Données personnelles et vote électronique : le guide

Données personnelles et vote électronique : le guide opérationnel pour un scrutin CSE conforme

Dans un vote électronique, les données personnelles des électeurs sont protégées par le RGPD selon quatre exigences cumulatives : une base légale claire, la minimisation (ne collecter que ce qui identifie l'électeur), la transparence (informer chaque salarié) et la sécurité (chiffrement, séparation stricte entre la liste d'émargement et l'urne). L'employeur est responsable de traitement, la plateforme de vote est sous-traitant au sens de l'article 28 du RGPD.

C'est la réponse courte. Mais organiser une élection du CSE en ligne sans se faire piéger par le RGPD demande davantage qu'une phrase de principe. Vous manipulez une liste nominative de salariés, vous tracez qui a voté, et vous traitez — le temps d'un instant chiffré — la donnée la plus sensible qui soit : un choix d'opinion. Le moindre faux pas (une adresse de domicile sur la liste, une AIPD oubliée, des logs conservés trop longtemps) expose l'employeur à une contestation de l'élection et à une sanction de la CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Cette page est le guide pratique de la protection des données personnelles dans le vote électronique du CSE. Elle couvre le cadre RGPD applicable, la qualification exacte des acteurs, le contenu autorisé de la liste électorale, l'AIPD, les droits des salariés, le secret du scrutin, les mesures de sécurité techniques, les durées de conservation, les sanctions — et elle intègre les apports les plus récents de la doctrine CNIL sur la sécurité des systèmes de vote. Elle s'adresse aux employeurs, DRH, DPO et élus du CSE qui veulent comprendre avant de signer et avant de déposer leur liste.

Le différenciateur Sephos. La protection des données ne se résume pas à un cadenas logiciel. La plateforme Sephos associe une cryptographie vérifiable par un tiers, un chef de projet dédié, expert en droit social, et une conformité documentée scrutin par scrutin (matrices de conformité par niveau de risque, accompagnement à l'AIPD, contrat de sous-traitance art. 28). Plus de 2 400 élections organisées, hébergement en France, et une participation observée jusqu'à +22 points sur les scrutins accompagnés. Bien plus qu'un logiciel : un dispositif qui tient devant le juge.

Le cadre RGPD applicable au vote électronique

Une élection du CSE par voie électronique est un traitement de données à caractère personnel : on collecte, on enregistre, on conserve et on consulte des informations qui identifient des salariés. Le RGPD s'applique donc intégralement, à articuler avec la loi Informatique et Libertés et avec le Code du travail. Quatre exigences structurent tout le reste.

Licéité. Le traitement doit reposer sur une base légale. Ici, elle est solide : l'organisation des élections professionnelles est une obligation légale de l'employeur (Code du travail). Le scrutin n'a donc pas besoin du consentement individuel des salariés pour traiter leurs données d'électeur — l'obligation légale suffit.
Minimisation. On ne collecte que les données strictement nécessaires à l'identification de l'électeur et à l'organisation du vote. Pas une de plus. C'est la règle la plus souvent violée en pratique (voir la liste électorale plus bas).
Transparence. Chaque salarié doit être informé du traitement de ses données et du fonctionnement du système de vote, dans un langage clair.
Sécurité. Le traitement doit être protégé par des mesures techniques et organisationnelles proportionnées au risque : chiffrement, authentification, séparation des fichiers, journalisation, durées de conservation maîtrisées.

Ces quatre piliers se déclinent ensuite en obligations concrètes : qualification des acteurs, registre des traitements, AIPD, information des électeurs, respect de leurs droits, et encadrement contractuel du prestataire. C'est l'ensemble de ce dispositif que détaille la page vote électronique et RGPD.

Qui est responsable du traitement ? Employeur et prestataire (art. 28 RGPD)

C'est le point juridique à ne jamais inverser, et c'est précisément celui que la plupart des pages concurrentes laissent dans le flou.

Acteur	Qualification RGPD	Ce qu'il porte
Employeur (l'entreprise qui organise l'élection)	Responsable de traitement	Détermine les finalités et les moyens. Porte la responsabilité juridique du traitement. Tient le registre, mène l'AIPD, informe les salariés, répond aux demandes de droits.
Prestataire de vote (la plateforme, ex. Sephos)	Sous-traitant (article 28 RGPD)	Agit uniquement sur instruction documentée de l'employeur. Met en œuvre la sécurité technique. Assiste le responsable (AIPD, droits, sécurité). Ne décide rien sur les finalités.

Concrètement : c'est l'employeur qui décide d'organiser l'élection, qui définit les collèges, qui arrête la liste électorale. Le prestataire ne fait qu'exécuter, dans le cadre fixé. Cette répartition entraîne deux conséquences pratiques majeures.

D'abord, un contrat de sous-traitance conforme à l'article 28 est obligatoire entre l'employeur et la plateforme. Il doit préciser l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes, les obligations du sous-traitant, les mesures de sécurité, le recours éventuel à des sous-traitants ultérieurs, et le sort des données en fin de prestation.

Ensuite, en cas de violation de données, les responsabilités se partagent mais ne se confondent pas : l'employeur reste responsable vis-à-vis des salariés et de la CNIL, tandis que le sous-traitant répond de ses propres manquements (défaut de sécurité, traitement hors instruction). Un prestataire sérieux fournit donc à l'employeur la documentation qui lui permet de prouver sa diligence : matrice de conformité, description des mesures de sécurité, registre des sous-traitants, procédure de notification d'incident. Le détail de cette articulation figure sur la page conformité du vote électronique CSE.

Le contenu de la liste électorale : ce qui est autorisé, ce qui est interdit

La liste électorale est le premier fichier de données personnelles du scrutin — et la source d'erreur la plus fréquente. Le principe de minimisation y est intransigeant : on n'inscrit que ce qui sert à identifier l'électeur et à vérifier son droit de vote.

Mentions généralement autorisées (car nécessaires à l'identification et au classement par collège) :

nom et prénom de l'électeur ;
date de naissance ou âge (vérification de la condition d'électorat, ventilation par collège le cas échéant) ;
ancienneté / date d'entrée (condition d'électorat et d'éligibilité) ;
rattachement au collège électoral et, le cas échéant, à l'établissement ;
une donnée de contact professionnelle strictement utile pour initier l'enrôlement (adresse e-mail professionnelle).

Mentions à proscrire (non nécessaires à l'identification de l'électeur) :

adresse de domicile personnelle ;
numéro de téléphone personnel ;
situation familiale, état de santé, données bancaires complètes ;
toute donnée révélant des opinions, une appartenance syndicale ou des convictions, sauf nécessité légale strictement encadrée.

Règle d'or. Si une donnée ne sert ni à identifier l'électeur, ni à vérifier son droit de vote, ni à le ranger dans son collège, elle n'a rien à faire sur la liste électorale. L'adresse de domicile, en particulier, est l'erreur classique : elle ne sert à rien pour un vote en ligne et elle alourdit inutilement le risque.

La donnée des candidats mérite une attention propre : leurs nom, prénom, collège et liste d'appartenance sont traités et rendus publics dans le cadre de la propagande électorale, mais cette publicité est limitée à ce qui est nécessaire à l'élection et ne s'étend pas à leurs données personnelles non électorales. La constitution complète de la liste est détaillée sur la page liste électorale du CSE.

Cas particuliers : NIR, IBAN, questions de secours

Trois cas reviennent régulièrement et appellent une vigilance renforcée.

Le NIR (numéro de sécurité sociale) est une donnée à usage très encadré. Son utilisation comme identifiant n'est admise que dans des cas limitativement prévus par le cadre réglementaire applicable. Pour un vote CSE, on l'évite : d'autres identifiants suffisent à distinguer deux homonymes (matricule interne, date de naissance).
L'IBAN ou un fragment d'IBAN parfois utilisé comme « question de secours » d'authentification est à bannir : c'est une donnée bancaire, sans rapport avec l'identification d'un électeur, et donc contraire à la minimisation.
Les questions/réponses secrètes fondées sur des données personnelles (date de naissance d'un proche, etc.) sont fragiles et inutiles dès lors que l'authentification repose sur un mécanisme moderne (voir plus bas).

Le principe de minimisation appliqué, étape par étape

La minimisation n'est pas qu'une règle pour la liste électorale : elle gouverne tout le cycle du scrutin. À chaque étape, posez la question « cette donnée est-elle strictement nécessaire à cette finalité ? ».

Constitution de la liste : seulement les données d'identification et d'électorat.
Enrôlement et authentification : un identifiant d'appareil et un secret cryptographique dérivé localement — pas de mot de passe stocké en clair, pas de question secrète intrusive.
Émargement : le simple fait qu'une personne a voté (booléen), pas l'heure précise exposée publiquement ni l'adresse IP conservée au-delà du strict nécessaire.
Urne : des bulletins chiffrés sans aucun identifiant nominatif.
Dépouillement : des agrégats (totaux par liste et par candidat), jamais de bulletins individuels.
Archivage : seulement les pièces utiles à la preuve, pour la durée juste nécessaire.

Cette discipline est ce qui distingue un scrutin « propre » d'un scrutin qui accumule des données par confort technique. Elle réduit mécaniquement la surface de risque — et donc l'ampleur d'une éventuelle violation.

L'AIPD : quand est-elle obligatoire, et que vérifie-t-elle ?

L'analyse d'impact relative à la protection des données (AIPD) est une étude documentée des risques qu'un traitement fait peser sur les personnes, et des mesures prises pour les réduire. Elle est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés.

Un vote électronique du CSE entre dans ce cas. Deux raisons le justifient. D'une part, le scrutin tient un registre d'enrôlement et trace qui a voté, ce qui crée un risque de suivi de la participation des salariés. D'autre part, le traitement approche, le temps d'un instant chiffré, une donnée qui révèle une opinion. À ce double titre, une AIPD est requise pour un vote électronique CSE.

Ce que vérifie concrètement une AIPD de vote électronique (méthodologie)

Une AIPD n'est pas un formulaire à cocher : c'est une démarche en plusieurs temps que votre chef de projet et votre DPO mènent ensemble.

Description du traitement : finalités (organiser l'élection), données traitées (liste, émargement, bulletins chiffrés, logs), acteurs (responsable, sous-traitant, hébergeur), flux et durées.
Évaluation de la nécessité et de la proportionnalité : la base légale est-elle solide ? La minimisation est-elle respectée ? Les durées de conservation sont-elles justifiées ? L'information des électeurs est-elle assurée ?
Identification des risques : atteinte au secret du vote, ré-association d'un bulletin à un votant, fuite de la liste, traçage de la participation, indisponibilité du service le jour J, altération du décompte.
Mesures de réduction : chiffrement homomorphe à seuil, séparation stricte urne / émargement, authentification résistante au hameçonnage, journalisation chaînée, hébergement en France, plan de continuité, durées de conservation courtes.
Validation et suivi : avis du DPO, décision du responsable, réévaluation si le contexte change.

Le prestataire sous-traitant doit assister le responsable dans cette démarche en fournissant les éléments techniques. Un fournisseur qui prétend qu'« aucune AIPD n'est nécessaire » vous expose : fuyez-le. Le sujet de la sécurité est approfondi sur la page vote électronique et CNIL.

L'inscription au registre des activités de traitement

Le traitement « organisation des élections du CSE » doit figurer au registre des activités de traitement de l'employeur. Aucune formalité préalable auprès de la CNIL n'est requise pour autoriser le scrutin : depuis le RGPD, le régime d'autorisation a disparu au profit d'une logique de responsabilité (accountability). L'organisateur n'a donc rien à « déclarer » à la CNIL avant de voter — mais il doit pouvoir démontrer sa conformité à tout moment.

La seule formalité « lourde » est l'AIPD lorsqu'elle est requise (ici, elle l'est). Elle n'est pas transmise à la CNIL par défaut, mais doit être conservée et tenue à disposition. La fiche de registre, de son côté, mentionne le responsable et le sous-traitant, les finalités, les catégories de données et de personnes, les destinataires, les durées de conservation et les mesures de sécurité.

Informer les électeurs : le contenu de la mention d'information

La transparence est une obligation, pas une politesse. Avant le scrutin, chaque salarié doit être informé du traitement de ses données et du fonctionnement du système de vote. Une mention d'information claire doit notamment préciser :

l'identité du responsable de traitement (l'employeur) et, le cas échéant, le contact du DPO ;
les finalités (organisation de l'élection du CSE) et la base légale (obligation légale) ;
les catégories de données traitées et leur source ;
les destinataires (bureau de vote, prestataire sous-traitant, hébergeur en France) ;
la durée de conservation des différentes catégories de données ;
les droits des personnes et les modalités pour les exercer ;
le droit d'introduire une réclamation auprès de la CNIL ;
une explication accessible du fonctionnement du système de vote et des garanties de secret et de sécurité.

Modèle de mention d'information aux électeurs (à adapter)

Dans le cadre de l'élection de votre comité social et économique, [Entreprise], responsable de traitement, traite vos données (nom, prénom, date de naissance, ancienneté, collège, contact professionnel) afin d'organiser le scrutin par voie électronique. La base légale est l'obligation légale d'organiser les élections professionnelles. Vos données sont traitées par [Prestataire], sous-traitant au sens de l'article 28 du RGPD, et hébergées en France. Elles sont conservées le temps strictement nécessaire au scrutin et à la gestion d'une éventuelle contestation, puis supprimées ou archivées dans des conditions sécurisées. Le système garantit le secret de votre vote : la liste de ceux qui ont voté et l'urne contenant les bulletins chiffrés sont strictement séparées, et aucun bulletin individuel n'est jamais déchiffré. Vous disposez d'un droit d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, exerçable auprès de [contact / DPO]. Vous pouvez introduire une réclamation auprès de la CNIL.

Adaptez ce modèle à votre organisation avec votre chef de projet et votre DPO. La diffusion de cette information rejoint l'obligation plus large d'affichage et information des salariés.

Les droits des salariés sur leurs données et le délai de réponse

Les salariés-électeurs disposent de l'ensemble des droits prévus par le RGPD. L'employeur, responsable de traitement, doit y répondre — dans un délai d'un mois à compter de la demande (prorogeable de deux mois en cas de complexité, avec information de la personne).

Droit	Ce qu'il permet	Limite propre au scrutin
Accès	Savoir quelles données sont traitées et en obtenir copie.	Ne permet pas d'accéder au contenu de son bulletin (jamais déchiffré individuellement).
Rectification	Corriger une donnée inexacte (nom, ancienneté, collège).	Essentiel avant le gel de la liste électorale.
Effacement	Faire supprimer ses données.	S'efface devant l'obligation légale et la nécessité de preuve en cas de contestation.
Opposition	S'opposer au traitement.	Très limité ici : le traitement repose sur une obligation légale, pas sur l'intérêt légitime.
Limitation	Geler temporairement un traitement contesté.	Possible le temps de vérifier l'exactitude d'une donnée.
Portabilité	Récupérer ses données dans un format réutilisable.	Application restreinte : la base n'est pas le consentement ni un contrat.

Le point décisif : le droit d'accès ne donne jamais accès au choix de vote. Le système est conçu pour qu'aucun bulletin individuel ne soit déchiffrable, y compris par l'administrateur ou par l'employeur. Un électeur peut savoir qu'il a voté ; ni lui ni personne ne peut obtenir le contenu de son suffrage par une demande de droit d'accès. C'est une protection, pas une lacune.

Confidentialité et secret du scrutin : la séparation urne / liste d'émargement

Voici le cœur de la protection des données dans un vote : il faut savoir qui a voté (pour le quorum et l'émargement) sans jamais savoir ce que chacun a voté. La solution est une séparation stricte de deux fichiers qui ne doivent jamais être reliés.

Le fichier des électeurs / liste d'émargement enregistre, à mesure que les votes arrivent, le fait qu'une personne a voté. Il ne contient aucun bulletin.
L'urne électronique accumule les bulletins chiffrés, sans aucun identifiant nominatif. Elle ne sait pas à qui appartient quel bulletin.

Entre les deux, aucun lien. On compte les votants d'un côté, on dépouille les suffrages de l'autre, et les deux ensembles ne se rejoignent jamais. C'est cette architecture qui rend le scrutin conforme et qui protège le secret du vote. Elle est détaillée sur les pages secret du vote électronique et scellement de l'urne électronique.

Confidentialité, anonymat, intégrité : trois notions à ne pas confondre

La doctrine récente de la CNIL sur la sécurité des systèmes de vote articule plusieurs principes fondamentaux du droit électoral appliqués au numérique. Trois d'entre eux sont régulièrement confondus :

La confidentialité du vote : nul ne peut découvrir le choix d'un électeur contre sa volonté pendant le scrutin.
L'anonymat : une fois déposé, le bulletin ne peut plus être ré-associé à son auteur. Il est dissociatif — fort, mais jamais magique : on documente honnêtement la réduction (et non l'élimination) de tout risque résiduel de corrélation.
L'intégrité (sincérité) des suffrages : le résultat reflète exactement les votes exprimés, sans ajout, suppression ni modification.

Aux côtés de ces trois notions figurent d'autres exigences (unicité du vote, transparence du dispositif, contrôlabilité par le bureau de vote, possibilité de vérification par des tiers, et accessibilité). Un système ne « protège les données » que s'il tient tous ces principes ensemble — pas seulement le chiffrement. Le détail de l'anonymat est traité sur la page anonymat du vote électronique.

Le choix de vote, une donnée à protection renforcée

Pourquoi tant de précautions ? Parce que le sens d'un vote révèle une opinion. Or les opinions politiques, philosophiques ou syndicales relèvent des catégories particulières de données (dites « sensibles ») bénéficiant d'une protection renforcée par le RGPD. Même si un suffrage CSE n'est pas une opinion politique au sens strict, il s'en rapproche : c'est une expression de préférence qui mérite la même rigueur.

La parade n'est pas seulement juridique, elle est architecturale : le système est conçu pour que le choix de vote ne puisse jamais être ré-associé à la personne qui l'a exprimé. Le bulletin est chiffré sur l'appareil avant tout envoi, déposé dans une urne sans identifiant, et seuls les agrégats sont déchiffrés. À aucun moment un bulletin individuel n'est lu. La donnée la plus sensible du scrutin est ainsi protégée par construction, et pas seulement par une promesse contractuelle.

Les mesures de sécurité techniques : authentification, deux canaux, chiffrement

La sécurité du traitement repose sur un ensemble de mesures techniques proportionnées au niveau de risque. Trois d'entre elles sont déterminantes pour la protection des données.

1. L'authentification des électeurs. La doctrine impose de séparer la transmission des éléments d'authentification sur deux canaux distincts, pour qu'une seule fuite ne suffise pas à usurper un électeur. Sephos pousse la logique plus loin avec l'enrôlement WebAuthn / passkey (extension PRF) : le secret n'est jamais transmis, il est généré et dérivé localement sur l'appareil de l'électeur, protégé par sa biométrie ou son code. Le lien d'invitation sert uniquement à initier l'enrôlement — il ne contient aucun mot de passe réutilisable. Avantage RGPD : rien d'interceptable, résistance au hameçonnage, et aucun secret partagé à conserver côté serveur.

2. Le chiffrement. Les bulletins sont chiffrés avant de quitter l'appareil, et l'urne reste illisible jusqu'au dépouillement collectif. C'est ce qui garantit la confidentialité du scrutin (voir la section cryptographie ci-dessous).

3. La journalisation et le cloisonnement. Des journaux horodatés et chaînés permettent de prouver le bon déroulé sans exposer de données superflues ; l'accès aux différents fichiers est cloisonné par rôle ; l'hébergement est assuré en France. L'ensemble est couvert par les engagements de sécurité du sous-traitant, documentés pour le registre de l'employeur.

La cryptographie expliquée simplement : ce que personne ne détaille

C'est le gap commun à tous les concurrents : ils « mentionnent » le chiffrement sans jamais expliquer ce qu'il fait réellement pour vos données. Voici la mécanique, sans jargon inutile.

La plateforme Sephos repose sur un chiffrement homomorphe à seuil — un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. Deux propriétés en découlent, et elles protègent directement les données personnelles.

On additionne sans ouvrir. Le caractère homomorphe permet de calculer la somme des suffrages directement sur les bulletins chiffrés, sans jamais les déchiffrer un par un. Au dépouillement, seul le total par liste et par candidat est révélé. Aucun bulletin individuel n'est jamais déchiffré — ni par l'administrateur, ni par l'employeur, ni par le prestataire. La donnée « choix de vote » n'existe jamais en clair, sauf dans la tête de l'électeur.

La clé est partagée, jamais reconstituée. Le caractère à seuil signifie qu'il n'existe pas de clé unique qu'une personne pourrait voler. La clé de déchiffrement est répartie entre plusieurs porteurs de clés (les membres du bureau de vote, trustees) via une génération distribuée de clés. Le déchiffrement des résultats n'est possible que si un seuil d'entre eux collabore (par exemple 3 sur 5), et la clé secrète complète n'est jamais reconstituée en un seul endroit, pas même pendant le dépouillement.

Le scellement à chaque étape. Aux moments clés — gel de la liste, ouverture de l'urne, clôture, dépouillement — l'état du système est scellé : on en fige une empreinte horodatée et chaînée. Toute altération ultérieure deviendrait détectable. C'est ce qui permet de prouver, après coup, que rien n'a bougé. Le mécanisme est détaillé sur la page scellement de l'urne électronique.

En une image. Imaginez une urne verrouillée par plusieurs cadenas appartenant à des personnes différentes. Personne ne détient toutes les clés. On ne peut l'ouvrir qu'à plusieurs, à l'heure dite — et à l'ouverture, on ne lit pas les bulletins un par un : on lit directement le total. Voilà ce que protège, concrètement, le chiffrement homomorphe à seuil pour les données de vos électeurs.

Ce dispositif est ce qui distingue un « chiffrement » mentionné en passant d'une protection vérifiable des données. La supériorité technique se double d'une vérifiabilité de bout en bout (end-to-end verifiability) : chacun peut vérifier que son bulletin est dans l'urne, et n'importe quel tiers peut rejouer le dépouillement hors ligne à partir des données chiffrées — sans jamais lire un seul bulletin.

Cartographie des données : qui collecte quoi, où, et combien de temps

Pour piloter la conformité, il faut une vue d'ensemble du cycle de vie des données. Voici la cartographie type d'un vote électronique CSE.

Donnée	Qui la collecte	Où elle est hébergée	Durée indicative
Liste électorale (identité, électorat, collège)	Employeur (responsable), via la plateforme (sous-traitant)	En France	Le temps du scrutin, puis archivage limité à la preuve
Données de candidats (nom, liste, collège)	Employeur / candidats	En France	Le temps du scrutin et du contentieux éventuel
Registre d'enrôlement / authentification	Plateforme (sous-traitant)	En France	Le temps du scrutin, suppression rapide après
Émargement (a voté : oui/non)	Plateforme	En France	Le temps du scrutin + délai de contestation
Urne (bulletins chiffrés, sans identité)	Plateforme	En France	Le temps du scrutin + délai de contestation
Logs techniques / journaux scellés	Plateforme	En France	Conservés en cas de contestation, purgés ensuite
PV et certificat de résultat	Plateforme (génération auto)	En France	Conservés selon les obligations de l'employeur

L'hébergement en France est un facteur de confiance et de souveraineté : il facilite la maîtrise des données, la lisibilité juridique et la réactivité opérationnelle. Il doit figurer dans le registre de l'employeur et dans la mention d'information aux électeurs.

Durée de conservation et archivage après le scrutin

Le RGPD impose de ne pas conserver les données au-delà de la durée nécessaire aux finalités. Pour un vote électronique, cela se traduit par une gestion en deux temps.

Pendant et juste après le scrutin : les données vives (liste, émargement, registre d'enrôlement, urne) sont conservées le temps d'organiser le vote et d'en proclamer les résultats.
Après la proclamation : la plupart des fichiers et des logs doivent être conservés le temps du délai de contestation (15 jours à compter de la proclamation pour saisir le tribunal judiciaire), voire jusqu'à la résolution d'un éventuel contentieux. C'est la seule raison légitime de garder les journaux : pouvoir prouver la régularité du scrutin si un juge la met en cause.
Une fois les délais purgés et tout litige clos : les données qui ne servent plus à rien sont supprimées ; les pièces probantes utiles (PV, certificat de résultat) sont archivées dans des conditions sécurisées, selon les obligations de l'employeur.

La logique est claire : on garde ce qui sert à la preuve, le temps nécessaire à la preuve, puis on purge. Conserver indéfiniment la liste électorale ou les logs d'un scrutin clos est, en soi, un manquement.

Que se passe-t-il en cas de contestation de l'élection ?

Une élection CSE peut être contestée devant le tribunal judiciaire dans un délai de 15 jours suivant la proclamation. Cette possibilité a une conséquence directe sur les données : il faut pouvoir fournir la preuve de la régularité du scrutin au juge, a posteriori.

C'est là que la protection des données et la solidité juridique se rejoignent. Un scrutin bien conçu a conservé, le temps utile, les pièces qui permettent un contrôle a posteriori : journaux scellés et horodatés, PV d'ouverture et de clôture, certificat de résultat, calcul recalculable des sièges, et — pour les systèmes les plus avancés — la possibilité de rejouer le dépouillement à partir des bulletins chiffrés sans en lire aucun. Le juge peut ainsi vérifier l'intégrité du résultat sans qu'on ait jamais porté atteinte au secret du vote.

À l'inverse, un prestataire qui aurait tout effacé immédiatement — ou tout conservé sans cadre — vous fragilise. La bonne pratique : conserver les preuves le temps du contentieux, puis purger. Les sujets de contestation, d'annulation des élections CSE et de jurisprudence du vote électronique sont approfondis dans le silo conformité.

La recommandation CNIL sur la sécurité des systèmes de vote : 3 niveaux de risque

La CNIL publie une recommandation de référence sur la sécurité des systèmes de vote par correspondance électronique, élaborée en lien avec l'expertise sécurité de l'État face aux risques cyber et aux tentatives d'ingérence. Elle demande à l'organisateur d'évaluer le niveau de risque de son scrutin, puis d'appliquer des objectifs de sécurité différenciés selon ce niveau.

Trois niveaux sont distingués, obtenus à partir d'une grille de cotation des risques (impact d'une atteinte au secret, à la sincérité, enjeux du scrutin, contexte social) :

Niveau de risque	Profil indicatif	Objectifs de sécurité	Expertise indépendante
Niveau 1 (risque faible)	Enjeu limité, faible impact d'une atteinte	Mesures de base : séparation des fichiers, chiffrement, traçabilité	Validité la plus longue
Niveau 2 (risque modéré)	Enjeu intermédiaire, impact significatif	Authentification renforcée, scellement, journaux robustes	Validité intermédiaire
Niveau 3 (risque significatif)	Enjeu fort, climat social tendu, effectif important	Authentification forte, chiffrement à seuil à porteurs multiples, vérifiabilité renforcée	Expertise à renouveler à chaque scrutin

Les élections CSE relèvent fréquemment du niveau 2 ou 3. C'est ce qui justifie une authentification résistante au hameçonnage (type WebAuthn), des clés réparties et une expertise indépendante : ce ne sont pas des options de confort, ce sont les conditions d'un bon profil de conformité. Une authentification par simple code envoyé par e-mail place, à l'inverse, le scrutin hors du profil le plus exigeant.

Important sur le vocabulaire : la CNIL ne certifie pas les solutions de vote. Personne n'est « certifié CNIL ». Un prestataire honnête fournit des matrices de conformité alignées sur les niveaux 1/2/3 — pas un badge trompeur. Le détail figure sur la page vote électronique et CNIL.

L'expertise indépendante de la solution de vote

Pour les scrutins à enjeu, la doctrine attend le recours à une expertise indépendante chargée d'auditer le système de vote — son code, son architecture, ses mécanismes de chiffrement et de vérifiabilité — avant le scrutin. L'expert produit un rapport remis à l'organisateur qui atteste que le système fait bien ce qu'il prétend faire.

Deux exigences encadrent cette expertise. D'abord, l'indépendance : l'expert ne doit pas avoir participé à la conception ni à l'exploitation de la solution, ni dépendre du prestataire. Ensuite, la fraîcheur : la validité d'une expertise est limitée dans le temps et dépend du niveau de risque — plus le scrutin est sensible, plus l'audit doit être récent, jusqu'à devoir être renouvelé à chaque scrutin pour le niveau le plus élevé.

La quasi-totalité des plateformes reste silencieuse sur ce point, parce qu'une expertise indépendante coûte cher et révèle d'éventuelles faiblesses. C'est précisément ce qui en fait un marqueur de sérieux : un prestataire qui organise et documente cet audit vous protège réellement. Le sujet est développé sur la page expertise indépendante du vote électronique, et la démarche d'audit du vote électronique la complète.

Sanctions CNIL : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial

Le non-respect du RGPD n'est pas une faute théorique. La CNIL peut prononcer des sanctions administratives allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise (le montant le plus élevé étant retenu), sans compter les mesures correctrices (mise en demeure, injonction, limitation de traitement) et l'atteinte à la réputation.

Pour un vote électronique, les manquements les plus exposés sont concrets : une liste électorale comportant des données interdites (adresse de domicile), une AIPD non réalisée alors qu'elle est requise, un défaut d'information des électeurs, une conservation de données au-delà du nécessaire, une sécurité insuffisante ayant conduit à une violation. À cela s'ajoute le risque, propre au scrutin, de voir l'élection contestée et annulée pour irrégularité — un coût opérationnel et social souvent plus lourd encore que l'amende.

La meilleure protection n'est pas l'optimisme : c'est la conformité documentée. Pouvoir prouver, pièce à l'appui, qu'on a respecté chaque exigence — registre, AIPD, mention d'information, contrat art. 28, matrice de conformité, durées de conservation. C'est exactement ce qu'un accompagnement expert apporte.

Calendrier RGPD pré-électoral : la checklist

Voici l'enchaînement des étapes « protection des données » à dérouler, du protocole au procès-verbal. Conservez-la comme fil conducteur — votre chef de projet la sécurise avec vous.

Protocole pré-électoral : prévoir le recours au vote électronique (accord d'entreprise ou décision de l'employeur), et arrêter les rôles RGPD.
Contrat de sous-traitance (art. 28) : signer avec la plateforme avant tout traitement.
Registre : inscrire le traitement « élections CSE ».
AIPD : la réaliser (requise), avec l'avis du DPO et l'assistance du sous-traitant.
Liste électorale : la constituer en respectant la minimisation (pas d'adresse de domicile), puis la geler.
Information des électeurs : diffuser la mention d'information avant le scrutin.
Enrôlement : ouvrir l'enrôlement, avec authentification résistante au hameçonnage.
Scrutin : urne chiffrée, émargement séparé, aucun résultat partiel exposé.
Dépouillement : déchiffrement des seuls agrégats par le bureau de vote, calcul recalculable.
PV et certificat : générer les PV d'ouverture/clôture et le certificat de résultat.
Conservation : garder les preuves (logs scellés) le temps du délai de contestation.
Archivage / purge : à l'issue des délais et de tout litige, archiver les pièces utiles et supprimer le reste.

Cette trame s'articule avec le calendrier des élections CSE et le protocole d'accord préélectoral. La déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste une démarche de l'employeur — votre chef de projet vous indique quoi transmettre et quand ; la plateforme ne s'y substitue pas, elle produit les PV et le certificat de résultat.

Bien plus qu'un logiciel : la conformité documentée par l'accompagnement humain

Un scrutin n'est presque jamais annulé pour une faille cryptographique : il l'est pour un vice de procédure ou un manquement RGPD — une AIPD oubliée, une liste mal constituée, une information lacunaire. La sécurité technique ne suffit donc pas ; il faut une sécurité de conformité.

C'est ce que lie Sephos. Un chef de projet dédié, expert en droit social, accompagne chaque scrutin du protocole pré-électoral au procès-verbal : il qualifie le niveau de risque, vous assiste sur l'AIPD et la mention d'information, vérifie la minimisation de la liste, encadre les rôles (responsable / sous-traitant), organise l'expertise indépendante et prépare les pièces probantes en cas de contestation. C'est le sens de « bien plus qu'un logiciel », adossé à plus de 2 400 élections organisées et à un hébergement en France. La conformité, ici, n'est pas un slogan : elle est documentée, scrutin par scrutin.

Demander une démonstration

Vous voulez voir concrètement comment vos données et celles de vos électeurs sont protégées — la séparation urne / émargement, l'authentification WebAuthn, le chiffrement homomorphe à seuil, le dépouillement à plusieurs porteurs de clés, et la documentation de conformité (AIPD, contrat art. 28, matrice CNIL) ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de droit social et de protection des données.

Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.

Pour approfondir : conformité du vote électronique CSE, vote électronique et RGPD, vote électronique et CNIL, vote électronique et Code du travail et secret du vote électronique.

Faits à vérifier pour votre scrutin (YMYL)

Le cadre juridique évolue et chaque scrutin a ses particularités. Avant de finaliser votre protocole d'accord préélectoral, faites confirmer par votre conseil, votre DPO ou votre chef de projet : la composition des collèges électoraux, les règles de quorum, le calcul du quotient électoral et l'attribution des sièges à la plus forte moyenne, la durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), le délai de contestation de 15 jours, la représentation équilibrée femmes-hommes, ainsi que le contenu exact de la liste électorale, la version applicable de la recommandation CNIL sur la sécurité des systèmes de vote et les durées de conservation retenues, à la date de votre élection.

Questions fréquentes

Qui est responsable du traitement des données dans un vote électronique ?

L'employeur qui organise l'élection est responsable de traitement au sens du RGPD : il détermine les finalités et les moyens, tient le registre, mène l'AIPD, informe les salariés et répond aux demandes de droits. La plateforme de vote est sous-traitant (article 28 du RGPD) : elle agit uniquement sur instruction documentée et met en œuvre la sécurité technique. Cette répartition ne doit jamais être inversée, et elle doit être formalisée dans un contrat de sous-traitance.

Le prestataire de vote électronique est-il sous-traitant au sens du RGPD ?

Oui. Le prestataire traite les données pour le compte de l'employeur, sur ses instructions, sans décider des finalités. Il est donc sous-traitant au sens de l'article 28 du RGPD. Cela impose un contrat de sous-traitance précisant l'objet, la durée, les données traitées, les mesures de sécurité, le recours éventuel à des sous-traitants ultérieurs et le sort des données en fin de prestation. Le sous-traitant doit aussi assister le responsable (AIPD, droits des personnes, notification d'incident).

Quelles données peuvent figurer sur la liste électorale ?

Seulement les données nécessaires à l'identification de l'électeur et à la vérification de son droit de vote : nom, prénom, date de naissance ou âge, ancienneté, rattachement au collège, et un contact professionnel utile à l'enrôlement. Sont interdites les données non nécessaires : adresse de domicile personnelle, téléphone personnel, situation familiale, données bancaires, ou toute donnée révélant des opinions ou une appartenance syndicale. L'adresse de domicile est l'erreur la plus fréquente : elle ne sert à rien pour un vote en ligne.

Une AIPD est-elle obligatoire pour un vote électronique du CSE ?

Oui. Un vote électronique CSE est susceptible d'engendrer un risque élevé pour les droits des personnes : il tient un registre d'enrôlement, trace qui a voté (risque de suivi de la participation) et approche une donnée révélant une opinion. À ce titre, une analyse d'impact relative à la protection des données (AIPD) est requise. Elle décrit le traitement, évalue la nécessité et la proportionnalité, identifie les risques et documente les mesures de réduction. Le sous-traitant doit assister le responsable dans sa réalisation.

Combien de temps conserver les données après un vote électronique ?

Le temps strictement nécessaire. Les fichiers du scrutin (liste, émargement, urne, registre d'enrôlement, logs) sont conservés pour organiser le vote, puis le temps du délai de contestation (15 jours après la proclamation) et de tout contentieux, afin de pouvoir prouver la régularité du scrutin. Une fois les délais purgés et le litige clos, les données qui ne servent plus sont supprimées et les pièces probantes utiles (PV, certificat de résultat) sont archivées de façon sécurisée. Conserver indéfiniment ces données est un manquement.

Quelles formalités CNIL pour organiser un vote électronique ?

Aucune formalité préalable d'autorisation : depuis le RGPD, l'organisateur n'a rien à « déclarer » à la CNIL avant de voter. Il doit en revanche inscrire le traitement au registre des activités de traitement et, surtout, réaliser une AIPD (requise ici), conservée et tenue à disposition. La logique est celle de la responsabilité : pas d'autorisation a priori, mais l'obligation de pouvoir démontrer sa conformité à tout moment.

Comment garantir le secret et l'anonymat du vote électronique ?

Par la séparation stricte de deux fichiers qui ne sont jamais reliés : la liste d'émargement (qui sait qui a voté) et l'urne (qui contient les bulletins chiffrés, sans identité). On compte les votants d'un côté, on dépouille les suffrages de l'autre. À cela s'ajoute un chiffrement homomorphe à seuil qui empêche tout déchiffrement individuel : seuls les agrégats sont déchiffrés. Le système sait que vous avez voté, jamais ce que vous avez voté. L'anonymat est fort et dissociatif : aucun reçu du contenu du vote n'est fourni.

Comment le vote électronique protège-t-il les données personnelles des électeurs ?

Par une combinaison de mesures : minimisation des données collectées, chiffrement des bulletins sur l'appareil avant tout envoi, séparation urne / émargement, authentification résistante au hameçonnage (WebAuthn / passkey, secret jamais transmis), journaux scellés et horodatés, hébergement en France, durées de conservation courtes, et déchiffrement des seuls agrégats. Aucun bulletin individuel n'est jamais lu. La protection est ainsi architecturale, pas seulement contractuelle, et elle est documentée pour le registre de l'employeur.

Quels sont les droits des salariés sur leurs données lors d'une élection ?

Les salariés disposent des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité. L'employeur doit y répondre dans un délai d'un mois (prorogeable de deux mois en cas de complexité). Certains droits sont limités par l'obligation légale d'organiser l'élection et par la nécessité de preuve. Surtout, le droit d'accès ne donne jamais accès au contenu de son bulletin : aucun suffrage individuel n'étant déchiffrable, personne ne peut obtenir le sens de son vote par une demande de droit d'accès.

Quelles sanctions en cas de non-respect du RGPD lors d'un vote électronique ?

La CNIL peut prononcer des sanctions allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu), en plus de mesures correctrices et d'une atteinte à la réputation. S'y ajoute le risque, propre au scrutin, de voir l'élection contestée et annulée pour irrégularité. Les manquements les plus exposés : liste électorale non conforme, AIPD oubliée, défaut d'information, conservation excessive, sécurité insuffisante. La parade est la conformité documentée, pièce à l'appui.

Faut-il une expertise indépendante de la solution de vote électronique ?

Pour les scrutins à enjeu (fréquemment le cas du CSE, niveau 2 ou 3), la doctrine attend le recours à une expertise indépendante auditant le système — code, architecture, chiffrement, vérifiabilité — avant le scrutin, avec un rapport remis à l'organisateur. L'expert doit être réellement indépendant du prestataire, et l'audit doit être récent : sa validité dépend du niveau de risque, jusqu'à un renouvellement à chaque scrutin au niveau le plus élevé. Un prestataire qui organise et documente cet audit vous protège réellement.

Le choix de vote est-il une donnée personnelle sensible ?

Le sens d'un vote révèle une opinion, ce qui le rapproche des catégories de données bénéficiant d'une protection renforcée par le RGPD. Même un suffrage CSE, qui n'est pas une opinion politique au sens strict, mérite la même rigueur. La protection est ici architecturale : le bulletin est chiffré sur l'appareil, déposé sans identité dans l'urne, et seuls les agrégats sont déchiffrés. Le choix de vote ne peut donc jamais être ré-associé à la personne qui l'a exprimé.

Comment informer les électeurs du traitement de leurs données ?

Par une mention d'information diffusée avant le scrutin, précisant : l'identité du responsable (l'employeur) et le contact du DPO, les finalités et la base légale (obligation légale), les données traitées, les destinataires (sous-traitant, hébergeur en France), les durées de conservation, les droits des personnes et leurs modalités d'exercice, le droit de réclamation auprès de la CNIL, et une explication accessible du fonctionnement du système de vote et de ses garanties de secret et de sécurité. Un modèle prêt à adapter figure plus haut sur cette page.

Que dit la recommandation CNIL sur la sécurité du vote électronique ?

La CNIL publie une recommandation de référence sur la sécurité des systèmes de vote par correspondance électronique, élaborée en lien avec l'expertise sécurité de l'État. Elle demande d'évaluer le niveau de risque du scrutin via une grille de cotation, puis distingue trois niveaux (faible, modéré, significatif) avec des objectifs de sécurité différenciés : séparation des fichiers, chiffrement, authentification proportionnée, scellement, journaux d'audit, et expertise indépendante dont la validité dépend du niveau. La CNIL ne certifie pas les solutions : un prestataire sérieux fournit une matrice de conformité par niveau, pas un badge « conforme CNIL ».

Données personnelles et vote électronique