Vote électronique anonyme : ce que recouvre vraiment l'anonymat d'un scrutin en ligne
Un vote électronique est dit anonyme lorsqu'il devient impossible, une fois le bulletin déposé, de relier le contenu de ce bulletin à l'identité de l'électeur qui l'a émis. Le système sait qui a voté (pour calculer le taux de participation et empêcher un double vote), mais il ne sait jamais ce qu'a voté chaque personne. Cette dissociation stricte entre l'identité et le suffrage est le cœur du sujet.
C'est une promesse facile à formuler et difficile à tenir. Sur le papier, tous les prestataires affirment garantir l'anonymat. Dans les faits, la robustesse dépend de choix techniques précis — séparation des données, chiffrement, gestion des clés de dépouillement, journaux d'audit — et d'un cadre de conformité documenté. Une plateforme qui se contente de promettre « vote 100 % anonyme » sans expliquer comment ne vous protège pas devant un tribunal en cas de contestation.
Cette page pose les définitions juridiques exactes, décrit le mécanisme technique de bout en bout, traite honnêtement les limites (oui, il en existe), et donne une checklist actionnable pour vérifier que votre prestataire tient réellement sa promesse. Elle s'adresse aux RH, aux élus du CSE et aux organisateurs d'élections professionnelles qui veulent comprendre avant de signer — pas se faire rassurer par un slogan.
Le différenciateur Sephos. Un logiciel d'urne ne suffit pas. La plateforme Sephos combine une cryptographie vérifiable par un tiers, un accompagnement par un chef de projet dédié, expert en droit social, et une conformité documentée scrutin par scrutin. Plus de 2 400 élections organisées, hébergement en France, et un gain de participation observé jusqu'à +22 points sur les scrutins accompagnés.
Anonyme, secret, confidentiel : trois notions que tout le monde confond
La plupart des pages commerciales utilisent ces trois mots comme des synonymes. Ils ne le sont pas. Les distinguer est la première marque d'un prestataire sérieux, parce que le droit électoral et la CNIL ne leur donnent pas le même sens.
| Notion | Définition précise | Ce qu'elle protège | Comment elle se traduit dans le vote en ligne |
|---|---|---|---|
| Secret du vote | Principe constitutionnel et légal : nul ne peut être contraint de révéler son choix, et nul ne peut le découvrir contre la volonté de l'électeur. | La liberté de l'électeur au moment du vote. | Isoloir numérique, absence de reçu prouvant le contenu du vote, impossibilité pour un tiers d'observer le choix saisi. |
| Anonymat | État dans lequel le bulletin déposé ne porte aucun identifiant permettant de remonter à son auteur. | La dissociation entre l'identité et le suffrage exprimé. | Séparation stricte des fichiers identifiants / bulletins ; chiffrement empêchant tout déchiffrement individuel. |
| Confidentialité | Protection des données contre tout accès non autorisé (au sens RGPD). | L'accès aux données (liste électorale, logs, résultats). | Chiffrement de stockage et de transport, contrôle d'accès, habilitations, hébergement maîtrisé. |
En clair : un scrutin peut être confidentiel (bien protégé contre les intrusions) sans être anonyme (si l'administrateur peut techniquement relier un bulletin à un nom). Et le secret ne tient que si l'anonymat et la confidentialité tiennent ensemble. Les trois propriétés se renforcent ; aucune ne remplace les autres.
Un point que les concurrents évitent : l'anonymat parfait au sens mathématique n'existe pas dans un système réel. Il faut viser un anonymat fort, documenté et auditable — pas une formule magique. Nous y revenons dans la section sur les limites.
Quelle est la différence entre un vote anonyme et un vote secret ?
C'est la question la plus posée, et la réponse tient en une phrase : le secret protège votre liberté de choisir, l'anonymat empêche qu'on relie votre choix à votre nom.
Le secret du vote est un droit (vous ne pouvez pas être contraint de divulguer votre vote). L'anonymat est une propriété technique du système (le bulletin ne contient aucune marque permettant de vous identifier). Dans un bureau de vote physique, le secret est assuré par l'isoloir et l'anonymat par l'enveloppe glissée dans l'urne. Dans un bureau de vote dématérialisé, il faut reconstituer ces deux garanties par des moyens cryptographiques.
Conséquence pratique : un système peut violer l'anonymat sans violer le secret (l'urne est protégée pendant le vote, mais une corrélation devient possible après coup), et inversement. Un prestataire compétent doit prouver les deux séparément.
Comment l'anonymat est-il garanti techniquement : la séparation identité / bulletin
La règle d'or, posée par la CNIL dans sa délibération n° 2019-053, est la séparation stricte de deux fichiers qui ne doivent jamais être mis en relation :
- le fichier des électeurs (liste d'émargement), qui sait qui a le droit de voter et qui a voté ;
- le fichier des bulletins (l'urne), qui contient les suffrages chiffrés, sans aucun identifiant nominatif.
Concrètement, lorsqu'un électeur valide son vote sur la plateforme, deux opérations distinctes se produisent. D'un côté, son émargement est enregistré : on note qu'il a voté, à telle heure, ce qui alimente le taux de participation et bloque toute nouvelle tentative. De l'autre, son bulletin chiffré rejoint l'urne, dépourvu de toute donnée nominative. Les deux flux sont cloisonnés. Aucune table de correspondance ne permet de dire « le bulletin n°412 appartient à Madame Dupont ».
Cette dissociation est la première ligne de défense. Mais à elle seule, elle ne suffit pas : il faut encore garantir que personne ne puisse lire les bulletins avant la clôture, ni les relier après. C'est le rôle du chiffrement.
Le chiffrement des bulletins : chiffrement homomorphe à seuil
C'est ici que se joue la solidité réelle de l'anonymat. Quand vous votez, votre choix n'est pas stocké « en clair » puis caché : il est chiffré sur votre appareil avant même de quitter votre écran, à l'aide d'une clé publique de l'élection.
La plateforme Sephos repose sur un chiffrement homomorphe à seuil (cryptosystème ElGamal exponentiel sur la courbe Ristretto255). Deux propriétés en découlent, et elles changent tout :
1. On peut additionner sans déchiffrer. Le caractère homomorphe signifie que l'on peut calculer la somme des suffrages directement sur les bulletins chiffrés, sans jamais les ouvrir un par un. Au moment du dépouillement, le système ne déchiffre que le résultat agrégé (le total par candidat ou par liste). Aucun bulletin individuel n'est jamais déchiffré. C'est la différence fondamentale avec un système naïf qui déchiffrerait chaque vote pour le compter : ici, l'opération est mathématiquement impossible à détourner pour lire le vote d'une personne.
2. La clé de dépouillement est répartie, jamais reconstituée. Le caractère à seuil signifie qu'il n'existe pas une clé unique que quelqu'un pourrait voler ou utiliser seul. La clé de déchiffrement est partagée entre plusieurs porteurs de clés (les membres du bureau de vote, par exemple) au moyen d'une génération distribuée de clés (DKG). Le déchiffrement des résultats n'est possible que si un seuil de porteurs collabore (par exemple 3 sur 5). À aucun moment la clé secrète complète n'est reconstituée en un seul endroit — pas même pendant le dépouillement.
Pourquoi c'est important, en langage non technique
Imaginez une urne transparente verrouillée par plusieurs cadenas appartenant à des personnes différentes. Personne ne possède toutes les clés. On ne peut pas l'ouvrir avant l'heure, et on ne peut l'ouvrir qu'à plusieurs. Mieux : à l'ouverture, on ne voit pas les bulletins un par un, on lit directement le total. Voilà l'équivalent concret du chiffrement homomorphe à seuil.
La preuve à divulgation nulle de connaissance, expliquée simplement
Comment savoir qu'un bulletin chiffré est valide (un seul choix, pas dix votes cachés dedans) alors qu'on n'a pas le droit de l'ouvrir ? Par une preuve à divulgation nulle de connaissance (zero-knowledge proof).
C'est un mécanisme mathématique qui permet de prouver qu'une affirmation est vraie sans révéler l'information elle-même. Analogie classique : prouver que vous connaissez le code d'un coffre en l'ouvrant derrière un rideau, sans jamais montrer le code. Appliqué au vote, chaque bulletin est accompagné d'une preuve attestant qu'il est bien formé (un choix autorisé, et un seul) — vérifiable par n'importe qui, sans rien apprendre du choix exprimé.
Ce mécanisme est ce qui rend l'urne honnête sans être indiscrète. Il permet de rejeter les bulletins frauduleux tout en préservant l'anonymat de tous les bulletins valides.
Le scellement de l'urne et la traçabilité inaltérable
Une urne électronique digne de ce nom est scellée à son ouverture et son intégrité est tracée en continu. Concrètement, chaque événement du scrutin — ouverture du vote, dépôt de chaque bulletin chiffré, clôture — est consigné dans des journaux d'audit horodatés et chaînés : chaque entrée est liée cryptographiquement à la précédente, de sorte qu'on ne peut ni en supprimer une, ni en insérer une, ni en modifier une sans rompre la chaîne et rendre la falsification détectable.
À la clôture, la plateforme produit automatiquement un procès-verbal d'ouverture, un procès-verbal de clôture et un certificat de résultat. Ces documents, adossés aux journaux scellés, constituent la mémoire probante du scrutin. C'est ce qui permet, en cas de litige, de démontrer que l'urne n'a pas été altérée et que l'anonymat a été respecté de bout en bout du déroulé.
À ne pas confondre : la production des PV et du certificat de résultat est une fonction de la plateforme. En revanche, la déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste une démarche de l'employeur et n'est pas réalisée par la plateforme. Pour le détail du déroulé, voir la page dépouillement du vote électronique.
Authentification forte vs anonymat du bulletin : le paradoxe fondamental
Voici la tension centrale du vote électronique, et la plus mal expliquée par les concurrents : pour garantir que seuls les électeurs inscrits votent, et une seule fois, il faut les authentifier — donc les identifier. Mais pour garantir le secret, il faut que le bulletin soit anonyme — donc impossible à relier à cette identité. Authentifier et anonymiser semblent contradictoires.
La résolution de ce paradoxe tient en une phrase : on authentifie la personne au moment de l'accès, puis on dissocie cette identité du bulletin au moment du dépôt. L'identité sert à ouvrir la porte de l'isoloir, pas à signer le bulletin.
Comment l'authentification fonctionne chez Sephos
L'électeur est enrôlé via WebAuthn / passkey (avec l'extension PRF). En pratique, un lien d'invitation lui permet d'initier son enrôlement : son appareil (téléphone, ordinateur) génère et conserve localement un secret cryptographique, protégé par sa biométrie ou son code d'appareil. Lors du vote, l'authentification se fait par ce secret dérivé localement sur l'appareil — rien de transmissible, rien d'interceptable.
C'est radicalement plus robuste que les systèmes qui envoient un code par e-mail, SMS ou courrier : ces secrets transmis peuvent être interceptés, transférés, ou cédés sous pression, ce qui place le scrutin hors du profil de sécurité le plus exigeant de la CNIL. Pour aller plus loin, voir la page identifiants et enrôlement des électeurs.
Une fois authentifié, l'électeur vote ; son bulletin est chiffré et déposé sans porter son identité, tandis que son émargement est enregistré séparément. Le paradoxe est levé : le système sait qu'il a voté, jamais ce qu'il a voté.
Anonymat vs émargement : savoir QUI a voté sans savoir QUOI
Question pratique fréquente : comment publier un taux de participation fiable si les votes sont anonymes ?
La réponse découle de la séparation des fichiers. L'émargement vit dans le fichier des électeurs : il enregistre le fait qu'une personne a voté, à quelle heure, ce qui permet de calculer la participation en temps réel et de relancer les abstentionnistes. Le bulletin vit dans l'urne chiffrée, sans nom. On compte les votants d'un côté, on compte les suffrages de l'autre, et les deux ne se rejoignent jamais.
Important : pendant la période de vote, la plateforme n'expose aucun résultat partiel ni aucune tendance. Seul le taux de participation est visible. Les contenus restent scellés jusqu'à la clôture.
Le dépouillement : déchiffrement uniquement à la clôture, par plusieurs porteurs de clés
Qui peut accéder aux résultats, et quand ? Personne, avant la clôture officielle. C'est une conséquence directe du chiffrement à seuil.
Le déroulé type :
- Pendant le vote, l'urne accumule des bulletins chiffrés. Aucun acteur — pas même l'administrateur de la plateforme, pas même l'employeur — ne peut les lire. La clé de déchiffrement n'existe nulle part sous forme complète.
- À la clôture, le bureau de vote se réunit. Les porteurs de clés apportent chacun leur part de secret.
- Le seuil étant atteint (par exemple 3 porteurs sur 5), la plateforme calcule et déchiffre uniquement le résultat agrégé : le total des voix par liste et par candidat.
- Le calcul officiel (quotient électoral, attribution des sièges à la plus forte moyenne, contrôle de la représentation équilibrée femmes-hommes) est produit de façon recalculable et vérifiable, étape par étape.
- Les PV et le certificat de résultat sont générés et scellés.
À aucune étape un bulletin individuel n'est ouvert. Le dépouillement révèle le résultat collectif, jamais les choix personnels. Détail complet sur la page dépouillement du vote électronique.
La vérifiabilité de bout en bout : vérifier votre vote sans rompre l'anonymat
Voici le concept que seules les sources académiques (les travaux du CNRS, le protocole Belenios) maîtrisent, et qu'aucune page commerciale n'explique vraiment. C'est pourtant le sommet de la confiance.
La vérifiabilité de bout en bout (end-to-end verifiability) répond à trois questions, sans jamais révéler de choix individuel :
- Cast as intended — « mon bulletin reflète-t-il bien mon intention ? » L'électeur peut vérifier que le bulletin chiffré contient bien le choix qu'il a fait.
- Recorded as cast — « mon vote a-t-il bien été enregistré dans l'urne ? » Chaque électeur peut retrouver une trace (un identifiant de bulletin, sous forme de preuve) confirmant que son suffrage chiffré figure dans l'urne.
- Tallied as recorded — « le total a-t-il été calculé honnêtement à partir de l'urne ? » N'importe quel tiers peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver le même résultat.
La clé de voûte : cette vérification se fait sur des données chiffrées et des preuves mathématiques, jamais sur des bulletins en clair. Vous pouvez prouver que votre vote a été pris en compte sans révéler pour qui vous avez voté, et un observateur peut prouver que le décompte est exact sans ouvrir un seul bulletin. C'est le contraire d'une boîte noire : c'est une urne dont chacun peut vérifier l'honnêteté.
Cadre légal et conformité : CNIL 2019-053, RGPD, RGS, Code du travail
Le vote électronique anonyme est parfaitement légal en France, à condition de respecter un cadre précis. Quatre textes structurent la matière :
- Délibération CNIL n° 2019-053 (portant recommandation sur la sécurité des systèmes de vote par correspondance électronique) : le texte de référence. Il classe les scrutins en trois niveaux de risque et définit les exigences de sécurité correspondantes, dont la séparation des fichiers, le chiffrement, et le recours à une expertise indépendante.
- RGPD : le traitement repose sur des données personnelles (liste électorale, émargement, registre d'enrôlement). Il impose une base légale, une minimisation des données, et la désignation claire des rôles.
- RGS (Référentiel général de sécurité) : cadre des exigences de sécurité pour les systèmes d'information, notamment l'authentification et l'intégrité.
- Code du travail : encadre les élections professionnelles et le CSE — collèges électoraux, quorum, quotient électoral et répartition à la plus forte moyenne, durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), délai de contestation de 15 jours, représentation équilibrée femmes-hommes. Le recours au vote électronique doit être prévu par un accord d'entreprise ou, à défaut, par une décision de l'employeur, et défini dans le protocole d'accord préélectoral.
Employeur responsable de traitement, plateforme sous-traitant
Point juridique à ne jamais inverser : dans une élection CSE, l'employeur est responsable de traitement au sens du RGPD. La plateforme de vote est sous-traitant (article 28 du RGPD), agissant sur instruction et encadrée par un contrat de sous-traitance. C'est l'employeur qui porte la responsabilité du traitement — d'où l'importance d'un prestataire qui lui fournit la documentation de conformité nécessaire.
Une analyse d'impact (AIPD) est requise
Le traitement comporte un registre d'enrôlement et un risque de traçage de la participation (savoir qui a voté). À ce titre, une analyse d'impact relative à la protection des données (AIPD) est requise. Un prestataire sérieux vous accompagne dans sa réalisation plutôt que de prétendre qu'elle est inutile.
À retenir sur le vocabulaire. Personne n'est « certifié CNIL » : la CNIL ne certifie pas les solutions de vote. Un prestataire honnête fournit des matrices de conformité alignées sur les niveaux 1/2/3 de la délibération 2019-053, et non un badge « conforme CNIL ». Voir la page vote électronique sécurisé.
Les 3 niveaux de risque CNIL et les mesures d'anonymat associées
La délibération 2019-053 demande à l'organisateur d'évaluer le niveau de risque de son scrutin, puis d'appliquer les mesures correspondantes. Voici la lecture pédagogique que les concurrents ne fournissent pas.
| Niveau | Enjeu typique | Exigences renforcées sur l'anonymat et la sécurité |
|---|---|---|
| Niveau 1 | Scrutin à enjeu limité, faible impact d'une atteinte. | Mesures de sécurité de base : séparation des fichiers, chiffrement, traçabilité. |
| Niveau 2 | Enjeu intermédiaire, impact significatif. | Renforcement de l'authentification, scellement de l'urne, journaux d'audit robustes. |
| Niveau 3 | Enjeu fort (élections professionnelles à fort effectif, climat social tendu). | Authentification forte (à plusieurs facteurs), chiffrement à seuil avec porteurs de clés multiples, expertise indépendante, vérifiabilité renforcée. |
Les élections CSE relèvent fréquemment du niveau 2 ou 3. C'est pourquoi le recours à une authentification forte (type WebAuthn) et à un dispositif de clés réparties n'est pas un luxe : c'est ce qui place le scrutin dans le bon profil de conformité. Un système d'authentification par code envoyé par e-mail, à l'inverse, place le scrutin hors du profil niveau 3.
Le rôle de l'expert indépendant : un différenciateur que peu offrent
La délibération CNIL recommande, pour les scrutins à enjeu, le recours à un expert indépendant chargé d'auditer le système de vote — son code, son architecture, ses mécanismes de chiffrement et d'anonymat — avant le scrutin. Cet audit produit un rapport qui atteste que le système fait bien ce qu'il prétend faire.
C'est un point sur lequel la quasi-totalité des plateformes SaaS reste silencieuse, parce qu'une expertise indépendante coûte cher et révèle les faiblesses éventuelles. C'est précisément pour cette raison qu'elle constitue un marqueur de sérieux : un prestataire qui organise et documente cet audit, plutôt que de l'éviter, vous protège réellement.
Au-delà de l'audit, l'accompagnement humain fait la différence. Avec Sephos, un chef de projet dédié, expert en droit social, sécurise chaque étape — du protocole d'accord préélectoral au procès-verbal — et veille à ce que les choix techniques correspondent au niveau de risque réel de votre scrutin. C'est ce que recouvre la promesse « bien plus qu'un logiciel ». Voir la page La solution de vote électronique.
Les limites honnêtes : métadonnées et risque de ré-identification
Aucun concurrent commercial ne traite ce point. Nous le faisons, parce que la confiance se construit sur la franchise.
L'anonymat d'un vote en ligne est fort, mais il n'est pas absolu. Le risque résiduel ne vient pas du contenu des bulletins (qui n'est jamais déchiffré individuellement), mais des métadonnées générées autour du vote :
- Horodatages : le moment précis où une personne a voté est enregistré pour l'émargement. Croisé avec d'autres informations, un horodatage très isolé pourrait théoriquement réduire l'anonymat.
- Adresses IP et logs techniques : nécessaires au fonctionnement et à la sécurité, ils constituent une donnée potentiellement ré-identifiante s'ils sont mal gérés.
- Corrélation pseudonyme : tout système de vote utilise un identifiant technique stable par électeur (pour empêcher le double vote). Une gestion négligente de cet identifiant pourrait créer un point de corrélation.
Les bonnes pratiques pour neutraliser ces risques : minimisation et purge des métadonnées après le scrutin, cloisonnement des logs, et surtout le fait que rien dans ces métadonnées ne révèle le contenu du vote — seulement le fait d'avoir voté, qui est de toute façon connu via l'émargement.
C'est pourquoi nous n'écrirons jamais « il est impossible de prouver son vote » ou « aucun lien n'est possible ». La formulation exacte est : la plateforme ne fournit aucun reçu du contenu du vote, ne déchiffre jamais les bulletins individuels, et réduit fortement le risque de coercition. C'est plus modeste qu'un slogan, et infiniment plus solide juridiquement.
En cas de contestation : la valeur probante des journaux d'audit
Le délai de contestation d'une élection professionnelle est de 15 jours. Si un électeur ou une organisation syndicale conteste la régularité du scrutin devant le juge, que vaut un vote électronique ?
C'est précisément là que les journaux d'audit horodatés et inaltérables, les procès-verbaux d'ouverture et de clôture, et le certificat de résultat deviennent décisifs. Ils permettent de démontrer, pièce à l'appui :
- que l'urne a été scellée à l'ouverture et n'a pas été altérée ;
- qu'aucun bulletin individuel n'a été déchiffré ;
- que le dépouillement a eu lieu à la clôture, avec le seuil de porteurs de clés requis ;
- que le calcul des sièges est recalculable et vérifiable.
Un système qui produit une traçabilité chaînée et un dépouillement rejouable par un tiers offre une valeur probante très supérieure à un dépouillement « boîte noire ». L'anonymat n'est pas seulement protégé techniquement : il est défendable devant le juge.
Mythes et idées reçues à déconstruire
« Le vote en ligne ne peut pas être vraiment secret. » Faux. Avec un chiffrement à seuil et une séparation stricte des fichiers, le secret est techniquement plus robuste que dans certains bureaux physiques — à condition que le système soit bien conçu et auditable.
« L'administrateur de la plateforme peut voir mon vote. » Faux dans un système correct. La clé de déchiffrement n'existe nulle part sous forme complète, et le déchiffrement ne porte que sur les agrégats. L'administrateur n'a aucun moyen technique de lire un bulletin individuel.
« L'employeur peut savoir pour qui j'ai voté. » Faux. L'employeur est responsable de traitement, mais n'a pas accès aux bulletins. Il connaît la participation (via l'émargement), jamais les suffrages.
« Anonyme = je ne peux pas vérifier mon vote. » Faux. La vérifiabilité de bout en bout permet de vérifier que votre vote est dans l'urne et compté, sans révéler son contenu.
« Si on s'authentifie, c'est forcément traçable. » Vrai partiellement, et c'est le but : on trace le fait de voter, jamais le contenu. C'est exactement comme l'émargement papier.
Cas d'usage : CSE, élections professionnelles, votes associatifs, AG
Le vote électronique anonyme couvre une large variété de scrutins, chacun avec ses exigences :
- Élections du CSE : le cas le plus encadré (Code du travail + CNIL niveau 2/3). C'est le cœur de métier de Sephos. Voir vote électronique CSE et vote en ligne pour le CSE.
- Autres élections professionnelles : représentants de proximité, commissions, scrutins de branche. Mêmes principes d'anonymat et de conformité.
- Votes associatifs et assemblées générales : élections de conseils d'administration, approbation de résolutions. Le vote à distance y est particulièrement précieux pour les adhérents dispersés.
- Consultations internes : référendums d'entreprise, ratification d'accords.
Dans tous les cas, l'anonymat repose sur les mêmes piliers : séparation des fichiers, chiffrement à seuil, dépouillement collectif, traçabilité. Et dans tous les cas, le bénéfice observé est double : un anonymat plus robuste, et une participation accrue — jusqu'à +22 points observés sur les scrutins accompagnés, parce que le vote à distance lève les freins logistiques. Pour le panorama complet, voir les avantages du vote électronique et, en regard, les inconvénients et risques.
Checklist : vérifier qu'un prestataire garantit réellement l'anonymat
Avant de signer, exigez des réponses précises. Un fournisseur sérieux les fournira sans détour.
- Séparation des fichiers : le système maintient-il deux fichiers strictement cloisonnés (électeurs / bulletins) ? Existe-t-il une table de correspondance ? (La bonne réponse : non.)
- Chiffrement : les bulletins sont-ils chiffrés sur l'appareil de l'électeur ? Le système est-il homomorphe (déchiffrement des seuls agrégats) ? Y a-t-il un déchiffrement individuel possible ? (La bonne réponse : non.)
- Clés de dépouillement : la clé est-elle répartie entre plusieurs porteurs avec un seuil ? La clé complète est-elle reconstituée quelque part ? (La bonne réponse : non.)
- Authentification : repose-t-elle sur un secret local (WebAuthn/passkey) ou sur des codes envoyés par e-mail/SMS ? (Le second cas affaiblit le profil de conformité.)
- Audit indépendant : un expert indépendant a-t-il audité le système ? Le rapport est-il communicable ?
- Conformité documentée : le prestataire fournit-il une matrice de conformité CNIL (niveaux 1/2/3) et accompagne-t-il l'AIPD ?
- Rôles RGPD : le contrat précise-t-il bien que l'employeur est responsable de traitement et le prestataire sous-traitant (art. 28) ?
- Hébergement : où sont hébergées les données ? (Sephos : hébergement en France.)
- Vérifiabilité : le dépouillement est-il rejouable hors ligne par un tiers ?
- Traçabilité : les journaux d'audit sont-ils horodatés et chaînés ? Le système produit-il des PV et un certificat de résultat ?
Si un prestataire répond par des slogans (« vote 100 % anonyme et sécurisé ») au lieu de mécanismes, c'est un signal d'alerte.
Faits à vérifier pour votre scrutin (YMYL)
Le cadre juridique évolue et chaque scrutin a ses particularités. Avant de finaliser votre protocole d'accord préélectoral, faites vérifier par votre conseil ou votre chef de projet : la composition des collèges électoraux, les règles de quorum, le calcul du quotient électoral et l'attribution des sièges à la plus forte moyenne, la durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), le délai de contestation de 15 jours, et les règles de représentation équilibrée femmes-hommes. La version en vigueur de la délibération CNIL applicable et les exigences RGPD doivent également être confirmées à la date de votre élection.
Demander une démonstration
Vous voulez voir, concrètement, comment l'anonymat est garanti — la séparation des fichiers, le chiffrement à seuil, le dépouillement à plusieurs porteurs de clés, la vérifiabilité ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de droit social et de sécurité.
Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.
Pour approfondir avant l'échange : la plateforme de vote électronique, le logiciel de vote électronique, l'accessibilité du vote électronique et la FAQ du vote électronique CSE.
Questions fréquentes
Quelle est la différence entre un vote anonyme et un vote secret ?
Le secret du vote est un droit : nul ne peut être contraint de révéler son choix. L'anonymat est une propriété technique : le bulletin déposé ne porte aucune marque permettant de remonter à son auteur. Dans un bureau physique, l'isoloir assure le secret et l'enveloppe assure l'anonymat ; en ligne, ces deux garanties sont reconstituées par la cryptographie. Un système peut respecter l'un sans l'autre, c'est pourquoi les deux doivent être prouvés séparément.
Le vote électronique est-il vraiment anonyme et secret ?
Oui, lorsqu'il est correctement conçu. L'anonymat repose sur la séparation stricte des fichiers identifiants / bulletins, sur un chiffrement homomorphe à seuil empêchant tout déchiffrement individuel, et sur un dépouillement collectif à plusieurs porteurs de clés. Il faut toutefois rester honnête : l'anonymat est fort, pas absolu — des métadonnées (horodatages, logs) doivent être minimisées et purgées. Le contenu du vote, lui, n'est jamais déchiffré bulletin par bulletin.
L'administrateur ou l'employeur peut-il voir pour qui j'ai voté ?
Non. La clé de déchiffrement n'existe nulle part sous forme complète : elle est répartie entre plusieurs porteurs et n'est jamais reconstituée. Le déchiffrement ne porte que sur les totaux, jamais sur un bulletin individuel. L'employeur, responsable de traitement, connaît le taux de participation via l'émargement, mais n'a aucun moyen technique d'accéder aux suffrages. L'administrateur de la plateforme non plus.
Le vote électronique au CSE est-il conforme à la CNIL ?
Le vote électronique au CSE peut être pleinement conforme à la délibération CNIL n° 2019-053, à condition de respecter le niveau de risque applicable (souvent 2 ou 3 pour le CSE) : séparation des fichiers, chiffrement, authentification forte, expertise indépendante, AIPD. Attention au vocabulaire : aucune solution n'est « certifiée CNIL ». Un prestataire sérieux fournit une matrice de conformité par niveau, pas un badge marketing.
Comment fonctionne le chiffrement des bulletins de vote en ligne ?
Le bulletin est chiffré sur l'appareil de l'électeur avant tout envoi, avec la clé publique de l'élection. La plateforme Sephos utilise un chiffrement homomorphe à seuil (ElGamal exponentiel sur Ristretto255) : on peut additionner les bulletins chiffrés sans les ouvrir, et seul le résultat agrégé est déchiffré à la clôture. Aucun bulletin individuel n'est jamais déchiffré. Une preuve à divulgation nulle de connaissance garantit en plus que chaque bulletin est valide, sans révéler son contenu.
Comment l'anonymat est-il préservé si on doit s'authentifier pour voter ?
C'est le paradoxe résolu par la dissociation : l'identité sert à ouvrir l'accès au vote (authentification par WebAuthn/passkey, secret dérivé localement sur l'appareil), puis le bulletin est déposé sans porter cette identité. En parallèle, l'émargement est enregistré dans un fichier séparé. Le système sait que vous avez voté, jamais ce que vous avez voté. C'est exactement la logique de l'émargement papier suivi du dépôt d'une enveloppe anonyme.
Comment vérifier que mon vote a bien été pris en compte sans révéler mon choix ?
Grâce à la vérifiabilité de bout en bout. L'électeur peut retrouver une preuve (un identifiant de bulletin) confirmant que son suffrage chiffré figure bien dans l'urne, et n'importe quel tiers peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées. Toutes ces vérifications portent sur des données chiffrées : vous prouvez que votre vote compte, sans jamais révéler pour qui vous avez voté.
Qui peut accéder aux résultats du dépouillement et quand ?
Personne avant la clôture officielle. Pendant le vote, l'urne n'accumule que des bulletins chiffrés illisibles, et aucun résultat partiel ni tendance n'est exposé. À la clôture, le bureau de vote réunit le seuil requis de porteurs de clés ; la plateforme déchiffre alors uniquement les totaux, produit le calcul officiel des sièges (recalculable et vérifiable), puis les PV et le certificat de résultat.
Le vote électronique anonyme est-il légal en France ?
Oui. Il est encadré par la délibération CNIL n° 2019-053, le RGPD, le RGS et le Code du travail. Pour le CSE, le recours au vote électronique doit être prévu par un accord d'entreprise (ou à défaut une décision de l'employeur) et défini dans le protocole d'accord préélectoral. L'employeur est responsable de traitement ; la plateforme est sous-traitant au sens de l'article 28 du RGPD. Une AIPD est requise.
Que dit la délibération CNIL n° 2019-053 ?
Elle constitue la recommandation de référence sur la sécurité des systèmes de vote par correspondance électronique. Elle introduit une classification en trois niveaux de risque et, pour chacun, des exigences de sécurité : séparation stricte des fichiers, chiffrement, authentification proportionnée à l'enjeu, scellement de l'urne, journaux d'audit, et recours à une expertise indépendante pour les scrutins à enjeu. C'est sur cette grille que se construit toute matrice de conformité sérieuse.
Le vote électronique respecte-t-il le RGPD ?
Oui, lorsque les rôles et les principes sont respectés : l'employeur est responsable de traitement, le prestataire est sous-traitant (art. 28), une base légale est définie, les données sont minimisées et purgées après le scrutin, et une AIPD est conduite (le registre d'enrôlement et le traçage de la participation l'exigent). L'hébergement en France facilite la maîtrise des données.
Comment garantir l'anonymat d'un vote en ligne ?
Cinq piliers : séparation stricte des fichiers identifiants / bulletins ; chiffrement homomorphe à seuil empêchant tout déchiffrement individuel ; clés de dépouillement réparties entre plusieurs porteurs avec un seuil ; authentification forte locale (WebAuthn) dissociée du bulletin ; et traçabilité inaltérable via des journaux horodatés. Ajoutez-y une expertise indépendante et une conformité documentée, et l'anonymat devient non seulement réel, mais défendable en cas de contestation.