Le vote électronique est-il obligatoire pour le CSE ?
Non, et il ne le deviendra pas. Ce qui est obligatoire, c'est d'organiser les élections : le CSE s'impose dès 11 salariés atteints pendant 12 mois consécutifs, pour un mandat de 4 ans (réductible à 2 ou 3 ans par accord). Ne pas les organiser, c'est un délit d'entrave. Le vote en ligne n'est qu'une manière — facultative — de tenir cette obligation.
Pour l'utiliser, il faut une autorisation. Le Code du travail (article L.2314-26) privilégie l'accord d'entreprise ou de groupe. À défaut — pas de délégué syndical, ou négociation qui n'aboutit pas — l'employeur peut trancher seul par décision unilatérale ; la jurisprudence l'admet lorsqu'aucun accord n'a pu être conclu.
Ensuite, quel que soit le chemin, le recours au vote électronique se reprend dans le protocole d'accord préélectoral (PAP), cahier des charges en annexe. C'est ce document qui rend le dispositif opposable. L'oublier, c'est tendre un motif d'annulation à qui voudra contester.
Ce que le droit exige — et la CNIL de 2026
Le socle réglementaire tient dans les articles R.2314-5 à R.2314-18 du Code du travail. En clair, ils imposent un cahier des charges, la séparation stricte entre le fichier des électeurs et l'urne chiffrée, le scellement de l'urne, un journal des opérations, une expertise indépendante du système avant sa première mise en œuvre, et une conservation limitée des données. Un cahier des charges qui se résume à « chiffrement fort » et « haute sécurité » ne répond pas à l'esprit du texte.
Côté CNIL, attention : la référence a changé, et beaucoup l'ignorent encore. La délibération n°2019-053 de 2019 est abrogée. La recommandation en vigueur est celle du 19 mars 2026 (délibération n°2026-045), qui conserve la logique des trois niveaux de risque mais relève les exigences. Quand un prestataire cite toujours la version de 2019 dans ses mentions, cela vous renseigne sur sa veille.
La répartition RGPD, elle, est nette. L'employeur est responsable de traitement ; le prestataire (ici CSE Election, sur la technologie Sephos) agit comme sous-traitant au sens de l'article 28. La base légale est l'obligation d'organiser les élections professionnelles (article L.2314-4). Les données sont conservées le temps des délais de recours — l'article R.2314-17 vise 15 jours après la proclamation, prolongés en cas de contentieux — puis purgées.
Dernier réflexe utile : personne n'est « certifié CNIL ». La CNIL recommande, elle ne certifie pas. La formulation honnête, c'est « conçu pour la conformité », avec un profil CSE certifiable au niveau 3 — c'est-à-dire pensé pour réussir l'expertise indépendante, pas « déjà expertisé ».
« Sécurisé », d'accord. Mais prouvé comment ?
Voilà le point que presque personne ne détaille. La base, c'est la séparation : d'un côté qui a le droit de voter et qui a voté, de l'autre les bulletins chiffrés. Aucun lien ne doit relier un votant à son bulletin. Et le bulletin est chiffré sur le terminal de l'électeur avant de partir — jamais en clair sur le réseau.
Au-dessus, l'architecture repose sur un chiffrement homomorphe à seuil (ElGamal sur Ristretto255), avec des preuves cryptographiques (FCMP++, Bulletproofs) qui vérifient qu'un bulletin est valide sans le déchiffrer. La propriété homomorphe permet d'additionner les bulletins chiffrés et de n'obtenir que le total : on ne lit jamais un bulletin nominatif, on calcule une somme. « À seuil » signifie que la clé de l'urne n'existe pas en un seul exemplaire — elle est répartie entre plusieurs détenteurs (les trustees, via un DKG), et il en faut un minimum, réunis à la clôture, pour ouvrir l'urne. Personne seul ne le peut. Pas même l'éditeur.
Sur la coercition, restons précis. Le système ne délivre aucun reçu du contenu du vote : l'électeur reçoit la preuve que son vote a été pris en compte, jamais l'attestation de ce qu'il a voté. Combiné à l'absence de déchiffrement individuel, ce choix réduit fortement la pression et l'achat de voix, par conception. Réduit fortement — pas « élimine en toute circonstance ». Méfiez-vous de qui promet l'absolu.
Un procédé qui additionne des bulletins chiffrés pour obtenir le résultat sans en déchiffrer aucun individuellement. La clé de l'urne est répartie entre plusieurs détenteurs (trustees) : il en faut un nombre minimal, réunis à la clôture, pour l'ouvrir — jamais une seule personne. Le dépouillement livre le total tout en garantissant que personne, pas même l'éditeur, ne lit un vote nominatif.
WebAuthn, plutôt qu'un code reçu par e-mail
La plupart des solutions envoient à l'électeur un identifiant et un code de connexion, par e-mail, SMS ou courrier. Pratique, mais fragile : un code se lit par-dessus l'épaule, s'intercepte, s'extorque — et c'est le support idéal du phishing. Un faux message « confirmez votre vote » suffit à siphonner des accès.
Ici, l'authentification passe par WebAuthn PRF. L'électeur utilise une clé d'accès (passkey), une clé matérielle de sécurité ou la biométrie de son appareil. Le secret est dérivé localement, sur le terminal, et n'est jamais transmis au serveur : il n'y a aucun code en circulation à intercepter. Pour le votant, c'est un geste au lieu d'un code à retrouver dans sa boîte mail. Pour la sincérité du scrutin, usurper une identité suppose l'appareil enrôlé, pas seulement un code lu à distance.
WebAuthn PRF supprime le maillon faible de la plupart des scrutins en ligne : le code transmis. Le secret ne quitte jamais l'appareil de l'électeur. Moins de friction pour le votant, plus de robustesse pour le scrutin.
Intégrité et contestation : la preuve doit tenir devant un juge
La confidentialité protège le secret ; l'intégrité protège la sincérité. Trois questions, en réalité : le bulletin enregistré reflète-t-il l'intention de l'électeur (cast-as-intended) ? est-il enregistré sans altération (recorded-as-cast) ? le résultat correspond-il exactement aux bulletins enregistrés (counted-as-recorded) ? La vérifiabilité de bout en bout, c'est répondre oui aux trois par la preuve, pas par la confiance. Un journal en ajout-seul — chaque évènement horodaté et chaîné au précédent — rend toute altération détectable.
Ça compte le jour d'un recours. Comme toute élection professionnelle, un scrutin CSE se conteste devant le tribunal judiciaire : 3 jours après la publication des listes pour l'électorat, 15 jours après la proclamation pour les résultats. Les motifs propres au vote en ligne reviennent souvent — autorisation irrégulière, cahier des charges indigent, absence d'expertise, rupture d'égalité d'accès au matériel. Face à eux, un journal chaîné et l'ouverture collective de l'urne pèsent plus lourd que des logs serveur et une attestation.
- Cast-as-intended — le bulletin enregistré reflète bien l'intention de l'électeur.
- Recorded-as-cast — le bulletin émis entre dans l'urne sans altération.
- Counted-as-recorded — le résultat correspond exactement aux bulletins enregistrés.
- Journal en ajout-seul — évènements horodatés et chaînés, toute altération devient visible.
- Preuve opposable — un dossier d'intégrité vérifiable par l'expert et devant le juge.
Combien ça coûte, et qui paie ?
Le prix dépend d'abord du nombre d'électeurs (tarif unitaire dégressif), puis du nombre de tours, du niveau d'accompagnement et de la configuration (multi-sites, multi-collèges). On parle de quelques centaines d'euros pour un petit CSE, de quelques milliers pour une PME de plusieurs centaines d'électeurs — des ordres de grandeur, jamais un devis. Un prix annoncé sans périmètre ne veut rien dire : demandez toujours ce qui est inclus (accompagnement, tours, assistance, expertise, modèles d'accord et de PAP).
Un point de droit lève une inquiétude fréquente : l'organisation des élections, vote électronique compris, est à la charge de l'employeur. Elle ne pèse pas sur le budget du CSE. Pour un chiffre ferme, seul le devis engage — un expert dédié étudie votre configuration et vous répond.
Le calendrier, étape par étape
Le vote en ligne s'insère dans le calendrier légal sans le déformer. Le repère qui commande tout : l'information du personnel au moins 90 jours avant le premier tour. Comptez de 90 jours à quatre mois jusqu'à la proclamation, selon l'effectif et le nombre de collèges. Le premier tour est réservé aux organisations syndicales ; si le quorum (la moitié des inscrits par collège) n'est pas atteint, ou en cas de carence, un second tour ouvert se tient sous 15 jours.
PV Cerfa, télétransmission et conservation
Le dépouillement produit deux procès-verbaux : le Cerfa n°15822*03 pour les titulaires, le n°15823*03 pour les suppléants. Ils sont générés à partir du calcul des sièges — représentation proportionnelle à la plus forte moyenne, quotient électoral, parité femmes-hommes — ce qui supprime le risque d'erreur de report, l'étape la plus casse-pied du dépouillement.
Les PV partent ensuite, sous 15 jours, au centre de traitement des élections professionnelles (CTEP), à l'inspection du travail et aux syndicats qui le demandent ; la télétransmission fiabilise cette obligation. Côté données, les fichiers et les preuves restent sous scellés le temps des délais de recours (article R.2314-17 : 15 jours après la proclamation, prolongés en cas de litige), puis sont purgés — minimisation RGPD oblige.
Sources officielles et pages à consulter
Le fil rouge de cette page, c'est vérifier plutôt que croire sur parole. Voici les textes de référence et les pages du silo qui creusent chaque point.