Vote électronique multi-sites : organiser les élections CSE de tous vos établissements

Multi-sites : autant d’élections que d’établissements distincts

Une entreprise multi-sites n’organise pas une élection. Elle en organise autant qu’elle compte d’établissements distincts — un scrutin par établissement, avec ses collèges, ses listes et son dépouillement.

Le déclencheur, c’est le seuil de 50 salariés apprécié au niveau de l’entreprise (effectif atteint sur 12 mois consécutifs), combiné à la présence d’au moins deux établissements distincts. Sous cette double condition, la loi impose deux étages : un CSE d’établissement (CSEE) élu dans chaque établissement, et un CSE central d’entreprise (CSEC) au sommet.

En dessous de 50 salariés, ou avec un seul établissement distinct — même réparti sur dix adresses —, on reste sur un CSE unique et un scrutin unique. Retenez surtout ceci : on vote pour son CSEE ; le CSEC, lui, n’est pas élu au suffrage direct, il est désigné parmi les titulaires des CSEE. D’où une conséquence que trop de projets négligent : un dépouillement d’établissement bâclé contamine toute la composition du comité central.

L’établissement distinct : la notion qui commande tout le reste

Avant de parler plateforme, il faut trancher le périmètre. Et l’erreur la plus courante consiste à confondre établissement distinct et site géographique. Ce n’est pas la même chose.

Le critère, consacré par le Code du travail et la Cour de cassation, c’est l’autonomie de gestion — en particulier dans la gestion du personnel. Une enseigne de 40 boutiques pilotées depuis un siège, sans autonomie RH locale, peut ne compter qu’un seul établissement distinct. Trois usines dotées chacune d’une direction autonome en comptent trois. La distance et l’adresse ne décident de rien ; l’autonomie réelle, si.

Qui fixe ce périmètre ? Un ordre de sources, dans cet ordre précis. D’abord un accord d’entreprise majoritaire avec les syndicats représentatifs. À défaut, un accord avec le CSE en place, à la majorité des titulaires. Et seulement à défaut de tout accord, une décision unilatérale de l’employeur (DUE), qui doit tenir compte de l’autonomie de gestion.

La DUE n’est pas un confort : c’est le dernier recours, et le plus contestable. Les syndicats peuvent la contester devant la DREETS, dont la décision se conteste elle-même devant le tribunal judiciaire. Mon conseil de praticien : traitez le périmètre très en amont, avant J-90, et gardez une marge dans le rétroplanning. Lancer un scrutin sur un périmètre encore contesté, c’est prendre le risque de tout recommencer.

Le vrai défi du multi-sites est technique, pas juridique

Le droit se règle en amont, une fois. L’exécution, elle, se joue le jour J, sur tous les sites à la fois. C’est là que la plupart des projets dérapent.

Trois difficultés se cumulent, et elles se renforcent l’une l’autre. Les deux premières se gèrent avec de la méthode. La troisième — l’intégrité distribuée — ne se gère pas avec des promesses.

Quand un prestataire répond « plateforme sécurisée, conforme CNIL », il décrit une intention, pas une preuve. Sur N urnes et des milliers d’électeurs, la seule réponse sérieuse est architecturale : rendre la sécurité de chaque scrutin démontrable. On y vient.

Un seul socle, N scrutins étanches

La promesse opérationnelle tient en une ligne : une plateforme, autant d’urnes isolées que d’établissements. Chaque établissement a son périmètre — sa liste électorale contrôlée, ses collèges issus du PAP, ses listes de candidats, ses dates.

À l’authentification, chaque électeur est routé vers son seul scrutin et ses seules listes. Aucun croisement possible entre établissements : un salarié de l’usine de Lyon ne voit jamais les listes de Nantes.

Le dépouillement suit la même logique — par établissement et par collège, à la représentation proportionnelle à la plus forte moyenne avec quotient électoral, parité femmes-hommes respectée sur les listes. Chaque CSEE sort ses titulaires et suppléants, consignés au procès-verbal (Cerfa n°15822*03 pour les titulaires, n°15823*03 pour les suppléants). Ces résultats nourrissent ensuite la désignation du CSEC. Un backend unique, mais des urnes hermétiquement séparées, et un tableau de bord qui suit la participation site par site en temps réel.

Des électeurs dispersés, sans mot de passe à perdre

L’accès est le talon d’Achille du multi-sites. Terrain, télétravail, sites à l’étranger, salariés sans e-mail pro : plus l’effectif est éclaté, plus les identifiants distribués se perdent et plus les demandes de réinitialisation s’accumulent la veille du scrutin. C’est du support en plus et de l’abstention en prime.

CSE Election s’appuie sur l’authentification WebAuthn PRF, sans mot de passe. L’électeur s’identifie avec une clé d’accès (passkey), une clé matérielle ou la biométrie de son appareil, après un enrôlement préalable. Le secret est dérivé localement, sur son terminal, et n’est jamais transmis au serveur. Rien à mémoriser, rien à réinitialiser — précisément ce qui fait chuter le support côté populations dispersées.

Le parcours est le même depuis le siège, une agence ou un chantier. Et comme rien de sensible ne circule sur le réseau, la surface d’attaque liée à l’accès se réduit — et devient vérifiable par un expert, au lieu d’être prise sur parole.

La bonne question : « pouvez-vous le prouver ? »

Voilà le cœur du sujet, et le terrain que les concurrents laissent vide. « Est-ce sécurisé ? » n’est plus la bonne question. Celle qu’un DRH averti devrait poser à chaque prestataire, c’est : pouvez-vous me prouver l’intégrité de chaque urne sans que je sois obligé de vous faire confiance ?

La réponse s’appelle vérifiabilité de bout en bout. Elle tient en trois briques. D’abord le chiffrement homomorphe à seuil (ElGamal sur la courbe Ristretto255), assorti de preuves cryptographiques (FCMP++, Generalized Bulletproofs) qui attestent qu’un bulletin est valide sans jamais le déchiffrer. La clé de chaque urne n’existe nulle part en entier : elle est générée et répartie entre plusieurs détenteurs (DKG, trustees). Aucune urne d’établissement ne s’ouvre par un acteur seul — ni l’éditeur, ni l’hébergeur —, uniquement collectivement, à la clôture.

Ensuite le dépouillement se calcule sur l’agrégat chiffré : le système ne déchiffre jamais un bulletin individuel. La séparation entre l’identité de l’électeur et l’expression de son vote cesse d’être une procédure qu’on doit croire respectée site par site — elle devient une propriété du système. Enfin, un journal en ajout-seul, horodaté et chaîné, rend toute altération détectable, établissement par établissement. L’expert indépendant ne croit plus : il constate.

Effet direct sur la coercition, et restons mesurés. Le système ne délivre aucun reçu du contenu du vote et ne déchiffre jamais les bulletins individuels. Un électeur sous pression — d’un responsable local, par exemple — n’a donc aucun élément déchiffré à présenter ni à monnayer. Aucune technologie n’efface la pression sociale ; mais la conception retire le levier matériel de la coercition.

Conformité : Code du travail, recommandation CNIL du 19 mars 2026, RGPD

Le vote électronique aux élections du CSE est encadré par les articles R.2314-5 à R.2314-18 du Code du travail. Ces garanties — confidentialité, séparation stricte entre le fichier d’émargement et le contenu de l’urne, scellement à l’ouverture et à la clôture, journal des opérations — valent pour chaque urne d’établissement, pas seulement « pour la plateforme en général ».

Côté CNIL, attention à la date. La recommandation en vigueur est celle du 19 mars 2026 (délibération n°2026-045), qui abroge l’ancienne délibération n°2019-053 du 25 avril 2019. Beaucoup de prestataires citent encore la 2019-053 périmée : un signal à surveiller quand vous comparez. Le nouveau texte conserve l’approche par les risques et ses trois niveaux : le responsable de traitement mène une analyse de risques qui classe le scrutin en niveau 1, 2 ou 3. Un contexte multi-sites — effectifs élevés, pluralité d’établissements, tensions locales possibles — pointe souvent vers le niveau le plus haut, celui qui attend une expertise indépendante du système avant la première mise en œuvre.

CSE Election est conçue pour cette expertise : son profil CSE est certifiable au niveau 3, c’est-à-dire pensé dès l’architecture pour la satisfaire. Pas « certifié CNIL », pas « déjà expertisé » : conçu pour la conformité, et pour réussir l’expertise que votre entreprise reste libre de diligenter. Ce profil couvre exclusivement les élections du CSE.

Côté RGPD, les rôles sont clairs. L’employeur est responsable de traitement, sur l’ensemble des établissements. CSE Election / Sephos intervient comme sous-traitant au sens de l’article 28. La base légale n’est pas le consentement mais l’obligation légale d’organiser les élections (Code du travail, article L.2314-4). Les fichiers restent sous scellés jusqu’à 15 jours après la proclamation (article R.2314-17), au-delà en cas de contentieux.

Calendrier synchronisé : de J-90 à la désignation du CSEC

Le calendrier est le nerf du multi-sites. L’information du personnel doit précéder le premier tour d’au moins 90 jours, sur chaque site. Le protocole d’accord préélectoral (PAP) se négocie au niveau de l’entreprise (cadre commun) ou de chaque établissement — les deux se pratiquent.

Le principe d’un calendrier maître : une échéance commune, des marges locales, et jamais de vue perdue sur la double date — premier tour réservé aux syndicats, second tour ouvert dans les 15 jours si le quorum n’est pas atteint ou si des sièges restent vacants. Le quorum, justement, s’apprécie par collège et par établissement (au moins la moitié des inscrits) : un site peut l’atteindre quand un autre déclenche un second tour. D’où l’intérêt d’un pilotage qui suit chaque scrutin sans les confondre.

Combien ça coûte — et pourquoi CSE Election

Sur le papier, chaque établissement paie sa propre logistique : impression, acheminement, bureaux de vote à armer, dépouillement manuel, affranchissement pour la correspondance. Dix sites, c’est dix fois la logistique de proximité. Le vote électronique inverse la logique par la mutualisation : un socle unique, aucun matériel à acheminer, un dépouillement automatisé et simultané. Plus vos établissements se multiplient, plus l’écart se creuse en votre faveur.

Je ne donne pas de tarif ferme hors contexte. À titre indicatif, la grille self-service va de 390 € HT (jusqu’à 30 électeurs) à 690 € HT (jusqu’à 300) puis 1 490 € HT (jusqu’à 1 000). Mais un vrai projet multi-sites — plusieurs établissements, collèges multiples, électeurs dispersés, accompagnement par un expert dédié — dépasse le cadre self-service et relève du sur-devis. Le simulateur ci-dessous donne un ordre de grandeur ; seul le devis engage.

Pour résumer sans slogan : les prestataires génériques traitent mal l’accès des électeurs dispersés et restent évasifs sur l’intégrité distribuée. CSE Election répond aux deux par l’architecture — WebAuthn PRF sans mot de passe sur tous les sites, chiffrement homomorphe à seuil et journal en ajout-seul urne par urne, aucun déchiffrement individuel, profil CSE certifiable niveau 3 dédié aux seules élections du CSE, et un expert qui vous accompagne du périmètre des établissements jusqu’à la désignation du CSEC.

Quelle offre pour vous ?

Prix fixe, tout inclus, sans frais cachés.

Questions fréquentes