchiffrement d'un bulletin nominatif ; la coercition est réduite par conception. On ne prétend pas qu'il serait « impossible » de prouver son vote dans l'absolu — on décrit une architecture qui ne crée pas l'objet « vote nominatif » et ne conserve aucun lien entre une identité et un bulletin. Même en réunissant les trustees, on ne produit que l'agrégat. C'est cette honnêteté-là qui distingue une preuve d'un slogan.

Le journal en ajout-seul, pièce maîtresse en cas de recours

Conserver l'urne ne dit rien de l'intégrité du processus qui l'a remplie. C'est le rôle du journal des opérations, que la CNIL impose. Beaucoup s'en acquittent avec de simples logs serveur : pratiques au quotidien, mais modifiables par qui administre la machine — donc fondés, au fond, sur la confiance. Pour une archive censée prouver, c'est trop peu.

Le journal d'audit en ajout-seul (append-only) fonctionne autrement. Chaque évènement — ouverture, dépôt d'un bulletin chiffré, opération technique, clôture — est horodaté et chaîné. On ne peut qu'ajouter ; réécrire une entrée casse la chaîne, et l'altération se voit après coup. Associé à l'urne non ré-identifiante et aux preuves de dépouillement, ce journal forme une archive auto-vérifiable — exactement ce qu'un expert mandaté par le juge attend le jour d'une contestation.

RGPD, hébergement, accès : le cadre de l'archive

L'archive est un traitement de données personnelles comme un autre. Les rôles : l'employeur est responsable de traitement, CSE Election / Sephos intervient comme sous-traitant au sens de l'article 28 du RGPD. La base légale de la conservation n'est pas votre bon vouloir mais l'obligation légale d'organiser les élections professionnelles (Code du travail, art. L.2314-4). C'est elle qui justifie de garder les fichiers jusqu'à l'épuisement des délais de recours — ni plus, ni moins.

La recommandation CNIL en vigueur est la délibération n°2026-045 du 19 mars 2026, qui a remplacé celle de 2019. Beaucoup de prestataires citent encore l'ancienne : vérifiez, c'est un bon révélateur de sérieux. Côté archive, elle exige la même rigueur qu'ailleurs — accès restreint aux seules personnes habilitées, séparation maintenue entre émargement et urne, minimisation, hébergement de préférence dans l'Union européenne, à l'abri des lois extraterritoriales. Sur ce dernier point, méfiez-vous du slogan « hébergé en France » : ce sont le contrat de sous-traitance (art. 28) et l'AIPD qui font foi, pas la page d'accueil.

Préparer l'archivage avant le scrutin

Un bon archivage se décide en amont, pas le soir de la proclamation. C'est avant le vote qu'on fixe le périmètre des scellés, la composition des trustees, les durées de conservation et la trame du procès-verbal de destruction. CSE Election outille le responsable de traitement sur chacun de ces points : nomenclature d'archivage, contrat de sous-traitance conforme à l'article 28, trame d'AIPD spécifique au vote CSE, modèle de PV de destruction — avec un expert dédié qui suit le dossier du cadrage jusqu'à la dernière donnée effacée.

L'ambition, sur le plan de la preuve : un profil CSE certifiable au niveau 3, conçu dès l'architecture pour l'expertise indépendante, et réservé aux élections du comité social et économique (référendums, sondages ou AG relèvent d'une offre distincte, non transférable). Le prix dépend du nombre d'électeurs, de collèges et des options : il s'établit sur devis, après un échange. Plutôt qu'une fourchette trompeuse, demandez une estimation calée sur votre situation.

Questions fréquentes