Confidentialité du vote électronique CSE : prouver le secret, pas seulement le promettre

Le secret du scrutin ne se déclare pas, il se prouve

Reprenons la question du bon côté. Le secret du vote est un principe général du droit électoral, imposé au système de vote électronique par l'article R.2314-5 du Code du travail. Personne ne le conteste. Ce qui se joue, c'est sa mise en œuvre. Dans un scrutin papier, le secret se voit : l'isoloir, l'urne transparente, le rideau. Dans un scrutin électronique, il ne se voit pas. Il se démontre, ou il n'existe pas.

À mon sens, c'est là que la plupart des prestataires s'arrêtent. Ils affirment « données séparées, urne chiffrée » et vous demandent de les croire. Or une confidentialité tenable se juge à une seule chose : le système est-il construit pour qu'aucun acteur — employeur, collègue, salarié du prestataire, éditeur lui-même — ne dispose des moyens techniques de lire un bulletin, et cette propriété est-elle contrôlable par un tiers indépendant ? Le reste est du vocabulaire.

Urne et émargement : deux fichiers qui ne se rencontrent jamais

C'est le principe que la CNIL place au premier rang, et le plus simple à saisir. Deux ensembles de données, strictement isolés. L'émargement répond à « a-t-on le droit de voter, a-t-on déjà voté ? » : il garantit l'unicité de la voix et le respect de la liste par collège. L'urne, elle, ne connaît pas les électeurs. Elle ne reçoit que des bulletins chiffrés, sans nom attaché.

La question qui sépare une bonne solution d'une mauvaise n'est donc pas « séparez-vous les fichiers ? » — tout le monde répond oui. C'est : cette séparation est-elle une simple règle d'organisation qu'un administrateur pourrait contourner, ou un cloisonnement cryptographique que personne ne peut défaire ? Interdit et impossible ne pèsent pas le même poids devant le juge.

Qui détient la clé de l'urne ? La vraie question

Tout le monde chiffre. La question utile est ailleurs : qui possède la clé qui ouvre l'urne, et à quoi sert-elle ? Chez CSE Election — marque blanche de la technologie Sephos — la clé n'est ni créée ni stockée par un acteur unique. Elle est générée de façon distribuée (procédure DKG) et répartie entre plusieurs détenteurs de confiance, les trustees. Chacun n'en détient qu'une part. Aucun, seul, ne peut ouvrir l'urne : il faut réunir un seuil de parts. C'est le sens de « chiffrement à seuil ».

S'ajoute une propriété rare : le chiffrement est homomorphe (schéma ElGamal sur la courbe Ristretto255). En clair, on additionne les voix directement sur les bulletins encore chiffrés. Le système calcule un total chiffré, puis ne déchiffre que ce total — un nombre par liste, jamais un bulletin par électeur. Conséquence directe : à aucune étape du dépouillement un bulletin individuel n'est rendu lisible. L'éditeur lui-même ne peut pas lire un vote, faute de détenir seul la clé. La menace de l'administrateur interne — le salarié du prestataire qui abuserait de ses accès — est traitée par l'architecture, pas par une clause de contrat.

Des preuves cryptographiques (Bulletproofs, dans la lignée des travaux FCMP++) attestent au passage que chaque bulletin est valide et que l'addition est correcte, sans jamais dévoiler un choix individuel. Intégrité et secret sont tirés du même outil mathématique. C'est ce qu'un simple chiffrement de transport ne permet pas.

Authentification : le maillon que les annulations visent le plus

Un secret parfait ne sert à rien si n'importe qui peut voter à la place d'un autre. L'authentification est le point faible historique du vote électronique, et, dans les faits, l'un des motifs de contestation les plus fréquents. Le schéma classique — un identifiant plus un code reçu par e-mail ou SMS — est hameçonnable, interceptable et, surtout, transmissible : un salarié peut donner ses accès à un tiers. Adieu le secret et la sincérité.

CSE Election s'appuie sur WebAuthn PRF. L'électeur s'authentifie par une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil, après un enrôlement préalable. Le secret cryptographique qui signe l'authentification est dérivé localement, sur l'appareil, et n'est jamais transmis au serveur. Plus de mot de passe, plus de code à intercepter ou à refiler. On traite la cause, pas le symptôme.

Prouver l'intégrité sans trahir le secret

Objection classique de l'élu méfiant : « si personne ne peut lire les bulletins, comment être sûr qu'aucun n'a été ajouté ou retiré ? » Réponse : le journal en ajout-seul (append-only). Chaque événement du scrutin — ouverture, dépôt d'un bulletin chiffré, scellement, clôture, dépouillement — y est horodaté et chaîné au précédent. Toute altération rétroactive casse la chaîne et devient détectable. Le journal prouve l'intégrité de l'urne exigée par R.2314-5.

Le piège serait qu'il devienne lui-même une fuite : un horodatage d'émargement rapproché d'un dépôt de bulletin reconstituerait le lien interdit. Le journal est donc conçu pour attester les événements et leur ordre sans exposer de quoi relier un électeur à son bulletin. On vérifie tout, on n'apprend rien des choix individuels. L'exact inverse d'une boîte noire.

Ce que dit vraiment la CNIL (recommandation du 19 mars 2026)

Point d'actualité que beaucoup de prestataires n'ont pas encore intégré : la recommandation CNIL en vigueur est celle du 19 mars 2026 (délibération n°2026-045). Elle abroge la délibération n°2019-053 du 25 avril 2019 (et l'ancienne 2010-371). Si un concurrent vous cite encore la 2019-053 comme référence, sa documentation a un an de retard — un signal à noter.

La logique, elle, ne change pas : trois niveaux de risque. Le responsable de traitement — l'employeur — évalue son scrutin et applique les mesures correspondantes. Pour un CSE, le niveau 2 est le point de départ courant ; le niveau 3 s'impose quand les facteurs s'accumulent (effectifs importants, multi-sites, tension sociale). Le niveau 3 ajoute les obligations les plus fortes : expertise indépendante, publication du code source du client de vote et des spécifications du protocole.

Un mot de vocabulaire, parce qu'il circule beaucoup d'approximations : aucune solution n'est « certifiée CNIL ». La CNIL recommande et contrôle ; elle ne certifie pas les plateformes de vote. La bonne formulation est « conçu pour la conformité » et « certifiable ». Le profil CSE de CSE Election est certifiable niveau 3 : pensé pour réussir une expertise indépendante, pas estampillé par l'autorité.

RGPD : qui répond de la confidentialité des données ?

La répartition des rôles est sans ambiguïté. L'employeur est responsable de traitement : c'est lui qui décide d'organiser l'élection et fixe les finalités. CSE Election / Sephos est sous-traitant au sens de l'article 28 du RGPD — il agit sur instruction, dans un contrat qui détaille sécurité et confidentialité. Ce contrat de sous-traitance est une pièce du dossier de conformité, pas une formalité oubliable.

La base légale n'est ni le consentement ni l'intérêt légitime : c'est l'obligation légale d'organiser les élections professionnelles (Code du travail, art. L.2314-4 et s.). On applique la minimisation — identité, collège, qualité d'électeur, rien de plus — et le sens du vote n'est jamais une donnée rattachée à une personne. Côté durée, l'article R.2314-17 fixe la conservation des fichiers jusqu'à l'épuisement des délais de recours, soit 15 jours après la proclamation (prolongé en cas de contentieux), puis destruction. Ce qui n'existe plus ne fuite pas.

Si l'élection est contestée : la confidentialité prouvée comme bouclier

Voilà pourquoi tout cela compte concrètement. Une atteinte au secret ou à la séparation émargement/urne est un vice substantiel : le tribunal judiciaire peut annuler tout ou partie des opérations. La contestation se forme dans les 15 jours suivant la proclamation. Réorganiser un scrutin coûte du temps, de l'argent, et abîme la légitimité des élus fraîchement désignés.

Point que les prestataires évitent d'aborder : recourir à un prestataire ne décharge pas l'employeur. C'est lui, responsable de traitement, qui répond devant le juge électoral. Le jour de la contestation, deux postures s'affrontent. La première : « notre fournisseur nous a assuré que c'était sûr » — une attestation, des logs, de la confiance. La seconde : la clé de l'urne n'a jamais été reconstituée pour lire un bulletin, aucun déchiffrement individuel n'a eu lieu, le journal append-only atteste l'intégrité, et un expert indépendant l'a vérifié. Devant le juge, l'écart est considérable.

C'est tout l'intérêt de l'expertise indépendante, imposée par le Code du travail et la recommandation CNIL, et requise à chaque scrutin au niveau 3. Encore faut-il donner à l'expert quelque chose à vérifier. Face à une boîte noire, il constate. Face à un code source publiable et un protocole documenté, il contrôle. Le rapport devient alors une pièce maîtresse de votre dossier — un bouclier, pas une case à cocher.

Avant de signer : la check-list confidentialité

Sept questions à poser à tout prestataire de vote électronique CSE avant de vous engager. S'il ne répond pas précisément à celles-ci, il ne vous vend pas une confidentialité vérifiable, quel que soit le vocabulaire de sa plaquette.

Ces mêmes questions cadrent parfaitement une démo. On peut les passer en revue une à une, sur votre configuration réelle, avec un expert dédié — avant même de parler chiffres. Pour une estimation adaptée à votre effectif et à votre niveau de risque, demandez un devis : seul le devis engage le fournisseur.

Questions fréquentes