Ce que le Code du travail exige — et la recommandation CNIL qui a changé en mars 2026
Recourir au vote électronique pour élire le CSE est une faculté, encadrée par les articles R.2314-5 à R.2314-18 du Code du travail. Trois exigences structurent tout le reste : la confidentialité des données et la sécurité du dispositif (R.2314-6), la séparation stricte entre le fichier des électeurs et le contenu de l'urne (R.2314-7), et le scellement du système à l'ouverture comme à la clôture, avec un journal horodaté des opérations (R.2314-8).
L'expertise indépendante, elle, vient de la recommandation de la CNIL : le système doit avoir été expertisé par un tiers avant sa première mise en œuvre, et le rapport tenu à la disposition de la CNIL. Point d'actualité à connaître : depuis le 19 mars 2026, la recommandation applicable est la délibération n°2026-045, qui abroge l'ancienne 2019-053 du 25 avril 2019 (et la 2010-371). Elle conserve la logique des trois niveaux de risque. Beaucoup d'acteurs citent encore la 2019-053 périmée sur leurs pages — un détail qui en dit long sur la fraîcheur de leur conformité.
Côté données, l'article R.2314-17 impose de conserver les fichiers du scrutin sous scellés jusqu'à quinze jours après la proclamation des résultats, et au-delà en cas de contentieux, jusqu'à la décision définitive.
Contrôle d'un système de vote électronique par un tiers compétent en sécurité et cryptographie, indépendant de l'éditeur et du prestataire, réalisé avant la première mise en œuvre du dispositif. Recommandée par la CNIL dans le cadre des articles R.2314-5 à R.2314-18 du Code du travail, elle vérifie la confidentialité, l'anonymat, l'intégrité et la sincérité du scrutin. Son rapport est tenu à la disposition de la CNIL.
Obligatoire ? Oui — mais une seule fois, et pas par n'importe qui
Le vote électronique n'est jamais imposé. Mais dès que vous l'adoptez, l'expertise indépendante devient un préalable, pas une formalité rattrapable après coup. Le système doit avoir été audité avant que le premier scrutin ne s'ouvre.
Bonne nouvelle pour la charge de travail : cette expertise ne se refait pas à chaque élection. Le rapport reste valable tant que le dispositif n'évolue pas de façon substantielle — changement d'architecture, de mécanisme d'authentification, de protocole de chiffrement ou d'hébergement. Un simple paramétrage de scrutin (collèges, dates, libellés) ne déclenche aucun nouvel audit. D'où l'intérêt d'une plateforme expertisée globalement : vous héritez d'un dispositif déjà éprouvé, sans repayer l'audit à chaque renouvellement.
Reste la question de l'auditeur. « Indépendant » a un sens précis : compétent en sécurité des systèmes d'information et en cryptographie appliquée, distinct de l'éditeur et du prestataire, sans le moindre intérêt financier dans le dispositif examiné. Une « expertise interne » conduite par les équipes du fournisseur ne coche pas la case. Le réflexe à avoir devant un prestataire : demandez qui a réalisé l'audit, à quelle date, et sur quelle version du système.
Ne confondez pas ces trois démarches (les entreprises s'y trompent)
Trois notions voisines entretiennent une confusion tenace, et les obligations ne sont pas les mêmes. L'expertise indépendante du système, notre sujet, est un audit technique du dispositif de vote, réalisé avant déploiement. La « déclaration CNIL », elle, appartient au passé : depuis le RGPD (2018), il n'y a plus de déclaration préalable des fichiers. L'employeur tient un registre des traitements (article 30) et, si le traitement l'exige, une analyse d'impact (AIPD).
Troisième piège : l'expertise que le CSE peut diligenter une fois constitué (motif économique, conditions de travail…) n'a rien à voir avec l'audit du système de vote. Elle porte sur le fonctionnement de l'instance, pas sur la sécurité du scrutin. Conséquence pratique : tenir son registre RGPD ne dispense pas d'obtenir l'expertise indépendante. Les deux démarches se cumulent, elles ne se remplacent pas.
Les trois niveaux de risque de la CNIL, et ce que le niveau 3 réclame
Avant de déployer, le responsable de traitement conduit une analyse de risques qui classe le scrutin dans l'un des trois niveaux de sécurité (1, 2 ou 3). Plus l'enjeu est élevé — effectifs importants, multi-sites, tensions sociales, antécédents de contentieux —, plus le niveau requis grimpe, et plus les garanties techniques attendues sont fortes. Cette gradation, introduite en 2019, est reconduite par la recommandation 2026-045.
Le niveau 1 vise un scrutin à faible exposition : sécurité de base, traçabilité, authentification fiable. Le niveau 2 ajoute une authentification renforcée et une confidentialité accrue. Le niveau 3 — le plus exigeant, et celui que presque aucun concurrent ne détaille — impose un chiffrement de bout en bout, un cloisonnement strict des fonctions, et surtout un mécanisme empêchant qu'un acteur unique, hébergeur ou éditeur compris, ne maîtrise seul l'urne.
Ce que l'expert regarde vraiment (pas ce qu'il lit dans une brochure)
L'expert ne parcourt pas une plaquette. Il conduit une analyse de risques, puis inspecte l'architecture, teste les mécanismes et, quand c'est possible, examine le code source. Son rapport conclut sur la conformité du dispositif au niveau de sécurité requis. Voici les points de sa grille.
Un détail change tout : la nature de la preuve. Avec une solution déclarative, l'expert vérifie une documentation et observe des comportements — il fait, au fond, une part de confiance. Avec une architecture cryptographiquement vérifiable, il constate. C'est là que se joue la différence, et l'objet de la section suivante.
- Authentification — robustesse du mécanisme, résistance à l'usurpation et à l'hameçonnage.
- Chiffrement des bulletins — qualité des algorithmes, gestion et répartition des clés, absence de point unique de défaillance.
- Scellement de l'urne — vérification à l'ouverture et à la clôture du scrutin.
- Cloisonnement identité / vote — preuve qu'aucun rapprochement électeur ↔ bulletin n'est possible (R.2314-7).
- Intégrité & journal — traçabilité horodatée, détection de toute altération a posteriori.
- Hébergement & exploitation — sécurité de l'infrastructure, gestion des accès et des secrets.
La vraie question : « pouvez-vous me le prouver, sans que je vous fasse confiance ? »
C'est le déplacement décisif. « Est-ce sécurisé ? » appelle une réponse déclarative. « Pouvez-vous le prouver ? » appelle des preuves cryptographiques attachées au scrutin lui-même. On parle de vérifiabilité de bout en bout : la garantie que le vote a été enregistré tel qu'exprimé, conservé tel qu'enregistré, comptabilisé tel que conservé — sans avoir à croire l'opérateur.
Dans l'architecture Sephos, trois briques matérialisent cette promesse. L'authentification WebAuthn PRF : clé d'accès, clé matérielle ou biométrie de l'appareil, avec un secret dérivé localement, sur le terminal de l'électeur, jamais transmis au serveur. Le chiffrement homomorphe à seuil (ElGamal sur Ristretto255), assorti de preuves de validité (FCMP++, Generalized Bulletproofs) qui attestent qu'un bulletin est valide sans le déchiffrer. Et un journal en ajout seul, horodaté et chaîné, où toute altération devient mathématiquement détectable.
La conséquence la plus contre-intuitive, et l'argument le plus solide face à un expert : le système ne déchiffre jamais les bulletins un par un. La clé de l'urne n'existe nulle part en entier — elle est répartie entre plusieurs détenteurs (DKG, trustees) et l'urne ne s'ouvre que collectivement, à la clôture. Le dépouillement opère sur l'agrégat chiffré. L'anonymat exigé par R.2314-7 cesse d'être une procédure qu'on doit croire respectée pour devenir une propriété de structure.
Effet secondaire utile : le système ne délivre aucun reçu du contenu du vote, seulement la preuve que le vote a été pris en compte. L'électeur n'a rien de déchiffré à présenter à un tiers, ce qui réduit par conception le levier matériel de la coercition. Restons mesurés : aucune technologie ne supprime toute pression sociale. Mais elle en retire l'outil.
Authentification locale
WebAuthn PRF : secret dérivé sur l'appareil de l'électeur, jamais transmis. Rien à intercepter.
Chiffrement au poste
le bulletin est chiffré dès le terminal, avec preuve de validité sans déchiffrement.
Urne à seuil
clé répartie entre trustees (DKG) ; ouverture collective uniquement, jamais par un seul.
Dépouillement homomorphe
le résultat se calcule sur l'agrégat chiffré ; aucun bulletin nominatif n'est lu.
Journal inaltérable
registre en ajout seul, horodaté et chaîné ; toute altération est détectable.
Le dossier de conformité à garder sous le coude
Le rapport d'expertise ne vit pas seul. Il prend place dans un dossier que l'employeur constitue pour sécuriser son scrutin, et qu'il devra pouvoir produire en cas de contrôle CNIL ou de contestation. Le rapport atteste que la brique technique tient ses promesses ; les autres pièces prouvent que le cadre juridique est respecté.
Côté données personnelles, la répartition des rôles est nette : l'employeur est responsable de traitement (c'est lui qui décide d'organiser les élections), CSE Election / Sephos intervient comme sous-traitant au sens de l'article 28 du RGPD. La base légale n'est pas le consentement mais l'obligation légale d'organiser les élections (Code du travail, L.2314-4). Et la conservation suit R.2314-17 : quinze jours après la proclamation, au-delà en cas de contentieux.
- Rapport d'expertise — conclusions de l'audit indépendant, tenues à la disposition de la CNIL.
- Autorisation du recours — accord d'entreprise ou décision unilatérale prévoyant le vote électronique.
- Cahier des charges — document R.2314-5 à -8 décrivant le système et ses garanties.
- Contrat de sous-traitance — clauses RGPD (article 28) entre l'employeur et le prestataire.
- Mention au PAP — recours au vote électronique acté dans le protocole d'accord préélectoral.
- Information des électeurs — note sur le dispositif et le traitement des données.
Sans expertise indépendante, le scrutin peut être annulé
Que risque l'employeur qui déploie un vote électronique sans expertise, ou avec une expertise inadaptée ? Le contentieux électoral. Les élections du CSE se contestent devant le tribunal judiciaire dans les quinze jours suivant la proclamation. L'absence d'audit, ou un défaut de sécurité avéré, peut nourrir une demande d'annulation.
La Cour de cassation est constante : une atteinte aux principes du secret et de la sincérité du scrutin peut suffire à annuler des élections, même sans preuve que l'irrégularité a faussé le résultat. Une annulation, c'est un scrutin à réorganiser : coûts, délais, climat social dégradé. À l'inverse, un dossier solide — expertise, journal d'audit opposable, absence de déchiffrement individuel — décourage les contestations et place l'employeur en position de force.
Les résultats se contestent dans les quinze jours suivant la proclamation, devant le tribunal judiciaire. Une atteinte au secret ou à la sincérité du scrutin peut suffire à l'annulation. L'expertise indépendante et un journal d'audit opposable sont vos meilleures protections — anticipez l'audit bien avant le scellement de l'urne.