« Conforme CNIL » : ce que ça veut dire, ce que ça ne veut pas dire
Un vote électronique conforme CNIL, c'est un scrutin dont l'architecture technique et l'organisation respectent la recommandation de la CNIL sur le vote par correspondance électronique. Depuis le 19 mars 2026, cette recommandation est la délibération n°2026-045, qui remplace celle de 2019. Elle ne décerne aucun label. Elle fixe une méthode : analyser le risque, puis appliquer des mesures de sécurité proportionnées, réparties en trois niveaux.
Conséquence directe : « conforme CNIL » ne signifie pas « approuvé par la CNIL ». Aucune solution du marché n'est certifiée par la Commission, tout simplement parce que la Commission recommande — elle ne certifie pas. Un prestataire qui affiche « certifié CNIL » ou « 100 % conforme » vous vend un raccourci qui n'existe pas.
La bonne lecture : la conformité est une démarche, portée par l'employeur et documentée. Analyse de risque, cahier des charges, information des salariés, contrat de sous-traitance, et — au niveau le plus élevé — expertise indépendante avant le premier scrutin. Un fournisseur sérieux vous outille sur chacune de ces étapes. Il ne se contente pas d'un logo « CNIL » en pied de page.
La CNIL publie des recommandations, pas des certifications de systèmes de vote. Un fournisseur qui écrit « certifié CNIL » ou « 100 % conforme » se paye de mots. La formulation exacte est « conçu pour la conformité » et « certifiable » : vérifiable par un expert, pas autoproclamé.
Ce qui a changé le 19 mars 2026
Beaucoup de contenus en ligne — et beaucoup de prestataires — citent encore la délibération n°2019-053 du 25 avril 2019. Elle est abrogée. Depuis le 19 mars 2026, la référence est la délibération n°2026-045, qui remplace à la fois le texte de 2019 et l'ancienne recommandation de 2010. Si un appel d'offres ou une plaquette s'appuie sur la version de 2019, il pointe un texte périmé — et c'est un bon test pour jauger un fournisseur.
La logique de fond ne bouge pas : trois niveaux de risque, mesures proportionnées, analyse préalable. Ce que le nouveau texte durcit va dans le sens attendu — authentification plus robuste, vérifiabilité, place de l'expertise indépendante. Rien qui invite à baisser la garde.
À mon sens, la bonne posture n'est pas de coller au minimum réglementaire du moment. Un cadre se révise ; un scrutin doit tenir dans le temps. Concevez l'élection au niveau de garanties le plus haut, et vous restez conforme quel que soit le sens d'une future mise à jour. Dernier réflexe : la conformité s'apprécie à la date du scrutin, sur le texte alors en vigueur. Vérifiez toujours la version publiée sur cnil.fr au moment de votre projet.
Trois niveaux de risque : lequel pour votre CSE ?
Réponse courte : le niveau 2 est le standard pour la grande majorité des élections CSE. Le niveau 3 s'impose quand le scrutin est sensible ou le climat social tendu. Le niveau 1 reste marginal. C'est l'employeur, responsable de traitement, qui tranche — par une analyse de risque écrite.
Cette analyse croise deux choses : l'enjeu du scrutin (taille, sensibilité du dialogue social, conséquences d'une fraude) et l'exposition aux menaces (climat, historique de contentieux). Plus l'un ou l'autre monte, plus les garanties exigées montent.
Un point que peu de prestataires disent tout haut : sous-évaluer le niveau pour économiser, c'est une faute qui peut être retenue par le juge. En cas de doute entre deux niveaux, prenez le plus élevé. Ça coûte un peu plus. Ça sécurise beaucoup.
RGPD : qui fait quoi
Le vote traite des données personnelles — identité, émargement, journaux d'opérations. Le RGPD s'applique, et la répartition des rôles ne se négocie pas. L'employeur est responsable de traitement : c'est lui qui décide d'organiser l'élection et en fixe les finalités. La plateforme — ici CSE Election, sur la technologie Sephos — est sous-traitant au sens de l'article 28.
Deux réflexes. Exigez le contrat de sous-traitance article 28 avant de signer : sécurité, confidentialité, interdiction de réutiliser les données, sort des données en fin de mission. Son absence est un signal d'alarme. Et retenez la bonne base légale — ce n'est pas le consentement, fragile ici, mais l'obligation légale d'organiser les élections professionnelles, à l'article L.2314-4 du Code du travail.
Côté conservation, l'article R.2314-17 fixe le cap : les fichiers sont gardés jusqu'à quinze jours après la proclamation, prolongés en cas de recours, puis détruits. Ne collectez que le nécessaire, informez chaque salarié, effacez à l'échéance.
La vraie question : « pouvez-vous me le prouver ? »
« Est-ce sécurisé ? » n'est plus la bonne question : tout le monde répond oui. Celle qui trie les fournisseurs, c'est « pouvez-vous me le prouver sans que je vous fasse confiance ? ». La plupart garantissent le secret du vote par un engagement — « nos équipes n'ouvrent pas l'urne ». C'est une promesse, pas une preuve.
L'approche de CSE Election déplace la garantie de la parole vers la cryptographie. L'accès repose sur WebAuthn PRF : clé d'accès (passkey), clé matérielle ou biométrie de l'appareil, avec un secret dérivé localement, jamais transmis au serveur — là où un code envoyé par e-mail ou SMS peut être intercepté ou extorqué. Les bulletins sont protégés par un chiffrement homomorphe à seuil (ElGamal sur Ristretto255, preuves Bulletproofs), avec une clé d'urne répartie entre plusieurs détenteurs : personne ne l'ouvre seul, pas même l'éditeur.
Conséquence, et propriété rare : les bulletins ne sont jamais déchiffrés individuellement. Le dépouillement porte sur l'agrégat chiffré, et chaque opération est consignée dans un journal en ajout-seul, horodaté et chaîné — toute altération devient détectable. En clair : l'électeur peut vérifier que son vote a été pris en compte (vérifiabilité individuelle), et un expert peut recalculer le résultat (vérifiabilité universelle). C'est exactement ce que le niveau 3 attend, et ce qu'un « chiffrement fort » sans détail ne démontre pas.
Anonymat et coercition : par conception, pas par promesse
La recommandation impose, dès le niveau 2, une séparation stricte entre l'identité — la liste d'émargement — et le contenu des votes — l'urne. Chez CSE Election, cette séparation n'est pas une consigne interne : aucun lien technique ne relie le votant à son bulletin. Le bulletin est chiffré sur le poste de l'électeur, avant transmission ; l'émargement prouve qu'il a voté, sans jamais révéler pour qui.
Sur la coercition, restons précis et sans absolu. Le système ne délivre aucun reçu du contenu du vote, et ne déchiffre jamais un bulletin individuel. Un salarié soumis à une pression n'a donc rien à remettre pour attester de son choix — le risque de coercition est réduit par conception. C'est une réduction, pas une garantie magique : d'où l'intérêt de parler de propriétés vérifiables plutôt que de slogans comme « anonymat total ».
Expertise indépendante : obligatoire au niveau 3
Au niveau 3, l'expertise indépendante est obligatoire avant la première utilisation du système — et à nouveau après toute modification substantielle. L'expert est un tiers, distinct du prestataire. Il ne lit pas une plaquette.
Concrètement, il examine l'architecture et, quand c'est possible, le code ; il contrôle le chiffrement et le scellement ; il vérifie l'authentification et la séparation identité/vote ; il teste la résistance aux altérations et l'intégrité du journal. Son rapport est une preuve opposable, précieuse si le scrutin est contesté.
C'est là que la conception fait la différence. Une architecture bâtie sur la cryptographie et un journal vérifiable donne à l'expert de quoi travailler. Une architecture opaque le laisse seulement constater qu'il faut faire confiance. Le profil CSE de CSE Election est certifiable au niveau 3 : conçu pour cet audit — pas « déjà expertisé », pas « 100 % conforme », des formules qui ne veulent rien dire.
- Un tiers indépendant — compétent en sécurité du vote, distinct du prestataire.
- Avant le 1er scrutin — et de nouveau après toute modification substantielle du dispositif.
- Architecture et code — examen de la conception et, si possible, du code source.
- Mécanismes clés — chiffrement, scellement, authentification, séparation identité/vote.
- Intégrité du journal — vérification que rien n'a pu être ajouté, retiré ou modifié.
- Un rapport opposable — utilisable devant le tribunal judiciaire en cas de contestation.
Avant de lancer : autoriser le vote et poser le calendrier
La conformité CNIL ne dispense pas du cadre CSE. Les bornes à garder en tête : le CSE est obligatoire dès 11 salariés atteints pendant douze mois consécutifs ; le mandat des élus est de quatre ans, réductible à deux ou trois par accord. Le personnel doit être informé au moins 90 jours avant le premier tour.
Le vote électronique, lui, n'est jamais automatique. Il faut l'autoriser en amont : par accord collectif d'entreprise ou de groupe — la voie que privilégie le Code du travail — ou, à défaut d'accord après une tentative loyale de négociation, par décision unilatérale de l'employeur, à documenter soigneusement. Les modalités concrètes sont ensuite reprises dans le protocole d'accord préélectoral. Le PAP seul n'autorise pas le vote électronique : il intervient en aval de cette décision.
Vérifier plutôt que croire : la suite
Si vous ne retenez qu'une chose : sur ce marché, exigez la preuve, pas l'affirmation. Demandez à chaque prestataire comment il démontre le secret du vote, la vérifiabilité et l'intégrité — et méfiez-vous d'un « faites-nous confiance » déguisé en garantie. Pour cadrer votre niveau de risque, votre calendrier et votre budget, un devis personnalisé reste le meilleur point de départ ; le coût dépend surtout du nombre d'électeurs, du niveau retenu et de l'accompagnement, jamais d'un tarif affiché hors contexte.