Vote électronique ETI : organiser des élections CSE vérifiables de 250 à 4999 salariés

Ce qui change vraiment à l'échelle d'une ETI

En TPE, l'élection tient sur une feuille. En ETI — 250 à 4 999 salariés —, c'est un projet : plusieurs établissements, un CSE central assorti de CSE d'établissement, des collèges qui se superposent, des organisations syndicales qui négocient le protocole ligne à ligne. La complexité n'est pas seulement plus grande. Elle est d'une autre nature : combinatoire.

Le vrai risque n'est pas technique, il est juridique. Plus il y a de parties prenantes et d'enjeux de représentativité, plus la probabilité qu'un point de procédure finisse devant le tribunal judiciaire augmente. Et une annulation, en ETI, ne coûte pas un après-midi : elle impose de rejouer tout ou partie d'un scrutin à plusieurs milliers d'électeurs.

Le marché du vote électronique — Voxaly/Docaposte, Neovote, People Vox, Quizzbox, Alphavote, Election-Europe et les autres — vend une plateforme de scrutin générique. Presque personne ne traite la contrainte propre de l'ETI : volumétrie, multi-périmètres, dialogue social structuré, exposition au contentieux. C'est pourtant là que la partie se gagne ou se perd.

Le cadre légal, sans détour

Le vote électronique n'est ni obligatoire ni automatique. C'est une faculté offerte à l'employeur, qui doit être autorisée avant tout scrutin. Le CSE, lui, s'impose dès 11 salariés atteints sur 12 mois consécutifs — largement dépassé en ETI. Mandat des élus : 4 ans, réductible à 2 ou 3 ans par accord.

Le recours en ligne est encadré par l'article L.2314-26 et les articles R.2314-5 à R.2314-18 du Code du travail. Ces textes exigent un cahier des charges, la confidentialité et l'intégrité du scrutin, le scellement de l'urne, la séparation stricte entre l'identité de l'électeur et son bulletin, et une expertise indépendante du système. En ETI, aucune de ces exigences n'est négociable : c'est exactement le terrain sur lequel une contestation ira chercher la faille.

Deux repères calent tout le calendrier. L'information du personnel intervient au moins 90 jours avant le premier tour. Le premier tour est réservé aux listes syndicales ; faute de quorum ou de candidats, un second tour ouvert aux candidatures libres se tient dans les 15 jours. La dématérialisation ne modifie pas ce calendrier — elle s'y inscrit.

Autoriser le vote : accord de groupe ou décision unilatérale

Avant le scrutin, il faut une base. Le Code du travail privilégie l'accord collectif : accord d'entreprise, ou accord de groupe pour une ETI structurée en filiales. C'est la voie propre. Elle donne au dispositif une légitimité forte face aux syndicats et sécurise les scrutins successifs, pas seulement celui de l'année.

À défaut — négociation qui n'aboutit pas malgré une tentative loyale, ou absence d'interlocuteur syndical sur un périmètre —, la décision unilatérale (DUE) reste ouverte. La jurisprudence l'admet quand la négociation loyale a échoué. Le point sensible en ETI, où les implantations syndicales varient d'un site à l'autre : documentez cette tentative. C'est elle qui rendra la DUE opposable, pas la DUE elle-même.

Que le recours passe par accord ou par DUE, ses modalités atterrissent ensuite dans le protocole d'accord préélectoral. Et là, une erreur revient sans cesse : négocier le PAP avant d'avoir cadré la technique. L'ordre est inverse. Le cahier des charges du vote électronique se prépare en amont, pour que les clauses du PAP — authentification, scellement, expertise, assistance, bureau de vote — soient précises et opposables. Un PAP qui se contente d'évoquer « un vote électronique sécurisé » laisse une prise.

CNIL : la recommandation du 19 mars 2026, et pourquoi une ETI vise le niveau 3

Ici, un vrai différenciateur, et il est daté. La recommandation en vigueur est celle du 19 mars 2026 (délibération CNIL n°2026-045). Elle abroge la délibération n°2019-053 du 25 avril 2019 — que beaucoup de concurrents citent encore sur leurs pages. Vérifiez : un prestataire qui vous parle de la « recommandation 2019 » travaille sur un texte périmé.

Ce qui ne change pas, c'est la logique par les risques. Le responsable de traitement — l'employeur — analyse son scrutin, le classe dans l'un des trois niveaux, puis applique les mesures correspondantes. Plus l'enjeu et l'exposition montent, plus les garanties exigées sont fortes.

Pour une ETI, le résultat penche presque toujours vers le niveau 3 : multi-sites, syndicats structurés, volumétrie, enjeu de représentativité. Le niveau 3 impose notamment le chiffrement de bout en bout, le scellement, la séparation identité/vote et une expertise indépendante. Et un mot de vocabulaire, parce qu'il traîne partout : « certifié CNIL » n'existe pas. La CNIL émet des recommandations, pas des certifications. Nous parlons donc d'un profil CSE conçu pour la conformité et certifiable au niveau 3 — pensé pour réussir une expertise indépendante, pas autoproclamé conforme.

La vraie question n'est pas « est-ce sécurisé ? » mais « pouvez-vous le prouver ? »

Tous les fournisseurs se disent « sécurisés », « conformes », « vérifiables ». Ces mots ne départagent personne. À mon sens, la bonne question n'est plus « est-ce sécurisé ? » — tout le monde répond oui — mais « pouvez-vous me le prouver sans que je vous fasse confiance ? ». Là, les réponses divergent brutalement.

L'authentification d'abord : WebAuthn PRF. Une clé d'accès (passkey), une clé matérielle ou la biométrie de l'appareil. Le secret est dérivé localement, sur le terminal de l'électeur, et n'est jamais transmis au serveur. L'électeur s'enrôle en amont, puis s'authentifie d'un geste. C'est la réponse directe à la faiblesse reconnue des codes envoyés par e-mail ou SMS — interceptables, devinables, extorquables —, un risque démultiplié sur un corps électoral d'ETI, nombreux et dispersé.

Le chiffrement ensuite. Le bulletin est chiffré dès le poste de l'électeur, avant toute transmission, par un chiffrement homomorphe à seuil (ElGamal sur la courbe Ristretto255), accompagné de preuves cryptographiques (FCMP++, Generalized Bulletproofs) qui attestent qu'un bulletin est valide sans jamais le déchiffrer. La clé de l'urne n'existe nulle part en un seul exemplaire : elle est générée et répartie entre plusieurs détenteurs (DKG, trustees) selon un schéma à seuil. L'urne ne s'ouvre donc que collectivement, à la clôture. Jamais par une personne seule. Jamais par l'éditeur seul.

La conséquence est la propriété qui compte vraiment : le système ne déchiffre jamais les bulletins un à un. Le dépouillement porte sur l'agrégat chiffré. On peut vérifier que le bulletin déposé reflète le choix de l'électeur (cast-as-intended), qu'il est enregistré tel quel (recorded-as-cast) et que le total proclamé correspond aux bulletins enregistrés (tallied-as-recorded). Voilà la vérifiabilité de bout en bout : chaque maillon est démontrable, pas simplement affirmé. Et chaque évènement est horodaté et chaîné dans un journal en ajout-seul, ce qui rend toute altération détectable.

Expertise, secret du vote, RGPD : ce qu'un tiers peut réellement contrôler

L'expertise indépendante n'est pas un label qu'on colle sur une brochure. C'est un tiers compétent, distinct du prestataire, mandaté par votre entreprise, qui contrôle le système avant sa première mise en œuvre (article R.2314-9). Son rapport est tenu à la disposition de la CNIL et vous sert de preuve de conformité opposable. En ETI, c'est le verrou qui dérisque le scrutin face à des syndicats aguerris. Encore faut-il que l'architecture soit conçue pour cet examen : l'expert vérifie le chiffrement et le scellement, l'authentification, la séparation identité/bulletin, l'intégrité du journal. Beaucoup citent l'expertise sans jamais dire ce qu'un expert peut concrètement constater. Notre parti pris est l'inverse.

Le secret du vote tient à une séparation stricte : le fichier d'émargement atteste qu'un électeur a voté et sert au quorum ; l'urne ne contient que des bulletins chiffrés, dissociés de toute identité. Ici, cette séparation n'est pas qu'une bonne pratique organisationnelle, elle est garantie par la cryptographie. Aucun bulletin n'est déchiffré individuellement, l'urne s'ouvre collectivement, le résultat se calcule sur l'agrégat. Le système ne délivre aucun reçu du contenu du vote — seulement la preuve qu'il a été pris en compte. Par conception, cela réduit fortement la coercition, sans prétendre à un absolu théorique. C'est la formulation prudente. C'est aussi la formulation honnête.

Sur le RGPD, la répartition des rôles structure tout. L'employeur est responsable de traitement ; CSE Election, propulsé par la technologie Sephos, intervient comme sous-traitant au sens de l'article 28, encadré par contrat. Base légale : l'obligation d'organiser les élections professionnelles (article L.2314-4). Conservation des fichiers jusqu'à 15 jours après la proclamation (article R.2314-17), prolongée en cas de contentieux. Quant à l'hébergement, exigez sa localisation et son niveau de protection par écrit, au cahier des charges : cela se vérifie au devis, cela ne se présume pas.

Le jour du scrutin : scellement, dépouillement, procès-verbaux

Le jour J, deux rôles ne se confondent pas. Le bureau de vote, composé selon le PAP, supervise les opérations : ouverture, surveillance, clôture, proclamation. La cellule technique opère la plateforme — sans jamais accéder au contenu des votes. Cette séparation est une garantie de sincérité, particulièrement scrutée en ETI où plusieurs bureaux et périmètres coexistent.

Le dépouillement est automatisé, traçable, reproductible. Le quorum se vérifie collège par collège : atteint si les votants représentent au moins la moitié des inscrits du collège. Les sièges sont attribués à la représentation proportionnelle à la plus forte moyenne, après calcul du quotient électoral, dans le respect de la parité femmes-hommes par liste. Puis les procès-verbaux Cerfa — n°15822*03 pour les titulaires, n°15823*03 pour les suppléants — sont générés et télétransmis au CTEP, à l'inspection du travail et aux organisations syndicales qui le demandent.

Côté électeurs : vote depuis un ordinateur, une tablette ou un smartphone, sans installation. Pour ceux qui n'ont pas d'équipement personnel, pas de connexion à domicile, ou qui sont peu à l'aise avec le numérique, l'employeur installe des postes dédiés sur site, dans un espace qui préserve la confidentialité (isoloir numérique), et adapte les conditions pour les électeurs empêchés ou en situation de handicap. Une assistance dédiée couvre toute la période de vote — indispensable à l'échelle d'une ETI.

Combien coûte un vote électronique d'ETI

Aucun montant ferme ici : un scrutin d'ETI ne se chiffre pas au forfait. Mais voici des ordres de grandeur honnêtes. Le coût dépend surtout du nombre d'électeurs (facteur n°1, dégressif), du nombre de périmètres et de collèges, de la configuration multi-sites, du niveau d'accompagnement et du nombre de tours.

Notre grille publique démarre à 390 € HT pour les très petits CSE. L'offre vitrine, à 690 € HT, couvre jusqu'à 300 électeurs — c'est le bas de la fourchette ETI. Au-delà, l'offre Grand CSE à 1 490 € HT va jusqu'à 1 000 électeurs ; passé ce seuil, le cas de la plupart des ETI, on passe au sur-devis, parce que la complexité multi-périmètres et le niveau de service pèsent lourd. À titre de repère, les offres d'entrée du marché se situent souvent entre 980 et 1 350 €.

Le plus simple : simulez votre coût ci-dessous à partir du nombre d'électeurs, puis demandez un devis. Un second tour, lorsqu'il est nécessaire, remobilise la plateforme et le support — le devis en tient compte.

Contestation : la preuve cryptographique comme bouclier

Une élection de CSE se conteste devant le tribunal judiciaire, et les délais sont courts : en principe 3 jours après la publication des listes pour l'électorat, 15 jours après la proclamation pour les résultats. Passé ces délais, les opérations deviennent définitives. En ETI, une annulation n'a rien d'anodin — c'est un scrutin lourd à rejouer.

La chambre sociale de la Cour de cassation se montre exigeante sur les garanties techniques du vote électronique et sur l'information des électeurs. Face à cela, la plupart des solutions opposent des journaux serveur et une attestation : une preuve qui repose sur la confiance qu'on veut bien leur accorder. C'est fragile.

L'approche change de registre. Un journal en ajout-seul qui horodate et chaîne chaque évènement rend toute altération détectable. Couplé à l'ouverture collective de l'urne, à l'absence de déchiffrement individuel et au rapport d'expertise indépendante, il constitue un dossier de preuves opposable — pas une déclaration. C'est tout l'intérêt du profil CSE certifiable au niveau 3 : dissuader les contestations dilatoires autant que gagner celles qui vont au bout. Une précision de périmètre, par honnêteté : ce profil couvre les élections du CSE, pas les référendums, assemblées générales ou sondages internes, qui relèvent d'une offre distincte avec ses propres garanties.

Quelle offre pour vous ?

Prix fixe, tout inclus, sans frais cachés.

Questions fréquentes