Scellement de l'urne électronique : le guide complet

Scellement de l'urne électronique : la définition en bref

Le scellement de l'urne électronique est un procédé qui permet de déceler toute modification du système de vote, de la liste des candidats et de la liste des électeurs, en apposant une empreinte numérique (cachet, hash) qui garantit l'intégrité du scrutin avant, pendant et après le vote. Concrètement, sceller, c'est figer un état du système à un instant donné et produire une signature vérifiable : si un seul élément change, l'empreinte change, et l'altération devient visible.

Le scellement n'est pas un détail technique. C'est la preuve d'intégrité opposable qui distingue un scrutin défendable d'un scrutin attaquable. Lorsqu'une élection du CSE est contestée, c'est souvent sur ce terrain que la sincérité se joue : l'urne était-elle vide à l'ouverture ? Son contenu a-t-il été figé à la clôture ? Les fichiers ont-ils été conservés sous scellés ? Cette page répond à chacune de ces questions, sans approximation.

Le différenciateur Sephos. Le scellement n'est pas qu'une fonction logicielle : c'est un acte de procédure qui doit être tracé, daté et constaté en présence des bonnes personnes. Sur la plateforme Sephos, un chef de projet dédié, expert en droit social, pilote la cérémonie des clés, le procès-verbal d'ouverture et le procès-verbal de clôture. Plus de 2 400 élections organisées, sécurité cryptographique vérifiable, expertise indépendante, hébergement en France, et un gain de participation observé jusqu'à +22 points.

Demander une démo — réponse sous 24 heures.

Scellement, chiffrement, anonymisation : trois mécanismes distincts à ne pas confondre

C'est la confusion la plus répandue, et personne ne la lève clairement. Ces trois notions protègent des choses différentes. Un scrutin sérieux les réunit ; il ne les substitue pas l'une à l'autre.

Mécanisme	Ce qu'il protège	Question à laquelle il répond
Scellement	L'intégrité : rien n'a été ajouté, retiré ou modifié	« Le système et les listes ont-ils été altérés ? »
Chiffrement	Le secret : le contenu des bulletins reste illisible	« Peut-on lire un vote avant le dépouillement ? »
Anonymisation	La dissociation entre l'identité et le bulletin	« Peut-on relier un vote à un électeur ? »

Le scellement appose une empreinte qui révèle toute modification. Le chiffrement rend les bulletins illisibles tant que le seuil de clés n'est pas réuni. L'anonymisation sépare strictement la liste d'émargement (qui sait qui a voté) et l'urne (qui contient les suffrages chiffrés, sans identifiant nominatif). Un système peut être chiffré sans être scellé — les bulletins sont illisibles, mais on pourrait en injecter de faux sans que cela se voie. Il peut être scellé sans être anonyme. La sécurité réelle exige les trois. Pour le détail du secret et de l'anonymat, voir secret du vote électronique et anonymat du vote électronique.

Que scelle-t-on, exactement ?

Le scellement ne porte pas uniquement sur l'urne. Il couvre l'ensemble des éléments dont la modification fausserait le scrutin :

le système de vote lui-même (programmes sources, programmes exécutables, paramétrage) ;
la liste des candidats et des listes en présence ;
la liste des électeurs (le corps électoral autorisé) ;
l'urne (l'ensemble des bulletins chiffrés déposés) ;
la liste d'émargement (la trace des votants).

Pour chacun de ces éléments, le scellement produit une empreinte numérique. Après l'ouverture du scrutin, la liste des électeurs et la liste des candidats sont figées : aucune modification n'est possible. L'urne et la liste d'émargement, elles, ne peuvent évoluer que par ajout — l'ajout d'un bulletin chiffré et de l'émargement correspondant, lorsqu'un électeur authentifié dépose son suffrage. Aucune suppression, aucune substitution. C'est cette règle d'« évolution par addition contrôlée uniquement » qui garantit la sincérité du décompte final.

Les deux moments clés du scellement

Le scellement intervient à deux moments déterminants, et c'est l'enchaînement des deux qui fait foi.

1. Le scellement à l'ouverture du scrutin

Avant que le premier électeur ne vote, on scelle un système vide. L'urne ne contient aucun bulletin, les listes sont arrêtées, les clés de chiffrement sont générées. L'empreinte de cet état initial est calculée et consignée. C'est la photographie de départ : elle prouvera, plus tard, que rien n'avait été pré-rempli ni manipulé au lancement.

2. Le scellement à la clôture du scrutin

À l'heure de fermeture, le système fige et horodate le contenu de l'urne et de la liste d'émargement. Plus aucun bulletin ne peut être déposé. L'empreinte de l'état final est calculée et consignée. C'est sur cet état scellé — et seulement sur lui — que portera le dépouillement. Entre ces deux bornes, l'intégrité est vérifiable en continu.

Moment	Qui agit	Objet scellé	Preuve produite
Avant ouverture	Cellule d'assistance technique + bureau de vote + représentants des listes	Système vide, listes, clés	PV d'ouverture, empreinte initiale
Pendant le scrutin	Le système (contrôle continu)	Urne et émargement (ajout uniquement)	Journaux horodatés, empreinte vérifiable
À la clôture	Système + bureau de vote	Urne figée, émargement figé	PV de clôture, empreinte finale horodatée
Après proclamation	Système + employeur	Fichiers supports sous scellés	Conservation jusqu'à fin des recours

Le contrôle avant ouverture : vérifier que l'urne est vide, scellée et chiffrée

C'est l'exigence centrale du Code du travail. Avant l'ouverture du vote, une cellule d'assistance technique procède, en présence des représentants des listes de candidats, à un test du système et vérifie que l'urne électronique est vide, scellée et chiffrée par des clés délivrées à cet effet (article R.2314-15 du Code du travail).

Trois constats simultanés doivent donc être faits et tracés :

L'urne est vide — aucun bulletin n'y figure au démarrage ;
L'urne est scellée — son état est figé par une empreinte vérifiable ;
L'urne est chiffrée — son contenu est protégé par les clés de l'élection.

Ce contrôle se fait devant témoins : la présence des représentants des listes n'est pas une formalité, c'est ce qui rend le constat contradictoire et donc opposable. Sur la plateforme Sephos, le chef de projet organise ce contrôle, en présentiel ou en visioconférence, et le consigne au procès-verbal d'ouverture généré par le système. Le rôle de l'instance qui supervise est précisé sur la page bureau de vote dématérialisé.

Faut-il vérifier l'urne juste avant l'ouverture ? Ce que dit la jurisprudence

Point souvent mal compris, et qu'aucune page concurrente n'intègre clairement. La Cour de cassation (chambre sociale) a précisé que la vérification du caractère vide et scellé de l'urne n'a pas nécessairement à être réalisée juste avant l'ouverture du scrutin, dès lors que le système garantit, par scellement et chiffrement, qu'aucun bulletin n'a pu être ajouté entre le contrôle et l'ouverture.

Autrement dit : ce qui compte, ce n'est pas le geste théâtral d'ouvrir l'urne à la seconde où le vote commence, mais la chaîne de preuve continue — l'empreinte initiale, le scellement, les journaux horodatés — qui démontre qu'aucune altération n'a été possible dans l'intervalle. Un dispositif correctement scellé est, par construction, plus robuste qu'une vérification visuelle ponctuelle. Cette nuance protège l'organisateur contre les contestations purement formelles, à condition que la traçabilité technique soit irréprochable. Pour le terrain contentieux, voir jurisprudence du vote électronique et contestation des élections CSE.

Qui scelle l'urne, et qui le vérifie ?

Le scellement met en jeu plusieurs acteurs aux rôles complémentaires :

Le système de vote calcule et appose les empreintes, et applique les contrôles automatiques (urne vide, intégrité des listes, horodatage).
La cellule d'assistance technique réalise le test d'ouverture et constate l'état vide, scellé et chiffré de l'urne.
Le bureau de vote (président + assesseurs) supervise et vérifie le scellement : il atteste, au PV, que les contrôles ont été faits. Le président déclenche l'ouverture, le secrétaire consigne, les assesseurs contrôlent.
Les représentants des listes / délégués assistent au contrôle d'ouverture et peuvent formuler des observations consignées.
L'expert indépendant, le cas échéant, audite le procédé de scellement en amont.

La règle de fond : aucun acteur seul ne maîtrise l'intégralité du dispositif. C'est la condition d'une confiance partagée, et c'est exactement ce que la cérémonie des clés organise.

La cérémonie des clés de chiffrement

Le scellement de l'urne est indissociable de la gestion des clés. Une cérémonie des clés se déroule en plusieurs temps :

Génération avant ouverture. Les clés de chiffrement de l'élection sont générées avant le démarrage du scrutin. La clé publique sert à chiffrer les bulletins ; la clé de déchiffrement, elle, n'existe jamais sous forme complète en un seul endroit.
Répartition des fragments. Le secret de déchiffrement est réparti à seuil entre plusieurs porteurs de clés (les trustees) — typiquement des membres du bureau, des délégués de liste et un représentant de l'employeur — via une génération distribuée de clés (DKG).
Activation simultanée au dépouillement. À la clôture, l'ouverture de l'urne exige la combinaison d'un seuil minimal de clés (par exemple 3 sur 6). Aucun porteur ne peut déchiffrer seul ; la clé maîtresse n'est jamais reconstituée en un point unique.

Ce mécanisme garantit qu'entre l'ouverture et la clôture, personne — ni l'employeur, ni un syndicat, ni le prestataire — ne peut lire l'urne ni la modifier sans laisser de trace. Le détail du circuit des clés et de la cérémonie figure sur la page dépouillement du vote électronique.

Le mécanisme cryptographique derrière le scellement et l'urne

Aucune page concurrente ne l'explique. Voici le fond, sans jargon inutile.

Le secret des bulletins repose sur un chiffrement homomorphe à seuil — un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. Deux propriétés en découlent. D'une part, on peut additionner les bulletins chiffrés sans les ouvrir : au dépouillement, seuls les agrégats (totaux par liste et par candidat) sont déchiffrés. Aucun bulletin individuel n'est jamais déchiffré. D'autre part, la clé de déchiffrement est répartie à seuil et jamais reconstituée.

Le scellement, lui, s'appuie sur des empreintes numériques (fonctions de hachage) et des signatures apposées à chaque état figé du système et à chaque opération journalisée. Chaque bulletin déposé est par ailleurs accompagné d'une preuve à divulgation nulle de connaissance attestant qu'il est bien formé — un choix autorisé, et un seul — vérifiable par quiconque sans rien apprendre du vote exprimé. L'urne devient ainsi honnête sans être indiscrète. Cette architecture rend possible la vérifiabilité de bout en bout (end-to-end verifiability) : chacun peut vérifier l'intégrité sans jamais accéder au contenu d'un suffrage. Le détail figure sur la page vote électronique sécurisé.

Comment vérifier concrètement un scellement, sans le prestataire

Exigence rarement détaillée, et pourtant essentielle : la vérification du scellement doit être possible à tout moment, par le bureau de vote, sans intervention du prestataire. Un scellement qui ne serait vérifiable que par l'éditeur ne vaudrait rien — ce serait demander de croire sur parole.

En pratique, le contrôle repose sur l'empreinte numérique (le hash) :

l'empreinte de chaque état scellé est publiée et consignée au PV ;
à tout instant du scrutin, un membre du bureau peut recalculer l'empreinte de l'état courant et la comparer à celle qui a été scellée ;
toute divergence signale une altération ; l'identité des empreintes prouve l'intégrité ;
les journaux horodatés tracent chaque opération (ouverture, ajouts, clôture) et sont consultables.

C'est l'inverse de la boîte noire : le bureau dispose des moyens de constater par lui-même que rien n'a bougé. Cette capacité de vérification autonome est un marqueur de sérieux que beaucoup de plateformes n'offrent pas.

Le cadre juridique du scellement

Le scellement repose sur plusieurs textes qui se complètent.

Code du travail. Les modalités du vote électronique pour le CSE sont fixées par les articles R.2314-5 et suivants. L'article R.2314-15 impose la vérification, avant ouverture et en présence des représentants des listes, que l'urne est vide, scellée et chiffrée. Les obligations de secret, de sincérité et de contrôle des opérations structurent l'ensemble.
Recommandation de la CNIL sur la sécurité du vote par correspondance électronique. Elle classe les scrutins en trois niveaux de risque et définit, pour chacun, les exigences — dont le scellement, la séparation des fichiers, le chiffrement, l'authentification proportionnée et les journaux d'audit. Approfondissement sur la page vote électronique et CNIL.
RGS (Référentiel général de sécurité). Le scellement doit s'appuyer sur des procédés et des algorithmes publics réputés forts : ce sont les exigences du RGS qui servent de référence pour les fonctions de hachage et de signature employées.
Évolutions réglementaires récentes. Le cadre s'est précisé avec des dispositions consacrées au chiffrement de l'urne et au scellement du système de vote électronique, qui détaillent les obligations d'intégrité. La version en vigueur à la date de votre scrutin doit être confirmée par votre conseil.

Pour le panorama complet, voir conformité du vote électronique CSE et vote électronique et Code du travail.

Niveaux de risque CNIL et exigences de scellement

La recommandation de la CNIL demande d'évaluer le niveau de risque du scrutin, puis d'appliquer les mesures correspondantes. Le scellement en fait partie, avec une intensité croissante.

Niveau	Enjeu typique	Exigences de scellement associées
Niveau 1	Enjeu limité	Scellement de base, contrôles automatiques d'intégrité, journalisation.
Niveau 2	Enjeu intermédiaire	Scellement renforcé, contrôles manuels du bureau, vérification d'empreinte possible en cours de scrutin.
Niveau 3	Enjeu fort	Clés réparties à porteurs multiples, expertise indépendante du procédé de scellement, vérifiabilité renforcée, traçabilité complète.

Les élections CSE relèvent fréquemment du niveau 2 ou 3. C'est ce qui justifie un scellement contrôlable manuellement par le bureau et, pour les scrutins sensibles, l'intervention d'un expert. Le détail des niveaux figure sur la page vote électronique sécurisé.

Le rôle de l'expert indépendant dans le scellement

Pour les scrutins à enjeu, la CNIL recommande le recours à une expertise indépendante. Cet expert présente des critères précis, trop souvent passés sous silence : c'est un informaticien spécialisé en sécurité, sans intérêt financier dans le résultat de l'élection ni dans la solution, idéalement formé aux exigences de la CNIL. Son expertise couvre le scellement avant, pendant et après le scrutin.

Concrètement, l'expert audite le procédé de scellement, vérifie que les empreintes sont correctement calculées et publiées, contrôle la cérémonie des clés et examine les journaux d'audit. En cas de contestation, son rapport constitue une pièce déterminante : il permet de démontrer, preuves à l'appui, que l'urne n'a pas été altérée. Sephos s'appuie sur une expertise indépendante du dispositif cryptographique et organisationnel — un levier de confiance que la plupart des éditeurs n'offrent pas.

Conservation des fichiers sous scellés après l'élection

Une fois les résultats proclamés, le scrutin n'est pas effacé. Les fichiers supports sont conservés sous scellés jusqu'à l'expiration du délai de recours, ou jusqu'à l'intervention d'une décision juridictionnelle devenue définitive en cas de litige.

Sont conservés sous scellés :

les programmes sources et exécutables du système de vote ;
les matériels ayant servi au scrutin ;
les listes (électeurs, candidats, émargement) ;
les résultats et l'urne chiffrée ;
les sauvegardes et les journaux d'audit horodatés.

Cette conservation rend possible une expertise a posteriori : sans elle, impossible de prouver la régularité en cas de contestation. À l'expiration du délai et en l'absence de recours, les données personnelles — notamment le registre d'enrôlement, qui révélerait qui a participé — doivent être purgées, conformément au RGPD. Pendant toute cette phase, les données restent hébergées en France. Voir vote électronique et RGPD et données personnelles et vote électronique.

Rappel des rôles, à ne jamais inverser. L'employeur est responsable de traitement ; Sephos est sous-traitant au sens de l'article 28 du RGPD. Une analyse d'impact (AIPD) est requise, car le registre d'enrôlement présente un risque de traçage de la participation. La conformité s'apprécie via des matrices de conformité alignées sur les niveaux CNIL 1/2/3 — et non par une « certification CNIL », qui n'existe pas.

Lien entre scellement et dépouillement

Le scellement à la clôture et le dépouillement s'enchaînent strictement. À la fermeture, l'urne est figée et horodatée : c'est l'état scellé. Le déscellement qui permet le décompte est encadré — il n'intervient qu'après la combinaison du seuil de clés requis, au cours de la cérémonie de dépouillement, et il ne porte que sur les agrégats, jamais sur les bulletins individuels.

Le système prouve ensuite que le décompte correspond exactement à l'urne scellée, sans révéler le contenu d'aucun vote. Le bureau vérifie la concordance entre le nombre d'émargements et le nombre de suffrages. Tout cela est tracé dans le procès-verbal de clôture et le certificat de résultat générés par la plateforme. Déroulé détaillé sur la page dépouillement du vote électronique et, pour la suite, audit du vote électronique.

Un scellement défaillant peut-il faire annuler l'élection ?

Oui, et c'est l'angle le plus stratégique pour un DRH ou un élu. Le scellement constitue la preuve d'intégrité du scrutin. Un défaut peut rendre l'élection attaquable : absence de contrôle de l'urne vide, défaut de présence des représentants des listes lors du contrôle, scellement non tracé, journaux manquants, fichiers non conservés sous scellés.

À l'inverse, un scellement opposable — empreintes consignées, PV d'ouverture et de clôture horodatés, présence des témoins, traçabilité complète — neutralise une grande partie des contestations. Le juge ne demande pas l'impossible : il demande la preuve que la sincérité a été préservée. Le scellement, correctement documenté, est précisément cette preuve. Pour les conséquences d'un vice, voir annulation des élections CSE.

Checklist : garantir un scellement opposable

Document opérationnel à conserver par le bureau de vote et l'employeur :

Clés de chiffrement générées avant l'ouverture et réparties à seuil entre les porteurs
Contrôle avant ouverture : urne vide, scellée et chiffrée constaté (art. R.2314-15)
Représentants des listes présents et observations consignées
PV d'ouverture horodaté, empreinte initiale consignée
Listes électeurs/candidats figées après l'ouverture ; urne et émargement en ajout uniquement
Vérification d'empreinte possible en cours de scrutin, sans le prestataire
Clôture automatique à l'heure prévue, contenu de l'urne et émargement figés et horodatés
PV de clôture horodaté, empreinte finale consignée
Déscellement encadré : combinaison du seuil de clés, déchiffrement des seuls agrégats
Concordance émargements / suffrages vérifiée et tracée
Fichiers supports conservés sous scellés jusqu'à fin des recours / décision définitive
Plan de purge RGPD programmé après le délai de contestation

Bien plus qu'un logiciel : le scellement piloté par un expert

La sécurité technique ne suffit pas. Un scrutin est rarement annulé pour une faille cryptographique ; il l'est pour un vice de procédure — un contrôle d'ouverture non tracé, un PV bâclé, des témoins absents. C'est pourquoi Sephos lie scellement technique et scellement opposable.

Un chef de projet dédié, expert en droit social, organise le contrôle avant ouverture, pilote la cérémonie des clés, veille à la présence des représentants des listes et fait consigner les empreintes et les horodatages aux PV d'ouverture et de clôture. À la clôture, la plateforme produit automatiquement les procès-verbaux d'ouverture et de clôture et un certificat de résultat. La déclaration administrative de l'élection — formulaire Cerfa, transmission à l'administration du travail — reste, elle, une démarche de l'employeur : votre chef de projet vous indique quoi transmettre et quand, mais la plateforme ne s'y substitue pas. C'est ce que recouvre la promesse « bien plus qu'un logiciel », adossée à plus de 2 400 élections organisées.

Demander une démonstration

Vous voulez voir comment le scellement est constaté, tracé et vérifiable — le contrôle de l'urne vide, la cérémonie des clés, le calcul d'empreinte, les PV horodatés ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de droit social et de sécurité.

Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.

Pour approfondir : conformité du vote électronique CSE, audit du vote électronique, expertise indépendante et vote électronique sécurisé.

Faits à vérifier pour votre scrutin (YMYL)

Le cadre juridique évolue et chaque scrutin a ses particularités. Avant de finaliser votre protocole d'accord préélectoral, faites confirmer par votre conseil ou votre chef de projet : le périmètre exact des articles R.2314-5 et suivants applicables (dont R.2314-15) à la date de l'élection, la version en vigueur de la recommandation CNIL et des dispositions sur le chiffrement et le scellement, la composition des collèges, les règles de quorum, le calcul du quotient électoral et l'attribution des sièges à la plus forte moyenne, la durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), le délai de contestation de 15 jours, et les règles de représentation équilibrée femmes-hommes.

Questions fréquentes

Qu'est-ce que le scellement d'une urne électronique ?

C'est un procédé qui permet de déceler toute modification du système de vote, de la liste des candidats et de la liste des électeurs, en apposant une empreinte numérique (cachet, hash) garantissant l'intégrité du scrutin avant, pendant et après le vote. Sceller, c'est figer un état à un instant donné et produire une signature vérifiable : si un élément change, l'empreinte change, et l'altération devient visible.

Quand l'urne électronique doit-elle être scellée et vérifiée ?

À deux moments clés. À l'ouverture, on scelle un système vide et l'on vérifie que l'urne est vide, scellée et chiffrée. À la clôture, on fige et horodate le contenu de l'urne et la liste d'émargement. Entre les deux, l'intégrité est vérifiable en continu par recalcul d'empreinte, et les fichiers sont ensuite conservés sous scellés jusqu'à la fin des recours.

Qui scelle l'urne électronique lors des élections CSE ?

Le système calcule et appose les empreintes. La cellule d'assistance technique réalise le test d'ouverture et constate l'état vide, scellé et chiffré de l'urne, en présence des représentants des listes. Le bureau de vote (président, secrétaire, assesseurs) supervise, vérifie et consigne le scellement aux procès-verbaux. Aucun acteur seul ne maîtrise l'ensemble du dispositif.

Quelle est la différence entre scellement et chiffrement de l'urne ?

Le chiffrement protège le secret : il rend les bulletins illisibles tant que le seuil de clés n'est pas réuni. Le scellement protège l'intégrité : il appose une empreinte qui révèle toute modification du système ou des listes. Une urne peut être chiffrée sans être scellée — les bulletins seraient illisibles, mais on pourrait en injecter de faux sans que cela se voie. Les deux sont nécessaires.

Comment vérifier le scellement de l'urne électronique pendant le scrutin ?

Par l'empreinte numérique. L'empreinte de chaque état scellé est publiée et consignée au PV. À tout instant, un membre du bureau peut recalculer l'empreinte de l'état courant et la comparer à celle qui a été scellée : l'identité des empreintes prouve l'intégrité, une divergence signale une altération. Cette vérification doit rester possible sans intervention du prestataire, complétée par les journaux horodatés.

Que dit le Code du travail sur le scellement (article R.2314-15) ?

L'article R.2314-15 impose qu'avant l'ouverture du vote, une cellule d'assistance technique procède à un test du système et vérifie, en présence des représentants des listes de candidats, que l'urne électronique est vide, scellée et chiffrée par des clés délivrées à cet effet. Les articles R.2314-5 et suivants encadrent plus largement le secret, la sincérité et le contrôle des opérations.

Faut-il vérifier l'urne juste avant l'ouverture du vote ?

Pas nécessairement à la seconde près. La Cour de cassation (chambre sociale) a admis que la vérification du caractère vide et scellé de l'urne n'a pas à être réalisée juste avant l'ouverture, dès lors que le scellement et le chiffrement garantissent qu'aucun bulletin n'a pu être ajouté entre le contrôle et l'ouverture. Ce qui fait foi, c'est la chaîne de preuve continue, pas le geste ponctuel.

Qu'est-ce que la cérémonie des clés de chiffrement ?

C'est le processus de génération, de répartition et d'activation des clés. Les clés sont générées avant l'ouverture ; le secret de déchiffrement est réparti à seuil entre plusieurs porteurs (trustees) via une génération distribuée. Au dépouillement, l'ouverture de l'urne exige la combinaison simultanée d'un seuil minimal de clés. Aucun porteur ne déchiffre seul, et la clé maîtresse n'est jamais reconstituée en un seul endroit.

Quel est le rôle de l'expert indépendant dans le scellement ?

C'est un informaticien spécialisé en sécurité, sans intérêt financier dans l'élection ni dans la solution, idéalement formé aux exigences de la CNIL. Il audite le procédé de scellement avant, pendant et après le scrutin : calcul et publication des empreintes, cérémonie des clés, journaux d'audit. Son rapport constitue une pièce déterminante en cas de contestation pour démontrer que l'urne n'a pas été altérée.

Combien de temps conserve-t-on les fichiers sous scellés après l'élection ?

Jusqu'à l'expiration du délai de recours (15 jours à compter de la proclamation), ou jusqu'à l'intervention d'une décision juridictionnelle devenue définitive en cas de litige. Sont conservés sous scellés les programmes sources et exécutables, les matériels, les listes, les résultats, l'urne chiffrée, les sauvegardes et les journaux. Ensuite, les données personnelles, dont le registre d'enrôlement, doivent être purgées conformément au RGPD.

Un défaut de scellement peut-il entraîner l'annulation des élections CSE ?

Oui. Le scellement est la preuve d'intégrité du scrutin. Un défaut — contrôle d'ouverture non réalisé ou non tracé, absence des représentants des listes, journaux manquants, fichiers non conservés sous scellés — peut rendre l'élection attaquable. À l'inverse, un scellement opposable, documenté par des PV horodatés et des empreintes consignées, neutralise une grande partie des contestations.

Que dit la CNIL sur le scellement des systèmes de vote électronique ?

Sa recommandation sur la sécurité du vote par correspondance électronique classe les scrutins en trois niveaux de risque et exige, pour chacun, des mesures dont le scellement, avec une intensité croissante : contrôles automatiques au niveau 1, contrôles manuels du bureau au niveau 2, expertise indépendante et vérifiabilité renforcée au niveau 3. La conformité s'apprécie via des matrices de conformité — il n'existe pas de « certification CNIL » d'un outil.

Le scellement empêche-t-il de relier un vote à un électeur ?

Le scellement garantit l'intégrité, pas l'anonymat. L'anonymat repose sur la séparation stricte de la liste d'émargement et de l'urne, et sur un chiffrement homomorphe à seuil qui empêche tout déchiffrement individuel. La protection est forte mais dissociative : le système sait que vous avez voté, jamais ce que vous avez voté. Voir anonymat du vote électronique et secret du vote électronique.

Consultez aussi conformité du vote électronique CSE et la FAQ vote électronique CSE. Site indépendant, non gouvernemental.

Scellement de l’urne électronique