Vote électronique et CNIL : être conforme en 2026 (et savoir le prouver)
La question que se posent réellement les DRH, les employeurs et les élus du CSE n'est pas « la CNIL autorise-t-elle le vote électronique ? » — elle le permet sans difficulté — mais « mon scrutin est-il conforme, et comment puis-je le démontrer si l'élection est contestée ? ». C'est tout l'enjeu de cette page : transformer un texte réglementaire dense en une démarche opérationnelle, avec des grilles, des matrices et des preuves documentaires actionnables.
La CNIL ne certifie aucune solution de vote électronique. Il n'existe pas de « certification CNIL », pas de label « conforme CNIL », pas de déclaration ni d'autorisation préalable à déposer. Ce que la CNIL produit, c'est une recommandation sur la sécurité des systèmes de vote par correspondance électronique : un référentiel qui classe les scrutins en trois niveaux de risque et fixe, pour chacun, des objectifs de sécurité et des mesures à appliquer. La conformité se construit, se documente et se prouve — elle ne s'achète pas sous forme de badge.
L'actualité 2026 rend le sujet brûlant. La CNIL a adopté une nouvelle recommandation en 2026, publiée au printemps, qui abroge les recommandations antérieures (celle de 2010, puis celle de 2019) et durcit plusieurs exigences, notamment de transparence. Le même jour, l'ANSSI a publié un guide d'accompagnement technique (référence de la série ANSSI-PA) qui complète la doctrine de la CNIL sur le volet purement sécurité des systèmes d'information. Comprendre ce qui change, et savoir si votre scrutin relève encore du cadre 2019 ou déjà du cadre 2026, est désormais décisif.
Le différenciateur Sephos. La conformité CNIL ne se résume pas à cocher des cases techniques : elle se prouve, dossier par dossier. La plateforme Sephos combine une cryptographie vérifiable par un tiers, un chef de projet dédié expert en droit social, une expertise indépendante facilitée et une conformité documentée scrutin par scrutin. Plus de 2 400 élections organisées, hébergement en France, et un gain de participation observé jusqu'à +22 points sur les scrutins accompagnés. Ici, la conformité n'est pas un argument : c'est une matrice que vous pouvez présenter au juge.
Faut-il une formalité préalable auprès de la CNIL ? Non
Commençons par lever l'idée fausse la plus répandue. Organiser un vote électronique pour les élections du CSE n'exige aucune formalité préalable auprès de la CNIL :
- pas de déclaration ;
- pas de demande d'autorisation ;
- pas d'agrément ni de « certification CNIL » de la solution.
Depuis l'entrée en application du RGPD, le régime déclaratif a disparu au profit d'une logique de responsabilisation (accountability) : c'est à l'organisateur de garantir la conformité du traitement et de pouvoir la démontrer à tout moment. La CNIL n'intervient pas a priori ; elle peut contrôler a posteriori, et elle doit être consultée dans un cas précis (le risque résiduel élevé après AIPD — voir plus bas).
Concrètement, la conformité repose sur trois piliers documentaires que l'employeur doit constituer et conserver : une AIPD (analyse d'impact relative à la protection des données), un registre des traitements tenu à jour, et un contrat de sous-traitance (article 28 du RGPD) avec la plateforme de vote. Le tout, calibré selon le niveau de risque du scrutin.
Les trois recommandations CNIL : 2010, 2019, 2026
La doctrine de la CNIL sur le vote électronique a connu trois grandes étapes. Les connaître évite de s'appuyer sur un texte abrogé.
| Recommandation | Statut en 2026 | Apport principal |
|---|---|---|
| Recommandation de 2010 | Abrogée | Premier référentiel structurant sur la sécurité du vote par correspondance électronique. |
| Recommandation de 2019 | Abrogée (par le texte 2026) | Introduit la grille à 3 niveaux de risque et l'analyse de risque proportionnée. Reste la référence des scrutins déjà engagés sous son empire. |
| Recommandation de 2026 | En vigueur | Reprend les 3 niveaux mais renforce la transparence (publication des spécifications, voire du code source client) et précise l'expertise indépendante et la vérifiabilité. |
La recommandation de 2026 abroge les deux précédentes. Mais l'abrogation ne réécrit pas le passé : les scrutins déjà engagés sous le cadre de 2019 (protocole pré-électoral signé, prestataire choisi sur cette base) restent appréciés au regard du texte qui leur était applicable, tandis que les nouveaux scrutins s'organisent sous le cadre de 2026. Nous détaillons cette période de transition plus bas.
Point de vocabulaire. Les numéros de délibération et les dates exactes de publication évoluent et doivent être vérifiés à la source (cnil.fr, Légifrance) à la date de votre scrutin. Cette page raisonne à partir des principes stables — trois niveaux de risque, objectifs de sécurité, expertise indépendante, AIPD — qui structurent la doctrine d'une version à l'autre.
Ce qui change entre 2019 et 2026 : le comparatif que personne ne fait
Aucun concurrent ne propose un tableau clair, objectif par objectif, de ce qui évolue. Le voici. Il vous permet de mettre à jour un cahier des charges écrit sous le cadre de 2019.
| Objectif / exigence | Cadre 2019 | Cadre 2026 |
|---|---|---|
| Grille des 3 niveaux de risque | Introduite | Conservée, critères d'auto-classement précisés |
| Confidentialité du bulletin | Chiffrement exigé | Chiffrement dès la création du bulletin sur le terminal de l'électeur, explicité |
| Vérifiabilité du dépouillement | Recommandée | Renforcée ; distinction vérifiabilité individuelle / universelle mise en avant |
| Transparence technique | Documentation interne | Publication des spécifications techniques (niveau 2 et plus) |
| Code source | Non requis publiquement | Publication du code source côté client attendue au niveau 3 |
| Expertise indépendante | Recommandée pour les scrutins à enjeu | Précisée : fréquence selon le niveau, périmètre du rapport encadré |
| Articulation avec l'ANSSI | Implicite | Guide ANSSI publié simultanément, complémentaire |
| Lutte contre la coercition | Secret du vote | Notion de reçu de vote et de résistance à la coercition explicitée |
La logique d'ensemble du virage 2026 : on passe d'une sécurité affirmée à une sécurité démontrable et publiquement vérifiable. C'est exactement le terrain sur lequel un prestataire qui publie ses spécifications, fait auditer son code source et offre une vérifiabilité universelle prend l'avantage — et sur lequel les solutions opaques deviennent intenables.
Les 3 niveaux de risque CNIL et la grille d'auto-évaluation
Le cœur de la méthode CNIL : avant de choisir des mesures, l'organisateur doit classer son scrutin dans l'un des trois niveaux de risque, en fonction de l'impact qu'aurait une atteinte à la sécurité (atteinte au secret, à la sincérité, à l'intégrité de l'urne).
| Niveau | Profil de scrutin | Exigences caractéristiques |
|---|---|---|
| Niveau 1 | Enjeu et impact limités, petit effectif, climat social apaisé. | Mesures de base : séparation des fichiers, chiffrement, traçabilité, information des électeurs. |
| Niveau 2 | Enjeu intermédiaire, impact significatif, effectif moyen. | Authentification renforcée, scellement de l'urne, journaux d'audit robustes, publication des spécifications techniques. |
| Niveau 3 | Enjeu fort : effectif élevé, sites multiples, tensions sociales, contestation probable. | Authentification forte, chiffrement à seuil à porteurs multiples, expertise indépendante à chaque scrutin, vérifiabilité renforcée, publication du code source client. |
Grille d'auto-classement (à documenter dans l'AIPD)
Posez-vous ces questions ; plus vous accumulez de « oui », plus le niveau monte.
- Le scrutin concerne-t-il un effectif important ou plusieurs centaines d'électeurs ?
- L'organisation comporte-t-elle plusieurs sites ou des collèges multiples ?
- Le climat social est-il tendu, ou une contestation est-elle prévisible ?
- Les conséquences d'une atteinte à la sincérité seraient-elles lourdes (représentativité syndicale, négociation à venir) ?
- Des acteurs externes (syndicats, observateurs) demandent-ils des garanties fortes de vérifiabilité ?
La plupart des élections du CSE relèvent du niveau 2 ou 3. C'est la raison pour laquelle une simple authentification par code envoyé par e-mail ou SMS — encore proposée par de nombreuses plateformes — place mécaniquement le scrutin en dessous du profil de sécurité attendu. Le classement n'est pas un détail administratif : il commande toutes les mesures qui suivent, et notamment le recours à l'expertise indépendante.
Les objectifs de sécurité de la CNIL, traduits en cahier des charges
La CNIL fixe des objectifs de sécurité — pas des technologies imposées. C'est volontaire : le texte est neutre technologiquement. Mais cette neutralité laisse les acheteurs sans grille de sélection concrète. Voici donc, pour la première fois sur ce marché, la traduction de chaque objectif CNIL en question de cahier des charges et en mécanisme cryptographique réel.
| Objectif de sécurité CNIL | Question à poser au prestataire | Réponse technique attendue (Sephos) |
|---|---|---|
| Confidentialité du bulletin dès sa création sur le terminal | Le bulletin est-il chiffré sur l'appareil avant tout envoi ? | Chiffrement local avec la clé publique de l'élection ; le choix en clair ne quitte jamais l'écran. |
| Intégrité de l'urne | L'urne est-elle scellée et inaltérable pendant le vote ? | Scellement de l'urne, journaux chaînés horodatés, aucun résultat partiel exposé. |
| Secret du vote | Un déchiffrement individuel d'un bulletin est-il possible ? | Non. Chiffrement homomorphe à seuil : seuls les agrégats sont déchiffrés. Voir secret du vote. |
| Sincérité du scrutin | Le système empêche-t-il les doubles votes et les bulletins ajoutés ? | Authentification WebAuthn + marqueur anti-double-vote (nullifier), preuves de bonne formation des bulletins. |
| Vérifiabilité du dépouillement | Le décompte est-il rejouable par un tiers ? | Vérifiabilité individuelle et universelle ; dépouillement recalculable hors ligne. |
| Surveillance des opérations | Le bureau de vote peut-il contrôler le déroulé ? | Bureau de vote dématérialisé, journaux d'audit consultables, rôles séparés. |
Cette matrice est exactement la grille d'achat qu'un DRH devrait poser sur la table avant de signer. Un fournisseur qui répond par des slogans (« vote 100 % sécurisé », « conforme CNIL ») au lieu de mécanismes précis est un signal d'alerte. Approfondissez avec la page conformité du vote électronique CSE.
Objectifs CNIL et cryptographie réelle : ce que les pages neutres n'osent pas relier
Les pages de la CNIL sont, par construction, neutres technologiquement ; les concurrents restent vagues pour ne pas s'engager. Pourtant, la conformité réelle se joue dans les mécanismes. Voici le lien que personne n'explicite.
Confidentialité et secret — le chiffrement homomorphe à seuil. La plateforme repose sur un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. Deux propriétés répondent directement aux objectifs CNIL :
- Homomorphe : on additionne les bulletins chiffrés sans jamais les ouvrir. Au dépouillement, seul le total par liste et par candidat est déchiffré. Aucun bulletin individuel n'est jamais déchiffré — ce qui satisfait l'objectif de secret du vote bien au-delà d'un simple chiffrement de transport.
- À seuil : la clé de déchiffrement n'existe nulle part sous forme complète. Elle est répartie entre plusieurs porteurs de clés (trustees) via une génération distribuée (DKG). Le déchiffrement n'est possible qu'à plusieurs (par exemple 3 sur 5), et la clé secrète complète n'est jamais reconstituée. C'est la traduction technique de l'objectif d'intégrité de l'urne.
Sincérité et authentification — WebAuthn/passkey, pas de codes par e-mail/SMS. L'objectif de sincérité commence par savoir que seuls les électeurs inscrits votent, une seule fois. La faiblesse connue du marché, c'est l'envoi de codes d'accès par e-mail ou SMS : un secret transmis peut être intercepté, transféré ou cédé sous pression — ce qui fragilise un scrutin de niveau 3. Sephos retient l'enrôlement WebAuthn/passkey (extension PRF) : le secret est généré et dérivé localement sur l'appareil de l'électeur, protégé par sa biométrie ou son code. Le lien d'invitation sert uniquement à initier l'enrôlement, jamais à transmettre un mot de passe réutilisable. Rien d'interceptable, résistance native au hameçonnage.
Vérifiabilité — le sommet de la recommandation 2026. Il faut distinguer deux niveaux, ce qu'aucune page commerciale ne fait :
- Vérifiabilité individuelle : chaque électeur peut vérifier, sans révéler son choix, que son bulletin chiffré figure bien dans l'urne et reflète son intention.
- Vérifiabilité universelle : n'importe quel tiers (électeur, syndicat, expert) peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver le même résultat.
C'est ce qu'on nomme la vérifiabilité de bout en bout (end-to-end verifiability) — à ne jamais confondre avec une formule de chiffrement de type « point à point » (vocabulaire de messagerie), qui n'a pas de sens pour un vote. Le détail figure sur la page audit du vote électronique.
La distinction reçu de vote / coercition : au cœur de 2026
La recommandation 2026 met l'accent sur un point longtemps négligé : la résistance à la coercition. En l'absence d'isoloir physique, un tiers pourrait théoriquement observer un électeur, ou lui réclamer la preuve de son vote. La parade : le système ne délivre aucun reçu du contenu du vote. L'électeur peut prouver que son bulletin a été pris en compte (vérifiabilité individuelle), mais ne dispose d'aucun élément attestant pour qui il a voté.
Cette propriété réduit fortement la pression et l'achat de vote — sans toutefois les éliminer totalement, car le vote se déroule hors d'un isoloir contrôlé. Nous ne prétendrons jamais qu'il est « impossible de prouver son vote » ou qu'« aucun lien n'est possible » : l'honnêteté technique fait partie de l'E-E-A-T. L'anonymat du vote électronique est dissociatif (identité et bulletin séparés), réel et solide, mais sans absolu.
L'expertise indépendante : obligation, fréquence, périmètre
C'est la pierre angulaire de la conformité pour les scrutins à enjeu — et le point sur lequel la plupart des plateformes SaaS restent silencieuses, parce qu'un audit coûte cher et révèle les faiblesses.
La CNIL attend, pour les scrutins à risque, le recours à une expertise indépendante chargée d'auditer le système avant sa première utilisation. La fréquence dépend du niveau de risque :
- Niveau 1 : pas d'expertise indépendante systématique.
- Niveau 2 : expertise attendue, renouvelée en cas d'évolution significative du système.
- Niveau 3 : expertise à chaque scrutin, ainsi qu'avant toute première utilisation.
Le périmètre du rapport d'expertise couvre l'architecture, le code, les mécanismes de chiffrement et de scellement, l'authentification, la séparation des fichiers, et la vérifiabilité du dépouillement. L'expert vérifie que le système fait réellement ce qu'il prétend faire, et que rien ne permet de déchiffrer un bulletin individuel ni de relier un électeur à son vote.
Un prestataire qui organise et documente cet audit, plutôt que de l'éviter, vous protège réellement : le rapport d'expertise devient une pièce probante décisive en cas de contestation des élections CSE. Sephos facilite l'expertise indépendante et en intègre le rendu dans le dossier de conformité. Détails sur la page expertise indépendante du vote électronique.
L'AIPD et la consultation préalable de la CNIL
Le traitement « vote électronique » comporte des risques pour les droits des personnes : registre d'enrôlement, risque de traçage de la participation (savoir qui a voté), volumétrie de données potentiellement large. À ce titre, une analyse d'impact relative à la protection des données (AIPD) est requise, et doit être menée avant le scrutin.
L'AIPD décrit le traitement, évalue la nécessité et la proportionnalité des mesures, identifie les risques et les mesures pour les réduire. Elle documente, notamment, le niveau de risque CNIL retenu et les mesures associées.
Cas particulier essentiel : si, après la mise en place des mesures, un risque résiduel élevé subsiste, l'organisateur doit procéder à une consultation préalable de la CNIL au titre de l'article 36 du RGPD. C'est l'une des rares situations où la CNIL intervient a priori — non pour autoriser le scrutin, mais pour examiner le traitement résiduellement risqué. Un dispositif bien conçu (chiffrement à seuil, authentification locale, vérifiabilité, hébergement maîtrisé) réduit ce risque résiduel et évite, en pratique, d'en arriver là.
Le rôle des acteurs : qui est responsable de quoi
C'est le point que tout le monde a intérêt à clarifier — et que personne ne formalise vraiment. La répartition des rôles RGPD ne se devine pas : elle se contractualise.
| Acteur | Rôle RGPD | Responsabilités principales |
|---|---|---|
| Employeur | Responsable de traitement | Détermine les finalités et moyens ; tient le registre ; mène l'AIPD ; informe les électeurs ; répond des manquements. |
| Prestataire de vote (Sephos) | Sous-traitant (art. 28 RGPD) | Agit sur instruction documentée ; met en œuvre les mesures de sécurité ; assiste l'employeur (AIPD, droits des personnes, expertise). |
| Expert indépendant | Tiers auditeur | Audite le système avant le scrutin ; produit le rapport d'expertise ; ne traite pas les données électorales. |
À ne jamais inverser : l'employeur est responsable de traitement ; Sephos est sous-traitant. C'est l'employeur qui porte la responsabilité juridique du traitement — d'où l'importance d'un prestataire qui lui fournit, sans qu'il les réclame, la documentation de conformité dont il aura besoin face à la CNIL ou au juge. La répartition précise figure sur la page vote électronique et RGPD.
La complémentarité CNIL + ANSSI
En 2026, la CNIL et l'ANSSI (Agence nationale de la sécurité des systèmes d'information) ont publié leurs textes le même jour. Ce n'est pas un hasard : les deux institutions se répartissent le terrain.
- La CNIL raisonne en protection des données : secret du vote, séparation des fichiers, minimisation, droits des personnes, niveaux de risque.
- L'ANSSI raisonne en sécurité des systèmes d'information : robustesse cryptographique, intégrité, journalisation, résistance aux attaques. Son guide (série ANSSI-PA) accompagne techniquement les organisateurs.
Pour l'organisateur, la lecture est simple : la recommandation CNIL définit ce qu'il faut garantir, le guide ANSSI éclaire comment le sécuriser techniquement. Un dispositif aligné sur les deux — chiffrement à seuil, authentification forte locale, scellement, vérifiabilité, hébergement en France — répond aux deux référentiels d'un même mouvement.
La transparence renforcée en 2026 : spécifications et code source
L'un des virages les plus structurants de 2026 concerne la transparence. Là où le cadre de 2019 se contentait d'une documentation interne, le nouveau cadre attend :
- au niveau 2 et plus : la publication des spécifications techniques du système de vote ;
- au niveau 3 : la publication du code source côté client (la partie qui s'exécute dans le navigateur de l'électeur).
L'objectif : permettre à des tiers de vérifier par eux-mêmes que le bulletin est bien chiffré sur le terminal et qu'aucun reçu de vote n'est produit. C'est la traduction concrète du principe « la sécurité doit être démontrable, pas seulement affirmée ». Une solution dont le code client est ouvert à l'examen et dont le décompte est rejouable se conforme naturellement à cette exigence ; une boîte noire propriétaire, non.
Le calendrier d'application et la période de transition
La question pratique de 2026 : « mon scrutin relève-t-il encore de 2019 ou déjà de 2026 ? »
- Les scrutins déjà engagés en 2026 sous le cadre de 2019 (protocole pré-électoral négocié, prestataire retenu sur cette base, calendrier électoral lancé) sont appréciés au regard du cadre 2019 qui leur était applicable. L'abrogation ne rétroagit pas sur les opérations déjà sécurisées.
- Les nouveaux scrutins, dont la préparation démarre après l'entrée en vigueur du texte 2026, s'organisent sous le cadre 2026 : nouveaux niveaux de transparence, expertise indépendante précisée, vérifiabilité renforcée.
En cas de doute sur la frontière (un scrutin pluriannuel, un renouvellement partiel), la prudence consiste à viser le niveau d'exigence le plus élevé : un dispositif conforme à 2026 est, par construction, conforme à 2019. C'est précisément l'intérêt de travailler avec un prestataire déjà aligné sur le cadre le plus récent. Le séquencement détaillé figure sur la page protocole pré-électoral du CSE.
L'information préalable des électeurs et l'accessibilité
Deux obligations souvent sous-estimées, et pourtant contrôlées par le juge en cas de contestation.
L'information préalable. Les électeurs doivent être informés, avant le scrutin, des modalités du vote électronique : période d'ouverture, mode d'authentification, garanties de secret et de sincérité, traitement de leurs données (finalités, durée de conservation, droits). Cette information relève de l'employeur, responsable de traitement, et doit être tracée (note d'information, affichage, communication individuelle).
L'accessibilité. Le dispositif doit être accessible, y compris aux électeurs en situation de handicap. Un parcours de vote conforme aux référentiels d'accessibilité permet à chacun de voter en autonomie — ce que le vote papier ne garantit pas toujours. C'est aussi un facteur d'égalité d'accès au scrutin, dont l'absence pourrait nourrir une contestation.
Les obligations RGPD de l'organisateur
Au-delà de la recommandation sécurité, l'organisateur doit respecter le socle RGPD. Synthèse opérationnelle :
- Registre des traitements : inscrire le traitement « élections professionnelles par voie électronique », ses finalités, ses durées de conservation, ses destinataires.
- Contrat de sous-traitance (art. 28) : encadrer la relation avec la plateforme — instructions documentées, mesures de sécurité, sous-traitance ultérieure, assistance, sort des données en fin de prestation.
- Information des personnes : notice claire sur le traitement de leurs données électorales (voir ci-dessus).
- Droits des électeurs : accès, rectification, et limites légitimes (on ne « rectifie » pas un bulletin déjà déposé ; le secret du vote prime). L'exercice des droits porte sur les données d'identité et d'émargement, pas sur le contenu chiffré du suffrage.
- Minimisation et durée de conservation : ne collecter que le nécessaire, purger dans les délais.
Le détail des données concernées figure sur la page données personnelles et vote électronique.
Listes électorales : quelle durée de conservation ?
Les données des listes électorales (identité, collège, qualité d'électeur) et les fichiers d'émargement sont conservés jusqu'à l'expiration des délais de recours contre l'élection — et, le cas échéant, jusqu'au terme des contentieux engagés. Une fois ces délais purgés (le délai de contestation devant le tribunal judiciaire est de 15 jours, sous réserve des règles applicables et des éventuels recours), les fichiers nominatifs doivent être supprimés ou archivés selon une politique documentée. Conserver indéfiniment une liste électorale est un manquement classique au RGPD.
La mise en place du vote électronique CSE : accord ou DUE
Sur le plan du Code du travail, le recours au vote électronique doit être prévu avant d'être mis en œuvre. Deux voies :
- un accord d'entreprise (ou de groupe) qui ouvre la possibilité du vote électronique ;
- à défaut d'accord, une décision unilatérale de l'employeur (DUE).
Dans les deux cas, les modalités précises (prestataire, calendrier d'enrôlement, période de vote, dispositif de secours) sont ensuite arrêtées et le recours au vote électronique est mentionné dans le protocole d'accord préélectoral. Cette articulation accord/DUE → protocole est un point de vigilance : un vote électronique mis en place sans base juridique propre est un terrain de contestation, voire d'annulation des élections. Les modèles et étapes sont détaillés sur la page protocole pré-électoral du CSE.
Conséquences d'un manquement : le risque d'annulation
Aucun concurrent ne traite franchement la sanction. Pourtant, c'est l'enjeu réel pour un employeur.
Le non-respect des objectifs de sécurité de la CNIL n'expose pas seulement à une sanction de l'autorité de contrôle (mises en demeure, sanctions financières RGPD). Il fragilise surtout la validité même du scrutin : un juge saisi d'une contestation peut annuler les élections s'il constate qu'une irrégularité a pu fausser la sincérité du vote ou porter atteinte à son secret. Les manquements typiques relevés par la jurisprudence touchent à l'authentification insuffisante, à l'absence de séparation des fichiers, au défaut d'expertise pour un scrutin à enjeu, ou à une information préalable défaillante.
La meilleure protection n'est pas l'affirmation de conformité : c'est la preuve documentée — AIPD, matrice de conformité par niveau, rapport d'expertise indépendante, journaux d'audit, PV scellés. C'est exactement ce qu'un accompagnement sérieux constitue au fil du scrutin. Pour approfondir, voir la jurisprudence du vote électronique et la page annulation des élections CSE.
Matrice de conformité opérationnelle : objectif → preuve → responsable
Voici l'outil que ni la CNIL ni les blogs concurrents ne fournissent : une matrice qui relie chaque objectif à la preuve documentaire à produire et au responsable de cette preuve. C'est elle que vous présentez en cas de contrôle ou de contentieux.
| Objectif / exigence | Preuve documentaire | Responsable |
|---|---|---|
| Classement du niveau de risque | Grille d'auto-évaluation + AIPD | Employeur (avec appui prestataire) |
| Confidentialité / secret du vote | Spécifications de chiffrement, rapport d'expertise | Prestataire (fournit) / Employeur (conserve) |
| Intégrité de l'urne | Journaux de scellement, journaux chaînés | Prestataire |
| Sincérité / anti-double-vote | Documentation d'authentification, logs d'émargement | Prestataire |
| Vérifiabilité du dépouillement | Preuves publiées, dépouillement rejouable | Prestataire / Bureau de vote |
| Expertise indépendante | Rapport d'expertise (avant scrutin) | Expert / Employeur (conserve) |
| Information des électeurs | Note d'information, preuve d'affichage | Employeur |
| Rôles RGPD | Contrat de sous-traitance (art. 28), registre | Employeur |
| Conservation des données | Politique de purge, dates de suppression | Employeur (avec appui prestataire) |
Cette matrice est, en pratique, le dossier de conformité que Sephos constitue avec son client tout au long du scrutin.
Le déroulé « qui fait quoi quand », du protocole pré-électoral au PV
Relier les exigences CNIL au calendrier réel manque cruellement aux pages existantes. Voici la chronologie.
- Avant le protocole. L'employeur choisit la voie (accord ou DUE), classe le niveau de risque, lance l'AIPD, signe le contrat de sous-traitance. Le prestataire fournit les spécifications.
- Protocole pré-électoral. Le recours au vote électronique et ses modalités sont actés ; les collèges, le calendrier et le dispositif de secours sont fixés. Voir protocole pré-électoral.
- Avant le scrutin (niveau 2/3). L'expert indépendant audite le système ; le rapport est versé au dossier. Publication des spécifications (et du code client au niveau 3).
- Enrôlement. Les électeurs reçoivent leur invitation et initient leur enrôlement WebAuthn. La liste électorale est gelée ; l'information préalable est diffusée.
- Vote. Bulletins chiffrés sur l'appareil, urne scellée, émargement séparé, journaux horodatés. Le bureau de vote dématérialisé surveille les opérations.
- Dépouillement. Réunion du seuil de porteurs de clés ; déchiffrement des seuls agrégats ; calcul des sièges recalculable ; vérifiabilité universelle ouverte aux tiers.
- Procès-verbal. La plateforme produit les PV d'ouverture et de clôture et un certificat de résultat. La déclaration administrative (formulaire Cerfa, transmission à l'administration du travail) reste une démarche de l'employeur — votre chef de projet vous indique quoi transmettre et quand, sans s'y substituer. Voir procès-verbal des élections CSE.
Le coût réel de la conformité
Personne n'aborde franchement le sujet. La conformité a un coût — mais c'est un investissement face au risque d'annulation d'un scrutin entier.
Les principaux postes : l'expertise indépendante (significative au niveau 3, où elle est attendue à chaque scrutin), l'hébergement en France, l'accompagnement projet (AIPD, dossier de conformité, jalons juridiques) et la plateforme elle-même. À titre indicatif, le budget d'un scrutin se répartit généralement entre la plateforme, l'accompagnement et les prestations annexes selon une logique proche de 45 / 35 / 20 % — estimation commerciale qui varie avec le nombre d'électeurs, de collèges, de tours et le niveau de risque.
Plutôt qu'un tarif affiché hors contexte, le plus pertinent reste un devis adapté à votre niveau de risque et à votre calendrier. La page conformité du vote électronique CSE replace ces postes dans l'ensemble du dispositif.
Bien plus qu'un logiciel : prouver sa conformité, pas seulement l'afficher
Un scrutin annulé l'est presque toujours pour un vice de procédure ou de preuve — protocole fragile, information préalable défaillante, absence d'expertise, AIPD manquante — rarement pour une faille cryptographique. La sécurité technique est nécessaire ; elle n'est pas suffisante.
C'est pourquoi Sephos lie conformité technique et conformité juridique documentée. Un chef de projet dédié, expert en droit social, accompagne chaque scrutin du protocole pré-électoral au procès-verbal : il calibre le niveau de risque CNIL, facilite l'expertise indépendante, aide à constituer l'AIPD et le dossier de conformité, sécurise les jalons (enrôlement, gel de la liste, quorum, calcul des sièges), et prépare les pièces probantes en cas de contestation. C'est ce que recouvre la promesse « bien plus qu'un logiciel », adossée à plus de 2 400 élections organisées et à un hébergement en France.
Demander une démonstration
Vous voulez savoir si votre scrutin relève du niveau 2 ou 3, voir la matrice de conformité CNIL appliquée à votre cas, comprendre l'authentification WebAuthn, le chiffrement homomorphe à seuil et la double vérifiabilité — et repartir avec une feuille de route claire pour 2026 ?
Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié expert en droit social. Ou demander à être rappelé.
Pour approfondir : conformité du vote électronique CSE, vote électronique et RGPD, expertise indépendante et secret du vote.
Questions fréquentes
La CNIL certifie-t-elle les solutions de vote électronique ?
Non. La CNIL ne certifie aucune solution de vote électronique : il n'existe ni « certification CNIL », ni label, ni agrément de produit. La CNIL publie une recommandation sur la sécurité du vote par correspondance électronique, qui classe les scrutins en trois niveaux de risque et fixe des objectifs de sécurité. La conformité se démontre par une documentation (AIPD, matrice de conformité par niveau, rapport d'expertise indépendante), pas par un badge. Méfiez-vous de tout prestataire affichant « certifié CNIL ».
Faut-il une déclaration à la CNIL pour organiser un vote électronique au CSE ?
Non. Depuis le RGPD, il n'y a aucune formalité préalable : ni déclaration, ni demande d'autorisation. L'organisateur applique une logique de responsabilisation : il doit garantir la conformité et pouvoir la prouver. Il doit notamment réaliser une AIPD, tenir son registre des traitements et conclure un contrat de sous-traitance (art. 28 RGPD) avec la plateforme. La seule intervention a priori possible de la CNIL est la consultation préalable lorsqu'un risque résiduel élevé subsiste après l'AIPD (art. 36 RGPD).
Quels sont les trois niveaux de risque définis par la CNIL pour le vote électronique ?
La CNIL distingue trois niveaux. Le niveau 1 (enjeu limité) impose les mesures de base : séparation des fichiers, chiffrement, traçabilité, information des électeurs. Le niveau 2 (enjeu intermédiaire) renforce l'authentification, le scellement de l'urne, les journaux d'audit et impose la publication des spécifications techniques. Le niveau 3 (enjeu fort) exige une authentification forte, un chiffrement à seuil à porteurs multiples, une expertise indépendante à chaque scrutin, une vérifiabilité renforcée et la publication du code source côté client. Les élections CSE relèvent fréquemment du niveau 2 ou 3.
L'expertise indépendante est-elle obligatoire pour un vote électronique CSE ?
Pour les scrutins à enjeu (niveaux 2 et 3), la CNIL attend une expertise indépendante du système, réalisée avant sa première utilisation. La fréquence dépend du niveau : au niveau 3, elle est attendue à chaque scrutin. Le rapport couvre l'architecture, le code, le chiffrement, le scellement, l'authentification et la vérifiabilité. Pour une élection CSE à fort enjeu, c'est en pratique une mesure incontournable, et le rapport devient une pièce probante décisive en cas de contestation. Voir la page expertise indépendante.
Qu'est-ce qui change avec la nouvelle recommandation CNIL de 2026 ?
La recommandation de 2026 abroge celles de 2010 et 2019, conserve la grille à trois niveaux de risque mais renforce la transparence : publication des spécifications techniques (niveau 2 et plus) et du code source côté client (niveau 3). Elle précise l'expertise indépendante (fréquence selon le niveau), met en avant la distinction entre vérifiabilité individuelle et universelle, explicite la confidentialité du bulletin dès sa création sur le terminal et la résistance à la coercition (absence de reçu de vote). Un guide ANSSI a été publié simultanément pour le volet sécurité technique.
Une AIPD est-elle obligatoire pour le vote électronique aux élections professionnelles ?
Oui. Le traitement comporte un registre d'enrôlement et un risque de traçage de la participation, ce qui rend une analyse d'impact relative à la protection des données (AIPD) nécessaire, à mener avant le scrutin. L'AIPD décrit le traitement, justifie les mesures, documente le niveau de risque CNIL retenu et les mesures de réduction. Si un risque résiduel élevé subsiste après l'AIPD, l'organisateur doit consulter la CNIL au préalable (art. 36 RGPD). Un dispositif robuste réduit ce risque résiduel et évite, en pratique, cette consultation.
Qui est responsable de traitement lors d'un vote électronique : l'employeur ou le prestataire ?
L'employeur est responsable de traitement : il détermine les finalités et moyens, tient le registre, mène l'AIPD, informe les électeurs et répond des manquements. Le prestataire de vote (Sephos) est sous-traitant au sens de l'article 28 du RGPD : il agit sur instruction documentée, met en œuvre les mesures de sécurité et assiste l'employeur. Cette répartition ne doit jamais être inversée. Elle se contractualise dans un contrat de sous-traitance. Détail sur la page vote électronique et RGPD.
La recommandation CNIL de 2019 est-elle toujours applicable en 2026 ?
La recommandation de 2019 a été abrogée par le texte de 2026. Toutefois, l'abrogation n'est pas rétroactive : les scrutins déjà engagés sous le cadre de 2019 sont appréciés au regard de ce texte, tandis que les nouveaux scrutins relèvent du cadre 2026. En cas de doute sur la frontière, la prudence consiste à viser le niveau d'exigence le plus élevé : un dispositif conforme à 2026 est, par construction, conforme à 2019.
Comment mettre en place le vote électronique pour les élections du CSE ?
Le recours au vote électronique doit être prévu par un accord d'entreprise (ou de groupe) ou, à défaut, par une décision unilatérale de l'employeur (DUE). Les modalités précises sont ensuite arrêtées et mentionnées dans le protocole d'accord préélectoral. En parallèle, l'employeur mène l'AIPD, classe le niveau de risque, signe le contrat de sous-traitance et organise l'expertise indépendante si le niveau l'exige. La page protocole pré-électoral détaille les étapes et les modèles.
Quel est le rôle de l'ANSSI dans le vote électronique ?
L'ANSSI complète la CNIL sur le volet sécurité des systèmes d'information : robustesse cryptographique, intégrité, journalisation, résistance aux attaques. En 2026, elle a publié, le même jour que la CNIL, un guide d'accompagnement technique (série ANSSI-PA). La répartition est claire : la CNIL définit ce qu'il faut garantir (secret, sincérité, droits des personnes), l'ANSSI éclaire comment le sécuriser. Un dispositif aligné sur les deux référentiels répond aux deux d'un même mouvement.
Le non-respect des recommandations CNIL peut-il entraîner l'annulation des élections ?
Oui. Au-delà des sanctions RGPD possibles, un manquement aux objectifs de sécurité fragilise la validité du scrutin : un juge peut annuler l'élection si une irrégularité a pu fausser la sincérité du vote ou porter atteinte à son secret (authentification insuffisante, fichiers non séparés, défaut d'expertise, information préalable défaillante). La meilleure protection est la preuve documentée de conformité — AIPD, matrice par niveau, rapport d'expertise, journaux, PV scellés. Voir annulation des élections CSE et jurisprudence du vote électronique.
Comment garantir le secret du vote dans un système de vote électronique ?
Par deux mécanismes combinés. D'abord, la séparation stricte de la liste d'émargement (qui sait qui a voté) et de l'urne (qui contient les bulletins chiffrés, sans aucun identifiant). Ensuite, un chiffrement homomorphe à seuil : les bulletins sont chiffrés sur l'appareil de l'électeur, on additionne les bulletins chiffrés sans les ouvrir, et seuls les agrégats sont déchiffrés à la clôture. Aucun bulletin individuel n'est jamais déchiffré, et la clé de dépouillement, répartie entre plusieurs porteurs, n'est jamais reconstituée. L'anonymat est fort mais dissociatif : aucun reçu du contenu du vote n'est délivré. Détail sur la page secret du vote.