Archivage des résultats d'élections CSE : durée légale, scellés et preuve d'intégrité

Combien de temps faut-il conserver les résultats d'une élection CSE ?

La réponse tient dans une distinction que la plupart des pages zappent. Les fichiers techniques du scrutin électronique — urne chiffrée, émargement, programmes, sauvegardes — restent sous scellés jusqu'à l'expiration du délai de recours, soit quinze jours après la proclamation des résultats (article R.2314-17 du Code du travail). Tant qu'un contentieux est ouvert, ce délai court jusqu'à la décision définitive.

Le procès-verbal des résultats ne suit pas ce calendrier. C'est une pièce probante : il fonde la mesure de l'audience syndicale et sert d'appui à toute contestation. On le conserve pendant le mandat (quatre ans en principe) et au-delà. L'aligner sur les quinze jours des fichiers techniques est l'erreur la plus courante — et la plus coûteuse.

Troisième repère, souvent oublié : la prescription pénale. En cas de soupçon de délit (entrave, fraude électorale), certains éléments se gardent en archivage intermédiaire jusqu'à six ans. En clair : on ne détruit pas mécaniquement au quinzième jour si un litige est pendant ou seulement prévisible. La conservation suit le risque, pas seulement le calendrier.

Ce que dit vraiment l'article R.2314-17

L'article R.2314-17 est le pivot de tout l'édifice. Il s'insère dans la série R.2314-5 à R.2314-18, qui encadre le vote électronique aux élections du CSE. Deux obligations, pas une : conserver les fichiers sous scellés, et pouvoir rejouer la procédure de décompte. C'est cette seconde exigence — la rejouabilité — qui sépare une archive vivante d'un disque scellé que plus personne ne sait rouvrir.

Le scellement rend toute modification ou consultation détectable : c'est ce qui donne à l'archive sa valeur probante. À l'expiration des délais, et sauf contentieux, l'employeur détruit les fichiers, sous le contrôle de la commission électorale ou du bureau de vote, jamais du prestataire seul. Scellés à la clôture, conservation pendant le recours, prolongation en cas de litige, destruction contrôlée à la fin : le texte dessine un cycle de vie complet.

Que faut-il sceller après le scrutin ?

Le texte ne fixe pas qu'une durée : il définit le périmètre à sceller. Un oubli — un seul des cinq éléments manquant — et c'est toute la démonstration de régularité qui vacille. Point que les contenus génériques survolent, alors qu'il conditionne la validité de l'archive.

Deux exigences distinctes cohabitent d'ailleurs dans ce périmètre, et on les confond souvent. L'intégrité prouve que rien n'a été altéré depuis la clôture — elle se démontre. La confidentialité protège le secret du vote et les données des électeurs — elle relève du RGPD. Une archive bien conçue sert les deux à la fois.

Le cycle de vie de l'archive, de la clôture à la destruction

L'archive n'est pas un état figé, c'est une trajectoire. La lire comme un cycle évite les deux fautes déjà citées : détruire trop tôt et perdre la preuve, garder trop longtemps et enfreindre le RGPD. Un seul déclencheur commande le passage de la conservation à la destruction : l'épuisement des recours.

Si une contestation est portée devant le tribunal judiciaire dans les quinze jours, le cycle se prolonge jusqu'à ce que la décision soit devenue définitive — plusieurs mois, parfois davantage en cas d'appel. Le procès-verbal, lui, sort de ce cycle technique et poursuit sa route.

Qui garde les données : l'employeur ou le prestataire ?

Question de responsabilité juridique avant d'être une question d'organisation. Au sens du RGPD, l'employeur qui organise les élections est responsable de traitement : il fixe les finalités et les moyens. La base légale est l'obligation légale d'organiser le scrutin (art. L.2314-4 du Code du travail). C'est lui qui porte, in fine, la conformité de la conservation et de la destruction.

CSE Election — marque blanche propulsée par la technologie Sephos — intervient comme sous-traitant au sens de l'article 28 du RGPD. Il traite les données pour le compte de l'employeur, sur instructions documentées, et ne décide jamais seul de leur sort. Dans les faits : la destruction est décidée par l'employeur, supervisée par la commission électorale, exécutée techniquement par le prestataire — qui en fournit la preuve. Cette répartition doit être écrite noir sur blanc dans le contrat de sous-traitance.

Quand et comment détruire les fichiers du vote électronique

La destruction n'est pas une option de confort : c'est une obligation conditionnée. On ne détruit qu'une fois les recours épuisés, et l'opération elle-même doit être encadrée. La destruction confiée au seul éditeur, en silence, ne vaut rien juridiquement : le texte exige un contrôle par l'organe garant du scrutin, et une trace.

En pratique, la suppression donne lieu à un constat consigné : on documente ce qui a été détruit, quand, et sous le contrôle de qui. Cette traçabilité de la destruction est le pendant logique de la traçabilité de l'archive.

Prouver l'intégrité sans déchiffrer les bulletins

Le vrai sujet d'une archive de scrutin n'est plus « est-ce sécurisé ? » mais « pouvez-vous me le prouver, sans que j'aie à vous croire ? ». La plupart des solutions de vote en ligne coincent là : pour démontrer que le décompte est exact, elles devraient pouvoir rouvrir les bulletins, donc conserver des votes déchiffrables. Chaque conservation devient alors un risque pour le secret du vote.

L'architecture qui propulse CSE Election (technologie Sephos) évite ce dilemme. Les bulletins sont chiffrés dès le poste de l'électeur (chiffrement homomorphe à seuil, ElGamal sur Ristretto255) et le décompte s'opère sur l'agrégat chiffré : on obtient le total sans jamais déchiffrer un vote individuel. Des preuves cryptographiques (FCMP++, Generalized Bulletproofs) attestent la validité de chaque bulletin sans en révéler le contenu. Conséquence sur l'archive : elle ne renferme aucun vote nominatif déchiffrable.

Trois mécanismes la rendent vérifiable par un tiers. Un journal en ajout-seul, horodaté et chaîné, qui fait office de scellé numérique — toute altération devient détectable. Une authentification WebAuthn PRF (passkey, clé matérielle ou biométrie), avec un secret dérivé localement sur l'appareil et jamais transmis au serveur. Une clé d'urne répartie entre plusieurs détenteurs (DKG, trustees) : l'urne ne s'ouvre que collectivement, jamais par l'éditeur seul. Le profil CSE est certifiable au niveau 3, conçu pour l'expertise indépendante, et un expert dédié accompagne la constitution du dossier. Ce profil vise les élections du CSE ; les autres scrutins relèvent d'une offre distincte.

RGPD, recommandation CNIL 2026 et suite des opérations

L'archivage est un traitement de données personnelles : il obéit au principe de limitation de la durée de conservation. Pour le scrutin, la finalité — pouvoir contester et prouver la régularité — s'épuise avec les délais de recours. Passé ce point, garder des données nominatives n'a plus de base : ce n'est pas de la prudence, c'est une non-conformité.

Un détail qui n'en est pas un : la recommandation CNIL de référence a changé. Depuis la délibération n°2026-045 du 19 mars 2026, c'est ce texte qui fait foi — il abroge l'ancienne recommandation n°2019-053 du 25 avril 2019, encore citée par beaucoup de prestataires. Il conserve la logique des trois niveaux de risque et encadre les données à détruire ou anonymiser après le scrutin. Vérifier quelle version votre solution applique est un test simple, et révélateur.

Enfin, l'archive ne vit pas seule. À la clôture, trois mouvements partent en parallèle : les fichiers sont scellés, le procès-verbal est établi (Cerfa n°15822*03 pour les titulaires, n°15823*03 pour les suppléants) et la transmission part vers le centre de traitement (CTEP), l'inspection du travail et les organisations syndicales candidates — dans la même fenêtre de quinze jours. Un bon prestataire génère le PV depuis le décompte vérifiable et scelle l'archive dans le même mouvement : une source unique, zéro écart de recopie.

Questions fréquentes