Vote électronique et RGPD : ce qu'il faut prouver pour vos élections CSE

Vote électronique CSE et RGPD : conforme, oui, si c'est démontrable

Oui, un vote électronique CSE peut être parfaitement conforme au RGPD. Mais la conformité ne tient ni à un logo ni à une phrase sur une plaquette : elle résulte d'une pile d'obligations qui s'empilent et se démontrent une à une.

Le point de départ, c'est la base légale. L'employeur n'a pas besoin du consentement des salariés : il agit pour exécuter une obligation légale — organiser les élections professionnelles (Code du travail, art. L.2314-4). Cette qualification commande tout le reste : durée de conservation, information des personnes, portée des droits.

Deuxième repère, sans ambiguïté : l'employeur est responsable de traitement ; le prestataire de vote — ici CSE Election, marque blanche de la technologie Sephos — n'est que sous-traitant, au sens de l'article 28. Ni le CSE sortant, ni l'éditeur ne prennent la place de l'employeur.

Responsable de traitement, sous-traitant : qui répond de quoi

En cas de contrôle ou de litige, la CNIL et le juge remontent d'abord à cette répartition. D'où l'intérêt de la poser noir sur blanc, avant même de parler technique.

L'employeur décide, donc il assume : AIPD, registre des traitements (art. 30), information des électeurs, réponse aux demandes de droits. Il ne peut pas se défausser sur son prestataire — un point que beaucoup découvrent trop tard, le jour où ça coince.

Le sous-traitant, lui, n'agit que sur instruction documentée, sécurise, garde confidentiel, assiste et, au terme de la mission, restitue ou détruit les données. Un bon prestataire ne se contente pas d'exécuter : il vous arme — modèles, registre, trame d'AIPD — pour tenir votre rôle et le prouver.

La recommandation CNIL a changé le 19 mars 2026 (et beaucoup l'ignorent)

Repère à mettre à jour, parce qu'il fait la différence : la recommandation CNIL en vigueur est celle du 19 mars 2026 (délibération n°2026-045). Elle abroge la délibération n°2019-053 du 25 avril 2019 — et la 2010-371 avant elle.

En pratique, la logique ne bouge pas : trois niveaux de risque (1, 2, 3), à déterminer par l'AIPD, avec des mesures proportionnées à chacun. Pour des élections CSE, le niveau 2 sert de repère par défaut ; un enjeu ou une exposition particuliers font basculer au niveau 3, le plus exigeant.

Le détail qui trahit un prestataire : s'il cite encore la 2019-053 comme référence actuelle, sa documentation n'a pas été relue depuis le printemps 2026. Signal faible, mais parlant, quand on lui confie la conformité d'un scrutin.

L'AIPD : quasi incontournable pour un scrutin CSE

Faut-il une analyse d'impact (AIPD, ou DPIA) ? Dans les faits, presque toujours. Le vote électronique CSE coche plusieurs cases du « risque élevé » : traitement à grande échelle, donnée qui touche indirectement à une opinion, cryptographie récente.

L'AIPD décrit le traitement, jauge sa proportionnalité, liste les risques — atteinte au secret, accès non autorisé, altération du scrutin, perte de données — et met en face les mesures prévues. Elle se mène avant le scrutin, par l'employeur, avec l'appui du DPO et du prestataire, et se réexamine si le dispositif évolue.

Mon conseil de terrain : menez-la systématiquement. Justifier une AIPD est simple. Justifier son absence, le jour d'un contrôle, l'est beaucoup moins.

Secret du vote : la séparation émargement / urne, et comment on la prouve

L'objectif est simple à énoncer : nul ne doit pouvoir relier un électeur au contenu de son bulletin. Concrètement, deux ensembles étanches — le fichier d'émargement (qui a voté) et l'urne (les bulletins chiffrés) — qu'on ne recoupe jamais.

Là où la plupart des offres s'arrêtent à l'engagement contractuel, l'architecture le rend démontrable. Le bulletin est chiffré dès le poste de l'électeur (chiffrement homomorphe à seuil, ElGamal sur Ristretto255), avec des preuves — FCMP++, Bulletproofs — qui attestent qu'il est valide sans jamais l'ouvrir. Le dépouillement additionne des bulletins chiffrés, et l'urne ne s'ouvre que collectivement, à la clôture, sous le contrôle d'un seuil de dépositaires de clés (trustees, via DKG).

Conséquence, rare sur le marché : aucun bulletin n'est déchiffré individuellement, pas même par l'éditeur. Le secret n'est plus une promesse, c'est une propriété de conception. La coercition est réduite d'autant : l'électeur ne repart avec aucun reçu du sens de son vote.

Authentification : sans mot de passe, par conception (WebAuthn PRF)

La CNIL demande des éléments d'authentification distincts et, surtout, aucun mot de passe transmis ou stocké en clair. Beaucoup d'offres reposent encore sur un identifiant plus un code envoyé par e-mail : pratique, mais interceptable et extorquable.

CSE Election s'appuie sur WebAuthn PRF : clé d'accès (passkey), clé matérielle ou biométrie du terminal. Le secret est dérivé localement, sur l'appareil, et ne part jamais vers le serveur. L'électeur s'enrôle en amont, puis vote d'un geste, sans rien à recevoir, retenir ni saisir.

L'intérêt n'est pas cosmétique. Un secret qui ne quitte pas le terminal ne s'intercepte pas en transit, ne se hameçonne pas à distance et ne se rejoue pas.

Conservation : 15 jours après la proclamation, puis destruction

Le RGPD veut qu'on ne garde rien plus longtemps que nécessaire. Pour le CSE, le Code du travail précise : les fichiers restent sous scellés jusqu'à 15 jours après la proclamation (art. R.2314-17), le temps du délai de recours.

En cas de contestation, on prolonge : urne scellée et journal des opérations sont conservés tant que le litige n'est pas tranché. Ensuite, destruction effective — et documentée, car cette destruction est elle aussi une preuve de conformité.

Deux erreurs symétriques à éviter : garder trop longtemps (violation du principe de limitation de la conservation) ou détruire trop tôt (défense fragilisée si un recours survient).

Expertise indépendante et profil certifiable niveau 3

Pour les scrutins les plus exposés, la recommandation CNIL et l'article R.2314-9 imposent une expertise indépendante du système avant sa première mise en œuvre. Un tiers, distinct du prestataire, contrôle réellement les garanties annoncées. Son rapport reste à la disposition de la CNIL.

Encore faut-il que la solution soit faite pour être auditée. L'expert n'ouvre pas une plaquette : il regarde l'architecture, parfois le code, le chiffrement, le scellement, l'authentification, la séparation identité/vote, l'intégrité du journal. C'est là que se joue l'écart entre un audit de façade et une vérification réelle.

Le parti pris de CSE Election : un profil CSE certifiable au niveau 3, pensé dès l'architecture pour cette expertise, et un expert dédié qui suit votre dossier. Rappel utile : la CNIL recommande, elle ne certifie pas — personne n'est « certifié CNIL ». À noter aussi, ce profil couvre les seules élections du CSE ; sondages, AG ou référendums relèvent d'une offre distincte.

Vérifier qu'un prestataire dit vrai : 6 questions qui tranchent

Tout le monde se dit « conforme et sécurisé ». Aucun argument marketing ne les départage : seules les bonnes questions le font. Le principe est simple — exigez le « comment », pas le « oui ». Une réponse solide nomme un mécanisme et explique comment un tiers peut le vérifier.

Et méfiez-vous de trois formules : « certifié CNIL » (ça n'existe pas pour ce type de solution), « 100 % conforme » (la conformité se démontre, elle ne se garantit pas d'avance), « faites-nous confiance » (la confiance n'est pas une preuve).

Questions fréquentes