Vote électronique : cinq contrôles à mener avant le scrutin

Le vote électronique facilite l’organisation des élections professionnelles, mais il ne réduit pas le scrutin à une simple prestation informatique.

L’employeur reste responsable du choix de la solution, de la sécurité du dispositif et de la capacité à démontrer la fiabilité des opérations. Depuis avril 2026, la CNIL et l’ANSSI proposent un cadre actualisé fondé sur le niveau de risque, la vérifiabilité et la preuve.

La conformité ne repose donc pas uniquement sur la réputation du prestataire ou sur la présence d’un chiffrement. Elle dépend de la capacité de l’organisateur à relier le niveau de risque du scrutin, la solution réellement déployée, les contrôles effectués et les preuves conservées.

Quel cadre appliquer au vote électronique du CSE ?

L’élection des membres du comité social et économique peut être organisée par vote électronique sur le lieu de travail ou à distance.

Le recours à ce dispositif est prévu par un accord d’entreprise ou de groupe. À défaut d’accord, l’employeur peut décider de le mettre en place. Un cahier des charges doit être établi et tenu à la disposition des salariés, notamment sur l’intranet de l’entreprise lorsqu’il existe.

Pour le CSE, le Code du travail impose notamment :

• la confidentialité des données transmises ;
• la séparation entre le fichier des électeurs et l’urne électronique ;
• le scellement du système ;
• une expertise indépendante ;
• une cellule d’assistance technique ;
• l’information des salariés ;
• la formation du bureau de vote ;
• la conservation sous scellés des fichiers nécessaires aux recours.

Ces obligations doivent être combinées avec le RGPD, la recommandation CNIL de 2026 et le guide technique de l’ANSSI.

1. Qualifier le niveau de risque du scrutin

La recommandation CNIL distingue trois niveaux de risque :

Les exigences sont cumulatives. Un scrutin de niveau 3 doit respecter les objectifs des niveaux 1 et 2, auxquels s’ajoutent des garanties renforcées.

L’organisateur doit notamment examiner :

• le nombre d’électeurs ;
• les pouvoirs des personnes élues ;
• la sensibilité des opinions susceptibles d’être révélées ;
• les contentieux électoraux précédents ;
• les cyberattaques déjà subies ;
• le niveau de conflictualité ;
• les conditions de renouvellement des accès ;
• l’expérience de l’organisateur avec la solution retenue.

Cette qualification ne doit pas être réduite à un score automatique. Elle doit faire l’objet d’une note documentée précisant le contexte, les menaces identifiées, le niveau retenu et les mesures exigées.

Pour les élections professionnelles organisées par voie électronique, la CNIL intègre également la réalisation d’une analyse d’impact relative à la protection des données parmi les mesures de conformité attendues de l’organisateur.

Cette AIPD ne se confond pas avec la qualification du scrutin en niveau 1, 2 ou 3. La première analyse les risques pour les droits et libertés des électeurs. La seconde détermine les objectifs de sécurité applicables au système de vote.

2. Vérifier l’étanchéité entre l’électeur et son bulletin

Le secret du scrutin signifie qu’aucun lien ne doit pouvoir être établi entre un électeur et le contenu de son bulletin.

Pour le CSE, le Code du travail impose que les données relatives aux électeurs et celles relatives à leur vote soient traitées dans des systèmes distincts, dédiés et isolés.

Mais cette séparation formelle ne suffit pas.

Dans un dispositif électronique, une même solution peut :

• authentifier l’électeur ;
• vérifier son droit de vote ;
• constituer le bulletin ;
• enregistrer le vote ;
• réaliser l’émargement ;
• procéder au dépouillement.

Cette concentration crée un risque de rapprochement entre l’identité et le suffrage. L’ANSSI demande donc une véritable étanchéité entre ces deux univers.

Cette étanchéité doit être vérifiée dans les bases de données, les identifiants techniques, les flux entre composants, les habilitations, les journaux, les sauvegardes, la gestion des clés et les opérations de dépouillement.

Une simple mention commerciale de « chiffrement » ne suffit pas. Le prestataire doit être capable d’expliquer et de démontrer le fonctionnement réel de son architecture.

3. Sécuriser toute la chaîne d’authentification

L’authentification doit être adaptée au niveau de risque du scrutin. La procédure de réinitialisation ou de renouvellement des accès ne doit pas réduire le niveau de sécurité initial.

Le contrôle ne doit pas porter uniquement sur la page de connexion. Il doit couvrir l’ensemble du cycle :

• génération des secrets ;
• stockage ;
• transmission ;
• remise à l’électeur ;
• utilisation ;
• réinitialisation ;
• suppression des copies.

Le guide ANSSI recommande notamment de protéger les secrets en confidentialité et en intégrité, de limiter les attaques par force brute ou réutilisation d’identifiants compromis et de sécuriser les transmissions vers les prestataires d’envoi.

Lorsque les identifiants ou secrets sont transmis à un service d’envoi d’e-mails ou de SMS par API, cet intermédiaire doit également être encadré.

L’organisateur doit donc identifier les sous-traitants impliqués, les flux API, les données transmises, les durées de conservation, les modalités de suppression après envoi et les procédures de réassort.

L’authentification dépend ainsi de toute une chaîne SaaS et technique, pas seulement du logiciel principal de vote.

4. Contrôler la version réellement déployée

Le Code du travail impose une expertise indépendante avant la mise en place du système ou après toute modification substantielle de sa conception. Le rapport doit être tenu à la disposition de la CNIL.

La recommandation CNIL de 2026 précise que toute solution devrait être expertisée avant son premier déploiement. L’expertise doit vérifier le secret du vote, l’intégrité des suffrages, la sincérité des opérations et la possibilité d’un contrôle a posteriori.

Elle ne doit pas porter uniquement sur le produit générique présenté par le fournisseur. Elle doit également couvrir le déploiement réel, l’infrastructure, l’enrôlement des électeurs, les mécanismes d’authentification, l’administration, la gestion des clés, le dépouillement et l’archivage.

Le point critique est de pouvoir démontrer que la version expertisée est bien celle utilisée lors du scrutin.

La chaîne de preuve doit donc relier :

• version expertisée → version déployée → version utilisée → version dépouillée.

Une expertise valide sur une version antérieure ou sur une architecture différente ne suffit pas à démontrer la conformité du scrutin réel.

5. Organiser les preuves et la gestion des incidents

En cas de contrôle ou de contentieux, l’organisateur doit pouvoir démontrer notamment :

• l’intégrité du scellement ;
• la maîtrise des clés par leurs seuls détenteurs ;
• l’anonymat du vote ;
• la cohérence de la liste d’émargement ;
• la correspondance entre l’urne constituée pendant le scrutin et l’urne effectivement dépouillée ;
• l’absence de décompte partiel ;
• la possibilité de vérifier le dépouillement.

Pour le CSE, les fichiers nécessaires à un éventuel recours sont conservés sous scellés jusqu’à l’expiration du délai de recours ou, en cas de contentieux, jusqu’à la décision juridictionnelle définitive.

Il ne faut donc pas appliquer une durée uniforme à toutes les données. Les listes RH sources, l’émargement, l’urne, les journaux, les clés, les procès-verbaux et les rapports d’expertise répondent à des finalités différentes.

La gestion d’un incident doit également suivre deux analyses parallèles :

• une analyse électorale, pour déterminer si le secret, l’intégrité ou la sincérité du scrutin sont affectés ;
• une analyse RGPD, pour déterminer si l’événement constitue une violation de données personnelles.

Un accès non autorisé au fichier des électeurs peut constituer une violation de données, même sans effet démontré sur le résultat du scrutin.

Quel rôle pour le DPO ?

Le DPO ne certifie ni la solution ni la validité technique du scrutin. Il ne remplace pas l’expert indépendant ou le RSSI.

Il contribue à la cohérence de la gouvernance et à la constitution de la preuve.

Son intervention porte notamment sur l’AIPD, le cahier des charges, la qualification des acteurs, l’encadrement du prestataire, la cartographie des flux et sous-traitants, l’information des électeurs, la gestion des incidents et la conservation des preuves.

Son intervention doit commencer avant le choix définitif du prestataire. C’est à ce stade que les exigences peuvent encore être intégrées au cahier des charges et rendues opposables.

Avant l’ouverture du scrutin : risque documenté, architecture vérifiée, authentification maîtrisée, expertise à jour et preuves organisées.

Conclusion

La conformité d’un vote électronique ne résulte pas de la présence isolée d’un contrat, d’un chiffrement ou d’un rapport d’audit.

Elle repose sur la capacité de l’organisateur à relier :

• niveau de risque → cahier des charges → architecture → authentification → expertise → preuves.

Le DPO contribue à cette conformité démontrable en reliant les obligations juridiques au fonctionnement réel du système.

Vous préparez un vote électronique ?

DPO PARTAGE peut revoir votre cahier des charges, votre AIPD et le dispositif proposé par le prestataire avant l’ouverture du scrutin.