Questions à poser à un prestataire de vote électronique : la grille d'audit complète
Choisir un prestataire de vote électronique pour vos élections du CSE ne se joue pas sur la beauté d'une interface ni sur un slogan « 100 % sécurisé ». Cela se joue sur des réponses précises à des questions précises — celles qu'un juge examinera si le scrutin est contesté. La plupart des comparatifs disponibles en ligne s'arrêtent à des conseils vagues (« vérifiez la sécurité », « regardez les références »). Cette page va plus loin.
Vous trouverez ici une grille de questions prête à l'emploi, classée par thème, avec pour chaque question deux niveaux d'information que personne d'autre ne vous donne : la bonne réponse attendue (ce qu'un prestataire sérieux doit répondre) et le signal d'alarme (la réponse qui doit vous faire fuir). Vous pourrez l'intégrer directement à votre cahier des charges et à votre protocole d'accord préélectoral.
Le différenciateur Sephos. Au-delà du logiciel : un chef de projet dédié, expert en droit social, vous accompagne du protocole pré-électoral au procès-verbal. Plus de 2 400 élections organisées, une expertise indépendante organisée scrutin par scrutin, un hébergement en France, et un gain de participation observé jusqu'à +22 points sur les scrutins accompagnés. Demander une démo — réponse sous 24 heures. Ou demander à être rappelé.
Les 10 questions essentielles à poser à votre prestataire
Si vous n'aviez que dix minutes au téléphone, posez ces dix questions. Les réponses suffisent déjà à séparer un prestataire sérieux d'un simple revendeur de logiciel.
- Les bulletins sont-ils chiffrés sur l'appareil de l'électeur, et un bulletin individuel peut-il être déchiffré ? (Réponse attendue : chiffrement côté client, aucun déchiffrement individuel.)
- La clé de dépouillement est-elle répartie entre plusieurs porteurs, ou détenue par une seule personne ? (Répartie, jamais reconstituée.)
- Comment l'électeur s'authentifie-t-il : par un code envoyé par e-mail/SMS, ou par un secret généré localement sur son appareil ?
- Le fichier d'émargement et l'urne sont-ils strictement séparés, sans clé de rapprochement ?
- Le système a-t-il fait l'objet d'une expertise indépendante avant utilisation ? Le rapport est-il communicable ?
- Fournissez-vous une matrice de conformité par niveau de risque CNIL (1, 2, 3) ? (Et non un badge « certifié CNIL », qui n'existe pas.)
- Le contrat précise-t-il que l'employeur est responsable de traitement et que vous êtes sous-traitant au sens de l'article 28 du RGPD ?
- Où sont hébergées les données, et combien de temps sont-elles conservées après le scrutin ?
- Y a-t-il un chef de projet dédié, et le support couvre-t-il le bureau de vote et les électeurs le jour J ?
- Que pouvez-vous produire devant le juge en cas de contestation ?
Les sections suivantes développent ces questions — et bien d'autres — en triptyque : la question à poser / la bonne réponse / le signal d'alarme.
Bloc 1 — Conformité CNIL et RGPD
C'est le socle. Un prestataire qui flotte sur la conformité vous expose à l'annulation. Pour comprendre le cadre dans le détail, voir aussi comment choisir sa solution de vote électronique.
Êtes-vous conforme à la recommandation de la CNIL sur le vote électronique ?
La bonne réponse. Le prestataire explique que la CNIL a actualisé sa recommandation sur la sécurité des systèmes de vote par correspondance électronique, qu'elle fixe désormais des objectifs de sécurité (approche technologiquement neutre) et classe les scrutins en trois niveaux de risque. Il vous remet une matrice de conformité alignée sur ces niveaux et adapte ses livrables au texte en vigueur à la date de votre scrutin. Pour les élections 2026-2027, il a intégré la version la plus récente de la recommandation.
Le signal d'alarme. Il affiche un badge « certifié CNIL » ou « conforme CNIL » ; il ne cite que l'ancienne doctrine sans mentionner son actualisation ; il prétend que « la CNIL audite et valide » sa solution. La CNIL ne certifie ni n'audite aucune solution de vote. Tout prestataire qui le laisse croire ment, par ignorance ou par stratégie.
Qui est responsable de traitement, et qui est sous-traitant ?
La bonne réponse. Réponse nette et juridiquement exacte : l'employeur est responsable de traitement au sens du RGPD ; le prestataire est sous-traitant au titre de l'article 28 du RGPD, agissant sur instruction documentée. Le prestataire vous fournit les pièces (matrice de conformité, description du système, registre d'enrôlement) qui vous permettent, à vous responsable de traitement, de démontrer votre conformité. Un éventuel expert indépendant n'est, lui, ni responsable de traitement ni sous-traitant : c'est un tiers auditeur.
Le signal d'alarme. Le prestataire affirme qu'il « prend votre conformité à sa charge » ou qu'il « est responsable de tout ». C'est faux et dangereux : la responsabilité du traitement reste légalement la vôtre. Un prestataire qui inverse les rôles ne maîtrise pas le cadre RGPD.
Accompagnez-vous l'analyse d'impact (AIPD) ?
La bonne réponse. Oui. Un scrutin électronique manipule un registre d'enrôlement et présente un risque de traçage de la participation : une AIPD est requise. Le prestataire vous remet une trame préremplie et la documentation technique (mesures de sécurité, durées de conservation, modalités de destruction), tandis que vous, employeur, portez et signez l'AIPD et inscrivez le traitement à votre registre.
Le signal d'alarme. « L'AIPD n'est pas nécessaire » ou « on s'en occupe à votre place et vous n'avez rien à signer ». Les deux sont incorrects.
Bloc 2 — Sécurité technique de l'urne et chiffrement
C'est ici que le marketing s'effondre face aux questions précises. Le détail technique est développé sur la page vote électronique sécurisé.
Les bulletins sont-ils chiffrés sur l'appareil de l'électeur ?
La bonne réponse. Oui : le bulletin est chiffré côté client, sur le poste ou le téléphone de l'électeur, avant tout envoi. Le choix en clair ne quitte jamais l'écran. La clé publique de l'élection sert au chiffrement ; la clé de déchiffrement n'existe nulle part sous forme complète pendant le vote.
Le signal d'alarme. « Les données sont chiffrées dans notre base » ou « le serveur chiffre à la réception ». Cela signifie que le bulletin transite ou arrive en clair côté serveur — l'administrateur peut, en théorie, le lire.
Quel type de chiffrement utilisez-vous ?
La bonne réponse. Un prestataire sérieux nomme une architecture précise. Sephos repose sur un chiffrement homomorphe à seuil (ElGamal exponentiel sur la courbe Ristretto255). Deux propriétés en découlent : on additionne les bulletins chiffrés sans les ouvrir, et seul le résultat agrégé est déchiffré à la clôture. Aucun bulletin individuel n'est jamais déchiffré.
Le signal d'alarme — le piège du « chiffrement de A à Z ». Méfiez-vous du prestataire qui survend sa sécurité avec l'expression « chiffrement de A à Z ». Empruntée aux messageries, elle est imprécise appliquée au vote : elle décrit un canal protégé entre deux points, pas une urne qui se dépouille sans jamais ouvrir un bulletin. La bonne question piège à poser : « Au dépouillement, déchiffrez-vous les bulletins un par un, ou seulement le total ? » Si la réponse est « un par un » (ou floue), la confidentialité repose sur la seule honnêteté de l'éditeur. La bonne réponse est : seulement les agrégats.
La clé de dépouillement est-elle répartie entre plusieurs porteurs ?
La bonne réponse. Oui. La clé de déchiffrement est partagée entre plusieurs porteurs de clés (trustees), via une génération distribuée de clés (DKG). Le déchiffrement des résultats n'est possible que si un seuil de porteurs collabore (par exemple 3 sur 5), et le secret complet n'est jamais reconstitué en un seul endroit — pas même au dépouillement.
Le signal d'alarme. Une clé unique détenue par l'administrateur ou « le système ». Une personne seule capable d'ouvrir l'urne est un point de défaillance unique — et une faille de secret du vote.
L'urne est-elle scellée à l'ouverture et à la clôture ?
La bonne réponse. Oui : l'urne est scellée au lancement du scrutin (production d'un PV d'ouverture) et rescellée à la clôture (PV de clôture), sous le contrôle du bureau de vote. L'intégrité du système est garantie par des journaux d'audit horodatés et chaînés, inaltérables, qui tracent les opérations sans porter atteinte au secret des suffrages.
Le signal d'alarme. Pas de scellement formalisé, pas de PV d'ouverture/clôture, ou des journaux modifiables par l'administrateur.
Bloc 3 — Anonymat et séparation des fichiers
Le secret du vote ne tient pas à un mot de passe : il tient à une architecture. Approfondissement sur le vote électronique anonyme.
Le fichier d'émargement et l'urne sont-ils strictement séparés ?
La bonne réponse. Oui. La règle d'or posée par la CNIL est l'étanchéité totale entre le fichier d'identification/émargement (qui sait qui a voté) et l'urne électronique (qui contient les bulletins chiffrés, sans aucun identifiant nominatif). On compte les votants d'un côté, les suffrages de l'autre — et aucune clé de rapprochement ne permet de relier les deux. Le système sait que vous avez voté, jamais ce que vous avez voté.
Le signal d'alarme. Un identifiant d'électeur stocké à côté du bulletin, un horodatage trop fin reliant émargement et dépôt, ou l'existence d'une table de correspondance « pour le support technique ». Tout pont entre les deux fichiers ruine l'anonymat.
Comment garantissez-vous l'anonymat sans le surpromettre ?
La bonne réponse. Un prestataire honnête est précis : l'anonymat est dissociatif, pas magique. Le système dissocie strictement identité et bulletin, ne délivre aucun reçu du contenu du vote, ne déchiffre jamais un bulletin individuel, et réduit fortement la possibilité de coercition ou d'achat de vote. L'unicité (un électeur, une voix) est assurée par un mécanisme anti-double-vote (nullifier) qui n'expose pas l'identité du votant.
Le signal d'alarme. Les formules absolues : « il est impossible de prouver son vote », « aucun lien n'est possible », « anonymat à 100 % ». Ces affirmations sont juridiquement fragiles. Un vote à distance, sans isoloir physique, réduit fortement la coercition mais ne l'élimine pas : le prestataire qui le reconnaît est plus fiable que celui qui promet l'impossible.
Bloc 4 — Authentification des électeurs
L'authentification décide si « seuls » les inscrits votent, et « une seule fois » chacun. C'est le point où le marché accuse le plus de retard. Détail sur identifiants et enrôlement des électeurs.
Comment l'électeur s'authentifie-t-il ?
La bonne réponse. Une authentification renforcée reposant sur un secret généré et conservé localement sur l'appareil de l'électeur. Sephos retient l'enrôlement WebAuthn / passkey (extension PRF) : un lien d'invitation sert uniquement à initier l'enrôlement, puis l'appareil génère un secret protégé par la biométrie ou le code de l'appareil. Rien de secret n'est transmis ni interceptable. C'est résistant au hameçonnage et au partage d'identifiants.
Le signal d'alarme — l'authentification par lien/code e-mail. Méfiez-vous du prestataire qui authentifie l'électeur par un code envoyé par e-mail, SMS ou courrier, ou par un lien magique servant directement de droit de vote. Un secret transmis peut être intercepté, transféré ou cédé sous pression. Question piège : « Si je transfère mon e-mail à un collègue, peut-il voter à ma place ? » Si oui, l'authentification est faible et place un scrutin à enjeu hors du profil de risque le plus exigeant de la CNIL.
Quelle est la procédure de réassort des codes ?
La bonne réponse. Une procédure tracée : un électeur qui a perdu l'accès à son appareil ou son enrôlement peut être réenrôlé selon un processus contrôlé, journalisé, qui n'ouvre aucune brèche dans l'unicité du vote ni dans le secret. Le bureau de vote en garde la trace.
Le signal d'alarme. Renvoi d'un nouveau code « en clair » par e-mail à la demande, sans contrôle ni traçabilité — ou, à l'inverse, aucune procédure prévue, ce qui exclut de fait les électeurs en difficulté.
Bloc 5 — Niveaux de risque, expertise indépendante et vérifiabilité
Comment évaluez-vous le niveau de risque de mon scrutin ?
La bonne réponse. Le prestataire vous aide à conduire l'analyse de risque qui classe le scrutin en niveau 1, 2 ou 3, puis adapte ses mesures en conséquence. Les élections CSE relèvent fréquemment du niveau 2 ou 3 (grand effectif, climat social tendu, antécédent de contentieux). Plus le niveau est élevé, plus les exigences montent : authentification renforcée, scellement, journaux robustes, expertise indépendante, vérifiabilité.
| Niveau | Profil de risque | Exigences renforcées |
|---|---|---|
| Niveau 1 | Enjeu et impact limités | Mesures de base : séparation des fichiers, chiffrement, traçabilité ; expertise non systématique. |
| Niveau 2 | Enjeu modéré | Authentification renforcée, scellement de l'urne, journaux d'audit robustes, documentation détaillée. |
| Niveau 3 | Enjeu élevé (fort effectif, contexte conflictuel) | Toutes les mesures du niveau 2 plus expertise indépendante (en pratique à chaque scrutin), transparence accrue, vérifiabilité du dépouillement. |
Le signal d'alarme. « Tous nos scrutins sont en niveau 1 » par défaut, ou aucune analyse de risque proposée. Sous-évaluer le niveau, c'est sous-dimensionner la sécurité.
Le système a-t-il fait l'objet d'une expertise indépendante ?
La bonne réponse. Oui. La recommandation de la CNIL prévoit une expertise indépendante avant la première utilisation du système, avec une fréquence proportionnée au niveau de risque — à chaque scrutin pour le niveau 3. L'expert audite le code, l'architecture, le chiffrement et la vérifiabilité, puis produit un rapport daté et communicable. Son profil : un informaticien spécialiste de la sécurité, sans lien financier avec l'éditeur, et formé par la CNIL à cet exercice.
Le signal d'alarme. « Notre solution est auditée par la CNIL » (faux), un rapport d'expertise introuvable, périmé, ou réalisé par une entité liée à l'éditeur. Une expertise « maison » n'est pas une expertise indépendante.
Le scrutin est-il vérifiable ?
La bonne réponse. Le système offre une vérifiabilité individuelle (l'électeur retrouve une preuve d'audit que son bulletin chiffré est bien dans l'urne, sans révéler son choix) et une vérifiabilité universelle (n'importe quel tiers — expert, syndicat, observateur — peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver le même résultat). Les journaux d'audit sont exploitables, et un expert peut y accéder en cas de contestation.
Le signal d'alarme. « Faites-nous confiance, le décompte est juste » — sans possibilité de rejeu, sans preuve individuelle, sans journaux exploitables. Une urne qui n'est vérifiable par personne est une boîte noire.
Bloc 6 — Accompagnement, support et bureau de vote
Un logiciel ne négocie pas un protocole et ne rassure pas un délégué syndical inquiet. La dimension humaine est rarement formalisée comme critère de choix — c'est pourtant elle qui sécurise le scrutin. Voir le prestataire de vote électronique.
Y a-t-il un chef de projet dédié, ou suis-je en self-service ?
La bonne réponse. Un chef de projet dédié, expert en droit social, vous suit du protocole d'accord préélectoral au procès-verbal : il calibre le niveau de risque, rédige le cahier des charges et la clause de vote électronique, bâtit le calendrier, pilote l'enrôlement, organise l'expertise indépendante et prépare les pièces probantes. C'est la différence entre un vrai prestataire accompagné et un simple outil SaaS en libre-service.
Le signal d'alarme. « Tout est en self-service, vous paramétrez vous-même. » Pratique pour un sondage interne ; risqué pour une élection opposable, où la moindre erreur de procédure annule le scrutin.
Quel support proposez-vous le jour J ?
La bonne réponse. Une cellule d'assistance technique active pendant toute la durée du vote, une hotline pour les électeurs et pour le bureau de vote, la gestion des incidents en temps réel, et une formation du bureau de vote en amont. Un incident un jour de scrutin ne se rattrape pas.
Le signal d'alarme. Un support par ticket sous 48 h, aucune ligne directe le jour du vote, aucune formation du bureau.
Le prestataire remplace-t-il le bureau de vote ?
La bonne réponse. Non — et c'est essentiel. Le prestataire ne se substitue pas au bureau de vote : le scellement et le dépouillement s'effectuent sous le contrôle du bureau, qui conserve son rôle et sa compétence. La plateforme exécute, le bureau décide et atteste. Voir le bureau de vote dématérialisé.
Le signal d'alarme. « Nous gérons tout, le bureau n'a rien à faire. » Déposséder le bureau de vote de son contrôle est un vice de procédure caractérisé.
Couvrez-vous tout le processus électoral ?
La bonne réponse. Oui, de A à Z : protocole d'accord préélectoral (PAP), cahier des charges, listes électorales (import, contrôle, gel), communication aux électeurs, dépouillement automatisé, et génération du procès-verbal. À la clôture, la plateforme produit les PV d'ouverture et de clôture et un certificat de résultat.
Le signal d'alarme. Une couverture limitée au seul vote, qui vous laisse seul sur le PAP, le calendrier et la conformité — là où se nichent la plupart des annulations.
Une précision honnête sur le Cerfa. Certains prestataires présentent le remplissage du Cerfa des élections et sa télétransmission à l'administration du travail comme une fonction de leur logiciel. C'est inexact : ces formalités relèvent d'une démarche administrative de l'employeur. La plateforme produit les PV et le certificat de résultat qui servent à les renseigner ; votre chef de projet vous indique quoi transmettre et quand, mais ne s'y substitue pas. Un prestataire transparent sur ce point est plus fiable que celui qui promet de « tout télétransmettre ».
Bloc 7 — Hébergement, conservation, accessibilité
Où sont hébergées les données, et combien de temps sont-elles conservées ?
La bonne réponse. Les données sont hébergées en France (ou, à défaut, dans l'Union européenne), ce que le prestataire atteste par écrit. Après le scrutin, les données sont conservées sous scellés jusqu'à l'expiration du délai de recours de 15 jours, puis détruites — sauf contestation, auquel cas elles sont conservées jusqu'au règlement du litige. Le prestataire documente les durées de conservation dans le contrat et l'AIPD.
Le signal d'alarme. Hébergement hors UE sans garanties, aucune attestation d'hébergement, conservation indéfinie « au cas où », ou destruction le jour même de la clôture (qui détruirait les preuves utiles en cas de recours).
La solution est-elle accessible à tous mes salariés ?
La bonne réponse. Oui. Le vote est multi-supports (ordinateur, mobile, tablette), accessible à distance et 24h/24, compatible avec les technologies d'assistance pour les électeurs en situation de handicap (conformité RGAA visée). Le prestataire prévoit des solutions pour les salariés sans poste informatique (bornes, kiosques, plages dédiées) et, le cas échéant, un vote hybride électronique/papier pour les sites sans accès numérique. Voir accessibilité du vote électronique.
Le signal d'alarme. Une interface desktop uniquement, aucune réponse pour les salariés sans accès numérique, aucune prise en compte du handicap. L'égalité d'accès au vote conditionne la validité du scrutin.
Bloc 8 — Contrat, assurance, prix et contestation
Le contrat comporte-t-il une clause de sous-traitance RGPD (DPA) ?
La bonne réponse. Oui : un contrat de sous-traitance (DPA) au titre de l'article 28 du RGPD, précisant les instructions, les mesures de sécurité, les sous-traitants ultérieurs, les durées de conservation et les modalités de restitution/destruction. Le prestataire dispose d'une assurance responsabilité civile professionnelle couvrant son activité, et la répartition des responsabilités est claire.
Le signal d'alarme. Pas de DPA, pas d'attestation d'assurance RC pro, ou des clauses de responsabilité qui rejettent tout sur le client.
Vos tarifs sont-ils transparents, sans coûts cachés ?
La bonne réponse. Un devis lisible, par scrutin, dont le prix dépend du nombre d'électeurs, du nombre de collèges et de tours, du niveau de risque (donc de l'expertise requise) et du périmètre d'accompagnement, sans coûts cachés (relances, support, expertise, archivage inclus ou chiffrés explicitement). Pour situer les ordres de grandeur, voir prix du vote électronique CSE et demander un devis.
Le signal d'alarme. Un prix d'appel très bas qui explose en options (support, expertise, second tour facturés à part), ou un refus de chiffrer l'expertise indépendante pourtant requise au niveau 3.
Que pouvez-vous produire en cas de contestation des élections ?
La bonne réponse. En cas de recours, le prestataire peut produire devant le juge un jeu de preuves complet : PV d'ouverture et de clôture, certificat de résultat, journaux d'audit horodatés, rapport d'expertise indépendante, et la possibilité, pour un expert mandaté, d'accéder aux éléments et de rejouer le dépouillement. Les preuves sont conservées au moins jusqu'à l'expiration du délai de contestation de 15 jours, et au-delà en cas de litige.
Le signal d'alarme. « Nous ne conservons rien après le scrutin » ou « les journaux ne sont pas exploitables par un tiers ». Sans preuves rejouables et accessibles, vous êtes désarmé devant le juge.
Tableau comparatif : prestataire complet vs logiciel seul vs solution gratuite
Face aux questions critiques, les trois profils du marché ne se valent pas. Verdict de conformité pour un scrutin CSE opposable :
| Critère | Prestataire complet (type Sephos) | Logiciel self-service | Solution « gratuite » |
|---|---|---|---|
| Chiffrement de l'urne | Homomorphe à seuil, aucun déchiffrement individuel | Variable, souvent « base chiffrée » | Rarement documenté |
| Authentification | WebAuthn / passkey, secret local | Souvent codes e-mail/SMS | Codes e-mail, faible |
| Expertise indépendante | Organisée et documentée à chaque scrutin (niveau 3) | À votre charge | Absente |
| Chef de projet dédié | Oui, expert en droit social | Non | Non |
| Accompagnement PAP / juridique | Inclus | Non | Non |
| Support jour J | Cellule + hotline électeurs et bureau | Limité | Aucun |
| Conformité documentée (matrice CNIL, AIPD) | Fournie | Partielle | Inexistante |
| Preuves en cas de contestation | Jeu complet, rejouable | Variable | Insuffisant |
| Verdict pour un CSE opposable | Conforme | À compléter à vos risques | Non conforme |
Pour aller plus loin sur le choix, voir le comparatif des solutions de vote électronique et les critères de choix d'une solution.
Trois mythes à déconstruire avant de choisir
La confiance se gagne aussi en disant ce qui est faux. Trois idées reçues circulent — et trois prestataires sur quatre les laissent prospérer.
- « Nous sommes référencés / agréés par le ministère du Travail. » Aucun agrément officiel n'existe pour les prestataires de vote électronique. Le ministère du Travail ne référence ni n'agrée aucune solution. Tout prestataire qui brandit un « agrément ministériel » invente une caution qui n'existe pas.
- « Notre solution gratuite est conforme. » Une élection CSE opposable suppose une expertise indépendante, une conformité documentée, un hébergement maîtrisé et un accompagnement. Tout cela a un coût. Une solution réellement gratuite ne peut pas réunir ces garanties — elle vous expose à l'annulation.
- « Notre logiciel est audité / certifié par la CNIL. » La CNIL n'audite pas et ne certifie pas les solutions de vote. Elle publie une recommandation et des niveaux de risque ; c'est l'expert indépendant qui audite, et c'est l'employeur qui documente sa conformité. Le « label CNIL » n'existe pas.
Ces erreurs et quelques autres sont détaillées sur la page erreurs à éviter dans le choix.
Des questions adaptées à votre type d'organisation
Les bonnes questions ne sont pas tout à fait les mêmes selon votre configuration. Posez-les en plus de la grille générale.
- TPE / PME multi-sites. « Comment gérez-vous des collèges et des listes par établissement ? Le support couvre-t-il chaque site le jour J ? » L'enjeu est la cohérence des listes et la disponibilité du support sur plusieurs fuseaux d'activité.
- Télétravail massif. « Le vote est-il pleinement utilisable hors du réseau de l'entreprise, sur appareil personnel, sans VPN ? » L'authentification locale (passkey) prend ici tout son sens.
- Dispersion géographique / équipes terrain. « Quelles solutions pour les salariés sans poste informatique ou en horaires décalés : bornes, kiosques, plages dédiées, vote hybride ? » L'égalité d'accès conditionne la validité.
Quelles questions poser pour maximiser la participation ?
La participation est le résultat le plus visible — et le plus discriminant. Posez : « Quelle est votre méthode d'enrôlement et de relances ? Quel taux de participation observez-vous sur des scrutins comparables au mien ? Le parcours électeur est-il testé sur mobile ? » Un prestataire sérieux pilote l'enrôlement (préavis, relances ciblées des non-enrôlés) et un parcours fluide. Sur les scrutins accompagnés, Sephos a observé jusqu'à +22 points de participation — un gain constaté, non garanti, car le vote reste volontaire.
Calendrier : quand poser ces questions et choisir son prestataire ?
Anticipez. Le bon réflexe est d'engager la sélection du prestataire environ 4 mois avant le scrutin. Ce délai permet de négocier le PAP, de paramétrer et tester la plateforme, de faire expertiser le dispositif au niveau de risque requis, et de respecter le délai d'information du personnel. Pour les scrutins 2026-2027, vérifiez que le prestataire a intégré la version actualisée de la recommandation CNIL dans ses livrables de conformité.
Trop tard rime souvent avec mal fait : un PAP signé dans l'urgence ou une expertise bâclée fragilisent juridiquement le scrutin.
Les preuves concrètes à exiger d'un prestataire sérieux
Au-delà des réponses orales, demandez des pièces datées et vérifiables. C'est la preuve par les documents, pas par les promesses :
- un rapport d'expertise indépendante daté et communicable ;
- un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD, et une attestation d'assurance RC professionnelle ;
- une attestation d'hébergement en France ;
- une matrice de conformité par niveau de risque CNIL et une trame d'AIPD ;
- des références vérifiables (nombre de scrutins, types et tailles d'entreprises) et des statistiques de participation ;
- une démonstration des mécanismes (chiffrement, authentification, vérifiabilité) en conditions réelles.
C'est exactement ce que documente Sephos : plus de 2 400 élections organisées, un chef de projet dédié expert en droit social, une expertise indépendante scrutin par scrutin, un hébergement en France, et une sécurité vérifiable par un tiers. La distinction technique — chiffrement homomorphe à seuil et authentification par passkey — n'est pas un argument : c'est une réalité auditable.
Bien plus qu'un logiciel. Avant de signer, faites-vous démontrer chaque réponse de cette grille. Demander une démo — réponse sous 24 heures, avec un chef de projet dédié. Ou demander à être rappelé. Pour comparer, voir aussi comment choisir sa solution et la plateforme d'élections professionnelles.
Faits à vérifier pour votre scrutin (YMYL)
Le cadre juridique évolue et chaque scrutin a ses particularités. Avant de finaliser votre PAP, faites confirmer par votre conseil ou votre chef de projet : la composition des collèges électoraux, le quorum, le calcul du quotient électoral et l'attribution des sièges à la plus forte moyenne, la durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), le délai de contestation de 15 jours, la représentation équilibrée femmes-hommes, ainsi que la version en vigueur de la recommandation CNIL et des exigences RGPD à la date de votre élection.
Questions fréquentes
Quelles questions poser à un prestataire de vote électronique pour les élections du CSE ?
Posez des questions précises classées par thème : conformité (matrice CNIL par niveau de risque, rôles RGPD, AIPD), sécurité (chiffrement côté client, déchiffrement des seuls agrégats, clé répartie, scellement), anonymat (séparation stricte émargement/urne, absence de clé de rapprochement), authentification (secret local plutôt que code e-mail/SMS), accompagnement (chef de projet dédié, support jour J, rôle préservé du bureau de vote) et contrat (DPA art. 28, assurance, conservation des preuves, transparence tarifaire). Pour chaque réponse, comparez-la à la « bonne réponse attendue » et au « signal d'alarme » détaillés sur cette page.
Un prestataire de vote électronique est-il considéré comme un sous-traitant au sens du RGPD ?
Oui. Dans une élection CSE, l'employeur est responsable de traitement et le prestataire est sous-traitant au sens de l'article 28 du RGPD, agissant sur instruction documentée et encadré par un contrat de sous-traitance (DPA). Cette répartition ne doit jamais être inversée : c'est l'employeur qui porte la responsabilité du traitement. Un éventuel expert indépendant n'est ni responsable de traitement ni sous-traitant : c'est un tiers auditeur.
Le vote électronique aux élections professionnelles doit-il être audité par un expert indépendant ?
La recommandation de la CNIL prévoit une expertise indépendante avant la première utilisation du système, avec une fréquence proportionnée au niveau de risque — en pratique à chaque scrutin pour le niveau 3, fréquent pour les CSE à enjeu. L'expert est un informaticien spécialiste de la sécurité, sans lien financier avec l'éditeur, et formé par la CNIL. Il audite le code, l'architecture et la cryptographie, puis produit un rapport daté et communicable.
Comment vérifier qu'un prestataire de vote électronique est conforme à la CNIL ?
Demandez une matrice de conformité alignée sur les trois niveaux de risque de la recommandation CNIL (et non un badge « certifié CNIL », qui n'existe pas), un rapport d'expertise indépendante daté, une trame d'AIPD, et la confirmation des rôles RGPD (employeur responsable, prestataire sous-traitant art. 28). Vérifiez aussi que le prestataire a intégré la version actualisée de la recommandation pour les scrutins 2026-2027.
Existe-t-il un agrément officiel du ministère du Travail pour les prestataires de vote électronique ?
Non. Aucun agrément ni référencement officiel du ministère du Travail n'existe pour les prestataires de vote électronique. Un prestataire qui affirme être « agréé » ou « référencé par le ministère » invoque une caution inexistante. Les vrais marqueurs de sérieux sont l'expertise indépendante, la conformité documentée et les références vérifiables.
Quel niveau de chiffrement doit garantir une solution de vote électronique CSE ?
Les bulletins doivent être chiffrés sur l'appareil de l'électeur (côté client), avec une architecture qui ne déchiffre jamais un bulletin individuel. Sephos utilise un chiffrement homomorphe à seuil (ElGamal exponentiel sur Ristretto255) : on additionne les bulletins chiffrés sans les ouvrir, et seul le résultat agrégé est déchiffré, par un seuil de porteurs de clés dont le secret complet n'est jamais reconstitué. Méfiez-vous de l'expression « chiffrement de A à Z », imprécise appliquée au vote.
Comment un prestataire garantit-il l'anonymat et le secret du vote électronique ?
Par la séparation stricte du fichier d'émargement (qui sait qui a voté) et de l'urne (bulletins chiffrés sans identifiant), sans clé de rapprochement, et par un chiffrement qui empêche tout déchiffrement individuel. L'anonymat est dissociatif : le système ne délivre aucun reçu du contenu du vote et réduit fortement la coercition, sans pour autant la rendre « impossible ». Fuyez les promesses absolues du type « aucun lien possible » ou « anonymat à 100 % ».
Quelle est la durée de conservation des données après une élection professionnelle par vote électronique ?
Les données sont conservées sous scellés jusqu'à l'expiration du délai de recours de 15 jours, puis détruites — sauf contestation, où elles sont conservées jusqu'au règlement du litige. Le prestataire doit documenter ces durées dans le contrat et l'AIPD, et fournir une attestation d'hébergement (en France pour Sephos).
Existe-t-il une solution de vote électronique gratuite et conforme pour les élections professionnelles ?
Non, pas pour un scrutin CSE opposable. La conformité suppose une expertise indépendante, une documentation CNIL/RGPD, un hébergement maîtrisé et un accompagnement — autant d'éléments qui ont un coût. Une solution réellement gratuite ne peut pas réunir ces garanties et vous expose à l'annulation. Un outil gratuit peut convenir à un sondage interne, pas à une élection professionnelle.
Combien de temps avant les élections faut-il choisir son prestataire de vote électronique ?
Comptez environ 4 mois avant le scrutin. Ce délai couvre la négociation du PAP, le paramétrage, les tests, l'expertise indépendante et l'information du personnel. Pour les scrutins 2026-2027, vérifiez que le prestataire a intégré la version actualisée de la recommandation CNIL.
Que change la nouvelle recommandation CNIL pour le choix d'un prestataire ?
La CNIL a actualisé sa recommandation sur la sécurité du vote par correspondance électronique : approche technologiquement neutre (objectifs de sécurité plutôt que solution imposée), questionnaire d'auto-évaluation, transparence renforcée pour les niveaux élevés, et expertise indépendante modulée selon le niveau de risque. Concrètement, choisissez un prestataire qui adapte ses livrables au texte en vigueur — et non un acteur figé sur l'ancienne doctrine.
Le prestataire de vote électronique remplace-t-il le bureau de vote ?
Non. Le prestataire ne se substitue pas au bureau de vote, qui conserve son rôle et sa compétence. Le scellement de l'urne et le dépouillement s'effectuent sous le contrôle du bureau : la plateforme exécute, le bureau décide et atteste. Tout prestataire qui prétend « gérer à la place du bureau » crée un vice de procédure.
Quelles preuves le prestataire doit-il fournir en cas de contestation des élections ?
Un jeu complet et rejouable : PV d'ouverture et de clôture, certificat de résultat, journaux d'audit horodatés, rapport d'expertise indépendante, et la possibilité pour un expert mandaté d'accéder aux éléments et de rejouer le dépouillement hors ligne. Ces preuves doivent être conservées au moins jusqu'à l'expiration du délai de contestation de 15 jours, et au-delà en cas de litige.
Quelle est la différence entre un logiciel de vote en self-service et un prestataire avec accompagnement ?
Un logiciel self-service vous fournit l'outil et vous laisse gérer seul la base juridique, le PAP, le calendrier, l'expertise et la conformité. Un prestataire avec accompagnement ajoute un chef de projet dédié expert en droit social qui sécurise chaque étape, du protocole pré-électoral au procès-verbal, et un support jour J. La plupart des annulations venant d'un vice de procédure, l'accompagnement humain est souvent le critère décisif.
Le vote électronique pour le CSE est-il obligatoire ou facultatif ?
Il est facultatif. L'employeur peut conserver le vote à l'urne physique. Le recours au vote électronique doit être prévu par un accord d'entreprise (voie prioritaire) ou, à défaut, par une décision unilatérale de l'employeur après tentative loyale de négociation, puis mentionné dans le protocole d'accord préélectoral.
Prêt à auditer votre prestataire ? Confrontez chaque réponse à cette grille — et faites-vous démontrer la sécurité en conditions réelles. Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Demander à être rappelé.