Solution de vote électronique CSE : conformité, sécurité vérifiable et vrai critère de choix

La bonne question n'est pas « est-ce sécurisé ? »

Quand un responsable RH compare des prestataires de vote électronique, il tombe partout sur le même vocabulaire : « solution sécurisée », « conforme CNIL », « chiffrement fort », « vote vérifiable ». Ces mots ne trient rien, puisque tout le monde les emploie. Dans les faits, ils décrivent une intention, pas une garantie. Et le jour où un délégué syndical conteste le scrutin devant le tribunal judiciaire, ce n'est pas l'intention du fournisseur qui compte : c'est ce que vous, employeur, pouvez démontrer.

D'où le déplacement que je recommande à tout acheteur. Arrêtez de demander « est-ce sécurisé ? » — on vous répondra toujours oui. Demandez plutôt : « pouvez-vous me le prouver sans que j'aie à vous faire confiance ? ». Ce seul critère, la vérifiabilité par un tiers indépendant, sépare les offres qui reposent sur une promesse commerciale de celles qui reposent sur la cryptographie. C'est le fil de cette page, et à mon sens le critère qui devrait décider de votre choix.

Une solution, pas seulement un logiciel

« Solution » et « logiciel » ne sont pas synonymes, et la nuance a un coût. Le logiciel, c'est le moteur : authentification, chiffrement de l'urne, dépouillement, calcul des sièges. La solution, c'est ce moteur plus tout ce qui rend une élection opposable — le cadre juridique (modèles d'accord, cahier des charges des articles R.2314-5 à R.2314-8, contrat de sous-traitance RGPD), l'organisation (listes électorales, notice d'information, bureau de vote, télétransmission des procès-verbaux) et un interlocuteur qui connaît votre dossier de bout en bout.

La différence se voit le jour d'une difficulté. Une liste électorale erronée, un quorum limite, un second tour à déclencher sous quinze jours : c'est là qu'un simple accès à un outil montre ses limites, et qu'un accompagnement fait la différence. Sur le plan RGPD, gardez la répartition en tête : l'employeur reste responsable de traitement, le prestataire n'est que sous-traitant au sens de l'article 28. Vous ne déléguez pas votre responsabilité — vous l'outillez.

Étape zéro : faire autoriser le vote électronique

Avant même de comparer les solutions, une vérification conditionne tout le reste : le vote électronique n'est jamais automatique. C'est une faculté de l'employeur, qui doit être expressément autorisée. Sans cette autorisation, un scrutin en ligne est irrégulier, quelle que soit la qualité technique de la plateforme.

Deux voies. L'accord collectif d'entreprise ou de groupe est celle que privilégie le Code du travail. À défaut — absence de délégué syndical, négociation loyale qui n'aboutit pas — l'employeur peut trancher par décision unilatérale. La jurisprudence l'admet, à condition de documenter la tentative de négociation : c'est cette trace qui tient debout en cas de contestation. Dans les deux cas, les modalités du vote électronique doivent ensuite être reprises dans le protocole d'accord préélectoral, négocié avec les organisations syndicales invitées.

CNIL : la recommandation a changé le 19 mars 2026

Point que beaucoup de prestataires n'ont pas encore intégré : la référence CNIL a changé. La recommandation applicable est désormais la délibération n°2026-045 du 19 mars 2026, qui abroge la recommandation de 2019 (n°2019-053) et celle de 2010. Si un fournisseur vous cite encore la « recommandation de 2019 » comme cadre en vigueur, c'est un signal : son cadre de conformité n'est pas à jour, et c'est le premier prestataire à écarter.

La logique de fond, elle, ne bouge pas — et c'est heureux. Le responsable de traitement conduit une analyse de risque et classe son scrutin dans l'un des trois niveaux, du plus faible au plus élevé. À chaque niveau correspond un socle de garanties : plus l'enjeu et l'exposition montent, plus les exigences se durcissent, jusqu'au chiffrement de bout en bout, à la séparation identité/vote et à l'expertise indépendante au niveau 3. Un mot de vocabulaire, parce qu'il traîne partout : aucune solution n'est « certifiée CNIL ». La CNIL recommande, elle ne certifie pas. Fuyez qui prétend le contraire.

La sécurité, sans brouillard marketing

Passé les slogans, les vrais écarts sont techniques. Prenez l'authentification. La majorité des offres envoient à l'électeur un identifiant et un code par e-mail ou SMS. C'est commode, et c'est hameçonnable : un code transmis s'intercepte, se devine, s'extorque. CSE Election s'appuie sur WebAuthn PRF — une clé d'accès (passkey), une clé matérielle ou la biométrie de l'appareil. Le secret est dérivé localement, sur le terminal de l'électeur, et n'est jamais transmis au serveur. Rien à recevoir, rien à retenir.

Deuxième écart, plus profond : le chiffrement. Le bulletin est chiffré dès le poste de l'électeur, avant toute transmission, via un chiffrement homomorphe à seuil (ElGamal sur la courbe Ristretto255), assorti de preuves cryptographiques (FCMP++, Generalized Bulletproofs). La clé de l'urne n'existe nulle part en un seul exemplaire : elle est générée puis répartie entre plusieurs détenteurs (DKG, trustees). L'urne ne s'ouvre que collectivement, à la clôture — jamais par une personne seule, jamais par l'éditeur. Et surtout, les bulletins ne sont jamais déchiffrés un par un : le résultat se calcule sur l'agrégat chiffré. Personne ne lit un vote nominatif, pas même nous.

Deux conséquences. Le système ne délivre aucun reçu du contenu du vote, seulement la preuve que le vote a été pris en compte : par conception, cela réduit fortement le risque de pression ou d'achat de voix, puisqu'un électeur n'a rien à montrer à un tiers. Et l'intégrité repose sur un journal d'audit en ajout-seul, où chaque évènement est horodaté et chaîné, de sorte que toute altération a posteriori devient détectable. Ce n'est pas un fichier de logs qu'on vous demande de croire — c'est une preuve d'intégrité opposable.

Vérifiable de bout en bout — ou pas vérifiable

« Vote vérifiable » est l'expression la plus galvaudée du secteur. Beaucoup l'affichent, peu la tiennent. La vérifiabilité de bout en bout, telle que la définissent les travaux académiques sur le vote électronique, recouvre trois propriétés distinctes. Une offre n'est réellement vérifiable que si elle les tient toutes les trois, et de façon démontrable.

Concrètement, deux briques rendent cela effectif chez CSE Election : le journal en ajout-seul, qui consigne chaque bulletin chiffré, et les preuves cryptographiques publiques qui attestent que le dépouillement de l'agrégat est correct sans déchiffrer un seul bulletin. L'électeur vérifie que sa voix a été prise en compte ; l'expert recalcule la sincérité du résultat. Cette double vérification — par l'électeur et par le tiers — est exactement ce qui manque quand un fournisseur vous répond « faites-nous confiance ». La confiance n'est pas une preuve.

L'expertise indépendante avant le scrutin (R.2314-9)

Au niveau de risque le plus élevé, la CNIL et l'article R.2314-9 du Code du travail imposent une expertise indépendante du système avant sa première mise en œuvre. L'expert est un tiers, distinct du prestataire. Il ne lit pas une plaquette : il examine l'architecture et, quand c'est possible, le code ; il contrôle le chiffrement, le scellement, l'authentification, la séparation entre identité et bulletin, l'intégrité du journal. Son rapport devient une preuve de conformité opposable, précieuse si le scrutin est attaqué.

C'est ici que se joue le différenciateur. Le profil CSE de CSE Election est certifiable au niveau 3 : pensé, dès l'architecture, pour que cette expertise soit réellement possible, pas seulement affichée. Nuance qui a son poids : « certifiable » n'est pas « certifié », et vous ne lirez jamais ici « déjà expertisé » ni « 100 % conforme ». Ce qu'on affirme, c'est qu'un expert mandaté par votre entreprise peut vérifier nos garanties, parce qu'elles reposent sur la cryptographie et un journal d'audit, pas sur notre bonne foi.

Ce que ça coûte, honnêtement

Autre zone de flou du marché : le prix. Beaucoup de pages « tarifs » n'affichent aucun montant. Voici des ordres de grandeur, indicatifs et non contractuels. Le coût dépend d'abord du nombre d'électeurs — le facteur principal, avec un prix unitaire dégressif — puis du nombre de tours, du niveau d'accompagnement et de la configuration (multi-sites, multi-collèges, options d'archivage).

Un repère de lecture : un CSE de PME (50 à 200 électeurs) accompagné se situe couramment de quelques centaines à quelques milliers d'euros HT, le coût par électeur baissant à mesure que l'effectif grimpe. Un second tour, s'il faut le tenir, remobilise la plateforme et le support. Ces fourchettes servent à se repérer, pas à signer : simulez votre coût ci-dessous, puis demandez un devis. Seul le devis engage.

Cinq questions qui démasquent une offre creuse

Tous les prestataires se disent sûrs, conformes, vérifiables. Aucun argument commercial ne les départage ; cinq questions techniques, si. Le principe est simple : exigez le « comment », jamais le « oui ». Une bonne réponse nomme un mécanisme et explique comment un tiers le vérifie. Une mauvaise botte en touche ou renvoie à la confiance.

Un test qui ne trompe pas : posez la question sur les bulletins à chaque candidat. « Les bulletins sont-ils déchiffrés individuellement au dépouillement ? » La plupart répondront oui, sans y voir de problème — c'est pourtant là que se logent l'essentiel des risques d'anonymat. La réponse attendue est non : le résultat se calcule sur l'agrégat chiffré, sans qu'aucun bulletin nominatif ne soit jamais lu. Notez aussi les réponses qui esquivent : « nous sommes certifiés CNIL » (ça n'existe pas) ou « c'est propriétaire, on ne détaille pas » sont deux façons polies de refuser la preuve.

Pourquoi CSE Election

Résumons sans emballage. CSE Election est la déclinaison, pour les élections du CSE, de la technologie Sephos. Son parti pris tient en un mot : la vérifiabilité. Authentification WebAuthn PRF sans mot de passe, chiffrement homomorphe à seuil, ouverture collective de l'urne, aucun déchiffrement individuel des bulletins, journal en ajout-seul opposable, vérifiabilité de bout en bout, profil CSE certifiable au niveau 3 conçu pour l'expertise indépendante. Là où le marché vous demande de croire, ce dispositif vous met en position de vérifier.

Une précision honnête sur le périmètre : ce profil niveau 3 couvre les élections du CSE, et elles seules. Référendums internes, sondages, assemblées générales, tirages au sort relèvent d'une offre distincte, avec ses propres garanties. Cette spécialisation n'est pas une limite commerciale, c'est un gage : la garantie CSE n'est pas diluée dans un usage généraliste. Pour situer votre projet, le plus simple reste de le cadrer avec un expert — un devis vous donne le coût réel et le calendrier.

Quelle offre pour vous ?

Prix fixe, tout inclus, sans frais cachés.

Questions fréquentes