Partez de votre entreprise, pas d'un tableau de dix prestataires
La plupart des comparatifs alignent dix marques et vous laissent trancher seul. Prenons le problème à l'envers. On part de votre structure — effectif, collèges, dialogue social, dispersion géographique — et on remonte vers la configuration qui s'impose. Le bon choix ne tient pas à une marque, mais à la rencontre entre vos contraintes réelles et le niveau de preuve que votre scrutin exige.
Quatre profils structurent le marché, et l'un d'eux traverse les trois autres. À chacun, deux questions se posent : une question administrative (quel cadre, quels collèges, quel calendrier ?) et une question probatoire (le système peut-il démontrer, après coup, que le secret et la sincérité ont tenu ?). Tout le monde répond à la première. Presque personne à la seconde.
- PME de 11 à 199 salariés — souvent un premier scrutin, sans service RH dédié. L'enjeu n'est pas le prix, c'est de ne pas se tromper de procédure.
- ETI de 200 à 1 000 salariés — multi-collèges, sites distants, délégué syndical présent, dialogue social formalisé.
- Grand groupe de 1 000 électeurs et plus — CSE central, CSE d'établissement, parfois UES. Le sujet devient l'orchestration.
- Multi-sites et télétravail (transverse) — dès que les électeurs ne sont pas tous là le même jour, le vote à distance n'est plus un confort mais une condition.
Le socle que toute solution doit tenir, quelle que soit la taille
Avant de segmenter, posons le socle. Le CSE est obligatoire dès que l'entreprise atteint 11 salariés pendant 12 mois consécutifs ; le mandat des élus dure 4 ans, réductible à 2 ou 3 ans par accord. Le vote électronique, lui, est encadré par le Code du travail (article L.2314-26 et articles R.2314-5 à R.2314-18), par la recommandation de la CNIL et par le RGPD.
Le recours à ce mode de vote n'est jamais automatique. Il faut une base juridique : un accord d'entreprise (ou de groupe) ou, à défaut, une décision unilatérale de l'employeur (DUE) prise après une négociation loyale, puis l'inscription du principe au protocole d'accord préélectoral (PAP). Un cahier des charges conforme à la recommandation CNIL est tenu à la disposition des salariés. Ce prérequis vaut pour la TPE comme pour le grand groupe.
Viennent ensuite quatre garanties techniques, colonne vertébrale de toute solution sérieuse, indépendamment de l'effectif.
- Authentification WebAuthn PRF — l'électeur s'enrôle avec une clé d'accès (passkey), une clé matérielle ou la biométrie ; le secret prouvant son droit de vote est dérivé sur son appareil et n'est jamais transmis. Rien à intercepter, rien à transférer.
- Chiffrement homomorphe à seuil — les bulletins, chiffrés sur l'appareil, sont additionnés sans jamais être ouverts ; seul le total est révélé, et la clé est répartie entre plusieurs gardiens (DKG).
- Journal append-only — les opérations sont consignées en ajout seul, chaînées et horodatées : on peut écrire, jamais réécrire. Toute altération devient détectable.
- Vérifiabilité de bout en bout (E2E-V) — chacun vérifie que son vote a été enregistré, et n'importe qui vérifie que le résultat correspond aux bulletins déposés, sans faire confiance à l'opérateur.
Pas de vote électronique sans base juridique : accord collectif ou DUE après négociation loyale, puis inscription au PAP, puis cahier des charges tenu à disposition. Sauter cette étape, c'est offrir un motif d'annulation — que vous soyez 14 ou 6 000.
PME de 11 à 199 salariés : sécuriser un premier scrutin sans RH dédié
C'est le profil le plus exposé à l'erreur de procédure, paradoxalement parce qu'il paraît le plus simple. Ici, l'organisation des élections échoit souvent à un dirigeant ou à un RH polyvalent, sans expertise électorale interne. Les pièges qu'on voit revenir : un délai d'information du personnel non tenu, un PAP mal ficelé, des collèges mal constitués, une liste paritaire oubliée.
La bonne solution pour ce profil n'est pas la moins chère : c'est la plus accompagnée. Un premier scrutin gagne à être cadré par un expert dédié qui sécurise la base juridique (accord ou DUE), le PAP, les délais et la génération des procès-verbaux Cerfa n°15822*03 (titulaires) et n°15823*03 (suppléants). La plateforme supprime la logistique du bureau physique, calcule les sièges à la plus forte moyenne et vérifie le quorum collège par collège.
Rappel de seuil : de 11 à 25 salariés, un collège unique élit un titulaire et un suppléant ; au-delà, deux collèges deviennent la règle, sauf accord dérogatoire. La solution doit gérer ces configurations sans surcoût de paramétrage — et garantir, dès le premier électeur, le même niveau de preuve qu'un grand groupe.
ETI de 200 à 1 000 salariés : multi-collèges et syndicats à la table
Au-delà de 200 salariés, la complexité change de nature. Le CSE compte plus de sièges, un troisième collège des cadres apparaît fréquemment, les sites se dispersent, et un délégué syndical est en général présent — ce qui oriente vers l'accord collectif plutôt que la décision unilatérale. La gestion des listes électorales, leur découpage par collège et par établissement, devient un enjeu opérationnel à part entière.
À ce stade, la vérifiabilité cesse d'être un argument purement technique : elle devient un levier de négociation avec les organisations syndicales. Un délégué qui peut vérifier lui-même que le résultat correspond aux bulletins déposés, sans passer par la parole du prestataire, désamorce en amont une bonne part des griefs. La confiance ne se décrète pas. Elle se démontre.
Posez la question devant les organisations syndicales : comment vérifier, sans faire confiance au prestataire, que le résultat correspond aux bulletins déposés ? Si la réponse est « nos serveurs sont sécurisés », la sincérité est promise, pas prouvable. Avec une architecture E2E-V, elle se vérifie — par vous, par eux, par un expert.
Grand groupe et multi-sites : orchestration et confiance distribuée
Le grand groupe cumule les difficultés : volume d'électeurs élevé, CSE d'établissement multiples, CSE central, et parfois une unité économique et sociale (UES) qui impose des élections communes à plusieurs entités distinctes. Chaque établissement a ses listes, ses collèges, son quorum, ses PV ; le CSE central agrège les résultats selon des règles précises.
Ce n'est pas une simple montée en charge, c'est une orchestration : scrutins parallèles ou échelonnés, calendriers parfois décalés, collèges hétérogènes. À cette échelle, la crainte n°1 des directions juridiques n'est pas la panne, c'est la concentration des pouvoirs entre les mains du prestataire. La réponse tient dans le modèle de confiance distribué : la clé de déchiffrement est répartie entre plusieurs gardiens par génération distribuée (DKG), et aucun acteur seul, pas même l'opérateur, ne peut ouvrir l'urne.
Le multi-sites est transverse : il concerne autant la PME répartie sur trois agences que le groupe national. Dès que les électeurs sont dispersés — sites distants, salariés en déplacement, télétravail, travailleurs postés — le vote à l'urne physique devient un frein à la participation. Et là, le point faible du marché saute aux yeux : une solution qui envoie des codes par e-mail ou SMS repose sur un secret transmis, donc interceptable, transférable, hameçonnable. WebAuthn PRF supprime ce risque par construction, puisque le secret ne circule jamais.
Chiffré ne veut pas dire vérifiable
Voici le point où le marché reste muet. Tous les prestataires — Voxaly/Docaposte, Neovote, Quizzbox, Alphavote, People Vox, Election-Europe — écrivent « chiffré », « sécurisé », « conforme CNIL ». Mais « chiffré » ne dit rien de qui détient la clé, ni de la possibilité d'ouvrir un bulletin individuel, ni de la capacité d'un tiers à vérifier le résultat. La sécurité déclarative ne protège pas devant un juge. Ce qui protège l'employeur, c'est la capacité à démontrer.
La technologie Sephos qui propulse CSE Election repose sur quatre piliers réellement vérifiables. L'authentification WebAuthn PRF, sans mot de passe ni code transmissible. Le chiffrement homomorphe à seuil (ElGamal sur la courbe Ristretto255), où les bulletins sont additionnés sans jamais être ouverts et où la clé est répartie par génération distribuée (DKG). Le journal append-only, chaîné et auditable. Et des preuves à divulgation nulle de connaissance (famille Bulletproofs / Generalized Bulletproofs, constructions de type FCMP++) qui attestent la validité de chaque bulletin et la correction du décompte sans rien révéler.
La conséquence, pour un DRH ou un juriste social, est nette. Puisque les bulletins individuels ne sont jamais déchiffrés, aucune opération technique ne permet de relier un vote à un votant. Et puisque le décompte est vérifiable de bout en bout, vous n'opposez plus, en contentieux, une attestation commerciale, mais une preuve vérifiable par un tiers. C'est l'argument anti-contestation que le discours générique ne peut pas fournir.
Schéma cryptographique qui additionne des bulletins chiffrés pour n'obtenir que le résultat global, sans jamais déchiffrer un vote individuel. La clé de déchiffrement est répartie entre plusieurs gardiens (trustees) par génération distribuée (DKG) ; un seuil minimum doit coopérer pour révéler le total. Aucun acteur seul, pas même l'opérateur, ne peut ouvrir l'urne.
Ce que dit la CNIL en 2026 — et pourquoi certains citent un texte périmé
Depuis le 19 mars 2026, la recommandation en vigueur est la délibération CNIL n°2026-045. Elle abroge la délibération n°2019-053 du 25 avril 2019 (ainsi que la 2010-371). Or beaucoup de prestataires citent encore la 2019-053. À mon sens, c'est un premier signal du sérieux d'un fournisseur : s'il n'a pas mis à jour sa référence CNIL, qu'a-t-il mis à jour d'autre dans son architecture ?
La logique des trois niveaux de risque, elle, demeure. Chaque organisation évalue le niveau de son scrutin (1, 2 ou 3) selon les enjeux, la taille, le contexte social et l'exposition. Une PME au climat apaisé relèvera du niveau 1 ou 2 ; un grand groupe en tension, un secteur sensible ou une entreprise à fort risque contentieux relèvent du niveau 3, le plus exigeant.
Notre profil CSE est conçu pour répondre aux exigences du niveau 3 et destiné à l'expertise indépendante. Précision de vocabulaire, elle compte : nous parlons d'un profil « certifiable », pas « certifié ». Aucune solution n'est « certifiée CNIL » ni « 100 % conforme » de droit — c'est l'expertise indépendante de votre scrutin, dans votre contexte, qui établit la conformité. Ce périmètre couvre les élections CSE ; les référendums, AG, consultations ou tirages au sort relèvent d'une offre distincte, dont les garanties ne se déduisent pas de celles du CSE.
- Niveau 1 — petite structure, contexte apaisé, faible enjeu : garanties de base (confidentialité, intégrité, journalisation).
- Niveau 2 — PME-ETI, exposition modérée : authentification renforcée, chiffrement, traçabilité approfondie.
- Niveau 3 — grand groupe, secteur sensible, climat tendu : authentification forte sans secret transmissible, chiffrement à seuil, décompte vérifiable, expertise indépendante poussée.
Qui fait quoi, du cadrage à l'archivage
Un mot sur le RGPD, car la répartition des responsabilités est identique quelle que soit la taille et doit figurer au contrat. L'employeur est responsable de traitement : c'est lui qui décide d'organiser les élections et en fixe les finalités. CSE Election / Sephos intervient comme sous-traitant, au sens de l'article 28 du RGPD. La base légale n'est pas le consentement mais l'obligation légale d'organiser les élections (Code du travail, article L.2314-4 et suivants). Les données conservées se limitent au nécessaire, jusqu'à l'épuisement des délais de recours — en pratique 15 jours après la proclamation (article R.2314-17), sauf contentieux, puis destruction ou archivage sécurisé.
Côté projet, le scrutin se déploie en parallèle de la procédure électorale légale. Le déroulé est le même pour toutes les tailles ; seule l'ampleur de chaque étape varie. Deux exigences méritent l'attention partout : l'urne est scellée à l'ouverture (cérémonie de scellement) et ne s'ouvre qu'à la clôture par la coopération de plusieurs porteurs de clés ; le bureau de vote, d'au moins trois membres, supervise les opérations sensibles.
Par où commencer
La prochaine étape dépend de votre profil. Pour cadrer un budget, le simulateur donne une fourchette selon l'effectif, le nombre de collèges, de sites et de tours ; le devis la transforme en proposition adaptée à votre configuration exacte, sans coût caché. Et si vous voulez juger la vérifiabilité sur pièces plutôt que sur promesse, demandez une démonstration : c'est le meilleur moyen de vérifier qu'entre « chiffré » et « vérifiable », il y a toute la différence qui vous protège en contentieux.
Quelle offre pour vous ?
Prix fixe, tout inclus, sans frais cachés.