Logiciel de vote CSE : conforme, vérifiable, sans mot de passe

Un logiciel de vote CSE, ce n'est pas un formulaire en ligne

Un logiciel de vote CSE dématérialise un scrutin d'élection professionnelle du début à la fin : authentification des électeurs, dépôt d'un bulletin chiffré dans l'urne, suivi de la participation, dépouillement, génération des procès-verbaux Cerfa. Il remplace ou complète le vote à l'urne et le vote par correspondance, selon ce que fixe le protocole d'accord préélectoral.

La confusion la plus fréquente, c'est de le ranger à côté d'un outil de sondage ou d'un module de vote d'assemblée générale. Erreur. Le scrutin CSE obéit à des règles impératives : collèges électoraux, parité femmes-hommes des listes, quorum de la moitié des inscrits par collège, deux tours, répartition à la proportionnelle à la plus forte moyenne, PV Cerfa 15822*03 pour les titulaires et 15823*03 pour les suppléants. Un outil générique ne gère rien de tout cela. Un vrai logiciel de vote CSE, oui.

Reste le point qui décide vraiment. La qualité se juge sur deux plans qu'on ne peut pas séparer : la conformité juridique (Code du travail, recommandation CNIL, RGPD) d'un côté, la solidité cryptographique (confidentialité, anonymat, intégrité, vérifiabilité) de l'autre. Une faille technique se transforme toujours en risque juridique. Et c'est là que les offres se ressemblent en surface... et divergent en profondeur.

Le vrai critère de choix : la preuve, pas la promesse

Posons-le franchement. La plupart des logiciels de vote CSE fonctionnent sur le même schéma : ils « scellent » une urne, puis la « descellent » au dépouillement — autrement dit, ils déchiffrent l'ensemble des bulletins pour les compter. À cet instant précis, les bulletins existent en clair, quelque part, sur un serveur. La confidentialité repose alors sur une seule chose : la confiance que vous accordez à l'opérateur. Vous n'avez aucun moyen de la vérifier.

À mon sens, c'est le point aveugle du marché. Un DRH qui devra défendre son scrutin devant des élus méfiants, voire devant le tribunal judiciaire, n'a pas besoin d'une promesse de sécurité. Il a besoin d'une preuve opposable. La différence entre « sécurisé » et « vérifiable » n'est pas sémantique : elle décide de ce que vous pourrez montrer le jour où quelqu'un contestera.

CSE Election (technologie Sephos) prend le problème par l'autre bout : le système ne déchiffre jamais les bulletins individuels. Le résultat est calculé sur des votes qui restent chiffrés, et une preuve d'intégrité auditable est publiée. En clair : un expert mandaté peut contrôler que le total proclamé correspond aux bulletins déposés, sans lire le vote de personne. C'est la vérifiabilité de bout en bout — un standard reconnu ailleurs, absent du discours des concurrents du vote CSE.

Comment fonctionne le chiffrement (sans jargon inutile)

Une promesse de sécurité qui ne s'explique pas n'en est pas une. Voici le mécanisme, en langage de DRH et de juriste.

Chaque bulletin est chiffré sur le poste de l'électeur, avant tout envoi (cryptographie ElGamal sur la courbe Ristretto255). La propriété dite « homomorphe » permet d'additionner les votes alors qu'ils sont encore chiffrés : on obtient le total du scrutin sans jamais ouvrir un seul bulletin. Le déchiffrement bulletin par bulletin devient inutile — et, par conception, impossible.

La clé qui déverrouille le résultat final n'appartient à personne seul. Elle est répartie entre plusieurs garants (les trustees) au moyen d'une génération de clé distribuée (DKG). Il faut réunir un quorum de ces garants pour déchiffrer le total agrégé. Aucun acteur isolé — pas même l'opérateur de la plateforme — ne peut ouvrir l'urne. C'est un coffre à plusieurs clés, dont une part peut être confiée à des représentants de sensibilités syndicales différentes.

Deux garde-fous complètent l'ensemble. Des preuves à divulgation nulle de connaissance (cadre FCMP++, Generalized Bulletproofs) attestent qu'un bulletin est valide sans révéler son contenu. Et chaque opération s'inscrit dans un journal en écriture seule (append-only), où l'on ne peut qu'ajouter, jamais modifier ni supprimer : toute altération devient détectable. Un mot sur la coercition, souvent survendue par les uns et les autres : aucun système ne rend « impossible » la preuve d'un vote. En revanche, aucun reçu du contenu du vote n'est délivré ici — l'électeur obtient la confirmation que son bulletin a été pris en compte, jamais son sens. La pression sur un électeur est ainsi fortement réduite par conception.

Ce que la loi impose, et le tournant CNIL de 2026

Les élections du CSE relèvent du Code du travail. L'obligation d'organiser le scrutin découle de l'article L.2314-4 et suivants ; le recours au vote électronique est encadré par les articles R.2314-5 à R.2314-18, qui fixent des garanties techniques précises. Premier réflexe à ne pas manquer : le vote électronique n'est jamais automatique. Il doit être autorisé par accord d'entreprise ou, à défaut, par décision unilatérale de l'employeur, puis inscrit dans le protocole d'accord préélectoral. Sauter cette étape est l'une des causes les plus banales de contestation.

Sur la sécurité, un fait que beaucoup de prestataires n'ont pas encore intégré : la recommandation CNIL de référence a changé. La délibération n°2026-045 du 19 mars 2026 a remplacé la délibération n°2019-053 du 25 avril 2019 (abrogée avec la 2010-371). Elle conserve la logique de trois niveaux de sécurité, déterminés par une analyse de risque propre à chaque scrutin, mais actualise les attentes. Or beaucoup de pages concurrentes citent encore le texte de 2019 : en soi, c'est un bon indicateur du soin réellement apporté à la conformité.

Côté RGPD, la répartition est nette. L'employeur est responsable de traitement : c'est lui qui décide d'organiser le scrutin et en fixe les finalités. CSE Election / Sephos intervient comme sous-traitant au sens de l'article 28, encadré par un contrat. La base légale est l'obligation légale d'organiser les élections (L.2314-4 et suivants). Les données sont conservées jusqu'à l'épuisement des délais de recours, soit quinze jours après la proclamation (art. R.2314-17), sauf contentieux — puis détruites ou archivées dans des conditions garantissant leur confidentialité.

Authentification sans mot de passe : le maillon qu'on néglige

L'authentification est l'endroit où les scrutins électroniques se font le plus critiquer. La quasi-totalité des logiciels de vote CSE reposent encore sur l'envoi d'un code par e-mail ou par SMS. C'est précisément le point faible : un e-mail se transfère, se consulte, s'intercepte. Un tiers ayant accès à la boîte d'un électeur peut voter à sa place.

CSE Election s'appuie sur WebAuthn avec l'extension PRF — de l'authentification forte, sans mot de passe. L'électeur s'enrôle au préalable avec une clé d'accès (passkey), une clé matérielle de sécurité ou un capteur biométrique. Le secret cryptographique est dérivé localement, sur son appareil, et n'est jamais transmis au serveur. Il n'y a donc aucun code à envoyer, ni à voler.

Pour l'électeur : un geste suffit — empreinte, reconnaissance faciale ou clé physique. Pour l'employeur et le bureau de vote : un niveau d'assurance sur l'identité nettement supérieur à celui d'un code baladeur. Le confort et la sécurité vont, pour une fois, dans le même sens.

Comparatif : comment lire le marché du vote CSE

Le marché est fourni : Voxaly (groupe Docaposte), Neovote, Quizzbox, AlphaVote, People Vox, Election-Europe, entre autres. La plupart font voter en ligne correctement, sur le plan opérationnel. La bonne question n'est donc pas « lequel fait voter », mais « lequel apporte la preuve de l'intégrité du scrutin ».

Sur les fonctions de base — collèges, deux tours, calcul des sièges, PV Cerfa, support — l'offre se vaut globalement. L'écart se creuse sur trois critères que la plupart ne cochent pas : la vérifiabilité de bout en bout, l'authentification sans mot de passe, et l'absence de déchiffrement individuel des bulletins. Le tableau ci-dessous n'a pas pour but de disqualifier qui que ce soit, mais d'objectiver la différence entre un logiciel « sécurisé » et un logiciel « vérifiable ».

Combien coûte un logiciel de vote CSE ?

Pas de prix catalogue honnête sur ce marché — méfiez-vous de ceux qui en affichent un ferme. Le budget dépend de paramètres objectifs, à commencer par le nombre d'électeurs, le facteur principal, au tarif unitaire dégressif. S'y ajoutent le nombre de tours, le niveau d'accompagnement (de la plateforme en autonomie à la délégation complète à un expert dédié) et la configuration du scrutin (multi-sites, collèges multiples, scrutins simultanés).

Un mot sur le « gratuit ». Les outils gratuits ne couvrent presque jamais les obligations propres au CSE : parité, quorum, deux tours, PV Cerfa, garanties CNIL. L'économie réalisée est sans commune mesure avec le risque d'annulation. À fuir pour un scrutin qui engage quatre ans de représentation du personnel.

Pour une fourchette adaptée à votre effectif et à votre configuration, le simulateur ci-dessous donne un ordre de grandeur ; un devis affine ensuite selon votre situation réelle.

Et si le scrutin est contesté ?

Peu de pages concurrentes abordent le pire scénario. C'est pourtant là que se juge un prestataire. Les élections CSE se contestent devant le tribunal judiciaire, dans des délais courts : trois jours pour contester l'électorat après publication des listes, quinze jours pour contester les résultats après leur proclamation.

Les motifs classiques : non-respect des délais (l'information du personnel doit intervenir au moins 90 jours avant le premier tour), liste électorale erronée, protocole d'accord préélectoral irrégulier, manquement à la parité. Face à une contestation, la valeur d'un logiciel de vote CSE se mesure à ce qu'il peut produire : journal d'audit horodaté, journal append-only opposable, preuves cryptographiques d'intégrité. Chaque étape documentée devient un argument de défense — pas une zone d'ombre.

Le quorum de trustees joue ici un rôle décisif. Aucune opération sensible, comme l'ouverture de l'urne, ne dépend d'un acteur unique, même en situation dégradée. C'est aussi ce qui rassure un bureau de vote et des organisations syndicales à qui l'on demande, en réalité, d'accorder leur confiance à une procédure.

À lire aussi dans le silo vote électronique CSE

Selon l'étape où vous en êtes — choisir une solution, évaluer une plateforme, comparer les prestataires ou organiser un vote à distance —, ces pages prolongent la réflexion. Pour passer au concret, demandez un devis ou une démonstration.

Quelle offre pour vous ?

Prix fixe, tout inclus, sans frais cachés.

Questions fréquentes