Vote électronique sécurisé : le guide de référence

Vote électronique sécurisé : ce que recouvre vraiment la sécurité d'un scrutin en ligne

Un vote électronique sécurisé est un scrutin organisé par voie numérique — vote par correspondance électronique, vote par internet — dont l'architecture garantit simultanément trois choses : que le secret du vote est préservé, que la sincérité du résultat est intègre, et que les opérations sont contrôlables par des tiers. La sécurité n'est pas une fonctionnalité parmi d'autres : c'est la condition pour qu'un suffrage exprimé à distance ait la même valeur juridique et la même force probante qu'un bulletin glissé dans une urne physique.

C'est une promesse facile à afficher et difficile à tenir. Sur le papier, tous les prestataires écrivent « vote 100 % sécurisé ». Dans les faits, la sécurité dépend de choix techniques précis — méthode de chiffrement, mode d'authentification, gestion des clés de dépouillement, journaux d'audit, vérifiabilité — et d'un cadre de conformité documenté. Une plateforme qui se contente d'un slogan sans expliquer comment ne vous protège pas le jour où le scrutin est contesté devant le juge.

Cette page pose la définition exacte du vote électronique sécurisé, décrit le fonctionnement étape par étape, détaille les trois principes de sécurité, explique correctement la cryptographie réellement utilisée — et corrige au passage l'imprécision la plus répandue du marché. Elle traite honnêtement les risques (oui, il en existe), cartographie le cadre légal, et donne une grille pour choisir un prestataire. Elle s'adresse aux RH, aux élus du CSE et aux organisateurs d'élections professionnelles qui veulent comprendre avant de signer.

Le différenciateur Sephos. Un logiciel d'urne ne suffit pas. La plateforme Sephos combine une cryptographie vérifiable par un tiers, un accompagnement par un chef de projet dédié, expert en droit social, et une conformité documentée scrutin par scrutin. Plus de 2 400 élections organisées, hébergement en France, et un gain de participation observé jusqu'à +22 points sur les scrutins accompagnés. La sécurité, ici, n'est pas seulement technique : elle est aussi juridique.

Définition : vote électronique, vote par internet, vote par correspondance électronique

Ces expressions ne sont pas tout à fait synonymes, et la nuance compte.

Vote électronique est le terme générique : tout scrutin dont le bulletin est saisi, transmis et dépouillé par voie numérique. Il englobe le vote sur machine à voter (en bureau physique) et le vote à distance.
Vote par internet désigne le vote à distance via un navigateur, depuis n'importe quel appareil connecté. C'est la forme retenue pour les élections professionnelles à distance.
Vote par correspondance électronique est la qualification juridique employée par la CNIL pour les élections professionnelles : un vote à distance, dématérialisé, qui remplace l'enveloppe postale par un bulletin chiffré transmis en ligne.

Pour une élection du CSE, c'est cette dernière catégorie qui s'applique : on parle de vote par correspondance électronique sécurisé, encadré par une délibération spécifique de la CNIL. La sécurité y est donc une exigence réglementaire, pas un argument marketing optionnel.

Les 3 principes de sécurité d'un vote électronique

Tout l'édifice de la sécurité repose sur trois principes complémentaires. Aucun ne remplace les autres ; un scrutin n'est « sécurisé » que si les trois tiennent ensemble. C'est la grille de lecture que les pages commerciales superficielles ne fournissent jamais.

Le secret et la confidentialité du vote. Nul ne doit pouvoir découvrir le choix d'un électeur contre sa volonté. Cela suppose un isoloir numérique, l'absence de tout reçu prouvant le contenu du vote, et un chiffrement qui empêche le déchiffrement individuel des bulletins.
La sincérité et l'intégrité du scrutin. Le résultat proclamé doit refléter exactement les suffrages exprimés : aucun bulletin ajouté, supprimé ou modifié, aucun double vote, aucune erreur de décompte. Cela suppose une authentification fiable des électeurs, un mécanisme anti-double-vote, et un dépouillement recalculable.
La surveillance et la contrôlabilité des opérations. Les acteurs habilités (bureau de vote, observateurs, experts) doivent pouvoir contrôler le déroulé, et idéalement n'importe quel tiers doit pouvoir vérifier l'honnêteté du décompte. Cela suppose des journaux d'audit inaltérables, le scellement de l'urne, et la vérifiabilité du dépouillement.

Principe	Question à laquelle il répond	Mécanisme technique chez Sephos
Secret / confidentialité	« Mon choix peut-il être découvert ? »	Chiffrement sur l'appareil, séparation urne / émargement, aucun déchiffrement individuel
Sincérité / intégrité	« Le résultat est-il fidèle aux votes ? »	Authentification WebAuthn, nullifier anti-double-vote, calcul recalculable
Surveillance / contrôlabilité	« Peut-on vérifier que tout est honnête ? »	Journaux chaînés, vérifiabilité individuelle et universelle, expertise indépendante

Retenez cette triade : un système peut être intègre sans être secret (les votes sont bien comptés, mais l'administrateur peut les lire), ou secret sans être contrôlable (personne ne peut vérifier le décompte). Un vote électronique sécurisé exige les trois en même temps.

Comment fonctionne un scrutin en ligne sécurisé : les 5 étapes

Voici le déroulé concret d'un vote par internet sécurisé, de l'inscription à la proclamation. Chaque étape porte une exigence de sécurité précise.

Enrôlement et authentification. L'électeur inscrit sur la liste reçoit un lien d'invitation qui lui permet d'initier son enrôlement. Son appareil génère et conserve localement un secret cryptographique (WebAuthn / passkey), protégé par sa biométrie ou son code d'appareil. Au moment de voter, il s'authentifie par ce secret — rien n'est transmis ni interceptable.
Vote dans l'isoloir numérique. L'électeur fait son choix. Son bulletin est chiffré sur son appareil avant tout envoi, avec la clé publique de l'élection. Le choix en clair ne quitte jamais l'écran.
Émargement séparé. En parallèle du dépôt du bulletin chiffré dans l'urne, le système enregistre — dans un fichier strictement distinct — le fait que la personne a voté. C'est l'émargement, qui alimente le taux de participation et bloque tout second vote (via un nullifier, marqueur anti-double-vote).
Urne chiffrée scellée. Les bulletins chiffrés s'accumulent dans une urne scellée. Aucun acteur — ni l'administrateur, ni l'employeur — ne peut les lire pendant le vote : la clé de déchiffrement n'existe nulle part sous forme complète. Aucun résultat partiel ni tendance n'est exposé.
Dépouillement et proclamation. À la clôture, le bureau de vote réunit le seuil requis de porteurs de clés. La plateforme déchiffre uniquement les agrégats (totaux par liste et par candidat), produit le calcul officiel des sièges de façon recalculable, puis génère les procès-verbaux d'ouverture et de clôture et un certificat de résultat.

Le détail de la dernière étape est traité sur la page dépouillement du vote électronique, et l'étape d'amont sur la page identifiants et enrôlement des électeurs.

Authentification des électeurs : vérifier qu'une personne habilitée vote une seule fois

La sincérité du scrutin commence par l'authentification : il faut s'assurer que seuls les électeurs inscrits votent, et une seule fois chacun. C'est ici que la plupart des concurrents prennent du retard.

La majorité des plateformes envoient encore un code d'accès par e-mail, SMS ou courrier. Ce modèle est commode mais faible : un secret transmis peut être intercepté, transféré à un tiers, ou cédé sous pression. Il place un scrutin à fort enjeu hors du profil de sécurité le plus exigeant de la CNIL.

Sephos retient une approche différente : l'enrôlement WebAuthn / passkey (avec l'extension PRF). Le secret n'est jamais envoyé : il est généré et dérivé localement sur l'appareil de l'électeur, protégé par sa biométrie ou son code. Le lien d'invitation sert uniquement à initier l'enrôlement, jamais à transmettre un mot de passe réutilisable. Avantages :

rien d'interceptable : aucun code en transit ne peut être volé ;
résistance au hameçonnage : la clé d'accès est liée à l'origine du site ;
unicité du vote : couplée à un nullifier, l'authentification empêche tout double vote sans révéler l'identité du votant.

C'est la base la plus solide pour les niveaux de risque élevés. Approfondissement sur la page identifiants et enrôlement des électeurs.

Chiffrement des bulletins et anonymat : la séparation urne / liste d'émargement

La confidentialité repose sur deux piliers : la séparation des fichiers et le chiffrement.

La règle d'or, posée par la CNIL, est la séparation stricte de deux fichiers qui ne doivent jamais être reliés : le fichier des électeurs (liste d'émargement, qui sait qui a voté) et le fichier des bulletins (l'urne, qui contient les suffrages chiffrés, sans aucun identifiant nominatif). On compte les votants d'un côté, les suffrages de l'autre, et les deux ne se rejoignent jamais.

Le chiffrement, lui, garantit qu'aucun bulletin n'est lisible avant la clôture, ni reliable après. Le sujet mérite sa propre section, car c'est là que se joue la supériorité technique réelle — et que se corrige l'erreur la plus répandue du marché.

Le chiffrement homomorphe à seuil : ce que tous les concurrents expliquent mal

Voici la correction que cette page assume, là où le reste du marché répète une imprécision : un vote électronique correctement sécurisé n'utilise pas un « chiffrement de bout en bout » au sens où on l'entend pour une messagerie. Ce vocabulaire, omniprésent chez les concurrents, est trompeur appliqué au vote.

La plateforme Sephos repose sur un chiffrement homomorphe à seuil : un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. Deux propriétés en découlent, et elles changent tout.

1. On additionne sans déchiffrer. Le caractère homomorphe permet de calculer la somme des suffrages directement sur les bulletins chiffrés, sans jamais les ouvrir un par un. Au dépouillement, le système ne déchiffre que le résultat agrégé — le total par liste et par candidat. Aucun bulletin individuel n'est jamais déchiffré. C'est la différence fondamentale avec un système naïf qui ouvrirait chaque vote pour le compter : ici, l'opération de lecture d'un bulletin isolé est mathématiquement écartée du processus.

2. La clé de dépouillement est répartie, jamais reconstituée. Le caractère à seuil signifie qu'il n'existe pas de clé unique qu'une personne pourrait voler ou utiliser seule. La clé de déchiffrement est partagée entre plusieurs porteurs de clés (trustees) via une génération distribuée de clés (DKG). Le déchiffrement des résultats n'est possible que si un seuil de porteurs collabore (par exemple 3 sur 5). À aucun moment la clé secrète complète n'est reconstituée en un seul endroit — pas même pendant le dépouillement.

En langage non technique

Imaginez une urne transparente verrouillée par plusieurs cadenas appartenant à des personnes différentes. Personne ne détient toutes les clés. On ne peut pas l'ouvrir avant l'heure, et seulement à plusieurs. Mieux : à l'ouverture, on ne voit pas les bulletins un par un, on lit directement le total. Voilà l'équivalent du chiffrement homomorphe à seuil.

Une preuve à divulgation nulle de connaissance complète le dispositif : chaque bulletin est accompagné d'une preuve mathématique qu'il est bien formé (un choix autorisé, et un seul), vérifiable par n'importe qui sans rien apprendre du choix exprimé. L'urne devient honnête sans être indiscrète. Le détail crypto figure aussi sur la page vote électronique anonyme.

Vérifiabilité de bout en bout : individuelle et universelle

Voici le concept que seules les sources académiques (les travaux du CNRS, de l'INRIA et du LORIA, le protocole Belenios) maîtrisent vraiment, et qu'aucune page commerciale ne distingue correctement. C'est pourtant le sommet de la sécurité contrôlable.

La vérifiabilité de bout en bout (end-to-end verifiability) se décompose en deux niveaux qu'il faut absolument séparer :

La vérifiabilité individuelle. Chaque électeur peut vérifier, sans révéler son choix, que son bulletin chiffré figure bien dans l'urne (« recorded as cast ») et qu'il reflète bien son intention (« cast as intended »). Il retrouve une trace — un identifiant de bulletin sous forme de preuve — qui confirme que son suffrage a été enregistré.
La vérifiabilité universelle. N'importe quel tiers — un électeur, un syndicat, un expert, un observateur — peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver exactement le même résultat (« tallied as recorded »). Le décompte n'est pas une boîte noire : il est auditable par tous.

La clé de voûte : ces vérifications portent sur des données chiffrées et des preuves mathématiques, jamais sur des bulletins en clair. Vous prouvez que votre vote compte sans révéler pour qui vous avez voté, et un observateur prouve que le décompte est exact sans ouvrir un seul bulletin. C'est l'inverse de la confiance aveugle : c'est une urne dont chacun peut vérifier l'honnêteté. Aucun concurrent commercial ne distingue ces deux niveaux ; c'est un marqueur d'expertise.

Cadre légal et conformité : recommandation CNIL, RGPD, ANSSI, Code du travail

Le vote électronique sécurisé est parfaitement légal en France, à condition de respecter un cadre précis. Plusieurs textes structurent la matière.

La recommandation de la CNIL (délibération n° 2019-053, recommandation sur la sécurité des systèmes de vote par correspondance électronique) : le texte de référence. Il classe les scrutins en trois niveaux de risque et définit, pour chacun, les exigences de sécurité — séparation des fichiers, chiffrement, authentification proportionnée, scellement, journaux d'audit, et expertise indépendante pour les scrutins à enjeu.
Le RGPD : le scrutin traite des données personnelles (liste électorale, émargement, registre d'enrôlement). Il impose une base légale, la minimisation des données, et une définition claire des rôles.
Les référentiels de l'ANSSI et le RGS (Référentiel général de sécurité) : cadre des exigences de sécurité des systèmes d'information — authentification, intégrité, hébergement, journalisation. La doctrine de l'État sert de boussole, même quand elle n'est pas directement opposable au scrutin privé.
Le Code du travail : encadre les élections professionnelles et le CSE — collèges électoraux, quorum, quotient électoral et répartition des sièges à la plus forte moyenne, durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), délai de contestation de 15 jours, représentation équilibrée femmes-hommes. Le recours au vote électronique doit être prévu par un accord d'entreprise ou, à défaut, par une décision de l'employeur, et défini dans le protocole d'accord préélectoral.

Employeur responsable de traitement, plateforme sous-traitant

Point juridique à ne jamais inverser : dans une élection CSE, l'employeur est responsable de traitement au sens du RGPD. La plateforme de vote est sous-traitant (article 28 du RGPD), agissant sur instruction et encadrée par un contrat de sous-traitance. C'est l'employeur qui porte la responsabilité du traitement — d'où l'importance d'un prestataire qui lui fournit la documentation de conformité nécessaire. Aucun concurrent n'expose clairement cette répartition ; c'est pourtant elle qui détermine qui répond en cas de manquement.

Une analyse d'impact (AIPD) est requise

Le traitement comporte un registre d'enrôlement et un risque de traçage de la participation (savoir qui a voté). À ce titre, une analyse d'impact relative à la protection des données (AIPD) est requise. Un prestataire sérieux vous accompagne dans sa réalisation plutôt que de prétendre qu'elle est superflue.

À retenir sur le vocabulaire. Personne n'est « certifié CNIL » : la CNIL ne certifie pas les solutions de vote. Un prestataire honnête fournit des matrices de conformité alignées sur les niveaux 1/2/3 de la délibération 2019-053, pas un badge « conforme CNIL ». Méfiez-vous de toute page qui affiche ce badge.

Les 3 niveaux de risque CNIL et les exigences associées

La délibération 2019-053 demande à l'organisateur d'évaluer le niveau de risque de son scrutin, puis d'appliquer les mesures correspondantes. Voici la lecture pédagogique que les concurrents ne fournissent pas.

Niveau	Enjeu typique	Exigences de sécurité renforcées
Niveau 1	Scrutin à enjeu limité, faible impact d'une atteinte.	Mesures de base : séparation des fichiers, chiffrement, traçabilité.
Niveau 2	Enjeu intermédiaire, impact significatif.	Renforcement de l'authentification, scellement de l'urne, journaux d'audit robustes.
Niveau 3	Enjeu fort (élections professionnelles à fort effectif, climat social tendu).	Authentification forte multi-facteurs, chiffrement à seuil à porteurs multiples, expertise indépendante, vérifiabilité renforcée.

Les élections CSE relèvent fréquemment du niveau 2 ou 3. C'est pourquoi une authentification forte (type WebAuthn) et des clés réparties ne sont pas un luxe : c'est ce qui place le scrutin dans le bon profil de conformité. Une authentification par code envoyé par e-mail place, à l'inverse, le scrutin hors du profil niveau 3. C'est le point de bascule entre un vote « en ligne » et un vote « sécurisé ».

L'expertise indépendante : un audit avant le scrutin

La délibération CNIL recommande, pour les scrutins à enjeu, le recours à une expertise indépendante chargée d'auditer le système de vote — son code, son architecture, ses mécanismes de chiffrement et de vérifiabilité — avant le scrutin. Cet audit produit un rapport qui atteste que le système fait bien ce qu'il prétend faire.

La quasi-totalité des plateformes SaaS reste silencieuse sur ce point, parce qu'une expertise indépendante coûte cher et révèle les faiblesses éventuelles. C'est précisément ce qui en fait un marqueur de sérieux : un prestataire qui organise et documente cet audit, plutôt que de l'éviter, vous protège réellement. Approfondissement sur la page La solution de vote électronique.

Hébergement des données en France et souveraineté

Pour un scrutin sensible, la localisation des données pèse. Sephos retient un hébergement en France, ce qui facilite la maîtrise des données, la lisibilité juridique et la réactivité opérationnelle. C'est un facteur de confiance pour les organisations attachées à la souveraineté de leurs données électorales, et un élément que l'employeur, responsable de traitement, doit pouvoir documenter dans son registre.

La localisation seule ne fait pas la sécurité — un hébergement en France mal protégé ne vaut rien — mais combinée au chiffrement à seuil, à l'authentification locale et à la vérifiabilité, elle complète un dispositif cohérent.

Fiabilité et risques : une réponse honnête au débat

Aucun concurrent commercial ne traite ce point de façon équilibrée. Nous le faisons, parce que la confiance se construit sur la franchise — et parce que les critiques (AFIS, certains chercheurs de l'INRIA, observateurs comme Bulletin des Communes) soulèvent de vraies questions.

Le débat est réel. Le vote électronique a fait l'objet de critiques sérieuses, notamment sur la transparence et la difficulté, pour un citoyen non technicien, de « voir » la sécurité de ses propres yeux. Ces critiques visent souvent des systèmes anciens, opaques ou mal audités. Elles ne s'appliquent pas de la même manière à un système vérifiable de bout en bout, où le décompte est rejouable par n'importe qui.

Les limites honnêtes. La sécurité d'un vote en ligne est forte, pas absolue :

La coercition à distance est réduite, pas éliminée. En l'absence d'isoloir physique, un tiers pourrait théoriquement observer un électeur au moment du vote. Le système ne fournit aucun reçu du contenu du vote, ce qui décourage fortement l'achat ou la contrainte de vote — mais il serait malhonnête d'affirmer qu'il rend toute pression impossible.
L'anonymat est dissociatif, pas magique. Les bulletins ne sont jamais déchiffrés individuellement, mais des métadonnées (horodatages, logs techniques) existent et doivent être minimisées et purgées. Nous n'écrirons jamais « il est impossible de prouver son vote » ou « aucun lien n'est possible ».
Le risque technique (panne, attaque) n'est jamais nul. Aucun système informatique ne l'est. La bonne réponse n'est pas de le nier, mais d'organiser la résilience (voir plus bas) et la vérifiabilité (qui permet de détecter une anomalie, pas seulement de l'éviter).

Cette transparence sur les limites n'est pas une faiblesse : c'est le signal de confiance qui distingue une expertise réelle du marketing creux. Un comparatif détaillé figure sur la page inconvénients et risques du vote électronique.

Résilience : continuité du scrutin sans promesse chiffrée

Que se passe-t-il en cas de panne ? La réponse tient dans une haute disponibilité qualitative : redondance multi-site, objectifs de reprise (RTO) et de perte de données (RPO) maîtrisés, continuité du scrutin organisée. Nous ne promettons aucun pourcentage de disponibilité : un SLA chiffré du type « 99,98 % » est, dans ce domaine, un argument commercial qui ne dit rien de la solidité réelle. Ce qui compte, c'est l'architecture redondée et un plan de continuité qui garantit qu'un incident technique n'efface pas un suffrage et n'invalide pas le scrutin.

Vote électronique sécurisé vs vote papier : le critère de la sécurité

Les concurrents comparent souvent le vote en ligne au vote papier sur le seul confort. Le vrai sujet est la sécurité : intégrité, traçabilité, auditabilité.

Critère de sécurité	Vote papier / correspondance postale	Vote électronique sécurisé (Sephos)
Intégrité du décompte	Comptage manuel, risque d'erreur humaine	Calcul recalculable et vérifiable, agrégats déchiffrés
Anti-double-vote	Émargement papier, contrôle visuel	Authentification WebAuthn + nullifier
Traçabilité	Procès-verbal manuscrit	Journaux horodatés et chaînés, inaltérables
Auditabilité	Recomptage des bulletins physiques	Dépouillement rejouable hors ligne par tout tiers
Secret du vote	Isoloir + enveloppe	Isoloir numérique + chiffrement à seuil
Risque logistique	Perte, retard, enveloppes non parvenues	Résilience multi-site, RTO/RPO maîtrisés

Le vote papier n'est pas « plus sûr » par nature : son intégrité repose sur la vigilance humaine et la garde physique des urnes. Un vote électronique correctement conçu offre une traçabilité et une auditabilité supérieures, à condition d'être vérifiable et audité. C'est ce qui le rend défendable en cas de contestation.

Avantages du vote électronique sécurisé

Au-delà de la sécurité, un scrutin en ligne bien conçu apporte des bénéfices mesurables — détaillés sur la page avantages du vote électronique :

Participation. Le vote à distance lève les freins logistiques (absents, télétravailleurs, sites multiples). Gain observé jusqu'à +22 points sur les scrutins accompagnés — un effet observé, jamais garanti, car le vote reste volontaire.
Accessibilité. Un dispositif conforme au RGAA permet aux électeurs en situation de handicap de voter en autonomie, ce que le papier ne garantit pas toujours. Voir accessibilité du vote électronique.
Coût et logistique. Suppression de l'impression, de l'affranchissement et de la manutention des urnes.
Rapidité du dépouillement. Le calcul des sièges est produit en quelques instants à la clôture, recalculable et vérifiable, sans recomptage manuel.
Sécurité juridique. La traçabilité chaînée et les PV scellés renforcent la valeur probante en cas de litige.

Types d'élections concernées

Le vote électronique sécurisé couvre une large variété de scrutins :

Élections du CSE : le cas le plus encadré (Code du travail + CNIL niveau 2/3). C'est le cœur de métier de Sephos. Voir vote en ligne pour le CSE.
Autres élections professionnelles : représentants de proximité, commissions, scrutins de branche.
Assemblées générales et votes associatifs : conseils d'administration, résolutions. Le vote à distance y est précieux pour les membres dispersés.
Collectivités et copropriétés : consultations, élections d'instances, votes de syndics.

Dans tous les cas, les piliers de la sécurité sont identiques : séparation des fichiers, chiffrement à seuil, dépouillement collectif, vérifiabilité, traçabilité.

Comment choisir un prestataire de vote électronique sécurisé : la checklist

Avant de signer, exigez des réponses précises. Un fournisseur sérieux les fournit sans détour ; un fournisseur qui répond par des slogans est un signal d'alerte.

Chiffrement : les bulletins sont-ils chiffrés sur l'appareil de l'électeur ? Le système est-il homomorphe à seuil (déchiffrement des seuls agrégats) ? Un déchiffrement individuel est-il possible ? (La bonne réponse : non.) Méfiez-vous de « chiffrement de bout en bout », formulation imprécise pour un vote.
Clés de dépouillement : la clé est-elle répartie entre plusieurs porteurs avec un seuil ? La clé complète est-elle reconstituée quelque part ? (La bonne réponse : non.)
Authentification : repose-t-elle sur un secret local (WebAuthn / passkey) ou sur des codes envoyés par e-mail / SMS ? (Le second cas affaiblit le profil de conformité.)
Vérifiabilité : le système offre-t-il une vérifiabilité individuelle (l'électeur retrouve son bulletin) et universelle (le décompte est rejouable par tout tiers) ?
Expertise indépendante : un expert a-t-il audité le système avant le scrutin ? Le rapport est-il communicable ?
Conformité documentée : le prestataire fournit-il une matrice de conformité CNIL (niveaux 1/2/3) et accompagne-t-il l'AIPD ? (Refusez « certifié CNIL ».)
Rôles RGPD : le contrat précise-t-il que l'employeur est responsable de traitement et le prestataire sous-traitant (art. 28) ?
Hébergement : où sont hébergées les données ? (Sephos : en France.)
Production en fin de scrutin : la plateforme génère-t-elle des PV d'ouverture / clôture et un certificat de résultat ? (Attention : le formulaire Cerfa et la télétransmission à l'administration restent une démarche de l'employeur, pas une fonction de la plateforme.)
Accompagnement : un chef de projet dédié, expert en droit social, vous suit-il du protocole pré-électoral au procès-verbal ?

Pour aller plus loin sur le logiciel et la plateforme, voir logiciel de vote électronique et bureau de vote dématérialisé.

Bien plus qu'un logiciel : la sécurité juridique par l'accompagnement humain

Un point que personne ne traite : la sécurité technique ne suffit pas. Un scrutin annulé l'est presque toujours pour un vice de procédure — un protocole mal rédigé, un délai non respecté, une liste électorale contestable — pas pour une faille cryptographique.

C'est pourquoi Sephos lie sécurité technique et sécurité juridique. Un chef de projet dédié, expert en droit social, accompagne chaque scrutin du protocole d'accord préélectoral au procès-verbal : il calibre le niveau de risque, sécurise les jalons (préavis d'enrôlement, relances, gel de la liste), veille à la composition des collèges, au quorum et au calcul des sièges, et prépare les pièces probantes en cas de contestation. C'est ce que recouvre la promesse « bien plus qu'un logiciel », adossée à plus de 2 400 élections organisées.

À la clôture, la plateforme produit automatiquement les PV d'ouverture et de clôture et le certificat de résultat. La déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste, elle, une démarche de l'employeur — votre chef de projet vous indique quoi transmettre et quand, mais la plateforme ne s'y substitue pas.

Demander une démonstration

Vous voulez voir concrètement comment la sécurité est garantie — l'authentification WebAuthn, le chiffrement homomorphe à seuil, le dépouillement à plusieurs porteurs de clés, la double vérifiabilité ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de droit social et de sécurité.

Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.

Pour approfondir : la plateforme de vote électronique, le dépouillement du vote électronique, le vote électronique anonyme et la FAQ du vote électronique CSE.

Faits à vérifier pour votre scrutin (YMYL)

Le cadre juridique évolue et chaque scrutin a ses particularités. Avant de finaliser votre protocole d'accord préélectoral, faites vérifier par votre conseil ou votre chef de projet : la composition des collèges électoraux, les règles de quorum, le calcul du quotient électoral et l'attribution des sièges à la plus forte moyenne, la durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), le délai de contestation de 15 jours, et les règles de représentation équilibrée femmes-hommes. La version en vigueur de la délibération CNIL applicable et les exigences RGPD doivent être confirmées à la date de votre élection.

Questions fréquentes

Le vote électronique est-il légal en France ?

Oui. Le vote électronique est parfaitement légal, encadré par la recommandation de la CNIL (délibération n° 2019-053), le RGPD, le RGS et, pour le CSE, le Code du travail. Le recours au vote électronique doit être prévu par un accord d'entreprise (ou, à défaut, une décision de l'employeur) et défini dans le protocole d'accord préélectoral. L'employeur est responsable de traitement ; la plateforme est sous-traitant au sens de l'article 28 du RGPD, et une AIPD est requise.

Le vote électronique est-il vraiment sécurisé et fiable ?

Oui, lorsqu'il est correctement conçu, mais la sécurité est forte sans être absolue. Elle repose sur trois principes : secret (chiffrement, séparation des fichiers), sincérité (authentification, anti-double-vote, calcul recalculable) et contrôlabilité (journaux inaltérables, vérifiabilité). Les critiques sérieuses visent surtout des systèmes opaques ou non audités ; un scrutin vérifiable de bout en bout et audité par un expert indépendant répond directement à ces objections. Aucun système n'est sans risque, mais la vérifiabilité permet de détecter une anomalie, pas seulement de l'éviter.

Le vote électronique peut-il être piraté ?

Aucun système informatique n'est invulnérable, et il serait malhonnête de prétendre le contraire. La bonne question n'est pas « peut-il être attaqué ? » mais « une attaque réussie serait-elle détectable et le scrutin resterait-il intègre ? ». Avec un chiffrement homomorphe à seuil, une clé jamais reconstituée, des journaux chaînés inaltérables et un dépouillement rejouable par tout tiers, une manipulation deviendrait détectable. La résilience (redondance multi-site, RTO/RPO) protège par ailleurs contre les pannes et les indisponibilités.

Comment est garanti l'anonymat dans un vote électronique ?

Par la séparation stricte de deux fichiers — la liste d'émargement (qui sait qui a voté) et l'urne (qui contient les bulletins chiffrés sans aucun identifiant) — et par un chiffrement homomorphe à seuil qui empêche tout déchiffrement individuel. Le système sait que vous avez voté, jamais ce que vous avez voté. L'anonymat est fort mais dissociatif : la plateforme ne fournit aucun reçu du contenu du vote et ne déchiffre jamais les bulletins individuels. Détail sur la page vote électronique anonyme.

Comment fonctionne le chiffrement des bulletins de vote en ligne ?

Le bulletin est chiffré sur l'appareil de l'électeur avant tout envoi, avec la clé publique de l'élection. Sephos utilise un chiffrement homomorphe à seuil (ElGamal exponentiel sur Ristretto255) : on additionne les bulletins chiffrés sans les ouvrir, et seul le résultat agrégé est déchiffré à la clôture. Aucun bulletin individuel n'est jamais déchiffré, et la clé de dépouillement, répartie entre plusieurs porteurs, n'est jamais reconstituée. C'est plus précis et plus solide que l'expression trompeuse « chiffrement de bout en bout » employée par de nombreux concurrents.

Qu'est-ce que la vérifiabilité d'un vote électronique ?

C'est la capacité de prouver l'honnêteté du scrutin sans révéler aucun choix individuel. Elle a deux niveaux : la vérifiabilité individuelle (chaque électeur vérifie que son bulletin chiffré est bien dans l'urne et reflète son intention) et la vérifiabilité universelle (n'importe quel tiers rejoue le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouve le même résultat). Toutes ces vérifications portent sur des données chiffrées, jamais sur des bulletins en clair.

Qu'est-ce que la recommandation de la CNIL sur le vote électronique ?

C'est la délibération n° 2019-053, recommandation de référence sur la sécurité des systèmes de vote par correspondance électronique. Elle introduit une classification en trois niveaux de risque et, pour chacun, des exigences : séparation des fichiers, chiffrement, authentification proportionnée, scellement de l'urne, journaux d'audit, et expertise indépendante pour les scrutins à enjeu. Attention : la CNIL ne certifie pas les solutions. Un prestataire sérieux fournit une matrice de conformité par niveau, pas un badge « conforme CNIL ».

Quels sont les niveaux de sécurité CNIL pour le vote électronique ?

Il en existe trois. Le niveau 1 (enjeu limité) impose les mesures de base. Le niveau 2 (enjeu intermédiaire) renforce l'authentification, le scellement et les journaux. Le niveau 3 (enjeu fort) exige une authentification forte multi-facteurs, un chiffrement à seuil à porteurs multiples, une expertise indépendante et une vérifiabilité renforcée. Les élections CSE relèvent fréquemment du niveau 2 ou 3 : c'est ce qui justifie une authentification WebAuthn et des clés réparties.

Comment choisir un prestataire de vote électronique sécurisé ?

Vérifiez le chiffrement (homomorphe à seuil, jamais de déchiffrement individuel), l'authentification (WebAuthn local plutôt que codes par e-mail/SMS), la double vérifiabilité (individuelle et universelle), l'expertise indépendante, la matrice de conformité CNIL (jamais « certifié CNIL »), la répartition des rôles RGPD (employeur responsable, prestataire sous-traitant art. 28), l'hébergement, et la production de PV et d'un certificat de résultat. Exigez aussi un accompagnement humain : un chef de projet expert en droit social, du protocole pré-électoral au PV.

Un audit indépendant est-il obligatoire pour le vote électronique ?

La CNIL recommande fortement le recours à une expertise indépendante pour les scrutins à enjeu (niveaux 2 et 3), portant sur le code, l'architecture et les mécanismes de sécurité, avant le scrutin. Pour les élections CSE à fort enjeu, c'est en pratique une mesure attendue. Un prestataire qui organise et documente cet audit — plutôt que de l'éviter — vous protège réellement et renforce la valeur probante du scrutin en cas de contestation.

Les données du vote en ligne sont-elles hébergées en France ?

Avec Sephos, oui : les données sont hébergées en France, ce qui facilite la maîtrise des données et la lisibilité juridique pour l'employeur, responsable de traitement. La localisation ne fait pas à elle seule la sécurité — elle complète le chiffrement à seuil, l'authentification locale et la vérifiabilité — mais elle constitue un facteur de confiance pour les organisations attachées à la souveraineté de leurs données électorales.

Combien coûte une solution de vote électronique sécurisée ?

Le budget dépend du nombre d'électeurs, du nombre de collèges et de tours, du niveau de risque (donc des exigences de sécurité) et du périmètre d'accompagnement. À titre indicatif, le coût se répartit généralement entre la plateforme, l'accompagnement projet et les prestations annexes. Plutôt qu'un tarif affiché hors contexte, le plus pertinent est un devis adapté à votre scrutin : demandez une démo ou demander à être rappelé pour un chiffrage précis.

Vote électronique sécurisé