Secret du vote électronique : le guide complet

Secret du vote électronique : ce que recouvre vraiment cette garantie

Le secret du vote est le principe selon lequel nul ne peut être contraint de révéler son choix, et nul ne peut le découvrir contre la volonté de l'électeur. Transposé au scrutin en ligne, il signifie qu'une fois le bulletin déposé, il devient impossible de relier le choix exprimé à l'identité de la personne qui l'a émis — alors même que le système doit savoir qui a voté, pour calculer la participation et empêcher tout double vote. Le secret du vote électronique repose donc sur une dissociation stricte : on enregistre le fait d'avoir voté, jamais le contenu du vote.

C'est une promesse facile à afficher et difficile à tenir. Sur le papier, tous les prestataires écrivent « vote 100 % secret ». Dans les faits, le secret tient à des choix techniques précis — séparation des fichiers, chiffrement, gestion des clés de dépouillement, non-horodatage du bulletin, vérifiabilité — et à un cadre de conformité documenté. Une plateforme qui se contente d'un slogan, sans expliquer comment, ne protège pas l'électeur le jour où le scrutin est contesté devant le juge.

Cette page pose la définition juridique exacte du secret du vote, détaille chacun des mécanismes qui le garantissent dans un scrutin numérique, traite honnêtement les limites (oui, il en existe), et répond une à une aux questions que se posent réellement les salariés, les élus du CSE et les DRH. Elle s'adresse à ceux qui veulent comprendre avant de signer — pas se faire rassurer par une formule creuse.

Le différenciateur Sephos. Un logiciel d'urne ne suffit pas. La plateforme Sephos combine une cryptographie vérifiable par un tiers, un accompagnement par un chef de projet dédié, expert en droit social, et une conformité documentée scrutin par scrutin. Plus de 2 400 élections organisées, hébergement en France, et un gain de participation observé jusqu'à +22 points sur les scrutins accompagnés. Le secret, ici, n'est pas seulement technique : il est aussi juridique et défendable.

Le secret du vote, un principe à valeur constitutionnelle

Le secret du vote n'est pas une option de confort : c'est l'un des piliers du droit électoral français, garanti au plus haut niveau de la hiérarchie des normes. La Constitution dispose que le suffrage est toujours universel, égal et secret. Ce principe irrigue l'ensemble des scrutins, publics comme privés.

Pour les élections politiques, le Code électoral consacre le secret du vote, notamment à travers l'article L.59 (« le scrutin est secret ») et l'organisation matérielle de l'isoloir et de l'enveloppe. Ces dispositions servent de référence pour apprécier la régularité de tout scrutin.

Pour les élections professionnelles et le CSE, le secret est rattaché aux principes généraux du droit électoral applicables par renvoi, et le Code du travail encadre le déroulement du scrutin — par exemple les articles L.2314-26 (protocole d'accord préélectoral) et L.2314-30 (représentation équilibrée femmes-hommes), ainsi que les dispositions réglementaires sur l'organisation matérielle du vote (articles R.2314-5 et suivants). Lorsque le vote électronique est retenu, ces exigences ne disparaissent pas : elles doivent être reconstituées par des moyens cryptographiques. C'est tout le sujet de cette page. Pour le cadre légal complet, voir vote électronique et Code du travail.

Conséquence directe : une atteinte au secret du vote est un vice substantiel susceptible d'entraîner l'annulation des élections CSE. Le secret n'est donc pas qu'une affaire de confiance — c'est une condition de validité juridique du scrutin.

Secret, anonymat, confidentialité : trois notions à ne pas confondre

La plupart des pages commerciales emploient ces mots comme des synonymes. Ils ne le sont pas, et les distinguer est la première marque de sérieux.

Notion	Définition précise	Ce qu'elle protège
Secret du vote	Principe à valeur constitutionnelle : nul ne peut être contraint de révéler son choix, ni le découvrir contre la volonté de l'électeur.	La liberté de l'électeur au moment du vote.
Anonymat	Propriété technique : le bulletin déposé ne porte aucun identifiant permettant de remonter à son auteur.	La dissociation entre l'identité et le suffrage.
Confidentialité	Protection des données contre tout accès non autorisé (au sens RGPD).	L'accès aux données (liste électorale, logs, résultats).

En clair : le secret est un droit, l'anonymat est le mécanisme qui le rend tangible en ligne, et la confidentialité est la protection informatique qui les entoure. Un scrutin peut être confidentiel sans être anonyme ; et le secret ne tient que si l'anonymat et la confidentialité tiennent ensemble. Le sujet de l'anonymat du vote électronique mérite sa propre page ; ici, nous traitons le secret comme principe et comme garantie sur toute la chaîne du scrutin.

Comment le secret du vote est garanti : les sept mécanismes

Le secret d'un scrutin en ligne ne repose jamais sur une seule mesure, mais sur une chaîne de garanties qui se renforcent. Voici les sept maillons, dans l'ordre du parcours du bulletin.

1. La séparation stricte émargement / urne

La règle d'or, posée par la recommandation de la CNIL sur la sécurité des systèmes de vote par correspondance électronique, est la séparation stricte de deux fichiers qui ne doivent jamais être mis en relation :

le fichier d'émargement (la liste des électeurs), qui sait qui a le droit de voter et qui a effectivement voté ;
le fichier des suffrages (l'urne), qui contient les bulletins chiffrés, sans aucun identifiant nominatif.

Ces deux fichiers vivent sur des espaces de stockage distincts, sans table de correspondance entre eux. Aucun système ne peut dire « le bulletin n° 412 appartient à Madame Dupont ». On compte les votants d'un côté, les suffrages de l'autre, et les deux ne se rejoignent jamais. C'est la première ligne de défense du secret.

2. Le chiffrement du bulletin dès le navigateur de l'électeur

Le choix de l'électeur n'est jamais transmis en clair. Le bulletin est chiffré sur l'appareil de l'électeur, dans son navigateur, avant tout envoi, avec la clé publique de l'élection. Le choix en clair ne quitte donc jamais l'écran. Une fois dans l'urne, le bulletin est illisible en transit comme au repos : ni l'administrateur de la plateforme, ni l'employeur, ni un éventuel intrus sur le réseau ne peut le lire.

3. Le non-horodatage du bulletin

Détail crucial que presque aucun concurrent n'expose : si le bulletin chiffré portait l'heure précise de son dépôt, on pourrait le croiser avec l'heure d'émargement de chaque électeur et corréler identité et vote par le temps. C'est pourquoi le bulletin déposé dans l'urne n'est pas horodaté de façon individualisante : l'horodatage vit dans la liste d'émargement (pour la participation et l'anti-double-vote), pas sur le suffrage. La corrélation temporelle est ainsi neutralisée.

4. Le déchiffrement uniquement en masse au dépouillement

C'est le cœur du dispositif. Au dépouillement, les bulletins unitaires ne sont jamais déchiffrés : seule l'accumulation l'est. Grâce au chiffrement homomorphe (détaillé plus bas), on additionne les bulletins chiffrés sans les ouvrir, et l'on ne déchiffre que le résultat agrégé — le total par liste et par candidat. Lire le vote d'une personne isolée est mathématiquement écarté du processus.

5. Les clés de déchiffrement réparties entre plusieurs autorités

La clé qui permet le déchiffrement final n'existe nulle part sous forme complète. Elle est répartie entre plusieurs porteurs de clés (membres du bureau de vote, autorités désignées) au moyen d'une génération distribuée de clés. Le déchiffrement n'est possible que si un seuil de porteurs collabore (par exemple 3 sur 5), lors d'une cérémonie de clés. Aucun individu seul ne peut ouvrir l'urne.

6. L'authentification forte, décorrélée de l'expression du vote

Pour garantir que seuls les inscrits votent, et une seule fois, il faut les authentifier. Mais cette identité sert uniquement à ouvrir l'accès au vote — elle ne signe jamais le bulletin. L'authentification est distincte et décorrélée de l'expression du vote : l'identité ouvre la porte de l'isoloir, le bulletin part anonyme.

7. La vérifiabilité sans révélation du choix

Enfin, l'électeur peut vérifier que son vote a bien été pris en compte sans révéler son contenu, et un tiers peut vérifier l'honnêteté du décompte sans ouvrir un seul bulletin. Cette transparence du résultat coexiste avec le secret du suffrage — la tension fondamentale traitée plus loin.

Le flux du bulletin, étape par étape

Aucun concurrent ne propose ce schéma. Voici le trajet exact d'un suffrage, de l'écran de l'électeur jusqu'au procès-verbal.

  ÉLECTEUR                    PLATEFORME (urne scellée)            DÉPOUILLEMENT
 ┌─────────┐                 ┌──────────────────────────┐        ┌───────────────┐
 │ Choix   │                 │  Bulletins chiffrés       │        │ Cérémonie     │
 │ en clair│                 │  empilés, non horodatés,  │        │ de clés :     │
 │ à l'écran│                │  illisibles, additionnés  │        │ seuil de      │
 └────┬────┘                 │  sans être ouverts        │        │ porteurs réuni│
      │ chiffrement          └─────────────┬────────────┘        └───────┬───────┘
      │ DANS le navigateur                 │                              │
      ▼                                     │ accumulation                 ▼
 ┌─────────┐   bulletin chiffré            │ homomorphe          ┌───────────────┐
 │ Bulletin│ ───────────────────────────► URNE                  │ Déchiffrement │
 │ chiffré │                                                     │ des SEULS     │
 └─────────┘                                                     │ AGRÉGATS      │
      │                                                          │ (totaux/liste)│
      │ en parallèle, fichier SÉPARÉ                             └───────┬───────┘
      ▼                                                                  │
 ┌─────────────┐                                                         ▼
 │ ÉMARGEMENT  │  « a voté à telle heure »                       ┌───────────────┐
 │ (qui a voté)│  ← jamais relié au bulletin                     │ PV + certificat│
 └─────────────┘                                                 │ de résultat    │
                                                                 └───────────────┘

À aucune étape un bulletin individuel n'est ouvert. Le contenu en clair n'existe que sur l'écran de l'électeur, le temps de son choix ; ensuite, tout est chiffré jusqu'au déchiffrement collectif des seuls totaux. Le détail de la dernière étape figure sur la page dépouillement du vote électronique.

Le chiffrement homomorphe à seuil : le mécanisme que personne n'explique correctement

Voici l'angle technique qu'aucun concurrent n'exploite bien — et le point que cette page assume là où le reste du marché répète une imprécision. Un vote électronique correctement conçu n'utilise pas un chiffrement de type « point à point » (vocabulaire de messagerie) au sens d'une messagerie. Ce vocabulaire, omniprésent chez les concurrents, est trompeur appliqué au vote, parce qu'il décrit un tunnel entre deux interlocuteurs — alors qu'une urne doit pouvoir être comptée sans être lue.

La plateforme Sephos repose sur un chiffrement homomorphe à seuil : un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. Deux propriétés en découlent, et elles changent tout.

1. On additionne sans déchiffrer. Le caractère homomorphe permet de calculer la somme des suffrages directement sur les bulletins chiffrés, sans jamais les ouvrir un par un. Au dépouillement, seul le résultat agrégé est déchiffré. Aucun bulletin individuel n'est jamais déchiffré. C'est la différence fondamentale avec un système naïf qui ouvrirait chaque vote pour le compter.

2. La clé est répartie, jamais reconstituée. Le caractère à seuil signifie qu'il n'existe pas de clé unique qu'une personne pourrait voler ou utiliser seule. La clé est partagée entre plusieurs porteurs via une génération distribuée de clés ; seul un seuil de porteurs réunis peut déchiffrer les totaux. À aucun moment la clé secrète complète n'est reconstituée en un seul endroit — pas même pendant le dépouillement.

En langage non technique

Imaginez une urne transparente verrouillée par plusieurs cadenas appartenant à des personnes différentes. Personne ne détient toutes les clés. On ne peut l'ouvrir ni avant l'heure, ni seul. Mieux : à l'ouverture, on ne voit pas les bulletins un par un — on lit directement le total. Voilà l'équivalent du chiffrement homomorphe à seuil.

Une preuve à divulgation nulle de connaissance complète le dispositif : chaque bulletin est accompagné d'une preuve mathématique qu'il est bien formé (un choix autorisé, et un seul), vérifiable par n'importe qui sans rien apprendre du choix exprimé. L'urne devient honnête sans être indiscrète.

La cérémonie de clés : la preuve organisationnelle du secret

Le secret n'est pas qu'un mécanisme logiciel : c'est aussi une organisation humaine vérifiable. La cérémonie de clés en est la pièce maîtresse, et presque personne ne l'explique. Elle se déroule en deux temps.

Le scellement (génération des clés). Avant l'ouverture du scrutin, les porteurs de clés se réunissent. Chacun génère sa propre part de la clé sur son appareil, sans jamais la partager. La clé publique de l'élection est constituée ; la clé privée correspondante n'existe nulle part en entier. L'urne est alors scellée : elle ne pourra recevoir que des bulletins chiffrés avec cette clé publique. Détail sur la page scellement de l'urne électronique.
L'ouverture (dépouillement). À la clôture, les porteurs se réunissent à nouveau. Chacun apporte sa part. Si le seuil est atteint, la plateforme déchiffre uniquement les agrégats. Si le seuil n'est pas atteint, l'urne reste close. La clé complète n'est jamais reconstituée : chaque porteur calcule une part du déchiffrement, et seules ces parts sont combinées sur les totaux.

Cette cérémonie, consignée dans les journaux d'audit, constitue une preuve organisationnelle que personne — ni l'éditeur, ni l'employeur, ni un administrateur isolé — n'a pu accéder aux suffrages avant la clôture et hors la présence du bureau de vote.

La tension transparence / secret : tout vérifier sans rien révéler

C'est le défi intellectuel du vote électronique, traité par les sources académiques (les travaux du CNRS, de l'INRIA, le protocole Belenios) mais quasiment jamais vulgarisé. Deux exigences semblent s'opposer :

la transparence : chacun doit pouvoir vérifier que le résultat est honnête ;
le secret : personne ne doit pouvoir découvrir qui a voté quoi.

La cryptographie moderne réconcilie les deux par la vérifiabilité de bout en bout (end-to-end verifiability), qui se décompose en deux niveaux :

La vérifiabilité individuelle. Chaque électeur peut vérifier, sans révéler son choix, que son bulletin chiffré figure bien dans l'urne (recorded as cast) et reflète son intention (cast as intended). Il dispose d'une trace — un identifiant de bulletin sous forme de preuve.
La vérifiabilité universelle. N'importe quel tiers — électeur, syndicat, expert, observateur — peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver exactement le même résultat (tallied as recorded).

La clé de voûte : ces vérifications portent sur des données chiffrées et des preuves mathématiques, jamais sur des bulletins en clair. Vous prouvez que votre vote compte sans révéler pour qui vous avez voté, et un observateur prouve que le décompte est exact sans ouvrir un seul bulletin. C'est l'inverse de la confiance aveugle : une urne dont chacun peut vérifier l'honnêteté, tout en gardant le secret intact.

Ce débat n'est pas neuf. La Cour constitutionnelle fédérale allemande, dans une décision de 2009, a censuré l'usage de machines à voter dont le citoyen ordinaire ne pouvait pas contrôler le décompte — posant l'exigence que la régularité du scrutin soit vérifiable sans connaissances techniques spécialisées. Cet épisode est souvent cité comme la critique de la « boîte noire ». La réponse moderne n'est pas de renoncer au numérique, mais d'exiger une vérifiabilité publique et rejouable : précisément ce que permet un dépouillement auditable par tout tiers. La preuve remplace la confiance.

Receipt-freeness : protéger l'électeur contre la coercition

Voici l'angle expert majeur, quasi absent du marché. Le secret ne consiste pas seulement à empêcher qu'un tiers découvre votre vote ; il consiste aussi à empêcher que vous puissiez prouver votre vote à quelqu'un qui ferait pression sur vous. C'est la propriété de receipt-freeness (absence de reçu) et, à un degré supérieur, de résistance à la coercition.

Le raisonnement : si le système remettait à l'électeur un reçu prouvant le contenu de son vote, un tiers malveillant — un supérieur, un collègue, un proche — pourrait exiger ce reçu pour acheter ou contraindre le vote. C'est pourquoi un système sérieux ne fournit aucun reçu du contenu du vote. L'électeur peut prouver que son bulletin est dans l'urne (vérifiabilité), mais pas ce qu'il contient.

Soyons honnêtes sur la portée : à distance, sans isoloir physique, on ne peut pas éliminer toute coercition — un tiers pourrait théoriquement regarder par-dessus l'épaule de l'électeur. Mais l'absence de reçu réduit fortement l'incitation à la pression, parce que le contraignant ne peut jamais vérifier que l'ordre a été suivi. Nous n'écrirons donc jamais « il est impossible de prouver son vote » : la formulation exacte est que le système ne délivre aucun reçu de contenu et réduit fortement la coercition. C'est plus modeste qu'un slogan, et infiniment plus solide juridiquement.

Isoloir papier vs isoloir numérique : garantie par garantie

Les concurrents comparent souvent papier et numérique sur le seul confort. Le vrai sujet est le secret. Voici la comparaison mécanisme par mécanisme.

Garantie du secret	Isoloir papier (bureau physique)	Isoloir numérique (Sephos)
Confidentialité du choix	Isoloir physique, rideau	Chiffrement dans le navigateur, choix jamais transmis en clair
Anonymat du bulletin	Enveloppe identique, sans marque	Bulletin chiffré sans identifiant, non horodaté
Séparation qui a voté / quoi	Liste d'émargement ≠ urne	Fichier d'émargement ≠ fichier des suffrages, espaces distincts
Absence de reçu	Bulletin glissé, rien remis	Aucun reçu du contenu (receipt-freeness)
Dépouillement collectif	Comptage public devant scrutateurs	Déchiffrement des seuls agrégats, à plusieurs porteurs de clés
Contrôle par des tiers	Présence des assesseurs	Vérifiabilité individuelle et universelle, dépouillement rejouable
Preuve en cas de litige	Procès-verbal manuscrit	Journaux chaînés inaltérables, PV et certificat de résultat

Le vote papier n'est pas « plus secret » par nature : son isoloir protège le geste, mais son comptage repose sur la vigilance humaine et n'est pas rejouable une fois les bulletins détruits. Un vote numérique correctement conçu reconstitue chaque garantie de l'isoloir et ajoute une auditabilité supérieure. C'est ce qui le rend défendable en cas de contestation des élections CSE.

WebAuthn / passkey : pourquoi l'authentification par codes affaiblit le secret

L'authentification est le maillon qui décide du profil de sécurité. La majorité des plateformes envoie encore un code par e-mail ou SMS. Ce modèle est commode mais faible : un secret transmis peut être intercepté, transféré à un tiers, ou cédé sous pression — ce qui ouvre la porte à la coercition et place un scrutin à fort enjeu hors du profil de sécurité le plus exigeant de la CNIL.

Sephos retient une approche différente : l'enrôlement WebAuthn / passkey (avec l'extension PRF). Le secret n'est jamais envoyé : il est généré et dérivé localement sur l'appareil de l'électeur, protégé par sa biométrie ou son code d'appareil. Le lien d'invitation sert uniquement à initier l'enrôlement, jamais à transmettre un mot de passe réutilisable. Avantages directs pour le secret :

rien d'interceptable : aucun code en transit ne peut être volé ou exigé par un tiers ;
résistance au hameçonnage : la clé d'accès est liée à l'origine du site ;
décorrélation : l'authentification ouvre l'accès, mais ne signe pas le bulletin.

C'est la base la plus solide pour les scrutins de niveau élevé. Approfondissement sur la page identifiants et enrôlement des électeurs.

Glossaire des garanties d'un scrutin

Le « secret » est souvent confondu avec d'autres garanties. Les distinguer est un marqueur d'expertise.

Confidentialité. Les données du scrutin sont protégées contre tout accès non autorisé. C'est la garantie qui entoure le secret, sans s'y réduire.
Intégrité. Aucun bulletin n'est ajouté, supprimé ou modifié. Le résultat reflète exactement les suffrages déposés.
Disponibilité. Le système reste accessible pendant toute la période de vote (redondance multi-site, objectifs de reprise maîtrisés — sans promesse de pourcentage chiffré).
Sincérité. Le résultat proclamé correspond fidèlement à la volonté exprimée par le corps électoral.
Unicité. Chaque électeur ne vote qu'une seule fois (assurée par un marqueur anti-double-vote, le nullifier, sans révéler l'identité).
Secret. Personne ne peut découvrir le choix d'un électeur contre sa volonté, ni le lui faire prouver.

Un vote « sécurisé » exige ces six garanties ensemble. Le secret seul ne suffit pas ; l'intégrité seule non plus. Voir aussi vote électronique sécurisé.

Scénarios de compromission : que se passe-t-il si… ?

Aucune page ne rassure le DRH concrètement. Voici les trois scénarios qui inquiètent, et la réponse de l'architecture.

Si une part de clé est volée ? Une part isolée ne permet rien : il faut atteindre le seuil de porteurs pour déchiffrer quoi que ce soit. Un attaquant qui compromet un seul porteur ne peut pas ouvrir l'urne. C'est tout l'intérêt du chiffrement à seuil par rapport à une clé unique.

Si un serveur est piraté pendant le vote ? L'urne ne contient que des bulletins chiffrés, illisibles sans les clés réparties. Un intrus qui aspirerait toute l'urne n'obtiendrait que du chiffré. Mieux : les journaux d'audit chaînés rendraient toute tentative d'altération détectable, et la vérifiabilité universelle permettrait de constater qu'un décompte falsifié ne correspond pas aux bulletins publiés.

Si l'éditeur lui-même est malveillant ? C'est le scénario que les concurrents évitent. La réponse tient dans la vérifiabilité : le décompte est rejouable hors ligne par n'importe quel tiers. Un éditeur qui truquerait le résultat serait pris en défaut dès qu'un observateur indépendant rejouerait le dépouillement. Et comme l'éditeur ne détient pas la clé complète (répartie chez les porteurs du bureau de vote), il ne peut pas, seul, déchiffrer les bulletins. La confiance ne repose pas sur la parole de l'éditeur, mais sur la preuve publique. C'est l'objet de l'audit du vote électronique et de l'expertise indépendante.

Cadre CNIL et RGPD : ce que l'organisateur doit documenter

Le secret du vote électronique s'inscrit dans un cadre précis. Plusieurs textes structurent la matière.

La recommandation de la CNIL sur la sécurité des systèmes de vote par correspondance électronique (texte de référence, dans sa version actualisée) classe les scrutins en trois niveaux de risque et définit, pour chacun, les exigences : séparation des fichiers, chiffrement, authentification proportionnée, scellement de l'urne, journaux d'audit, et expertise indépendante pour les scrutins à enjeu. Les élections CSE relèvent fréquemment du niveau 2 ou 3. Détail sur la page vote électronique et CNIL.
Le RGPD : le scrutin traite des données personnelles (liste électorale, émargement, registre d'enrôlement). Il impose une base légale, la minimisation, la purge après scrutin et une définition claire des rôles. Voir vote électronique et RGPD et données personnelles et vote électronique.

Employeur responsable de traitement, plateforme sous-traitant

Point juridique à ne jamais inverser : dans une élection CSE, l'employeur est responsable de traitement au sens du RGPD. La plateforme de vote est sous-traitant (article 28 du RGPD), agissant sur instruction et encadrée par un contrat de sous-traitance. C'est l'employeur qui porte la responsabilité du traitement — d'où l'importance d'un prestataire qui lui fournit la documentation de conformité nécessaire au respect du secret.

Une analyse d'impact (AIPD) est requise

Le traitement comporte un registre d'enrôlement et un risque de traçage de la participation. À ce titre, une analyse d'impact relative à la protection des données (AIPD) est requise. Un prestataire sérieux vous accompagne dans sa réalisation. Et un rappel de vocabulaire : personne n'est « certifié CNIL » — la CNIL ne certifie pas les solutions de vote. Un prestataire honnête fournit des matrices de conformité alignées sur les trois niveaux de risque, pas un badge marketing. Vue d'ensemble : conformité du vote électronique CSE.

Maintenir le vote papier sous enveloppe : la coexistence des modalités

Le secret ne dépend pas de la suppression du papier. Un employeur peut, s'il le souhaite, maintenir une modalité de vote papier sous enveloppe en parallèle du vote électronique, à condition que le protocole d'accord préélectoral organise précisément cette coexistence : périmètre des électeurs concernés, articulation des urnes, règles d'unicité (un électeur vote par un seul canal), et modalités d'émargement croisé pour empêcher tout double vote entre les deux modes.

Dans ce cas, le secret doit être garanti identiquement sur les deux canaux : enveloppe opaque et isoloir pour le papier, chiffrement et séparation des fichiers pour le numérique. La cohérence de l'ensemble se joue dans la rédaction du PAP — d'où l'importance d'un accompagnement juridique. Voir vote électronique et Code du travail.

Le rôle du bureau de vote, de l'expert et de l'audit en cas de contestation

Le délai de contestation d'une élection professionnelle est de 15 jours. Si un électeur ou une organisation syndicale conteste le scrutin, que vaut la garantie du secret ?

Le bureau de vote est le garant du déroulé : il supervise la cérémonie de clés, atteste du scellement et de l'ouverture, et signe les procès-verbaux. L'expertise indépendante, recommandée pour les scrutins à enjeu, audite le système — code, architecture, chiffrement, vérifiabilité — avant le scrutin et produit un rapport. En cas de litige, ces pièces, adossées aux journaux d'audit chaînés et inaltérables, permettent de démontrer :

que les fichiers émargement et suffrages sont restés séparés ;
qu'aucun bulletin individuel n'a été déchiffré ;
que le déchiffrement a eu lieu à la clôture, avec le seuil de porteurs requis ;
que le décompte est recalculable et rejouable par un tiers.

Un système qui produit une traçabilité chaînée et un dépouillement rejouable offre une valeur probante très supérieure à une boîte noire. Le secret n'est pas seulement protégé : il est défendable devant le juge. Voir contestation des élections CSE et jurisprudence du vote électronique.

Secret garanti et participation : un lien direct

Un point que les sources commerciales relient rarement : un secret garanti et perçu comme tel fait monter la participation. Un électeur qui doute du secret s'abstient ou vote par défaut ; un électeur rassuré s'exprime librement. Sur les scrutins accompagnés par Sephos, le gain de participation est observé jusqu'à +22 points — un effet observé, jamais garanti, car le vote reste volontaire, mais cohérent avec le fait que la levée des freins logistiques s'accompagne d'une confiance dans la confidentialité du dispositif. Le secret n'est donc pas seulement une obligation : c'est un moteur de légitimité du résultat.

Ce qu'un chef de projet expert vérifie concrètement

La preuve par l'expérience, c'est le contrôle du protocole pré-électoral. Un scrutin annulé l'est presque toujours pour un vice de procédure, pas pour une faille cryptographique. C'est pourquoi un chef de projet dédié, expert en droit social, vérifie point par point, sur plus de 2 400 élections organisées :

que le recours au vote électronique est valablement prévu (accord d'entreprise ou décision de l'employeur) et inscrit au PAP ;
que la séparation émargement / suffrages est bien paramétrée et documentée ;
que la composition du bureau de vote et la liste des porteurs de clés sont arrêtées avant le scellement ;
que le niveau de risque CNIL est correctement évalué et que les mesures correspondent ;
que l'AIPD est conduite et que les rôles RGPD sont contractualisés ;
que les jalons (préavis d'enrôlement, relances, gel de la liste) sécurisent le déroulé ;
que les pièces probantes (journaux, PV, certificat de résultat) seront disponibles en cas de contestation.

C'est ce que recouvre la promesse « bien plus qu'un logiciel ». À la clôture, la plateforme produit automatiquement les PV d'ouverture et de clôture et un certificat de résultat. La déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste, elle, une démarche de l'employeur : votre chef de projet vous indique quoi transmettre et quand, mais la plateforme ne s'y substitue pas. Voir La solution de vote électronique.

Demander une démonstration

Vous voulez voir concrètement comment le secret est garanti — la séparation émargement / urne, le chiffrement homomorphe à seuil, la cérémonie de clés, le déchiffrement des seuls agrégats, la double vérifiabilité ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de droit social et de sécurité.

Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.

Pour approfondir : la plateforme de vote électronique, l'anonymat du vote électronique, le scellement de l'urne et le dépouillement du vote électronique.

Questions fréquentes

Le vote électronique respecte-t-il le secret du vote ?

Oui, lorsqu'il est correctement conçu. Le secret repose sur une chaîne de garanties : séparation stricte du fichier d'émargement (qui a voté) et du fichier des suffrages (les choix), chiffrement du bulletin dès le navigateur de l'électeur, non-horodatage du bulletin, déchiffrement uniquement des agrégats à la clôture, et clés réparties entre plusieurs porteurs. Le système sait que vous avez voté, jamais ce que vous avez voté. Le secret est fort, pas absolu — mais il est techniquement plus traçable et plus auditable que dans bien des bureaux physiques.

Comment le secret du vote est-il garanti dans le vote électronique ?

Par sept mécanismes complémentaires : la séparation émargement / urne sur des espaces distincts ; le chiffrement du bulletin sur l'appareil de l'électeur ; le non-horodatage du bulletin pour empêcher la corrélation temporelle ; le déchiffrement uniquement en masse (jamais bulletin par bulletin) ; les clés réparties entre plusieurs porteurs lors d'une cérémonie de clés ; l'authentification forte décorrélée de l'expression du vote ; et la vérifiabilité sans révélation du choix. Aucun de ces mécanismes ne suffit seul ; c'est leur combinaison qui tient.

Mon employeur peut-il savoir pour qui j'ai voté lors des élections CSE ?

Non. L'employeur est responsable de traitement, mais n'a aucun accès aux bulletins. La clé de déchiffrement n'existe nulle part sous forme complète : elle est répartie entre les porteurs du bureau de vote et n'est jamais reconstituée. Le déchiffrement ne porte que sur les totaux, jamais sur un bulletin individuel. L'employeur connaît la participation (via l'émargement), jamais les suffrages. Lui faire croire le contraire serait techniquement faux.

Le prestataire de vote en ligne peut-il lire mon bulletin de vote ?

Non, dans un système correct. Le bulletin est chiffré sur votre appareil avant tout envoi et reste illisible dans l'urne. Le prestataire ne détient pas la clé de déchiffrement, qui est répartie entre les porteurs de clés du bureau de vote. Même si le prestataire était malveillant, il ne pourrait pas, seul, ouvrir un bulletin — et un décompte truqué serait détecté par la vérifiabilité universelle, qui permet à tout tiers de rejouer le dépouillement à partir des bulletins chiffrés publiés.

Quelle est la différence entre anonymat et secret du vote ?

Le secret est un principe à valeur constitutionnelle : nul ne peut être contraint de révéler son choix, ni le découvrir contre votre volonté. L'anonymat est la propriété technique qui rend ce secret tangible en ligne : le bulletin déposé ne porte aucune marque permettant de remonter à son auteur. Dans un bureau physique, l'isoloir assure le secret et l'enveloppe assure l'anonymat ; en ligne, ces deux garanties sont reconstituées par la cryptographie. Détail sur la page anonymat du vote électronique.

Le vote électronique est-il vraiment anonyme ?

Oui, l'anonymat est fort, mais il n'est pas absolu — et l'honnêteté technique impose de le dire. Le contenu des bulletins n'est jamais déchiffré individuellement. Le risque résiduel vient des métadonnées (horodatages d'émargement, logs techniques), qui doivent être minimisées et purgées. Rien dans ces métadonnées ne révèle le contenu du vote — seulement le fait d'avoir voté, déjà connu via l'émargement. Nous n'écrirons jamais « aucun lien n'est possible » : la formulation exacte est une dissociation forte, documentée et auditable.

Que dit la CNIL sur le secret du vote électronique ?

La recommandation de la CNIL sur la sécurité du vote par correspondance électronique impose la séparation stricte du fichier d'émargement et du fichier des suffrages, le chiffrement des bulletins, une authentification proportionnée, le scellement de l'urne, des journaux d'audit, et une expertise indépendante pour les scrutins à enjeu. Elle classe les scrutins en trois niveaux de risque (les élections CSE relèvent souvent du niveau 2 ou 3). Attention : la CNIL ne certifie aucune solution ; un prestataire sérieux fournit une matrice de conformité, pas un badge.

Comment vérifier que mon vote a bien été pris en compte sans révéler mon choix ?

Grâce à la vérifiabilité de bout en bout. Vous pouvez retrouver une preuve (un identifiant de bulletin) confirmant que votre suffrage chiffré figure bien dans l'urne, et n'importe quel tiers peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées. Toutes ces vérifications portent sur des données chiffrées : vous prouvez que votre vote compte, sans jamais révéler pour qui vous avez voté. C'est la réconciliation de la transparence et du secret.

Le vote électronique protège-t-il contre la coercition (vote forcé) ?

Il la réduit fortement, sans l'éliminer totalement. Le système ne délivre aucun reçu du contenu du vote (propriété de receipt-freeness) : vous ne pouvez pas prouver à un tiers pour qui vous avez voté, ce qui retire tout intérêt à l'achat ou à la contrainte de vote. À distance, en l'absence d'isoloir physique, un tiers pourrait théoriquement observer le geste — c'est pourquoi nous parlons de réduction forte, pas d'élimination. L'authentification WebAuthn, non cessible, renforce encore cette protection.

Peut-on encore voter à bulletin papier secret si l'employeur a choisi le vote électronique ?

Oui, si le protocole d'accord préélectoral prévoit la coexistence des deux modalités. Le vote papier sous enveloppe peut être maintenu en parallèle du vote électronique, à condition d'organiser précisément l'unicité du vote (un électeur vote par un seul canal), l'émargement croisé et l'articulation des urnes. Le secret doit alors être garanti identiquement sur les deux canaux. Cette coexistence se rédige avec soin dans le PAP : un accompagnement juridique est vivement recommandé.

Qu'est-ce que la séparation entre émargement et urne électronique ?

C'est la règle d'or du secret. Deux fichiers sont maintenus strictement distincts, sur des espaces de stockage séparés et sans table de correspondance : le fichier d'émargement (qui a le droit de voter et qui a effectivement voté, avec l'heure) et le fichier des suffrages (les bulletins chiffrés, sans aucun identifiant nominatif). On compte les votants d'un côté, les suffrages de l'autre, et les deux ne se rejoignent jamais. C'est l'équivalent numérique de la liste d'émargement et de l'urne du bureau physique.

Lechiffrement de type « point à point » (vocabulaire de messagerie)suffit-il à garantir le secret du vote ?

Non, et l'expression est même inadaptée au vote. Le chiffrement de type « point à point » (vocabulaire de messagerie) décrit un tunnel entre deux interlocuteurs — alors qu'une urne doit pouvoir être comptée sans être lue. Le mécanisme adapté est le chiffrement homomorphe à seuil (ElGamal exponentiel sur Ristretto255) : on additionne les bulletins chiffrés sans les ouvrir, on ne déchiffre que les totaux, et la clé est répartie entre plusieurs porteurs, jamais reconstituée. C'est ce dispositif, et non un simple tunnel chiffré, qui garantit que le contenu de chaque bulletin reste secret tout en permettant un décompte vérifiable.

Secret du vote électronique