Audit du vote électronique CSE : l'expertise indépendante, de l'obligation à la preuve

L'audit du vote électronique CSE, en clair

L'audit du vote électronique, c'est l'expertise indépendante du système de scrutin en ligne : un tiers compétent et désintéressé contrôle le dispositif avant sa première mise en œuvre, puis de nouveau en cas de modification substantielle. La base légale tient à l'article R.2314-9 du Code du travail — dans l'ensemble R.2314-5 à R.2314-18 — et à la recommandation de la CNIL. Ce que l'auditeur vérifie : que le système protège réellement la confidentialité, l'anonymat, l'intégrité et la sincérité du scrutin.

Pour qui devra défendre le scrutin — un DRH, un juriste social, ou l'élu qui présidera le bureau de vote — ce rapport n'est pas de la paperasse. C'est une pièce de preuve. Il se tient à la disposition de la CNIL, et il pèse lourd si un candidat écarté conteste les résultats. Audit absent ou bâclé : la position de l'entreprise se fragilise, et l'annulation devient un scénario crédible.

Le piège du marché est là. On vous vend l'audit comme un examen qu'on « passe ». Or un audit ne se passe pas : soit le système démontre ses propriétés, soit il vous demande de lui faire confiance. Ces deux mondes n'ont pas la même valeur le jour où il faut convaincre un juge.

Ce que dit le droit — et la date CNIL qui piège vos concurrents

Le vote électronique aux élections CSE est une faculté, jamais une obligation. Le Code du travail l'autorise et en fixe les conditions aux articles R.2314-5 à R.2314-18 (décret n°2017-1819 du 29 décembre 2017). Quatre exigences structurent le dispositif ; ce sont elles que l'audit vient contrôler.

Côté CNIL, un point que beaucoup de sites — et de prestataires — n'ont pas encore intégré. La recommandation en vigueur n'est plus la délibération n°2019-053 du 25 avril 2019 : elle a été abrogée. Le texte applicable est désormais la recommandation du 19 mars 2026 (délibération n°2026-045), qui remplace aussi l'ancienne délibération de 2010. Si un fournisseur vous cite encore la version 2019, il raisonne sur une base périmée. Vérifiez ce détail : il en dit long sur son sérieux.

Ce qui ne change pas : la structure en trois niveaux de risque. Ce qui monte : le curseur des garanties attendues, surtout sur l'authentification résistante à l'hameçonnage, la vérifiabilité du scrutin et la maîtrise de l'urne. Et un principe à ne pas perdre de vue — la conformité s'apprécie à la date de l'élection, sur le texte alors en vigueur. Vérifiez toujours la version publiée sur cnil.fr au moment de votre projet.

Les trois niveaux de risque, et pourquoi viser le 3

La recommandation CNIL raisonne par les risques. Avant de déployer, le responsable de traitement — l'employeur — conduit une analyse qui classe le scrutin dans l'un des trois niveaux. Elle croise l'enjeu (taille de l'organisation, sensibilité du dialogue social, conséquences d'une fraude) et l'exposition (climat social, antécédents de contentieux). À chaque niveau, un jeu de mesures minimales et une exigence d'audit proportionnée.

En pratique, un CSE se situe le plus souvent au niveau 2. Il bascule au niveau 3 quand le contexte est tendu : tensions sociales, historique de contentieux électoral, effectifs importants, multi-sites, ou tout scrutin où une atteinte à la confidentialité aurait des suites sérieuses. Ce classement n'est pas une formalité : c'est une décision de l'employeur, opposable en cas de litige. Sous-évaluer le niveau pour rogner le budget est une faute que le juge peut retenir. En cas de doute entre deux niveaux, retenez le supérieur.

Qui audite — et ce qu'« indépendant » veut vraiment dire

L'auditeur n'est pas un rôle qu'on improvise. C'est un professionnel de la sécurité des systèmes d'information, capable de lire une architecture, des mécanismes cryptographiques, une gestion des accès, un journal d'audit. Mais la compétence ne suffit pas. L'indépendance est la condition décisive : l'expert doit être distinct de l'éditeur et du prestataire qui opère la solution, sans aucun intérêt — financier, capitalistique, commercial — dans le dispositif qu'il examine. Sa rémunération ne doit pas dépendre du résultat de l'audit.

Le réflexe à acquérir tient en une phrase : demandez qui a réalisé l'audit, à quelle date, sur quelle version du système, et sur quelle base d'indépendance. Un prestataire sérieux répond sans détour. Un fournisseur qui reste flou, ou qui invoque une « expertise interne », envoie un signal d'alerte.

Ce que l'auditeur contrôle, concrètement

Que contrôle vraiment l'auditeur ? C'est l'angle mort du marché : tout le monde cite « l'expertise indépendante », personne n'en décrit le contenu. Il commence par une analyse de risques, puis inspecte l'ensemble de la chaîne. Il ne lit pas une plaquette : il examine l'architecture, teste les mécanismes, vérifie les listes électorales et le déroulé du scrutin, et — quand c'est possible — analyse le code source.

Le point qui départage les solutions, c'est la nature de la preuve qu'on lui apporte. Face à une solution déclarative, l'auditeur lit une documentation et observe des comportements : il accorde, in fine, une part de confiance. Face à une architecture à vérifiabilité cryptographique, certaines propriétés se démontrent — il n'a plus à croire, il constate.

Prouver, pas croire : le seul différenciateur qui tienne

Voici la distinction que personne n'explique clairement à un décideur non technique. L'audit de conformité vérifie, à un instant T, que le système coche les exigences réglementaires, sur documentation et tests. La vérifiabilité de bout en bout va plus loin : elle attache des preuves cryptographiques au scrutin lui-même, de sorte que chaque vote est enregistré tel qu'exprimé, conservé tel qu'enregistré, comptabilisé tel que conservé — sans qu'il faille faire confiance à l'opérateur. Les deux ne s'opposent pas : la seconde renforce le premier.

Le cœur de la démonstration tient à une propriété rare sur le marché : l'absence de déchiffrement individuel des bulletins. Là où la plupart des systèmes déchiffrent chaque bulletin avant de compter — créant une fenêtre où des votes existent en clair —, un chiffrement homomorphe à seuil (ElGamal sur Ristretto255, avec preuves FCMP++ et Generalized Bulletproofs) permet de calculer le résultat sur l'agrégat chiffré. La clé de l'urne n'existe nulle part en un seul endroit : elle est générée et répartie entre plusieurs détenteurs (DKG, trustees) selon un schéma à seuil. L'urne ne s'ouvre que collectivement, à la clôture. Aucun bulletin nominatif n'est jamais lu — pas même par l'éditeur.

Deux autres briques réduisent ce que l'auditeur a à examiner. L'authentification WebAuthn PRF : l'électeur s'identifie par une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil ; le secret est dérivé localement et n'est jamais transmis au serveur. Rien à intercepter, rien à hameçonner — la surface d'attaque fond, et cette réduction est vérifiable parce qu'elle découle de l'architecture. Le journal en ajout-seul, ensuite : chaque bulletin chiffré y est horodaté et chaîné. Toute altération rompt le chaînage et devient détectable. Ce n'est pas un fichier de logs qu'on doit croire intègre, c'est une preuve d'intégrité qu'un tiers peut recalculer — et produire en contentieux.

Cette conception a un effet sur la coercition, sans qu'il faille sur-vendre. Le système ne délivre aucun reçu du contenu du vote : l'électeur reçoit la preuve que sa voix a été prise en compte, pas la preuve de son choix. Il ne dispose donc d'aucun élément déchiffré à présenter à un tiers, ce qui réduit par conception le risque de pression. Aucune technologie ne supprime toute pression sociale — mais celle-ci retire le levier matériel de la coercition.

Sans audit : contentieux, annulation, sanction

Que risque l'employeur qui déploie un vote électronique sans audit — ou avec un audit inadapté ? D'abord le contentieux électoral. Les résultats du CSE se contestent devant le tribunal judiciaire dans un délai bref : 15 jours après la proclamation. L'absence d'audit, ou un défaut de sécurité avéré, peut nourrir une demande d'annulation.

La Cour de cassation est constante : une atteinte aux principes du droit électoral — dont le secret et la sincérité du scrutin — peut entraîner l'annulation. Transposé au vote en ligne, un défaut de sécurité, ou l'impossibilité de démontrer la fiabilité du système, expose directement le scrutin. C'est ici que la distinction précédente devient concrète : l'audit prouve que le système était bien conçu (présomption de diligence) ; la vérifiabilité prouve, en plus, que ce scrutin-ci s'est déroulé sans altération — le journal en ajout-seul est recalculable par le juge ou son expert. Un dossier qui combine les deux décourage les contestations dilatoires.

S'ajoute le volet RGPD, distinct mais réel : une sanction de la CNIL peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Mais dans les faits, c'est souvent l'annulation qui coûte le plus cher : réorganiser tout ou partie du scrutin, dans des délais courts, sur fond de climat social déjà dégradé.

Le rapport, le dossier de conformité et le RGPD en une minute

L'audit produit un livrable central : le rapport d'expertise. Il décrit le système examiné, la méthode, les vérifications et les conclusions sur la conformité au niveau requis. La recommandation CNIL ne demande pas de le transmettre spontanément — elle demande qu'il soit tenu à sa disposition, pour être produit en cas de contrôle ou de contestation.

Ce rapport ne vit pas seul. Il s'insère dans un dossier de conformité plus large, que l'employeur constitue pour sécuriser son scrutin et démontrer sa diligence.

Côté RGPD, la répartition est nette : l'employeur est responsable de traitement, CSE Election / Sephos intervient comme sous-traitant au sens de l'article 28. La base légale n'est pas le consentement mais l'obligation légale d'organiser les élections (Code du travail, article L.2314-4 et suivants). Les fichiers sont conservés sous scellés jusqu'à 15 jours après la proclamation (article R.2314-17), au-delà en cas de contentieux, avant destruction.

Une dernière précision de rigueur. CSE Election — marque blanche propulsée par la technologie Sephos — ne se dit ni « certifiée CNIL » ni « déjà expertisée » : la CNIL recommande, elle ne certifie pas. La solution est conçue pour la conformité et certifiable au niveau 3, c'est-à-dire pensée pour réussir une expertise indépendante que votre entreprise reste libre de diligenter. Et ce profil couvre exclusivement les élections du CSE — pas les sondages, AG ou référendums, qui relèvent d'une offre distincte, avec ses propres garanties.

Questions fréquentes