Une élection CSE dématérialisée, en clair
Une élection CSE dématérialisée, c'est le scrutin du comité social et économique organisé de bout en bout en ligne : l'électeur s'authentifie à distance, dépose un bulletin chiffré dans une urne électronique scellée, le dépouillement est automatique et les procès-verbaux partent par voie électronique. Pas de papier, pas d'urne en carton, pas de dépouillement à la main.
Trois modalités se confondent souvent. Le vote à l'urne suppose une présence physique et un comptage manuel. Le vote par correspondance permet de voter à distance, mais reste lent et à la merci du courrier. Le vote électronique, lui, dématérialise le geste même du suffrage. Une élection peut les combiner ; la dématérialisation intégrale remplace tout le parcours.
La nuance qui compte : dématérialiser, ce n'est pas greffer un module de vote en ligne sur un processus resté manuel. C'est la continuité numérique — listes électorales, protocole, émargement, PV Cerfa, télétransmission — qui sépare une vraie élection dématérialisée d'un simple habillage.
Organisation du scrutin du comité social et économique sous forme entièrement numérique : authentification en ligne, bulletin chiffré déposé dans une urne électronique scellée, dépouillement automatisé et procès-verbaux Cerfa télétransmis. Le recours au vote électronique est encadré par les articles R.2314-5 à R.2314-18 du Code du travail et par la recommandation CNIL du 19 mars 2026 (délibération n°2026-045).
Est-ce autorisé ? Oui, mais jamais par défaut
Point de départ que trop de projets sautent : dématérialiser n'est ni obligatoire ni automatique. Le recours au vote électronique doit être expressément autorisé avant toute mise en œuvre. Sans cette autorisation, le scrutin en ligne est irrégulier — même avec la meilleure plateforme du marché.
Deux voies. La première, privilégiée par le Code du travail, est l'accord collectif (d'entreprise ou de groupe) qui prévoit le recours au vote dématérialisé. À défaut — pas de délégué syndical, ou négociation qui n'aboutit pas —, l'employeur peut passer par une décision unilatérale (DUE) : la jurisprudence a validé cette voie subsidiaire.
Ensuite seulement, les modalités concrètes entrent dans le protocole d'accord préélectoral (PAP) : collèges, sièges, dates des deux tours, modalités du vote en ligne. Le cahier des charges du dispositif, exigé par le Code du travail, reste tenu à la disposition des salariés et des syndicats. En clair : l'autorisation d'abord, le PAP ensuite, la technique en dernier.
Ce que la CNIL exige depuis le 19 mars 2026
Attention, beaucoup de pages concurrentes sont périmées sur ce point. La recommandation applicable n'est plus la délibération 2019-053 : elle a été abrogée. Depuis le 19 mars 2026, la référence est la délibération CNIL n°2026-045. Un prestataire qui cite encore la 2019-053 travaille sur un cadre dépassé — c'est un signal à surveiller.
La logique, elle, reste l'approche par les risques. Le responsable de traitement analyse son scrutin et le classe en niveau 1, 2 ou 3, puis applique des garanties proportionnées. Niveau 1 : enjeu et exposition faibles. Niveau 2 : authentification et confidentialité renforcées, séparation identité/vote. Niveau 3, le plus haut : chiffrement de bout en bout, scellement et expertise indépendante du système avant sa mise en œuvre. Une élection CSE à fort enjeu social relève souvent de ce niveau 3.
Côté RGPD, la répartition des rôles ne se négocie pas : l'employeur est responsable de traitement (c'est lui qui décide d'organiser l'élection), le prestataire est sous-traitant au sens de l'article 28. La base légale est l'obligation légale d'organiser les élections professionnelles (article L.2314-4 du Code du travail). Les fichiers se conservent jusqu'à l'épuisement des recours : l'article R.2314-17 fixe le repère à quinze jours après la proclamation, prolongé en cas de contentieux, puis destruction.
La CNIL émet des recommandations, pas des certifications : personne n'est « certifié CNIL ». Méfiez-vous du prestataire qui l'affiche. La bonne formulation est « conçu pour la conformité » et « certifiable au niveau 3 » — c'est-à-dire architecturé pour réussir une expertise indépendante, pas réputé déjà validé.
Le secret du vote : qui peut voir mon bulletin ?
C'est LA question que posent les salariés et les élus : « si je vote depuis mon poste, la direction peut-elle savoir ce que j'ai mis dans l'urne ? » La réponse tient à un principe — séparer strictement la liste d'émargement (qui a voté) de l'urne (ce qui a été voté) — et à la manière dont cette séparation est rendue infranchissable.
Dans une élection bien conçue, l'identité sert seulement à vérifier le droit de vote et à émarger. Le bulletin, lui, est chiffré dès le poste de l'électeur, avant toute transmission, et rejoint l'urne sans lien conservé avec l'identité. Cette séparation est exigée par la CNIL dès le niveau 2.
L'architecture retenue par CSE Election va plus loin : le système ne déchiffre jamais un bulletin individuel. Le chiffrement homomorphe à seuil permet de calculer le résultat sur l'agrégat chiffré de tous les suffrages — l'éditeur lui-même ne lit aucun vote nominatif. Et la clé de l'urne n'existe nulle part en un seul morceau : elle est répartie entre plusieurs détenteurs (trustees), l'urne ne s'ouvrant que collectivement, à la clôture.
Conséquence sur la coercition : le système ne délivre aucun reçu du contenu du vote, seulement la preuve que le suffrage a été pris en compte. Un électeur n'a donc pas de moyen simple de prouver à un tiers ce qu'il a voté. Par conception, cela réduit le risque de pression hiérarchique ou de revente de voix — sans prétendre l'éliminer dans l'absolu, ce qu'aucun système sérieux ne promet.
- Séparation émargement / urne — l'identité émarge, elle ne relie jamais un électeur à son bulletin.
- Chiffrement au poste de l'électeur — le bulletin part chiffré, jamais en clair sur le réseau.
- Aucun déchiffrement individuel — le dépouillement porte sur l'agrégat, pas sur un bulletin nominatif.
- Ouverture collective — clé répartie entre trustees (schéma à seuil) ; personne n'ouvre l'urne seul.
- Aucun reçu du contenu — seule la prise en compte du vote est attestée, ce qui réduit la coercition par conception.
La vraie question : pouvez-vous le prouver ?
Tout le monde écrit « chiffrement de bout en bout », « urne scellée », « hautement sécurisé ». Presque personne n'explique comment un tiers pourrait le vérifier. Or une garantie qu'on ne peut pas contrôler n'est pas une garantie, c'est un slogan. À mon sens, la question à poser à un prestataire n'est plus « est-ce sécurisé ? » mais « pouvez-vous me le prouver sans que j'aie à vous croire ? »
La vérifiabilité de bout en bout répond à cela en décomposant la confiance en trois contrôles : le bulletin chiffré correspond bien au choix de l'électeur (cast-as-intended), il est enregistré tel quel dans l'urne (recorded-as-cast), et tous les bulletins enregistrés sont comptés (counted-as-recorded). Réunies, ces propriétés permettent de vérifier la sincérité du scrutin sans faire confiance à l'opérateur.
Ce qui les rend observables, ce sont des briques cryptographiques précises : chiffrement homomorphe à seuil (ElGamal sur Ristretto255), preuves de validité modernes (FCMP++, Generalized Bulletproofs) qui attestent qu'un bulletin est valide sans le déchiffrer, et un journal d'audit en ajout-seul qui chaîne et horodate chaque événement, rendant toute altération détectable. Ce ne sont pas des arguments marketing : ce sont les pièces qu'un expert indépendant examine pour rendre son rapport.
L'authentification suit la même exigence. Le marché envoie encore un identifiant et un code par e-mail ou SMS — interceptable, oubliable, hameçonnable, et source classique de contestation quand un électeur affirme ne pas avoir reçu ses accès. CSE Election s'appuie sur WebAuthn PRF : clé d'accès (passkey), clé matérielle ou biométrie, avec un secret dérivé localement sur l'appareil et jamais transmis. Rien à intercepter, et un vote qui se fait d'un geste.
Le calendrier : ce que la dématérialisation ne change pas
Le vote en ligne ne raccourcit pas le calendrier légal : il s'y glisse. Le repère qui commande tout, c'est l'information du personnel au moins quatre-vingt-dix jours avant le premier tour. Comptez en pratique trois à quatre mois entre le lancement et la proclamation, selon la complexité de votre organisation.
Voici un rétroplanning indicatif, à caler sur votre protocole d'accord préélectoral. Gardez en tête que les délais de contestation sont courts et se comptent dès la publication des listes.
Quorum, second tour, PV : les règles à ne pas rater
L'élection se joue en principe à deux tours. Le premier est réservé aux listes syndicales. Le quorum est atteint quand les suffrages valablement exprimés atteignent au moins la moitié des inscrits, calculé par collège. Quorum atteint : les sièges sont attribués. Sinon, ou si des sièges restent vacants, un second tour s'ouvre dans les quinze jours, cette fois ouvert à toutes les candidatures, y compris non syndicales.
L'attribution suit la représentation proportionnelle à la plus forte moyenne, après quotient électoral, avec parité femmes-hommes sur les listes. C'est l'endroit où les erreurs coûtent cher : une mauvaise attribution est un motif classique de contestation. Si personne n'est élu au terme des deux tours, un procès-verbal de carence est dressé.
Reste l'étape la plus chronophage sur papier : les procès-verbaux. Ils sont produits au format Cerfa — n°15822*03 pour les titulaires, n°15823*03 pour les suppléants — puis transmis dans les quinze jours au centre de traitement des élections professionnelles (CTEP), à l'inspection du travail et aux syndicats qui le demandent. La télétransmission supprime l'envoi postal et la ressaisie, donc les erreurs de report. Sur l'étape la plus exposée juridiquement, c'est un vrai filet de sécurité.
Ce qui distingue CSE Election
Dématérialiser, ce n'est pas choisir un logiciel, c'est confier la sincérité d'un scrutin opposable à un partenaire. CSE Election, marque blanche propulsée par la technologie Sephos, fournit la plateforme et un accompagnement : cadrage juridique (modèles d'accord, de DUE, de PAP), conduite du scrutin, archivage des preuves — avec un expert dédié qui connaît votre dossier.
Le fond tient en un mot : vérifiabilité. Authentification WebAuthn PRF, chiffrement homomorphe à seuil avec ouverture collective, aucun déchiffrement individuel, journal en ajout-seul opposable, et un profil CSE certifiable au niveau 3, conçu pour l'expertise indépendante. Là où le marché vous demande de croire, l'architecture vous met en position de vérifier.
Une précision de périmètre, par honnêteté : ce profil certifiable niveau 3 couvre les élections du CSE, pas les référendums internes, sondages ou assemblées générales, qui relèvent d'une autre offre avec ses propres garanties. La garantie CSE n'est pas diluée dans un usage généraliste.