1. Objet et champ d'application
La présente politique de confidentialité a pour objet d'informer les électeurs, les candidats et, plus largement, toute personne concernée, de la manière dont leurs données à caractère personnel sont collectées et traitées lors des élections des membres du comité social et économique (CSE) organisées au moyen de la plateforme « CSE Election », marque blanche propulsée par la technologie Sephos (vote électronique CSE).
Elle s'applique au traitement des données réalisé pour les besoins de l'organisation, du déroulement et de l'archivage d'un scrutin CSE par voie électronique. Elle ne se substitue pas aux informations spécifiques que l'employeur, en sa qualité de responsable de traitement, doit délivrer aux salariés au titre des articles 13 et 14 du Règlement (UE) 2016/679 (RGPD), ni au protocole d'accord préélectoral (PAP) qui encadre chaque scrutin.
Le vote électronique est encadré par les articles R.2314-5 à R.2314-18 du Code du travail et par la recommandation de la CNIL relative à la sécurité des systèmes de vote par correspondance électronique (délibération n°2019-053 du 25 avril 2019, dans sa version applicable au scrutin). La présente politique s'inscrit dans ce cadre.
Cette politique se lit avec les mentions légales du site, l'information RGPD remise par votre employeur, le protocole d'accord préélectoral et, le cas échéant, le contrat de sous-traitance (DPA) conclu entre l'employeur et l'éditeur de la plateforme. En cas de divergence sur un scrutin précis, l'information délivrée par l'employeur responsable de traitement prévaut.
2. Qui fait quoi : employeur responsable de traitement, Sephos sous-traitant (article 28 RGPD)
La répartition des rôles au sens du RGPD est déterminante et structure l'ensemble de cette politique. L'employeur — l'entreprise qui organise l'élection de son CSE — est le responsable de traitement : c'est lui qui décide d'organiser le scrutin, qui en définit les finalités et les moyens essentiels, et qui détermine quelles données sont traitées et pendant combien de temps.
CSE Election / Sephos intervient en qualité de sous-traitant au sens de l'article 28 du RGPD. La plateforme traite les données pour le seul compte de l'employeur et uniquement sur la base de ses instructions documentées. Cette intervention est encadrée par un contrat de sous-traitance (Data Processing Agreement, DPA) qui précise l'objet, la durée, la nature et les finalités du traitement, les catégories de données et d'obligations, ainsi que les mesures de sécurité, les conditions de recours à des sous-traitants ultérieurs, l'assistance au responsable et le sort des données en fin de prestation.
Cette qualification a des conséquences pratiques pour vous, personne concernée : pour exercer vos droits (accès, rectification, etc.), votre interlocuteur de référence est en principe votre employeur, responsable de traitement. La plateforme, en tant que sous-traitant, relaie votre demande au responsable et l'assiste dans son traitement, sans se substituer à lui.
En sa qualité de sous-traitant, CSE Election / Sephos ne traite aucune donnée du scrutin pour ses propres finalités (prospection, profilage, revente). Toute opération sur les données du scrutin se fait pour le compte de l'employeur, sur ses instructions documentées et dans la limite du contrat de sous-traitance.
3. Base légale du traitement
Le traitement des données dans le cadre d'une élection CSE ne repose pas sur le consentement des électeurs. Il repose principalement sur l'obligation légale qui s'impose à l'employeur d'organiser les élections des membres du CSE (Code du travail, notamment l'article L.2314-4 et les articles suivants relatifs à l'organisation des élections). Au sens de l'article 6, paragraphe 1, point c) du RGPD, le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable de traitement est soumis.
Pour la vérification de l'éligibilité (à voter comme à être candidat), le traitement s'appuie également sur l'exécution du contrat de travail et sur l'intérêt légitime de l'employeur à organiser un scrutin sincère et régulier, dans la limite des conditions d'électorat et d'éligibilité fixées par le Code du travail (ancienneté, âge, rattachement à un collège électoral).
Le consentement n'étant pas la base légale, le retrait du consentement n'est pas le mécanisme d'exercice des droits : ce sont les droits prévus aux articles 15 et suivants du RGPD qui s'appliquent, dans les limites tenant aux obligations légales de l'employeur et à la sincérité du scrutin (voir section sur les droits).
- Obligation légale (art. 6.1.c RGPD) — organiser les élections du CSE (Code du travail, art. L.2314-4 et s.).
- Exécution du contrat de travail — pour établir et vérifier l'éligibilité de l'électeur et du candidat.
- Intérêt légitime — assurer la sincérité, la régularité et la traçabilité des opérations électorales.
- Pas de consentement — la participation au traitement découle du cadre légal des élections, non d'un consentement révocable.
4. Finalités du traitement
Les données ne sont traitées que pour des finalités déterminées, explicites et légitimes, strictement liées à l'organisation et au déroulement du scrutin. Conformément au principe de minimisation (article 5.1.c du RGPD), seules les données nécessaires à ces finalités sont collectées.
Les finalités principales sont la constitution des listes et des arbres d'éligibilité (qui peut voter, dans quel collège, qui peut être candidat), la vérification de l'identité de l'électeur au moment de l'enrôlement et de l'authentification, et la traçabilité des opérations électorales (émargement, journalisation, scellement, dépouillement, établissement des procès-verbaux).
En aucun cas le traitement n'a pour finalité de connaître ou de reconstituer le sens du vote d'une personne. Par conception, la plateforme ne procède à aucun déchiffrement individuel des bulletins (voir section sur la séparation identité / bulletin).
- Constitution des listes / arbres d'éligibilité — établir qui est électeur, dans quel collège, et qui est éligible.
- Vérification de l'identité — s'assurer que seul l'électeur inscrit s'enrôle et s'authentifie, une seule fois.
- Traçabilité des opérations électorales — émargement, journalisation horodatée, scellement, dépouillement, procès-verbaux.
- Conservation des preuves — permettre le contrôle de la régularité du scrutin et l'exercice des voies de recours.
Aucune finalité de la plateforme ne consiste à identifier pour qui une personne a voté. L'émargement atteste qu'un électeur a voté ; il n'enregistre jamais le contenu de son bulletin.
5. Catégories de données traitées
Les catégories de données traitées sont limitées à ce qui est strictement nécessaire au scrutin. Elles relèvent essentiellement de l'identification de l'électeur et de sa qualité électorale, ainsi que des éléments techniques nécessaires à l'authentification et à la traçabilité.
Le contenu du vote ne figure jamais parmi les données rattachées à une personne identifiée ou identifiable. Le bulletin est chiffré sur l'appareil de l'électeur avant transmission et n'est jamais déchiffré individuellement ; il n'existe donc aucune donnée reliant un électeur déterminé au sens de son vote.
L'authentification repose sur WebAuthn avec extension PRF : clé d'accès (passkey), clé matérielle ou biométrie. Le secret cryptographique qui prouve le droit de vote est dérivé localement, sur l'appareil de l'électeur, et n'est jamais transmis au serveur. Il sert à authentifier, jamais à relier l'électeur au sens de son bulletin.
6. Séparation identité / bulletin et cloisonnement du registre d'enrôlement
Le secret du vote est une exigence de premier ordre. Il est garanti par une séparation stricte, par conception, entre les données d'identité et le contenu du bulletin. Le fichier d'authentification — qui établit le droit de vote et l'unicité — et l'urne — qui contient les bulletins chiffrés — sont cloisonnés. À aucun moment du parcours nominal le système ne rapproche un émargement d'un bulletin.
Le registre d'enrôlement (les informations relatives à l'inscription des électeurs et à la constitution de leur moyen d'authentification) est cloisonné des autres traitements et accessible uniquement aux opérations qui en ont strictement besoin. L'émargement atteste qu'un électeur a voté ; il n'enregistre jamais ce qu'il a voté.
Le chiffrement employé est de type homomorphe à seuil (schéma ElGamal sur la courbe Ristretto255), complété de preuves à divulgation nulle de connaissance (Generalized Bulletproofs, constructions FCMP++). Les bulletins chiffrés sont agrégés mathématiquement pour produire le seul résultat global, et la clé de déchiffrement de ce résultat est répartie entre plusieurs gardiens (trustees). Aucun acteur seul — pas même l'opérateur de la plateforme — ne peut ouvrir l'urne. Le journal des opérations est tenu en ajout seul (ledger append-only), chaîné et horodaté, ce qui rend toute altération détectable. Par conception, aucun bulletin individuel n'est jamais déchiffré.
- Cloisonnement — fichier d'authentification et urne strictement séparés ; registre d'enrôlement isolé.
- Chiffrement à la source — le bulletin est chiffré sur l'appareil de l'électeur avant toute transmission.
- Seuil de gardiens (trustees) — la clé de déchiffrement du résultat est répartie ; aucun acteur seul n'ouvre l'urne.
- Aucun déchiffrement individuel — seul le total agrégé est révélé ; aucune donnée ne relie un vote à un votant.
Principe d'architecture par lequel les données permettant d'identifier l'électeur (registre d'enrôlement, émargement) sont cloisonnées du contenu chiffré de son bulletin. Combinée à l'absence de déchiffrement individuel, cette séparation supprime, par conception, toute opération technique permettant de réidentifier un votant à partir de son vote.
7. Durées de conservation et archivage sous scellés
Les durées de conservation sont déterminées par l'employeur, responsable de traitement, dans le respect des principes de limitation de la conservation (article 5.1.e du RGPD) et des règles propres au contentieux électoral. La logique est claire : conserver le temps nécessaire au scrutin et à ses voies de recours, puis détruire ou archiver de manière sécurisée.
Les fichiers et preuves du scrutin sont conservés sous scellés jusqu'à l'épuisement des délais de recours. En pratique, la contestation des élections s'exerce dans un délai de quinze (15) jours suivant la proclamation des résultats ; les fichiers sont conservés sous scellés au moins durant cette période (article R.2314-17 du Code du travail). En cas de contentieux, la destruction est suspendue jusqu'à l'expiration des délais de recours ou jusqu'à l'intervention d'une décision définitive.
Au-delà de cette période, les données et les preuves sont soit détruites de manière sécurisée, soit archivées sous une forme restreinte et sécurisée si une obligation légale le justifie. Conserver les données « au cas où », sans nécessité, constituerait un manquement au RGPD.
Tant qu'un recours est pendant, les fichiers et preuves restent conservés sous scellés. La destruction n'intervient qu'après l'épuisement des délais de recours ou une décision définitive. Cette conservation sert exclusivement le contrôle de la régularité du scrutin.
8. Destinataires et sous-traitants ultérieurs
Les données ne sont accessibles qu'aux personnes habilitées à en connaître pour les besoins du scrutin : les membres du bureau de vote et l'employeur (responsable de traitement) pour les données relevant de sa responsabilité, ainsi que le personnel habilité de l'éditeur de la plateforme, dans la stricte limite de ses missions de sous-traitant.
L'éditeur peut recourir à des sous-traitants ultérieurs (notamment pour l'hébergement) au sens de l'article 28, paragraphes 2 et 4, du RGPD. Ce recours est subordonné à l'autorisation de l'employeur et à la conclusion de contrats imposant des garanties au moins équivalentes à celles du contrat de sous-traitance principal. La liste de ces sous-traitants ultérieurs est tenue à disposition de l'employeur.
Les données du scrutin ne sont ni vendues, ni louées, ni utilisées à des fins de prospection. Elles peuvent toutefois être communiquées à un tiers expert chargé de l'expertise indépendante du système (lorsqu'elle est diligentée), à l'inspection du travail ou à l'autorité judiciaire, dans les cas et conditions prévus par la loi.
- Bureau de vote et employeur — accès aux données nécessaires à l'organisation et au contrôle du scrutin.
- Personnel habilité de l'éditeur — accès strictement limité aux missions de sous-traitant, sous confidentialité.
- Hébergeur et prestataires techniques — sous-traitants ultérieurs sous contrat (art. 28) [À COMPLÉTER : liste / hébergeur].
- Expert indépendant, autorités — communication possible dans les conditions prévues par la loi et le PAP.
L'hébergement des données est prévu au sein de l'Union européenne — [À COMPLÉTER : identité et localisation de l'hébergeur, à confirmer au contrat de sous-traitance]. Tout transfert hors UE, s'il devait survenir, serait encadré par les garanties appropriées prévues au chapitre V du RGPD et soumis à l'autorisation de l'employeur.
9. Sécurité des données et mesures techniques
Conformément à l'article 32 du RGPD et aux articles R.2314-5 à R.2314-18 du Code du travail, des mesures techniques et organisationnelles appropriées sont mises en œuvre pour garantir la confidentialité, l'intégrité, la disponibilité et la résilience du système, ainsi que le secret et la sincérité du scrutin.
Ces mesures incluent l'authentification forte des électeurs par WebAuthn PRF (sans secret transmis), le chiffrement des bulletins à la source, le chiffrement homomorphe à seuil avec répartition de la clé entre plusieurs gardiens, le scellement de l'urne, la journalisation horodatée en ajout seul (ledger append-only) et la conservation des preuves sous scellés. Toute altération du journal devient détectable.
Le profil CSE de la plateforme est conçu pour la conformité et certifiable au niveau le plus exigeant de la recommandation CNIL ; il est destiné à l'expertise indépendante. Il n'est ni « certifié CNIL » ni « déjà expertisé » : l'expertise indépendante porte sur le scrutin de l'employeur, dans son contexte, et relève de la responsabilité de ce dernier.
- Authentification forte — WebAuthn PRF : clé d'accès, clé matérielle ou biométrie ; secret dérivé localement, jamais transmis.
- Chiffrement — homomorphe à seuil (ElGamal / Ristretto255), preuves Bulletproofs / FCMP++ ; aucun déchiffrement individuel.
- Intégrité — journal append-only chaîné et horodaté ; scellement de l'urne ; toute altération est détectable.
- Cloisonnement — séparation stricte du fichier d'authentification et de l'urne, registre d'enrôlement isolé.
10. Analyse d'impact relative à la protection des données (AIPD)
Le vote électronique constitue un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. À ce titre, une analyse d'impact relative à la protection des données (AIPD), au sens de l'article 35 du RGPD, doit être réalisée avant la mise en œuvre du traitement.
L'AIPD relève de la responsabilité de l'employeur, responsable de traitement. L'éditeur de la plateforme, en sa qualité de sous-traitant, apporte son assistance et fournit les informations techniques nécessaires (description du système, mesures de sécurité, mapping des garanties), conformément à l'article 28.3.f du RGPD.
Si l'AIPD révèle des risques résiduels élevés que les mesures envisagées ne permettent pas d'atténuer suffisamment, une consultation préalable de la CNIL peut être nécessaire (article 36 du RGPD).
La documentation technique de la plateforme (séparation identité / bulletin, chiffrement à seuil, journal append-only, conservation sous scellés) alimente l'analyse de risque de l'employeur et la rend opposable. L'éditeur assiste le responsable de traitement dans sa formalisation, sans s'y substituer.
11. Vos droits et leurs limites pendant un scrutin ou un recours
Les personnes concernées disposent des droits prévus par le RGPD : droit d'accès (art. 15), de rectification (art. 16), à l'effacement (art. 17), à la limitation du traitement (art. 18) et d'opposition (art. 21), dans les conditions et limites prévues par la réglementation. Le droit à la portabilité (art. 20) ne s'applique pas, le traitement ne reposant ni sur le consentement ni sur l'exécution d'un contrat conclu par la personne concernée elle-même.
Ces droits s'exercent dans les limites tenant aux obligations légales de l'employeur et à l'impératif de sincérité du scrutin. Ainsi, le droit à l'effacement et le droit d'opposition ne peuvent pas conduire à retirer un électeur des listes pendant un scrutin en cours, ni à détruire des données ou des preuves nécessaires au déroulement du vote ou à l'exercice des voies de recours. De même, aucune suppression n'est possible tant qu'un recours est pendant : les fichiers restent conservés sous scellés jusqu'à l'épuisement des délais de recours ou jusqu'à une décision définitive.
Le secret du vote impose une limite supplémentaire : la plateforme ne déchiffrant jamais les bulletins individuels, aucune donnée ne relie une personne au sens de son vote ; il n'est donc ni possible ni légitime de demander l'accès au contenu de son propre bulletin a posteriori, ce contenu n'étant rattaché à aucune personne identifiable.
Adressez votre demande en priorité à votre employeur, responsable de traitement. Vous pouvez également contacter l'éditeur via le formulaire de contact (voir section dédiée) : en sa qualité de sous-traitant, il relaiera votre demande au responsable de traitement et l'assistera. Une réponse vous est apportée dans les délais prévus par le RGPD, sous réserve des limites ci-dessus.
12. Délégué à la protection des données (DPO)
L'employeur, responsable de traitement, peut avoir désigné un délégué à la protection des données (DPO) ; le cas échéant, ses coordonnées vous sont communiquées dans l'information RGPD que l'employeur vous remet et constituent votre point de contact privilégié pour toute question relative à vos données.
Pour les questions relevant de l'éditeur de la plateforme en sa qualité de sous-traitant, les coordonnées de contact sont les suivantes.
- DPO de l'éditeur — [À COMPLÉTER : nom / fonction et moyen de contact du DPO ou, à défaut, du référent protection des données].
- Contact protection des données — via le formulaire de contact du site (voir section dédiée), en l'absence de coordonnées directes publiées.
- DPO de l'employeur — communiqué par votre employeur dans son information RGPD, le cas échéant.
13. Cookies et traceurs
Le site CSE Election peut déposer des cookies et traceurs. Les cookies strictement nécessaires au fonctionnement du service (notamment ceux indispensables à la sécurité, à l'authentification et au bon déroulement du parcours de vote) sont déposés sans recueil de consentement, leur finalité étant exclusivement de permettre la fourniture du service demandé.
Les éventuels cookies non essentiels (mesure d'audience nécessitant un consentement, fonctionnalités tierces) ne sont déposés qu'après recueil de votre consentement, dans les conditions fixées par l'article 82 de la loi Informatique et Libertés et les lignes directrices de la CNIL. Vous pouvez à tout moment retirer votre consentement et paramétrer vos préférences.
Pour le détail de la liste des cookies, de leurs finalités et de leur durée de vie, reportez-vous au module de gestion des cookies du site.
- Cookies essentiels — sécurité, authentification, déroulement du vote ; déposés sans consentement (service demandé).
- Cookies non essentiels — mesure d'audience, fonctionnalités tierces ; soumis à votre consentement préalable [À COMPLÉTER : liste exacte].
- Gestion des préférences — consentement retirable à tout moment via le module de gestion des cookies.
14. Réclamation auprès de la CNIL
Si vous estimez, après avoir contacté le responsable de traitement, que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité de contrôle compétente en France.
Vous pouvez saisir la CNIL par voie postale (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) ou en ligne sur son site officiel www.cnil.fr. Cette voie ne se substitue pas à un éventuel recours juridictionnel.
15. Modification de la politique de confidentialité
La présente politique peut être mise à jour pour tenir compte des évolutions légales, réglementaires, jurisprudentielles ou techniques. La version applicable est celle publiée sur le site à la date de votre consultation ; la dernière version publiée fait foi.
Pour les traitements relatifs à un scrutin déterminé, l'information opposable demeure celle délivrée par l'employeur, responsable de traitement, et les stipulations du contrat de sous-traitance. En cas de modification substantielle affectant les personnes concernées, une information appropriée est assurée.
Version 1.0 — Dernière mise à jour : [À COMPLÉTER : date de publication]. La dernière version publiée sur le site fait foi. Éditeur : [À COMPLÉTER : raison sociale, forme juridique, SIRET/RCS, siège social, directeur de la publication].
16. Comment nous contacter
Pour toute question relative à la présente politique ou au traitement de vos données par l'éditeur de la plateforme en sa qualité de sous-traitant, utilisez le formulaire de contact du site. Pour l'exercice de vos droits sur un scrutin précis, adressez-vous en priorité à votre employeur, responsable de traitement.
Pour une demande commerciale ou un projet d'élection, vous pouvez demander un devis.