Vote électronique et RGPD : le guide de conformité CSE

Vote électronique et RGPD : le cadre de conformité que tout organisateur d'élections CSE doit maîtriser

Organiser une élection professionnelle par voie électronique, c'est mettre en œuvre un traitement de données personnelles au sens du Règlement général sur la protection des données (RGPD). Liste électorale, fichier des votants, journaux techniques, registre d'enrôlement : à chaque étape, des données identifiantes sont collectées, manipulées et conservées. Le RGPD ne s'applique donc pas « en plus » du vote électronique — il en est l'ossature juridique, au même titre que le Code du travail.

La difficulté n'est pas théorique. Une élection mal cadrée sur le plan des données expose l'entreprise à une contestation devant le tribunal judiciaire, à une plainte auprès de la CNIL, et à des sanctions financières lourdes. Et la conformité ne se résume pas à cocher une case « solution sécurisée » : elle suppose une répartition claire des rôles, une base légale correctement identifiée, une analyse d'impact, des durées de conservation maîtrisées, une information précise des électeurs et des garanties techniques vérifiables.

Cette page pose le cadre complet, à jour, du vote électronique et du RGPD appliqué aux élections du CSE. Elle traite ce que les pages concurrentes laissent dans l'ombre : la distinction entre secret du vote et anonymisation, le détail des durées de conservation par type de donnée, la procédure de notification de violation, le contenu du contrat de sous-traitance, et l'évolution récente de la doctrine de la CNIL. Elle s'adresse aux DRH, DPO, employeurs et élus qui veulent une conformité défendable, pas une rassurance déclarative.

Le différenciateur Sephos. La conformité RGPD d'un scrutin ne se déclare pas : elle se documente. La plateforme Sephos associe une cryptographie vérifiable, un chef de projet dédié expert en droit social et une conformité documentée scrutin par scrutin — matrices de conformité, appui à l'AIPD, contrat de sous-traitance, hébergement en France. Plus de 2 400 élections organisées, et un gain de participation observé jusqu'à +22 points sur les scrutins accompagnés. Bien plus qu'un logiciel : un accompagnement humain qui sécurise à la fois la technique et le droit.

Le cadre juridique RGPD applicable au vote électronique

Le vote électronique du CSE croise deux corpus : le Code du travail, qui organise l'élection elle-même, et le RGPD, qui encadre le traitement des données. À cela s'ajoute la doctrine de la CNIL sur la sécurité des systèmes de vote, et les référentiels techniques de l'État (RGS, doctrine ANSSI). Plusieurs articles du RGPD structurent directement la matière.

Article 4 — les définitions : « donnée à caractère personnel », « traitement », « responsable de traitement », « sous-traitant ». La qualification de chaque acteur en dépend.
Article 6 — la licéité du traitement : il faut une base légale. Pour les élections CSE, ce n'est pas le consentement, mais l'obligation légale (voir plus bas).
Articles 13 et 14 — l'information des personnes : les électeurs doivent recevoir une information transparente sur le traitement de leurs données.
Article 28 — le contrat de sous-traitance entre le responsable (l'employeur) et le prestataire (la plateforme de vote).
Articles 33 et 34 — la notification de violation de données à la CNIL (et, le cas échéant, aux personnes concernées).
Article 35 — l'analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé.
Article 36 — la consultation préalable de la CNIL si un risque résiduel élevé subsiste malgré les mesures prises.
Article 30 — le registre des activités de traitement, que tient le responsable.

Ces articles ne sont pas des références abstraites : chacun se traduit par une obligation concrète à un moment précis du scrutin, du protocole pré-électoral au procès-verbal. Le détail de l'articulation avec le droit social figure sur la page Vote électronique et Code du travail.

Qui est responsable de traitement ? Employeur organisateur vs prestataire sous-traitant

C'est le point juridique le plus important — et le plus souvent inversé par les pages commerciales.

Dans une élection du CSE, l'employeur (ou l'organisateur du scrutin) est le responsable de traitement. C'est lui qui détermine les finalités (organiser l'élection) et les moyens essentiels du traitement. C'est lui qui porte la responsabilité juridique de la conformité, qui tient le registre, qui réalise l'AIPD, et qui répond en cas de manquement.

La plateforme de vote électronique est sous-traitant au sens de l'article 28 du RGPD. Elle traite les données pour le compte et sur instruction documentée du responsable. Elle ne décide ni des finalités, ni des grands paramètres : elle exécute, et elle apporte des garanties techniques et organisationnelles.

Cette répartition ne se renverse jamais. Une plateforme qui se présenterait comme « responsable de la conformité à votre place » se trompe — ou vous trompe. Le rôle du bon prestataire n'est pas de prendre la responsabilité, c'est de fournir au responsable les moyens de l'assumer : documentation, matrices de conformité, appui à l'AIPD, clauses contractuelles, sécurité vérifiable.

Question	Employeur / organisateur	Prestataire (Sephos)
Qualification RGPD	Responsable de traitement	Sous-traitant (art. 28)
Détermine les finalités	Oui	Non
Tient le registre des traitements	Oui	Tient son propre registre de sous-traitant
Réalise l'AIPD	Oui (avec appui)	Fournit les éléments techniques
Notifie une violation à la CNIL	Oui	Alerte sans délai le responsable
Répond en cas de manquement	Oui	Co-responsabilité possible sur ses obligations propres

La page Données personnelles et vote électronique approfondit la nature des données concernées à chaque étape.

La base légale : obligation légale, pas consentement

Beaucoup d'organisateurs croient devoir recueillir le consentement des salariés pour traiter leurs données dans le cadre de l'élection. C'est une erreur, et une erreur lourde de conséquences.

Pour les élections CSE, la base légale du traitement est l'obligation légale (article 6.1.c du RGPD) : l'employeur est tenu par le Code du travail d'organiser l'élection et d'établir la liste électorale. Le traitement découle d'une obligation, pas d'un choix volontaire du salarié.

Pourquoi cette nuance est-elle décisive ? Parce que le consentement, par définition, doit pouvoir être refusé et retiré librement. Or un salarié ne peut pas « refuser » de figurer sur la liste électorale de son entreprise : ce serait priver l'élection de sa base même. Fonder le traitement sur le consentement créerait une faille — il suffirait à un électeur de retirer son consentement pour fragiliser le scrutin. La base « obligation légale » est à la fois la plus exacte juridiquement et la plus robuste.

Conséquence pratique : on ne demande pas aux électeurs l'autorisation de traiter leurs données, on les informe (articles 13/14). L'information est obligatoire ; le consentement ne l'est pas — et serait même inapproprié.

La recommandation de la CNIL sur la sécurité du vote électronique et ses trois niveaux de risque

La CNIL a publié une recommandation de référence sur la sécurité des systèmes de vote par correspondance électronique. Ce texte ne crée pas d'obligation de déclaration : il fixe une méthode d'évaluation du risque et un socle d'exigences de sécurité proportionnées.

Le principe central est la classification du scrutin en trois niveaux de risque, que l'organisateur doit déterminer avant de choisir et de paramétrer sa solution.

Niveau	Profil de scrutin	Exigences de sécurité
Niveau 1	Enjeu limité, faible impact d'une atteinte (petites structures, faible conflictualité).	Socle de base : séparation des fichiers, chiffrement, traçabilité, authentification simple.
Niveau 2	Enjeu intermédiaire — cas standard des élections professionnelles.	Renforcement de l'authentification, scellement de l'urne, journaux d'audit robustes, gestion des clés encadrée.
Niveau 3	Enjeu fort : effectifs importants, climat social conflictuel, contentieux probable.	Authentification forte, clés de dépouillement réparties entre plusieurs porteurs, expertise indépendante, vérifiabilité renforcée.

Les élections du CSE relèvent le plus souvent du niveau 2, et du niveau 3 dès lors que l'entreprise a des effectifs importants ou un climat social tendu. C'est l'organisateur, responsable de traitement, qui réalise cette analyse de risque — idéalement appuyé par son prestataire et son DPO.

Cette logique de niveaux explique pourquoi une authentification par simple code envoyé par e-mail ou SMS place un scrutin hors du profil le plus exigeant. Pour les niveaux 2 et 3, il faut une authentification réellement robuste et une gestion des clés à seuil. C'est précisément l'approche retenue par Sephos (voir Vote électronique et CNIL).

Ce qui évolue dans la doctrine de la CNIL

La doctrine de la CNIL sur le vote électronique n'est pas figée : elle a été actualisée pour tenir compte des progrès de l'état de l'art en cryptographie et en authentification. Les pages concurrentes, y compris certaines fiches d'éditeurs, restent souvent calées sur la version antérieure du texte. Sans entrer dans une fausse précision de numéro ou de date, l'orientation est claire et défendable.

Sujet	Doctrine antérieure	Évolution observée
Authentification	Identifiant + mot de passe, secret complémentaire transmis par un second canal.	Encouragement de mécanismes plus résistants à l'interception et au hameçonnage.
Vérifiabilité	Exigence présente mais peu détaillée.	Importance croissante de la vérifiabilité de bout en bout (end-to-end verifiability), individuelle et universelle.
Niveaux de risque	Trois niveaux, exigences proportionnées.	Trois niveaux maintenus, avec un socle de sécurité globalement relevé.
Expertise indépendante	Recommandée pour les scrutins à enjeu.	Confirmée et consolidée pour les niveaux les plus élevés.

Le bon réflexe pour l'organisateur : vérifier la version en vigueur de la recommandation à la date de son scrutin, et exiger de son prestataire une matrice de conformité alignée sur cette version. C'est exactement ce qu'un chef de projet Sephos prépare pour chaque élection.

Faut-il une formalité préalable auprès de la CNIL ?

Non. Le vote électronique du CSE ne fait l'objet d'aucune déclaration ni autorisation préalable auprès de la CNIL. Depuis l'entrée en application du RGPD, le régime de déclaration a disparu au profit d'une logique de responsabilisation (accountability) : l'organisateur n'a rien à déposer en amont, mais il doit pouvoir démontrer sa conformité à tout moment.

Une seule exception : la consultation préalable de l'article 36 du RGPD. Elle s'impose uniquement si l'AIPD révèle un risque résiduel élevé que les mesures envisagées ne parviennent pas à réduire suffisamment. En pratique, avec une solution correctement conçue (chiffrement à seuil, authentification forte, vérifiabilité), ce risque résiduel élevé est maîtrisé et la consultation n'est pas nécessaire. Mais c'est bien l'analyse, et non le type de traitement, qui déclenche l'obligation.

À retenir : « pas de formalité préalable » ne signifie pas « pas d'obligation ». Cela signifie que l'obligation s'est déplacée vers la documentation interne — registre, AIPD, contrat de sous-traitance, information des électeurs.

L'AIPD : analyse d'impact relative à la protection des données

L'AIPD (article 35 du RGPD) est l'étude qui évalue les risques d'un traitement pour les droits et libertés des personnes, et les mesures prises pour les réduire.

Est-elle obligatoire pour un vote électronique CSE ?

Pour les élections professionnelles, l'AIPD est fortement attendue, et en pratique requise dès que le scrutin présente un risque significatif. Deux caractéristiques du vote électronique justifient cette exigence : la présence d'un registre d'enrôlement des électeurs et le risque de traçage de la participation (savoir qui a voté, et quand). Pour un scrutin de niveau 2 ou 3 — donc la majorité des élections CSE — l'AIPD doit être considérée comme nécessaire.

Un prestataire qui prétend que l'AIPD est superflue affaiblit la position juridique du responsable. Le bon prestataire fait l'inverse : il fournit les éléments techniques (description du traitement, mesures de sécurité, schéma des flux) qui permettent au DPO de la rédiger sans repartir de zéro.

Qui réalise l'AIPD ?

La responsabilité de l'AIPD incombe au responsable de traitement, c'est-à-dire l'employeur. Concrètement, la répartition des rôles est la suivante :

le DPO de l'entreprise pilote et valide l'AIPD (il rend un avis) ;
le prestataire (sous-traitant) fournit les informations techniques nécessaires sur la solution ;
une expertise indépendante peut nourrir l'analyse des risques de sécurité, mais ne se substitue pas à l'AIPD.

Modèle d'AIPD spécifique au vote CSE : la trame à suivre

Voici la structure d'une AIPD adaptée à un scrutin électronique CSE — une trame que votre DPO peut reprendre et qu'aucun concurrent ne détaille.

Description du traitement : finalité (organiser l'élection), nature des données (identité, matricule, collège, statut électeur/éligible), flux, durées.
Acteurs : employeur responsable, prestataire sous-traitant (art. 28), porteurs de clés, bureau de vote, expert indépendant.
Base légale et proportionnalité : obligation légale, minimisation des données de la liste électorale.
Évaluation des risques : atteinte au secret du vote, traçage de la participation, usurpation d'identité, indisponibilité, fuite de la liste.
Mesures de réduction : chiffrement homomorphe à seuil, séparation urne/émargement, authentification forte, scellement, journaux d'audit, vérifiabilité, hébergement en France.
Risque résiduel : niveau après mesures ; décision de procéder ou de consulter la CNIL (art. 36).
Validation : avis du DPO, date, version de la recommandation CNIL appliquée.

La page Audit du vote électronique détaille les vérifications de sécurité qui alimentent cette analyse.

Les objectifs de sécurité exigés par la CNIL

La recommandation de la CNIL fixe cinq objectifs de sécurité que tout système de vote doit satisfaire, à un degré proportionné au niveau de risque.

Confidentialité : nul ne doit pouvoir découvrir le choix d'un électeur. Repose sur le chiffrement et la séparation des fichiers.
Intégrité : le résultat proclamé doit refléter exactement les suffrages exprimés — aucun bulletin ajouté, modifié ou supprimé.
Authentification : seuls les électeurs inscrits votent, une seule fois chacun.
Transparence et vérifiabilité : les opérations doivent être contrôlables, idéalement le décompte doit être rejouable par un tiers.
Disponibilité : le système doit rester accessible pendant toute la durée du scrutin, et résister aux incidents.

Ces objectifs sont la grille de lecture commune à la CNIL et au RGPD : ils traduisent en exigences techniques le principe de sécurité du traitement (article 32 du RGPD). La page Conformité du vote électronique CSE en donne la vue d'ensemble.

Chiffrement des bulletins et scellement du système

La confidentialité repose sur deux piliers. D'abord la séparation stricte de deux fichiers qui ne doivent jamais être reliés : le fichier d'émargement (qui sait qui a voté) et l'urne (qui contient les bulletins chiffrés, sans aucun identifiant nominatif). Ensuite le chiffrement.

Sephos repose sur un chiffrement homomorphe à seuil : un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. Deux propriétés en découlent. D'une part, on additionne les suffrages directement sur les bulletins chiffrés, sans jamais les ouvrir : au dépouillement, seuls les agrégats (totaux par liste et par candidat) sont déchiffrés. Aucun bulletin individuel n'est jamais déchiffré. D'autre part, la clé de dépouillement est répartie entre plusieurs porteurs (trustees) via une génération distribuée de clés : elle n'est jamais reconstituée en un seul endroit, pas même pendant le dépouillement.

Le scellement de l'urne garantit qu'aucun bulletin n'est ajouté ou retiré après l'ouverture du scrutin, et que tout est horodaté et chaîné. Détail sur la page Scellement de l'urne électronique.

Authentification des électeurs : du modèle classique au standard moderne

La recommandation CNIL admet plusieurs modes d'authentification proportionnés au niveau de risque : identifiant et mot de passe distincts, secret complémentaire transmis par un second canal (parfois une fraction d'IBAN, un matricule ou un élément personnel), authentification multi-facteurs pour les niveaux élevés. La règle d'or de ces modèles classiques : ne jamais transmettre l'identifiant et le mot de passe par le même canal (par exemple dans le même e-mail), faute de quoi l'authentification perd tout sens.

Sephos va plus loin que ces modèles. L'authentification repose sur un enrôlement WebAuthn / passkey (extension PRF) : le secret n'est jamais envoyé, il est généré et dérivé localement sur l'appareil de l'électeur, protégé par sa biométrie ou son code. Le lien d'invitation sert uniquement à initier l'enrôlement, jamais à transmettre un mot de passe réutilisable. Rien d'interceptable, résistance native au hameçonnage, et unicité du vote assurée. C'est la réponse moderne à un risque que les modèles « code par e-mail/SMS » ne couvrent pas. Approfondissement sur Secret du vote électronique.

Secret du vote et confidentialité : pourquoi on ne peut pas lier un votant à son vote

Le secret du vote est une exigence du Code du travail et de la CNIL. Techniquement, il repose sur deux mécanismes combinés : la dissociation entre l'identité de l'électeur et le contenu de son bulletin, et l'impossibilité de déchiffrement individuel.

Concrètement : le système enregistre, dans le fichier d'émargement, le fait qu'une personne a voté — c'est nécessaire pour le taux de participation et pour bloquer un second vote. Mais le bulletin chiffré déposé dans l'urne ne porte aucun identifiant nominatif. On compte les votants d'un côté, les suffrages de l'autre, et les deux ne se rejoignent jamais. Au dépouillement, seuls les agrégats sont déchiffrés : il n'existe aucune opération qui ouvrirait le bulletin d'une personne précise.

Secret du vote (anonymat scrutin) ≠ anonymisation RGPD : la nuance que personne ne clarifie

C'est une confusion juridique fréquente, et il faut la dissiper.

Le secret du vote est un anonymat du scrutin : on garantit qu'on ne peut pas relier un électeur identifié au contenu de son bulletin. C'est une dissociation identité/vote.
L'anonymisation au sens du RGPD est un état où une donnée ne permet plus du tout d'identifier une personne, de façon irréversible — la donnée sort alors du champ du RGPD.

Or, dans une élection, toutes les données ne sont pas anonymisées au sens RGPD : la liste électorale, le fichier des votants, les journaux techniques restent des données personnelles soumises au RGPD, même si le contenu du vote, lui, est protégé par le secret. Le secret du vote protège le bulletin ; le RGPD protège toutes les autres données du scrutin.

D'où une exigence d'honnêteté que Sephos assume : l'anonymat du vote est fort mais sans absolu. La dissociation identité/bulletin est solide, aucun reçu du contenu du vote n'est délivré, et la coercition est fortement réduite — mais il serait malhonnête d'écrire « il est impossible de prouver son vote » ou « aucun lien n'est jamais possible ». Cette nuance est développée sur les pages Anonymat du vote électronique et Secret du vote électronique.

L'expertise indépendante de la solution

La recommandation CNIL préconise, pour les scrutins à enjeu (niveaux 2 et 3), le recours à une expertise indépendante. L'expert audite le système — code, architecture, mécanismes de chiffrement, gestion des clés, vérifiabilité — avant le scrutin, et peut intervenir sur les étapes sensibles : constitution des listes, déploiement de la plateforme, et dépouillement.

Cette expertise n'est pas une formalité : elle atteste que le système fait réellement ce qu'il prétend faire, et son rapport devient une pièce probante précieuse en cas de contestation. La plupart des éditeurs restent silencieux sur ce point parce qu'un audit coûte cher et expose les faiblesses ; c'est précisément ce qui en fait un marqueur de sérieux. Voir Expertise indépendante du vote électronique.

L'information des électeurs conformément au RGPD

Puisque la base légale est l'obligation légale (et non le consentement), l'enjeu n'est pas de demander une autorisation, mais d'informer correctement les électeurs (articles 13 et 14 du RGPD). Cette information se décline en deux documents distincts qu'il ne faut pas confondre.

La notice explicative du vote : un document pédagogique qui explique comment voter — calendrier, modalités d'authentification, déroulé du scrutin, secret du vote, assistance. Elle relève des règles électorales.
Les mentions d'information RGPD : une notice distincte qui précise l'identité du responsable de traitement, les finalités, la base légale (obligation légale), les destinataires, la durée de conservation, les droits des personnes et les coordonnées du DPO. Elle relève du RGPD.

Ces deux notices répondent à des logiques différentes et doivent rester séparées. Un point d'attention récurrent : l'information RGPD doit être accessible avant le début du scrutin, et non glissée a posteriori.

Mentions autorisées sur la liste électorale : le principe de minimisation

La liste électorale obéit au principe de minimisation des données (article 5.1.c du RGPD) : on ne collecte et n'affiche que ce qui est strictement nécessaire à l'organisation de l'élection. En pratique, figurent les éléments permettant d'identifier l'électeur et de déterminer son collège et son éligibilité : nom, prénom, et le cas échéant matricule, collège, statut (électeur / éligible).

À l'inverse, on ne fait pas figurer de données superflues ou sensibles : numéro de sécurité sociale, IBAN complet, données de santé, opinions, etc. La page Données personnelles et vote électronique détaille cette cartographie.

Durées de conservation et destruction sécurisée des données

C'est l'un des sujets les plus mal traités du marché — et l'un des plus à risque, car une conservation au-delà du nécessaire est un manquement caractérisé. Le principe : chaque catégorie de donnée se conserve pour une durée limitée, alignée sur sa finalité, puis fait l'objet d'une destruction sécurisée.

Le repère structurant : les données utiles à une éventuelle contestation sont conservées jusqu'à l'expiration des délais de recours (et, si un contentieux est engagé, jusqu'à son terme définitif), puis détruites. Le délai de contestation des élections professionnelles est de 15 jours.

Catégorie de donnée	Finalité	Repère de conservation
Liste électorale	Identifier les électeurs, déterminer collèges et éligibilité	Jusqu'à l'expiration des délais de contestation, puis destruction
Fichier des votants / émargement	Calcul de la participation, anti-double-vote	Jusqu'à l'expiration des délais de contestation (ou fin du contentieux)
Bulletins chiffrés (urne)	Vérifiabilité et recomptage en cas de litige	Jusqu'à l'expiration des délais de contestation, puis destruction sécurisée
Journaux / logs techniques	Traçabilité, preuve de l'intégrité du scrutin	Durée nécessaire à la preuve, alignée sur les délais de recours
Fichier des résultats / PV	Conservation de la trace de l'élection (durée du mandat)	Conservation longue (le mandat dure jusqu'à 4 ans) selon la finalité de preuve

Deux précisions importantes. D'une part, la destruction doit être sécurisée et documentée (suppression effective, pas simple mise en corbeille), et idéalement consignée. D'autre part, en cas de contentieux engagé, les données pertinentes sont conservées jusqu'à la décision définitive, puis purgées. Ces durées sont à confirmer au regard de la version en vigueur de la recommandation CNIL et des spécificités de votre scrutin.

Les droits des personnes et le délai d'un mois

Même fondé sur une obligation légale, le traitement reste soumis aux droits des personnes prévus par le RGPD. Les électeurs disposent notamment :

du droit d'accès à leurs données (article 15) ;
du droit de rectification des données inexactes (article 16) — par exemple une erreur de collège sur la liste ;
du droit d'opposition (article 21), dont la portée est encadrée puisque le traitement repose sur une obligation légale ;
du droit à l'effacement (article 17), lui aussi limité tant que la finalité (organiser l'élection, conserver les preuves) le justifie ;
du droit à la portabilité (article 20), d'application restreinte ici car la base n'est ni le consentement ni le contrat.

Le responsable de traitement (l'employeur) doit répondre dans un délai d'un mois à compter de la demande, prolongeable de deux mois pour les demandes complexes. Attention : certains droits sont limités par la nature électorale du traitement — on ne peut pas, par exemple, effacer un bulletin déjà déposé, ni se faire restituer un secret de vote. Le rôle du DPO est de calibrer chaque réponse.

Notification de violation de données : la procédure des 72 heures appliquée au vote

Aucun concurrent ne traite ce point, alors qu'il est central. Si une violation de données survient (fuite de la liste électorale, accès non autorisé, perte de disponibilité du système), les articles 33 et 34 du RGPD imposent une procédure stricte.

Détection et qualification. Dès qu'une violation est constatée, le sous-traitant (la plateforme) doit alerter le responsable de traitement sans délai injustifié. C'est une obligation contractuelle (art. 28) autant que légale.
Notification à la CNIL sous 72 heures. Le responsable de traitement (l'employeur) notifie la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes. Passé ce délai, la notification doit être motivée.
Information des personnes concernées. Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés (par exemple la divulgation de la liste avec des données sensibles), les personnes concernées doivent être informées dans les meilleurs délais (article 34).
Documentation. Toute violation, même non notifiée, doit être consignée dans un registre interne des violations.

Appliqué au contexte électoral, ce dispositif a une conséquence directe : exigez de votre prestataire une clause de notification rapide et un canal d'alerte clair. Sephos, en tant que sous-traitant, est tenu d'alerter sans délai le responsable — c'est l'employeur qui notifie ensuite la CNIL.

Le contrat de sous-traitance (DPA) et le registre des traitements

Les clauses de l'article 28 à exiger du prestataire

Le contrat de sous-traitance (souvent appelé DPA, Data Processing Agreement) est obligatoire entre l'employeur (responsable) et la plateforme (sous-traitant). L'article 28 du RGPD en fixe le contenu minimal. Voici la checklist des clauses à vérifier avant de signer.

Objet, durée, nature et finalité du traitement, types de données et catégories de personnes.
Instruction documentée : le sous-traitant n'agit que sur instruction du responsable.
Confidentialité : engagement des personnes autorisées à traiter les données.
Sécurité : mesures techniques et organisationnelles (article 32) — chiffrement, contrôle d'accès, journalisation.
Sous-traitance ultérieure : encadrement et autorisation préalable des sous-traitants de second rang (hébergeur, par ex.).
Assistance : appui au responsable pour répondre aux droits des personnes, pour l'AIPD et pour la notification de violation.
Notification de violation : obligation d'alerter sans délai.
Sort des données en fin de prestation : restitution ou suppression, au choix du responsable.
Audit : droit pour le responsable de vérifier la conformité du sous-traitant.
Localisation des données : engagement sur l'hébergement (France / UE).

Un DPA absent, vide ou déséquilibré est un signal d'alerte majeur. Sephos fournit un contrat de sous-traitance conforme à l'article 28, adossé à un hébergement en France.

Le registre des activités de traitement

Le responsable de traitement (l'employeur) tient un registre des activités de traitement (article 30) qui décrit, pour le traitement « élection CSE », les finalités, les catégories de données et de personnes, les destinataires, les durées de conservation et les mesures de sécurité. Le sous-traitant tient, de son côté, son propre registre des traitements effectués pour le compte de ses clients.

Hébergement et localisation des données : France et UE

La localisation des données pèse particulièrement pour un scrutin sensible. Sephos retient un hébergement en France, ce qui facilite la maîtrise des données, la lisibilité juridique et la réactivité opérationnelle.

L'enjeu RGPD est double : éviter les transferts hors UE non encadrés (qui imposeraient des garanties supplémentaires), et permettre à l'employeur, responsable de traitement, de documenter clairement la localisation dans son registre et son AIPD. Un hébergement en France répond directement à ces deux exigences. La localisation ne fait pas à elle seule la sécurité — elle complète le chiffrement à seuil, l'authentification locale et la vérifiabilité — mais elle constitue un facteur de confiance et de souveraineté.

Sanctions en cas de non-conformité RGPD

Le non-respect du RGPD expose à des sanctions administratives prononcées par la CNIL, qui peuvent atteindre, selon la nature du manquement, 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise (le montant le plus élevé étant retenu). À ces sanctions s'ajoutent les conséquences électorales : un manquement aux exigences de sécurité ou de confidentialité peut fonder une contestation et conduire à l'annulation du scrutin par le juge.

La sanction n'est donc pas seulement financière : elle est aussi opérationnelle. Une élection annulée doit être recommencée, avec son coût, son délai et son risque social. C'est pourquoi la conformité documentée n'est pas une dépense, mais une assurance. Voir Contestation des élections CSE et Annulation des élections CSE.

Erreurs fréquentes de non-conformité à éviter

Les mêmes manquements reviennent scrutin après scrutin. Les connaître, c'est déjà s'en prémunir.

Transmettre l'identifiant et le mot de passe dans le même e-mail. L'authentification perd tout sens si les deux secrets voyagent ensemble. (Sephos contourne le risque via l'enrôlement WebAuthn local.)
Stocker ou afficher un mot de passe en clair. Manquement de sécurité caractérisé.
Utiliser l'adresse e-mail personnelle d'un salarié sans base ni information adéquate.
Faire figurer un IBAN complet ou des données sensibles sur la liste ou dans les éléments d'authentification.
Fonder le traitement sur le consentement au lieu de l'obligation légale.
Croire qu'une décharge de responsabilité du prestataire exonère l'employeur : la responsabilité de traitement ne se cède pas par contrat.
Oublier l'AIPD ou la considérer comme superflue pour un scrutin de niveau 2/3.
Conserver les données indéfiniment au-delà des délais de contestation, sans destruction sécurisée.
Afficher « certifié CNIL » : la CNIL ne certifie pas les solutions de vote. Exigez une matrice de conformité par niveau.

La page Vote électronique et CNIL revient en détail sur ces points de vigilance.

Accessibilité du vote et RGPD : deux exigences à croiser

L'accessibilité du vote (conformité au RGAA, pour les électeurs en situation de handicap) et la conformité RGPD se renforcent mutuellement. Un dispositif accessible permet à chacun de voter en autonomie, sans l'aide d'un tiers — ce qui sert à la fois l'égalité et le secret du vote (un électeur qui doit se faire assister révèle son choix). À l'inverse, les données d'accessibilité éventuelles (préférences, assistances techniques) sont des données personnelles à minimiser et à protéger. Penser l'accessibilité, c'est donc aussi penser la confidentialité.

Check-list de conformité : du protocole pré-électoral au procès-verbal

Voici la check-list opérationnelle, étape par étape, avec le point RGPD à sécuriser à chaque jalon. C'est le fil conducteur que suit un chef de projet Sephos.

Protocole d'accord préélectoral — prévoir le recours au vote électronique (accord ou décision unilatérale), désigner le responsable de traitement, planifier l'AIPD. Voir Protocole d'accord préélectoral CSE.
Détermination du niveau de risque — évaluer le scrutin (niveau 1, 2 ou 3) avant de paramétrer la solution.
AIPD — réaliser ou actualiser l'analyse d'impact ; décider, le cas échéant, d'une consultation CNIL (art. 36).
Contrat de sous-traitance (art. 28) — signer un DPA conforme avec le prestataire, vérifier l'hébergement en France.
Liste électorale — appliquer la minimisation des données ; geler la liste à la date prévue.
Information des électeurs — diffuser la notice explicative et les mentions RGPD distinctes, avant le scrutin.
Enrôlement — déployer l'authentification forte (WebAuthn) ; tracer le registre d'enrôlement.
Expertise indépendante — pour les niveaux 2/3, faire auditer le système avant ouverture.
Scrutin — séparation urne/émargement, chiffrement à seuil, scellement, journaux d'audit.
Dépouillement — déchiffrement des seuls agrégats par les porteurs de clés réunis ; calcul recalculable.
Procès-verbal — la plateforme produit les PV d'ouverture/clôture et un certificat de résultat. La déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste une démarche de l'employeur : la plateforme ne la génère ni ne la télétransmet. Voir Procès-verbal des élections CSE.
Conservation et purge — conserver jusqu'aux délais de contestation, puis détruire de façon sécurisée et documentée.

Bien plus qu'un logiciel : la conformité documentée par l'accompagnement humain

La conformité RGPD d'un scrutin ne tient pas dans une fonctionnalité : elle se construit, jalon par jalon, avec une compétence juridique réelle. Un scrutin annulé l'est presque toujours pour un vice de procédure — base légale mal posée, information manquante, durée de conservation non maîtrisée, DPA absent — bien plus que pour une faille cryptographique.

C'est pourquoi Sephos lie sécurité technique et sécurité juridique. Un chef de projet dédié, expert en droit social, accompagne chaque scrutin du protocole pré-électoral au procès-verbal : il calibre le niveau de risque, appuie l'AIPD, fournit le contrat de sous-traitance, veille à la minimisation de la liste, à l'information des électeurs et aux durées de conservation, et prépare les pièces probantes en cas de contestation. C'est ce que recouvre la promesse « bien plus qu'un logiciel », adossée à plus de 2 400 élections organisées, à un hébergement en France, et à une cryptographie vérifiable.

Demander une démonstration

Vous voulez vérifier concrètement la conformité RGPD d'une solution de vote — répartition des rôles, base légale, AIPD, durées de conservation, contrat de sous-traitance, chiffrement homomorphe à seuil et authentification WebAuthn ? Le plus efficace est de le constater en conditions réelles, avec un expert qui répond à vos questions de droit social et de protection des données.

Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.

Pour approfondir : Conformité du vote électronique CSE, Vote électronique et CNIL, Données personnelles et vote électronique, Expertise indépendante et Jurisprudence du vote électronique.

Questions fréquentes

Le vote électronique doit-il faire l'objet d'une déclaration ou formalité préalable auprès de la CNIL ?

Non. Depuis l'application du RGPD, il n'existe plus de régime de déclaration préalable : la logique est celle de la responsabilisation (accountability). L'organisateur n'a rien à déposer en amont, mais il doit pouvoir démontrer sa conformité (registre, AIPD, contrat de sous-traitance, information des électeurs). La seule exception est la consultation préalable de l'article 36 du RGPD, qui ne s'impose que si l'AIPD révèle un risque résiduel élevé non maîtrisé — situation rare avec une solution correctement conçue.

Qui est responsable de traitement lors d'un vote électronique du CSE ?

L'employeur (ou l'organisateur du scrutin) est responsable de traitement : c'est lui qui détermine les finalités et les moyens essentiels, qui tient le registre, réalise l'AIPD et répond en cas de manquement. La plateforme de vote est sous-traitant au sens de l'article 28 du RGPD : elle agit pour le compte et sur instruction du responsable. Cette répartition ne se renverse jamais, et aucun contrat ne permet à l'employeur de transférer sa responsabilité de traitement au prestataire.

Le prestataire de vote électronique est-il sous-traitant au sens du RGPD ?

Oui. La plateforme traite les données pour le compte de l'employeur, sur instruction documentée : c'est la définition même du sous-traitant (article 28). Un contrat de sous-traitance (DPA) est obligatoire ; il doit notamment prévoir la sécurité, la confidentialité, l'assistance à l'AIPD et aux droits des personnes, la notification de violation, le sort des données en fin de prestation et la localisation de l'hébergement. Sephos fournit un DPA conforme, adossé à un hébergement en France.

L'AIPD (analyse d'impact) est-elle obligatoire pour un vote électronique ?

Pour les élections CSE de niveau 2 ou 3 — la majorité des cas — l'AIPD doit être considérée comme nécessaire. Le traitement comporte un registre d'enrôlement et un risque de traçage de la participation, qui justifient l'analyse. La responsabilité de l'AIPD incombe au responsable de traitement (l'employeur), pilotée par le DPO ; le prestataire fournit les éléments techniques, et une expertise indépendante peut nourrir l'analyse des risques de sécurité sans s'y substituer.

Combien de temps conserve-t-on les données d'un vote électronique ?

Chaque catégorie de donnée se conserve pour une durée limitée, alignée sur sa finalité. Le repère structurant : les données utiles à une éventuelle contestation (liste, émargement, bulletins chiffrés, journaux) sont conservées jusqu'à l'expiration des délais de recours — le délai de contestation des élections est de 15 jours — et, en cas de contentieux engagé, jusqu'à la décision définitive, avant une destruction sécurisée et documentée. Les durées exactes sont à confirmer au regard de la version en vigueur de la recommandation CNIL.

Le consentement des électeurs est-il nécessaire pour le vote électronique du CSE ?

Non. La base légale du traitement est l'obligation légale (article 6.1.c du RGPD) : l'employeur est tenu par le Code du travail d'organiser l'élection. Demander le consentement serait inapproprié — un salarié ne peut pas refuser de figurer sur la liste électorale — et fragiliserait le scrutin, puisque le consentement peut être retiré. On n'autorise pas le traitement, on informe les électeurs (articles 13/14).

Comment garantir le secret du vote et l'anonymat dans un vote électronique ?

Par la séparation stricte de deux fichiers — l'émargement (qui sait qui a voté) et l'urne (bulletins chiffrés sans identifiant) — et par un chiffrement homomorphe à seuil qui empêche tout déchiffrement individuel : seuls les agrégats sont déchiffrés à la clôture. Le système sait que vous avez voté, jamais ce que vous avez voté. L'anonymat est fort mais sans absolu : il dissocie identité et bulletin et ne délivre aucun reçu du contenu du vote, sans pour autant qu'on puisse affirmer qu'aucun lien n'est jamais possible.

Quelles informations peut-on faire figurer sur la liste électorale ?

Le principe est la minimisation des données (article 5.1.c du RGPD) : on ne retient que ce qui est strictement nécessaire — nom, prénom, et le cas échéant matricule, collège et statut (électeur / éligible). On ne fait pas figurer de données superflues ou sensibles : numéro de sécurité sociale, IBAN complet, données de santé, opinions. La liste doit être gelée à la date prévue et protégée comme une donnée personnelle à part entière.

Comment informer les électeurs conformément au RGPD ?

Par deux documents distincts. D'une part la notice explicative du vote (comment voter : calendrier, authentification, déroulé, assistance), qui relève des règles électorales. D'autre part les mentions d'information RGPD (identité du responsable, finalités, base légale, destinataires, durée de conservation, droits des personnes, contact du DPO), qui relèvent du RGPD. Ces deux notices répondent à des logiques différentes et doivent être accessibles avant le début du scrutin.

Quelles sont les sanctions en cas de non-conformité RGPD du vote électronique ?

Les sanctions de la CNIL peuvent atteindre, selon la gravité, 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu). S'y ajoutent les conséquences électorales : un manquement à la sécurité ou à la confidentialité peut fonder une contestation et conduire à l'annulation du scrutin par le juge, avec l'obligation de recommencer l'élection. La conformité documentée est donc une assurance, pas une dépense.

Quels sont les objectifs de sécurité exigés par la CNIL ?

Cinq objectifs, proportionnés au niveau de risque : la confidentialité (chiffrement, séparation des fichiers), l'intégrité (aucun bulletin ajouté ou modifié), l'authentification (seuls les inscrits votent, une fois chacun), la transparence et la vérifiabilité (opérations contrôlables, décompte idéalement rejouable par un tiers) et la disponibilité (système accessible et résilient pendant tout le scrutin). Ils traduisent en exigences techniques le principe de sécurité du traitement de l'article 32 du RGPD.

Une expertise indépendante de la solution de vote est-elle obligatoire ?

La CNIL la recommande fortement pour les scrutins à enjeu (niveaux 2 et 3), ce qui couvre la plupart des élections CSE. L'expert audite le système avant le scrutin — code, architecture, chiffrement, gestion des clés, vérifiabilité — et peut intervenir sur les listes, le déploiement et le dépouillement. Son rapport constitue une pièce probante précieuse en cas de contestation. Un prestataire qui organise et documente cet audit, plutôt que de l'éviter, protège réellement le responsable de traitement.

Que change la nouvelle recommandation CNIL sur le vote électronique ?

La doctrine de la CNIL a été actualisée pour suivre l'état de l'art. Les trois niveaux de risque sont maintenus, mais le socle de sécurité est globalement relevé : encouragement de mécanismes d'authentification plus résistants à l'interception et au hameçonnage, importance accrue de la vérifiabilité de bout en bout (individuelle et universelle), et consolidation de l'expertise indépendante pour les niveaux élevés. Le bon réflexe est de vérifier la version en vigueur à la date de votre scrutin et d'exiger une matrice de conformité alignée sur cette version.

Peut-on envoyer l'identifiant et le mot de passe dans le même courrier ?

Non. Transmettre l'identifiant et le secret par le même canal vide l'authentification de son sens : quiconque intercepte le message dispose des deux. Les modèles classiques imposent donc deux canaux distincts. Sephos supprime ce risque en amont : l'authentification repose sur un enrôlement WebAuthn / passkey, où le secret n'est jamais transmis mais généré et dérivé localement sur l'appareil de l'électeur — le lien d'invitation ne sert qu'à initier l'enrôlement, jamais à envoyer un mot de passe réutilisable.

Les données du vote électronique doivent-elles être hébergées en France ?

Le RGPD n'impose pas en soi un hébergement en France, mais il encadre strictement les transferts hors UE, qui exigent des garanties supplémentaires. Pour un scrutin sensible, un hébergement en France (ou dans l'UE) est fortement préférable : il facilite la maîtrise des données, la lisibilité juridique et la documentation dans le registre et l'AIPD. Sephos retient un hébergement en France, ce qui répond à ces exigences et constitue un facteur de souveraineté et de confiance.

Vote électronique et RGPD