Plateforme de vote électronique : la sécurité que vous pouvez prouver, pas seulement croire

Une plateforme de vote électronique CSE, en clair

Une plateforme de vote électronique, c'est l'application web qui prend en charge tout un scrutin dématérialisé : constitution de la liste électorale, authentification des électeurs, dépôt d'un bulletin chiffré dans une urne scellée, dépouillement automatique, procès-verbal. Pour les élections du comité social et économique, cet usage est cadré par le Code du travail — articles R.2314-5 à R.2314-18 — et par la recommandation de la CNIL. Rien d'exotique jusque-là : sur le papier, toutes les offres du marché font ça.

La différence ne se joue donc pas sur la liste des fonctions ; elles se recopient d'une brochure à l'autre. Elle se joue sur une seule chose. Quand vous affirmez à votre direction, à votre DSI ou aux organisations syndicales que le scrutin est sincère et secret, pouvez-vous le démontrer, ou devez-vous demander qu'on vous croie sur parole ? C'est là que la majorité du marché s'arrête. Et c'est précisément là que se décide un achat sérieux.

La seule question qui départage les offres : preuve ou parole

« Est-ce sécurisé ? » est la mauvaise question. Tout le monde répond oui. La bonne, celle qui trie les prestataires en trente secondes : pouvez-vous me le prouver sans que j'aie à vous faire confiance ? Une plateforme vérifiable de bout en bout répond oui, mécanisme à l'appui. Une boîte noire propriétaire répond par une attestation et un logo.

La vérifiabilité de bout en bout tient en trois maillons, contrôlables indépendamment les uns des autres. L'électeur vérifie que son bulletin chiffré correspond bien à son choix (cast-as-intended). Il vérifie qu'il a été enregistré dans l'urne tel qu'il l'a déposé (recorded-as-cast). Et n'importe qui — un expert mandaté, une organisation syndicale — vérifie que le résultat proclamé correspond exactement aux bulletins enregistrés (counted-as-recorded). Trois preuves, pas trois promesses.

Ce qui rend cette chaîne crédible, c'est un journal en ajout-seul : chaque évènement du scrutin y est horodaté et chaîné cryptographiquement au précédent. Modifier une ligne a posteriori casse la chaîne, et ça se voit. Ce n'est pas un fichier de logs serveur qu'on vous demande de croire — c'est une preuve d'intégrité qu'un tiers peut recalculer lui-même. À mon sens, c'est ce détail, plus que n'importe quelle mention commerciale, qui distingue un outil sérieux.

Sous le capot : authentification, urne, journal

Premier maillon, l'authentification. La quasi-totalité des plateformes envoie un identifiant et un code par e-mail ou SMS. C'est pratique, et c'est hameçonnable : un code qui circule peut être intercepté, redirigé ou extorqué à l'électeur — or, sur un scrutin, une faille d'authentification est une faille de sincérité. Ici, le choix est différent : WebAuthn PRF. L'électeur s'enrôle une fois, puis s'authentifie avec une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil. Le secret cryptographique est dérivé localement, sur le terminal, et n'est jamais transmis au serveur. Aucun code à recevoir, donc rien à intercepter.

Deuxième maillon, l'urne. La plupart des plateformes chiffrent les bulletins puis, à la clôture, les déchiffrent un par un pour les compter. Ce moment précis — l'ouverture bulletin par bulletin — est celui où le secret du vote est le plus exposé. La technologie Sephos l'élimine : le bulletin est chiffré dès le poste de l'électeur avec un chiffrement homomorphe à seuil (ElGamal sur la courbe Ristretto255), des preuves cryptographiques (FCMP++, Generalized Bulletproofs) attestent qu'il est valide sans le déchiffrer, et la propriété homomorphe permet d'additionner les bulletins chiffrés pour n'ouvrir qu'un seul résultat global. Aucun bulletin nominatif n'est jamais lu individuellement.

« À seuil » veut dire que la clé de l'urne n'existe nulle part en un seul exemplaire : elle est générée et répartie entre plusieurs détenteurs de confiance (DKG, trustees), et il faut en réunir un minimum pour ouvrir le résultat. L'urne ne s'ouvre donc que collectivement, à la clôture — jamais par une seule personne, jamais par l'éditeur seul. Conséquence directe sur le secret du vote : le système ne délivre aucun reçu du contenu du vote, seulement la preuve que le vote a été pris en compte. Sans reçu, un électeur n'a pas de moyen simple de prouver son choix à un tiers, ce qui réduit fortement la coercition et l'achat de voix — par conception, pas par déclaration. On évite d'ailleurs les absolus du type « anonymat total » : ils ne tiennent pas devant un expert.

Conformité CNIL et RGPD, à jour

Un détail en dit long sur le sérieux d'un prestataire : la recommandation qu'il cite. Beaucoup renvoient encore à la délibération n°2019-053 du 25 avril 2019. Elle est abrogée. Depuis le 19 mars 2026, la référence est la recommandation CNIL n°2026-045, qui remplace à la fois celle de 2019 et celle de 2010. Un éditeur qui n'a pas mis à jour sa page produit sur ce point n'a probablement pas mis à jour grand-chose d'autre.

La logique de fond, elle, ne change pas : une analyse de risques classe le scrutin en trois niveaux, et chaque niveau appelle des garanties techniques croissantes. Le niveau 3, le plus exigeant, impose notamment le chiffrement de bout en bout, le scellement, la séparation stricte entre données d'identité et données de vote, et une expertise indépendante du système. En pratique, beaucoup d'éditeurs s'arrêtent aux niveaux 1 et 2. Le profil CSE de cette plateforme est conçu pour être certifiable au niveau 3 — pensé, dès l'architecture, pour réussir cette expertise. Certifiable, pas certifié : la nuance compte, et j'y tiens.

Côté RGPD, la répartition des rôles structure toute la responsabilité. L'employeur est responsable de traitement : c'est lui qui décide d'organiser les élections. La plateforme — CSE Election, technologie Sephos — intervient comme sous-traitant au sens de l'article 28, encadré par un contrat. La base légale est l'obligation légale d'organiser les élections professionnelles (article L.2314-4 du Code du travail). Et les données ne restent pas indéfiniment : l'article R.2314-17 fixe leur conservation jusqu'à quinze jours après la proclamation des résultats, prolongée en cas de contentieux.

Autoriser le vote électronique avant d'y penser

Une chose avant de comparer les offres : le vote électronique n'est jamais automatique. C'est une faculté qui doit être expressément autorisée. La voie que privilégie le législateur est l'accord collectif d'entreprise ou de groupe. À défaut — pas de délégué syndical, ou négociation qui n'aboutit pas — l'employeur peut recourir à une décision unilatérale, dont la jurisprudence a confirmé la licéité. Ces modalités sont ensuite reprises dans le protocole d'accord préélectoral (PAP), négocié avec les syndicats invités.

Le PAP fixe les collèges, la répartition des sièges, les dates des tours et les modalités du vote en ligne. Il ne dispense d'aucune règle de fond : information du personnel au moins 90 jours avant le premier tour, premier tour réservé aux organisations syndicales, second tour ouvert sous quinze jours en cas de carence ou de quorum non atteint (la moitié des inscrits par collège), sièges attribués à la représentation proportionnelle à la plus forte moyenne, parité femmes-hommes sur les listes. Une bonne plateforme vous remet les modèles d'accord, de décision unilatérale et de PAP — pas seulement le logiciel.

Pourquoi insister là-dessus sur une page produit ? Parce que le contentieux se règle sur ces détails-là. L'électorat se conteste dans les trois jours suivant la publication des listes, les résultats dans les quinze jours suivant la proclamation, devant le tribunal judiciaire. Une annulation, c'est tout ou partie du scrutin à refaire. C'est exactement là que la vérifiabilité cesse d'être un argument technique pour devenir une assurance : devant un juge, un journal en ajout-seul opposable pèse plus lourd qu'une attestation d'éditeur.

Ce que coûte une plateforme de vote électronique CSE

Parlons argent, parce que le marché est opaque et que c'est agaçant. Personne ne peut vous donner un prix ferme sans connaître votre scrutin. Le tarif dépend surtout du nombre d'électeurs (avec un prix unitaire dégressif), du nombre de tours, du nombre de collèges et de sites, et du niveau d'accompagnement. En ordre de grandeur, une élection simple pour une PME se situe dans une fourchette de quelques centaines d'euros HT ; un scrutin multi-sites et multi-collèges monte nettement plus haut. Ce sont des repères indicatifs, pas un devis.

Le vrai piège n'est pas le prix affiché, c'est ce qu'il ne comprend pas. Regardez si le cadrage juridique, les tests de recette, l'assistance le jour J et l'archivage des preuves sont inclus ou facturés à part. Une offre « pas chère » qui vous laisse seul face au PAP et à la CNIL revient plus cher au bout du compte. Le simulateur ci-dessous vous donne une estimation en quelques clics ; ensuite, seul un devis établi après échange avec un expert engage le prestataire.

Le calendrier d'un scrutin, étape par étape

Le vote électronique ne change pas le calendrier légal : il s'y insère. Comptez généralement de 90 jours à quatre mois entre le lancement et la proclamation, selon la complexité. Le repère qui commande tout le reste, c'est l'information du personnel au moins 90 jours avant le premier tour.

Le rétroplanning ci-dessous est indicatif, à ajuster selon votre protocole d'accord préélectoral. Chaque étape est encadrée par le journal d'audit, qui en conserve une trace horodatée et infalsifiable — ce qui vous sera précieux le jour où quelqu'un demandera à vérifier.

Choisir sans se tromper : la grille

Ramené à l'essentiel, choisir une plateforme de vote électronique CSE, c'est arbitrer entre deux philosophies : la confiance qu'on vous demande, et la preuve qu'on vous donne. Tout le reste — ergonomie, prix, options — se compare ensuite. Une plateforme qui décrit précisément ses mécanismes, fournit son cahier des charges et est conçue pour l'expertise indépendante vous protège plus qu'un discours rassurant mais opaque.

C'est le parti pris de CSE Election, marque blanche de la technologie Sephos : authentification WebAuthn PRF, chiffrement homomorphe à seuil avec ouverture collective de l'urne, aucun déchiffrement individuel des bulletins, journal en ajout-seul opposable, profil CSE certifiable au niveau 3, et un expert dédié qui suit votre dossier du cadrage à l'archivage. Un dernier point de périmètre, par honnêteté : ce profil niveau 3 couvre les élections du CSE, pas les référendums, sondages ou assemblées générales, qui relèvent d'une offre distincte. Pour un chiffrage adapté à votre effectif, demandez un devis — l'échange est sans engagement.

Quelle offre pour vous ?

Prix fixe, tout inclus, sans frais cachés.

Questions fréquentes