Scellement de l'urne électronique : du cachet promis à la preuve vérifiable

Sceller l'urne : de quoi on parle, concrètement

Sceller une urne électronique, c'est transposer trois gestes du bureau de vote papier. Montrer que l'urne est vide avant d'ouvrir. La fermer pour que personne ne lise ni ne modifie son contenu pendant le vote. Garder une trace qui permet, après coup, de détecter la moindre altération. Confidentialité, intégrité, temporalité : ces trois propriétés tiennent ensemble, ou le scellement ne vaut rien.

On confond souvent urne scellée et urne chiffrée. Le chiffrement empêche de lire. Le scellement empêche de modifier et fixe le moment de l'ouverture. Une urne peut très bien être chiffrée et mal scellée : illisible, mais on y glisse des bulletins sans que ça se voie. Un vrai scellement, c'est donc le chiffrement des bulletins plus une preuve d'intégrité portant sur l'urne elle-même.

Deux scellements dans un scrutin, pas un seul

Beaucoup d'élus imaginent le scellement comme un geste unique, le soir du dépouillement. Dans les faits, il intervient à deux moments au minimum, et c'est le premier qui compte le plus.

À l'ouverture, le bureau de vote constate que l'urne est vide, puis l'urne vide et chiffrée est scellée : c'est le point de départ infalsifiable du scrutin. À la clôture, l'urne est figée avec tous les bulletins reçus — et, au même instant, les listes d'émargement. Ce figement simultané n'est pas cosmétique : il permet de prouver que le nombre de votants colle au nombre de bulletins. Le descellement, lui, n'arrive qu'au dépouillement, et jamais par une seule personne.

Ce que le Code du travail impose, et la CNIL à jour

Le scellement n'est pas une bonne pratique optionnelle. Le vote électronique aux élections du CSE est encadré par les articles R.2314-5 à R.2314-18 du Code du travail : confidentialité des votes, sécurité de l'authentification, aucun résultat partiel pendant le scrutin, conservation des données. L'article R.2314-17 est le plus explicite sur les scellés : l'urne, les fichiers d'émargement, les listes et les supports du scrutin restent conservés sous scellés jusqu'à l'expiration des délais de recours — soit au moins quinze jours après la proclamation — et davantage si un contentieux est engagé.

Côté sécurité, la référence a changé, et beaucoup ne l'ont pas vu passer. La recommandation en vigueur est celle de la CNIL du 19 mars 2026 (délibération n°2026-045), qui abroge l'ancienne délibération n°2019-053 du 25 avril 2019. La logique des trois niveaux de risque demeure. Mais si un prestataire vous cite encore la 2019-053 comme texte de référence, c'est un signal : il travaille sur une base périmée. Le scellement de l'urne, le chiffrement de bout en bout et l'expertise indépendante restent attendus des niveaux les plus élevés, en particulier le niveau 3 — que l'employeur, responsable de traitement, détermine par une analyse documentée.

Un mot de vocabulaire, parce qu'il revient dans tous les appels d'offres : la CNIL recommande, elle ne certifie pas. Aucune urne n'est « certifiée CNIL » ni « 100 % conforme ». La formulation juste, c'est « conçu pour la conformité » et « certifiable » — pensé pour réussir l'examen d'un expert indépendant.

Qui scelle l'urne — et qui ne peut pas l'ouvrir

Deux acteurs interviennent, à ne pas confondre. Le bureau de vote — président et membres désignés au protocole d'accord préélectoral — est l'organe de contrôle : il constate l'urne vide, vérifie le scellement, surveille le déroulé, consigne au procès-verbal. Il n'appuie sur aucun bouton technique. La cellule d'assistance technique, elle, teste le système et veille au bon fonctionnement du chiffrement et du scellement, sans jamais accéder au contenu des votes.

Voilà où l'architecture change tout. Dans un système déclaratif, la cellule technique — ou l'éditeur — détient de fait les moyens d'ouvrir l'urne, et on vous demande de croire qu'ils ne le feront pas. À mon sens, c'est le vrai point faible du marché. Avec une clé répartie à seuil, personne n'ouvre l'urne seul, pas même l'éditeur. La séparation des rôles cesse d'être une promesse organisationnelle : elle devient une contrainte cryptographique.

La clé de l'urne n'existe nulle part en entier

C'est le mécanisme décisif, et celui que presque aucun concurrent n'explique. Pour dépouiller, il faut une clé de déchiffrement. La seule question qui vaille : où vit cette clé pendant le vote ? Si elle existe en un seul endroit — un serveur, un coffre, les mains de l'éditeur — quiconque y accède peut ouvrir l'urne. Le scellement ne vaut alors que la confiance qu'on accorde à ce détenteur unique.

Le schéma à seuil inverse la logique. La clé n'est jamais réunie en un exemplaire : elle est générée de façon distribuée (DKG) et découpée en fragments confiés à des détenteurs distincts, les trustees — typiquement le président du bureau, le secrétaire, des représentants de listes ou d'organisations syndicales. Un seuil est fixé à l'avance, par exemple deux fragments sur trois. Aucun détenteur seul n'ouvre l'urne. Mais l'absence d'un seul ne bloque pas non plus le dépouillement. Secret partagé d'un côté, résilience de l'autre.

Un point qu'on oublie trop vite : sceller l'urne ne sert à rien si l'on peut voter à la place d'un salarié. C'est pourquoi l'accès au vote repose ici sur WebAuthn PRF — passkey, clé matérielle ou biométrie de l'appareil, avec un secret dérivé localement qui ne quitte jamais le terminal. Sceller l'identité autant que l'urne.

Scellé, ou prouvable ? La seule ligne qui compte

Tout le monde scelle. Peu de prestataires peuvent le prouver. C'est là que se joue votre choix, et la différence est nette.

Le scellement déclaratif repose sur une attestation : un cachet, une empreinte gardée par l'éditeur, une mention au PV, des logs serveur internes. Tout cela dit « l'urne est scellée », mais vous ne pouvez le vérifier qu'en faisant confiance à celui qui le produit. Devant un juge, c'est fragile.

Le scellement prouvable, lui, repose sur des objets mathématiques qu'un tiers recalcule. Le contenu de l'urne est chaîné et horodaté dans un journal en ajout-seul : modifier, insérer ou retirer une entrée casse le chaînage, et ça se voit. La clé est répartie à seuil. Le chiffrement est homomorphe à seuil — ElGamal sur Ristretto255, avec des preuves (FCMP++, Generalized Bulletproofs) qui attestent qu'un bulletin est valide sans l'ouvrir. Conséquence rare, et importante : les bulletins ne sont jamais déchiffrés un par un. On additionne sans ouvrir. Personne, pas même l'éditeur, n'isole le vote d'un salarié. Aucun reçu du contenu du vote n'est délivré non plus : le risque de coercition est réduit par conception, sans promesse d'absolu.

Après la proclamation, les scellés ne tombent pas tout de suite

Le scellement prend tout son sens quand le scrutin est contesté. Les élections du CSE se contestent devant le tribunal judiciaire, et le délai est court : quinze jours après la proclamation. Pendant ce temps — et au-delà en cas de recours — l'urne, les émargements et les supports restent sous scellés (art. R.2314-17). Ils ne se rompent qu'à l'expiration des délais, ou, en cas de litige, qu'après une décision définitive.

Si un juge ordonne une expertise, les scellés sont rompus sous contrôle, par un expert indépendant. Et là, l'architecture décide de tout. Face à un scellement déclaratif, l'expert bute sur une boîte noire : il lit des journaux internes dont l'intégrité repose sur la parole de l'éditeur. Face à un scellement prouvable, il recalcule le journal en ajout-seul, vérifie le chaînage, contrôle les preuves de validité et recontrôle le dépouillement homomorphe — sans faire confiance à personne.

C'est tout le sens du profil CSE certifiable au niveau 3 : la solution n'est pas « déjà expertisée » ni « certifiée », mais conçue pour la conformité et pour l'expertise indépendante. Pour l'employeur, la vérifiabilité du scellement n'est pas un raffinement technique — c'est une assurance juridique, et souvent de quoi décourager une contestation dilatoire en amont.

Les questions à poser avant de signer

Vous n'auditerez pas vous-même la cryptographie — c'est le métier de l'expert. Mais dès l'appel d'offres, quelques questions suffisent à trier le prouvable du déclaratif. Une bonne réponse n'est jamais « oui, c'est scellé ». C'est « voici comment, et voici comment vous pouvez le vérifier ».

Questions fréquentes