Vote électronique : la recommandation CNIL 2026

Le 11 septembre 2024, la Cour de cassation a annulé les élections du premier collège d’un CSE parce que cinq salariés n’avaient pas pu voter : un tiers s’était connecté à leur place (Cass. soc., 11 sept. 2024, n° 23-16.209). L’employeur avait pourtant suivi le cahier des charges, respecté la recommandation CNIL et fait expertiser le système. Peu importe : la faille était démontrée, donc les élections tombaient.

C’est la particularité du vote électronique. Ce n’est pas un traitement de données comme un autre, où la conformité formelle protège. Ici, un manquement à un seul des principes du droit électoral suffit à annuler le scrutin — et le juge n’exige pas de preuve matérielle de la fraude, il se contente d’attestations concordantes.

Le cadre vient d’être refondu. Par la délibération n° 2026-045 du 19 mars 2026, publiée le 24 avril, la CNIL a remplacé sa recommandation de 2019 — et abrogé au passage celle de 2010. Nouveaux critères de risque, objectifs de sécurité réorganisés, régime d’expertise assoupli pour les scrutins ordinaires, exigences de transparence renforcées pour les autres. Voici ce qui change concrètement, et ce qu’il faut faire avant votre prochain scrutin.

Ce que couvre — et ne couvre pas — la recommandation

La recommandation vise le vote par correspondance électronique à bulletin secret : élections de représentants du personnel, scrutins d’ordres professionnels, votes d’associations, élections de parents d’élèves, primaires de partis politiques.

Sont explicitement exclus de son champ (point 4) :

• les dispositifs de vote par codes-barres ;
• le vote par SMS ou par appel téléphonique ;
• les boîtiers de vote et machines à voter mis à disposition des votants ;
• les scrutins non secrets — pour lesquels le texte peut néanmoins servir de référence utile.

La CNIL réaffirme par ailleurs une position qu’elle tient depuis 2003 : elle reste « très réservée » sur l’usage du vote par correspondance électronique pour les scrutins politiques, en particulier lorsqu’un vote en présentiel est possible. Le droit français réserve d’ailleurs cette modalité aux Français de l’étranger (élections législatives et conseillers consulaires). Pour ces scrutins, la CNIL demande d’appliquer a minima le niveau d’exigence le plus élevé.

Elle va plus loin (point 18) : lorsque les sources de menace cumulent ressources importantes et motivation forte — typiquement un risque d’ingérence étrangère identifié — elle déconseille purement et simplement le recours au vote électronique. Les solutions disponibles aujourd’hui ne permettent pas de couvrir ce niveau de risque.

Les huit principes qui commandent le scrutin

Avant les objectifs techniques, la recommandation 2026 énonce plus explicitement qu’en 2019 les principes du droit électoral que toute solution doit garantir. C’est ce qui fonde la sévérité du juge : ces principes ne se compensent pas entre eux.

Principe	Ce qu’il exige concrètement
Secret du scrutin	Aucun lien possible entre un votant et le contenu de son bulletin
Caractère personnel du vote	Limiter l’usurpation d’identité et la délégation abusive
Caractère libre du vote	Absence de pression, neutralité des organisateurs, égalité entre candidats
Sincérité des opérations	Seuls les inscrits votent ; le résultat reflète les suffrages exprimés
Intégrité des suffrages	Le choix ne peut être modifié entre son émission et le décompte
Accès au vote pour tous	Chaque électeur doit pouvoir exprimer son suffrage
Surveillance effective	Contrôle régulier, indépendant et objectif des opérations
Contrôle a posteriori par un juge	En cas de contestation, les irrégularités doivent être détectables

La jurisprudence sociale a décliné chacun de ces principes : égalité face à l’exercice du droit de vote (Cass. soc., 1er juin 2022, n° 20-22.860), neutralité de l’employeur pendant le processus électoral (Cass. soc., 18 mai 2022, n° 20-21.529), secret du vote (Cass. soc., 10 mai 2012, n° 11-25.029), sincérité et liberté du scrutin (Cass. soc., 21 sept. 2022, n° 21-14.123). Le principe fondateur reste l’arrêt du 3 octobre 2018 (n° 17-29.022) : le vote électronique doit offrir les mêmes garanties que le vote physique.

La CNIL reconnaît d’ailleurs, avec une franchise assez rare dans ce type de document, que les systèmes existants « ne semblent pas en mesure de fournir simultanément et au plus haut niveau l’ensemble des garanties exigibles » — renforcer la sincérité peut affaiblir le secret, et réciproquement. Cet arbitrage est celui de l’organisateur du scrutin, et il doit être documenté.

Les trois niveaux de risque : critères révisés

Le principe de proportionnalité de 2019 est conservé — trois niveaux, le niveau 3 étant le plus exigeant — mais les critères d’appréciation ont été revus.

Niveau 1 (risques faibles) : peu de votants, contexte non conflictuel, scrutin ne révélant ni opinions politiques ni appartenance syndicale, élus disposant de peu de pouvoirs. L’administrateur du système n’est ni votant ni candidat, et est considéré comme neutre par toutes les parties. Exemples donnés : élections de représentants de parents d’élèves, scrutins d’associations locales.

Niveau 2 (risques modérés) : nombre modéré de votants, enjeu moyen pour les candidats, absence de conflictualité particulière. Exemple : élections de représentants du personnel dans un organisme de petite ou moyenne taille.

Niveau 3 (risques significatifs) : nombre important de votants, enjeu élevé, climat potentiellement conflictuel. Exemples : ordres professionnels réglementés, primaires de partis politiques, élections de représentants du personnel dans une organisation importante.

La grille d’auto-évaluation, désormais intégrée au texte

C’est l’un des apports pratiques les plus utiles de la version 2026 : le questionnaire d’auto-évaluation, auparavant hébergé séparément sur le site de la CNIL, est intégré à la recommandation elle-même. Quatorze questions, dont onze valent 1 point et trois en valent 2.

Les onze questions à 1 point :

1. Le scrutin concerne-t-il plus de 250 personnes ?
2. Concerne-t-il plus de 2 000 personnes ?
3. L’entité organisatrice a-t-elle subi des attaques informatiques dans les cinq dernières années ?
4. Des scrutins similaires ont-ils été contestés en justice dans les cinq dernières années ?
5. Des personnes intéressées par le résultat pourraient-elles accéder aux données de la procédure de renouvellement d’accès des électeurs ?
6. Une atteinte à la confidentialité révélerait-elle des opinions politiques, convictions philosophiques ou appartenances syndicales ?
7. L’organisme responsable de traitement est-il une entité importante ou essentielle au sens de la directive NIS2 ?
8. La liste électorale ou les données d’accès présentent-elles un intérêt en soi pour un attaquant ?
9. Les élus bénéficient-ils d’un statut protecteur (protection contre le licenciement, par exemple) ?
10. Disposent-ils de pouvoirs organisationnels ou financiers ?
11. S’agit-il de la première mise en œuvre d’une solution de vote électronique par l’organisateur ?

Les trois questions à 2 points :

12. Les élus disposent-ils de pouvoirs de sanction à l’égard de tiers ?
13. Le scrutin désigne-t-il des candidats à une élection politique ?
14. L’organisation du scrutin nécessite-t-elle des développements techniques spécifiques importants ?

Le score se lit ainsi : 0 à 4 points = niveau 1 ; 5 à 8 points = niveau 2 ; plus de 8 points = niveau 3. En cas de doute entre deux niveaux, la CNIL recommande de retenir le plus élevé.

Deux précisions comptent en pratique. D’abord, l’usage de la grille est facultatif et son résultat purement indicatif : c’est l’organisateur, qui maîtrise le contexte, qui retient le niveau — mais il devra pouvoir justifier son analyse. Ensuite, cette évaluation peut être contrôlée par l’expert indépendant : il faut donc lui fournir les éléments retenus.

Notez la question 7. Un CSE d’un opérateur d’importance dans l’un des dix-huit secteurs couverts par NIS2 gagne un point du seul fait du statut de l’entreprise. Cumulée avec les questions 6, 9 et 10 — quasi automatiquement positives pour une élection de représentants du personnel — la barre des 5 points est franchie très vite. Une élection de CSE atteint mécaniquement le niveau 2 ou 3.

Et l’AIPD ?

La CNIL recommande une analyse d’impact relative à la protection des données pour tout scrutin. Pour un scrutin de niveau 3, elle indique que l’AIPD est « susceptible de constituer une obligation », notamment si le traitement implique la collecte de données sensibles à large échelle — et une élection de représentants du personnel révèle par construction des appartenances syndicales, catégorie protégée par l’article 9 du RGPD.

Mon conseil : ne cherchez pas à déterminer si l’AIPD est obligatoire au sens de l’Art. 35. Faites-la. Un scrutin qui traite des opinions syndicales de plusieurs milliers de personnes, avec un risque avéré de contentieux, coche assez de critères des lignes directrices WP248 pour que le débat soit stérile. Et si vous hésitez encore, la question quand faut-il faire une AIPD se pose ici dans les termes les plus favorables à la réponse positive.

Les objectifs de sécurité, niveau par niveau

Les objectifs sont cumulatifs : le niveau 2 ajoute ses objectifs à ceux du niveau 1, le niveau 3 à ceux des deux premiers. Onze objectifs au niveau 1, neuf de plus au niveau 2, cinq de plus au niveau 3, soit vingt-cinq au total pour un scrutin sensible.

Le changement de philosophie mérite d’être souligné : à la suite de la consultation publique, plusieurs objectifs ont été reformulés de façon neutre sur le plan technologique. La CNIL fixe le résultat à atteindre et laisse le choix des moyens — à charge pour le responsable de traitement ou son prestataire de justifier et de documenter ces choix (point 29). C’est une logique d’obligation de résultat documentée, cohérente avec l’accountability de l’Art. 5(2) du RGPD.

Niveau 1 : les onze fondamentaux

Sans les reprendre tous, les points structurants :

• 1-02 : le vote est une opération indivisible — validation du suffrage, enregistrement dans l’urne, émargement et délivrance d’un récépissé. C’est cette indivisibilité qui interdit l’émargement sans enregistrement, ou l’inverse.
• 1-03 : authentifier les électeurs en réduisant significativement le risque d’usurpation. La recommandation vise expressément la procédure de recouvrement des accès : elle ne doit pas abaisser le niveau de sécurité de l’authentification — renvoi explicite aux points 17 à 19 de la décision du Conseil d’État du 26 janvier 2021 (n° 437993).
• 1-04 à 1-06 : confidentialité et intégrité du bulletin dès sa création sur le poste du votant, pendant son transport, puis pendant son stockage dans l’urne.
• 1-07 : étanchéité totale entre l’identité de l’électeur et le contenu déchiffré de son bulletin, pendant toute la durée du traitement — dépouillement et archivage compris.
• 1-08 : répartition du secret permettant le dépouillement, notamment au sein du bureau électoral, avec un seuil de reconstitution.
• 1-10 : vérifier l’intégrité du système et la vacuité de l’urne et de la liste d’émargement avant l’ouverture.
• 1-11 : le bon dépouillement doit pouvoir être vérifié a posteriori.

Niveau 2 : disponibilité, contrôle et transparence

• 2-01 : haute disponibilité du système et des services tiers pendant l’ouverture du scrutin.
• 2-02 et 2-03 : contrôle automatique et permanent de la cohérence entre le contenu de l’urne et le nombre d’émargements, sous la surveillance du bureau électoral — avec possibilité de déclenchement manuel par ce dernier, qui doit être formé aux outils dont il dispose.
• 2-04 : alerte automatique et immédiate du bureau électoral pour tout incident de sécurité et toute intervention de maintenance, avec accès au journal des alertes.
• 2-05 : cloisonnement entre les systèmes de chaque scrutin — on doit pouvoir suspendre un scrutin sans affecter les autres.
• 2-07 : permettre à chaque électeur de vérifier la présence de son bulletin dans l’urne pendant le scrutin, puis dans l’urne utilisée pour le dépouillement, jusqu’à expiration des délais de recours.
• 2-08 : authentification telle que la vraisemblance d’une usurpation soit négligeable — le vocabulaire monte d’un cran par rapport au 1-03. En pratique, cela oriente vers l’authentification multifacteur.
• 2-09 : publication, en amont du scrutin, du protocole de vote, des propriétés de sécurité qu’il garantit et des moyens de les atteindre.

Niveau 3 : analyse de risque, vérifiabilité et code source public

• 3-01 : analyse de risque selon une méthode éprouvée (EBIOS RM, ISO 27005) adaptée au contexte du scrutin.
• 3-02 : le bon dépouillement doit pouvoir être vérifié y compris par un outil tiers, sans affaiblir le secret du scrutin.
• 3-03 : très haute disponibilité, en tenant compte des avaries majeures — perte d’un centre de données comprise.
• 3-04 : ne jamais manipuler le secret de dépouillement sur un serveur capable de rapprocher l’identité des électeurs de leur bulletin.
• 3-05 : publication, en amont du scrutin, du code source des éléments exécutés sur le terminal de l’électeur, navigateur compris.

Les objectifs 3-02 et 3-04 sont ceux que la CNIL cite comme ayant été retravaillés. Le 3-05 est le plus structurant pour le marché : il impose de fait aux prestataires positionnés sur les scrutins sensibles de publier leur client de vote. Si vous rédigez un cahier des charges pour une élection de niveau 3, cette exigence doit y figurer — sinon vous découvrirez trop tard qu’aucune des solutions retenues ne peut la satisfaire.

L’expertise indépendante : le vrai assouplissement

C’est le changement le plus attendu par les organisateurs, et le plus mal compris.

Principe nouveau : toute solution de vote doit faire l’objet d’une expertise indépendante avant son premier déploiement par un responsable de traitement — qu’elle soit développée en interne ou fournie par un tiers. Cette première expertise peut être commanditée par le fournisseur, sous réserve de garantir l’indépendance de l’expert.

Ce qui change ensuite dépend du niveau :

Niveau	Expertise
Niveau 3	Une expertise à l’occasion de chaque scrutin, portant sur l’intégralité de la solution
Niveaux 1 et 2	L’organisateur décide de l’opportunité, sous réserve de la réglementation applicable

Pour les niveaux 1 et 2, la recommandation autorise explicitement la réutilisation d’éléments d’un rapport antérieur portant sur les briques logicielles, sous trois conditions cumulatives :

• l’expertise de l’élément concerné n’est pas antérieure à 24 mois pour un scrutin de niveau 1, ou à 12 mois pour un scrutin de niveau 2 ;
• il est possible de vérifier que l’élément n’a pas été modifié depuis ;
• aucune vulnérabilité n’a été révélée entre-temps sur cet élément.

Attention au piège. Cet assouplissement joue « sans préjudice d’application, le cas échéant, de la réglementation à laquelle l’organisateur est soumis ». Autrement dit : pour un CSE, l’article R. 2314-9 du code du travail reste la norme supérieure, et la recommandation CNIL ne peut pas en dispenser.

Qui peut être expert

Trois critères cumulatifs (point 38) :

• être informaticien spécialisé en sécurité ;
• ne présenter aucun conflit d’intérêts avec l’organisateur, avec le fournisseur du système ni avec les autres briques du système d’information support ;
• posséder une expérience dans l’analyse des systèmes de vote, si possible en ayant expertisé les systèmes d’au moins deux prestataires différents.

Ce troisième critère est nouveau dans sa formulation et resserre sérieusement le marché. Dans mon expérience, c’est le point sur lequel les organisateurs se font prendre en défaut : le prestataire de vote « propose un expert », lequel n’a jamais audité que la solution du prestataire en question. La CNIL rappelle par ailleurs que l’expert, ayant accès à du code source non publié, doit protéger ces éléments — reproductions limitées dans son rapport, conservation en espace sécurisé dédié, suppression au terme de la durée nécessaire.

Ce que couvre l’expertise de niveau 3

Le périmètre est détaillé au point 40 et se lit comme un cahier des charges :

• la solution logicielle : code source de la version effectivement déployée, mécanismes cryptographiques, mécanismes de scellement à chaque étape, cohérence entre le protocole publié et la solution réellement déployée ;
• les conditions d’exploitation : systèmes hébergeant chaque étape (y compris dépouillement et archivage), modalités d’administration, gestion des secrets de l’élection ;
• les modalités propres au scrutin : évaluation du niveau de risque, constitution des listes et enrôlement, mécanismes d’authentification et transmission des moyens d’accès, pertinence de la documentation et de la notice explicative, accessibilité pour les électeurs peu équipés.

L’expert doit en outre vérifier que les composants expertisés n’ont pas été modifiés sur le système utilisé pendant le scrutin, en décrivant sa méthode — empreintes numériques, par exemple. C’est cette vérification qui manque presque toujours dans les rapports que j’ai eu l’occasion de lire.

Élections de CSE : le cadre reste plus strict que la recommandation

Pour les élections professionnelles dans le secteur privé, le code du travail impose une architecture que la recommandation CNIL vient compléter, jamais remplacer.

Ouverture du recours : accord d’entreprise ou de groupe (art. R. 2314-5). À défaut d’accord, l’employeur peut décider unilatéralement — mais il doit avoir loyalement ouvert une négociation au préalable.

Chronologie : c’est le point qui coûte le plus cher. Par un arrêt du 5 novembre 2025 (n° 24-60.169), la chambre sociale a jugé que le protocole d’accord préélectoral ne peut être valablement signé qu’après l’entrée en vigueur de l’accord autorisant le vote électronique. Dans l’espèce, l’accord d’entreprise avait été conclu le 2 mars 2023 mais déposé — donc entré en vigueur, faute de clause contraire — le 7 avril. Le PAP signé entre les deux dates a suffi à faire annuler les élections. La parade est simple : insérer dans l’accord une clause fixant expressément une date d’entrée en vigueur.

Cahier des charges : établi dans le cadre de l’accord ou, à défaut, par l’employeur (art. R. 2314-6 et s.). Il doit être tenu à disposition des salariés sur le lieu de travail et mis sur l’intranet lorsqu’il en existe un. Il couvre la confidentialité des données transmises, la sécurité de l’adressage des moyens d’authentification, de l’émargement, de l’enregistrement et du dépouillement.

Expertise : préalablement à la mise en place du système ou à toute modification substantielle de sa conception, une expertise indépendante vérifie le respect des articles R. 2314-5 à R. 2314-8 (art. R. 2314-9). Le rapport est tenu à disposition de la CNIL.

Sur ce dernier point, la Cour de cassation a apporté une clarification utile le 26 mars 2025 (n° 24-12.607) : une simple mise à jour du système n’est pas une modification substantielle imposant une nouvelle expertise, et la charge de la preuve du caractère substantiel pèse sur celui qui l’invoque. La décision converge avec l’assouplissement de la CNIL, mais attention : le Conseil d’État retient traditionnellement une lecture plus exigeante, imposant un contrôle avant chaque scrutin. Selon que votre contentieux relève du juge judiciaire ou du juge administratif, la réponse n’est donc pas la même.

Coexistence vote papier / vote électronique : possible, l’ouverture du vote papier n’ayant lieu qu’après la clôture du vote électronique. La recommandation ajoute deux exigences : les modalités doivent offrir les mêmes possibilités de choix (vote blanc compris), et le responsable de traitement doit s’assurer qu’un électeur ne puisse pas voter deux fois.

Sur les obligations RGPD du CSE lui-même une fois élu — registre, information des élus, gestion des œuvres sociales — voyez notre guide RGPD et CSE, ainsi que le panorama des obligations de l’employeur en matière de données RH.

Fonction publique : le rapport d’expertise doit être transmis à la CNIL

Le régime des trois fonctions publiques est distinct et plus contraignant. Les articles R. 211-518 à R. 211-521 du code général de la fonction publique imposent une expertise préalable obligatoire du système de vote.

Depuis 2024, les rapports d’expertise doivent être transmis à la CNIL — obligation que la Commission a rappelée le 23 juin 2026 en précisant les modalités pratiques : envoi à vote-electronique[at]cnil.fr, messages limités à 7 Mo, lien vers une plateforme de transfert sécurisée au-delà sur simple demande.

Trois catégories de documents sont attendues :

• les rapports établis avant le scrutin par l’expert indépendant, portant sur l’intégralité de la solution, les procédures et conditions d’utilisation pendant le scrutin, les conditions d’utilisation de l’équipement informatique et les procédures postérieures au vote (procès-verbaux, archivage de l’art. R. 211-580) ;
• le rapport final établi à l’issue des opérations, comprenant notamment la création et l’attribution des fragments de la clé privée de déchiffrement, le scellement du système, les opérations de vote, le dépouillement et l’archivage ;
• le cas échéant, les rapports complémentaires demandés par l’autorité organisatrice.

La même adresse peut être utilisée pour poser une question à la CNIL, ou pour transmettre volontairement un rapport lorsqu’on ne relève pas de l’obligation. Pour les collectivités, cette obligation s’ajoute au socle de sécurité déjà décrit dans notre analyse NIS2 et collectivités.

Point de calendrier : la CNIL avait indiqué en novembre 2025 que la recommandation de 2019 s’appliquerait aux élections des représentants du personnel de la fonction publique prévues en 2026, compte tenu des délais techniques et organisationnels. Plus largement, les scrutins déjà en préparation et prévus en 2026 peuvent continuer à appliquer la version de 2019. La nouvelle recommandation s’applique en revanche à tout nouveau scrutin.

Information des électeurs et accessibilité : deux obligations distinctes

Une confusion fréquente mérite d’être levée : la notice explicative sur le déroulement du vote ne remplace pas la mention d’information RGPD.

La CNIL demande une notice explicative fournie en temps utile et facilement compréhensible, détaillant les opérations de vote, les étapes permettant de voter et le fonctionnement général du système. Elle précise expressément que cette notice « ne se substitue pas aux obligations de transparence et d’information imposées par les articles 12, 13 et 14 du RGPD ». Il vous faut donc les deux documents, tous deux accessibles depuis l’ensemble des supports de communication destinés aux électeurs. Notre modèle d’information des salariés peut servir de base pour le second.

La Cour de cassation a jugé en septembre 2025 que l’affichage sur le lieu de travail ne suffit pas lorsque seule une partie des salariés a reçu la documentation individuellement : chaque électeur doit recevoir la notice, par tout moyen.

Deuxième exigence, souvent négligée : les électeurs doivent comprendre comment leur bulletin est pris en compte, y compris les éventuels traitements statistiques appliqués aux résultats et les mécanismes de scrutins indirects.

Troisième exigence, l’accessibilité, que la CNIL rattache directement à la sincérité du scrutin :

• le système doit être accessible aux personnes en situation de handicap, notamment visuel ;
• les organismes publics ou délégataires d’une mission de service public doivent respecter le RGAA ; les autres sont fortement invités à en suivre les prescriptions ;
• le recours exclusif au vote électronique ne doit pas exclure les électeurs sans compétences informatiques ou sans accès régulier à du matériel adapté. Trois palliatifs sont suggérés : mise à disposition d’un équipement dédié et sécurisé, accompagnement humain respectant le secret et la liberté du vote, ou modalités de vote alternatives.

Après le scrutin : conservation sous scellés et destruction

La partie la moins spectaculaire de la recommandation est celle qui produit le plus d’infractions silencieuses.

Les fichiers nécessaires à un contrôle a posteriori — copies des codes sources et exécutables, matériels de vote, fichiers d’émargement, résultats, sauvegardes — doivent être conservés sous scellés jusqu’à l’épuisement des voies et délais de recours contentieux, sous le contrôle de l’organisateur et dans des conditions garantissant le secret du vote. Ce point rejoint les exigences générales de l’archivage à valeur probante.

Le système doit pouvoir prouver, pour un audit externe :

• que le procédé de scellement est resté intègre pendant le scrutin ;
• que les clés de chiffrement et de déchiffrement ne sont connues que de leurs seuls détenteurs ;
• que le vote est anonyme lorsque la loi l’impose ;
• que la liste d’émargement ne comprend que les électeurs ayant voté ;
• que l’urne dépouillée est bien celle contenant les suffrages, et rien d’autre ;
• qu’aucun décompte partiel n’a pu être effectué pendant le scrutin ;
• que le dépouillement peut être vérifié a posteriori et s’est déroulé correctement.

Deux obligations closent le cycle. D’une part, lorsqu’il existe des preuves mathématiques permettant de vérifier l’exactitude du décompte sans nouveau dépouillement, la CNIL recommande de supprimer les moyens de déchiffrement des bulletins après le dépouillement — ou, à défaut, de les confier à un tiers de confiance indépendant des parties. D’autre part, l’organisateur doit imposer contractuellement à ses prestataires le transfert de l’ensemble des supports vers la personne désignée pour leur conservation, puis procéder à leur destruction sous son contrôle une fois les délais de recours épuisés, en présence des parties qui souhaitent y assister.

Ces clauses de restitution et de destruction relèvent du contrat de sous-traitance de l’article 28 du RGPD : elles doivent figurer dans le contrat avec le prestataire de vote, pas dans un simple échange de courriels après le scrutin.

Ce qu’il faut faire, dans l’ordre

1. Positionner le scrutin sur l’échelle de risque avec la grille des quatorze questions, et conserver la trace du raisonnement.
2. Vérifier la chronologie juridique : accord (avec clause d’entrée en vigueur), puis PAP, puis cahier des charges, puis expertise, puis scrutin.
3. Écrire le cahier des charges à partir des objectifs de sécurité du niveau retenu — pas à partir de la plaquette du prestataire. Pour un niveau 3, y inscrire explicitement la publication du code source du client de vote et la vérifiabilité par outil tiers.
4. Choisir l’expert avant de choisir la solution, en vérifiant les trois critères d’indépendance et d’expérience.
5. Réaliser l’AIPD et inscrire le traitement au registre.
6. Produire deux documents distincts : notice explicative sur le vote, et mention d’information RGPD.
7. Cadrer contractuellement l’après-scrutin : scellés, transfert des supports, destruction.

Le point 3 est celui qui distingue les scrutins qui tiennent en contentieux de ceux qui tombent. La recommandation CNIL étant technologiquement neutre, elle ne se traduit pas d’elle-même en spécifications : c’est un travail de traduction, objectif par objectif, que trop d’organisateurs délèguent à leur fournisseur. C’est aussi ce type de cartographie exigences / preuves que Legiscope permet d’industrialiser lorsque l’organisation gère plusieurs scrutins par an.

Ce qu’il faut retenir

• La délibération n° 2026-045 du 19 mars 2026 remplace la recommandation de 2019 et abroge celle de 2010. Les scrutins déjà en préparation et prévus en 2026 peuvent rester sous le régime de 2019 ; tout nouveau scrutin relève du régime 2026.
• Le questionnaire d’auto-évaluation est désormais dans le texte : 14 questions, 0-4 points pour le niveau 1, 5-8 pour le niveau 2, plus de 8 pour le niveau 3. Une élection de représentants du personnel atteint mécaniquement le niveau 2 ou 3.
• L’expertise est assouplie pour les niveaux 1 et 2 — réutilisation possible d’un rapport de moins de 24 mois (niveau 1) ou 12 mois (niveau 2) — mais reste due à chaque scrutin au niveau 3. Pour un CSE, l’art. R. 2314-9 du code du travail continue de s’appliquer par-dessus.
• La transparence monte d’un cran : publication du protocole de vote en amont au niveau 2, publication du code source du client de vote au niveau 3.
• Le juge n’exige pas la preuve matérielle de la fraude. Des attestations concordantes de salariés n’ayant pas pu voter suffisent à faire annuler le scrutin (Cass. soc., 11 sept. 2024, n° 23-16.209), quelles que soient les précautions prises.
• Dans la fonction publique, les rapports d’expertise se transmettent à la CNIL, à l’adresse dédiée vote-electronique[at]cnil.fr, avant et après le scrutin.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL décryptées, échéances réglementaires, méthodes applicables : inscrivez-vous à la newsletter.

---

FAQ

La recommandation CNIL sur le vote électronique est-elle obligatoire ?

Non, une recommandation relève du droit souple : elle n’a pas de valeur contraignante propre. Mais elle constitue l’état de l’art auquel la CNIL et le juge se réfèrent pour apprécier le respect de l’Art. 32 du RGPD. Surtout, pour les élections professionnelles, certaines exigences sont reprises par des textes contraignants — cahier des charges et expertise indépendante aux articles R. 2314-5 à R. 2314-9 du code du travail, expertise obligatoire aux articles R. 211-518 à R. 211-521 du code général de la fonction publique. S’en écarter reste possible, à condition de pouvoir justifier des mesures au moins équivalentes.

Faut-il refaire une expertise indépendante avant chaque élection du CSE ?

Pas nécessairement. L’article R. 2314-9 du code du travail impose l’expertise préalablement à la mise en place du système ou à toute modification substantielle de sa conception. La Cour de cassation a jugé le 26 mars 2025 (n° 24-12.607) qu’une simple mise à jour ne constitue pas une modification substantielle, et que la charge de la preuve du caractère substantiel repose sur celui qui l’invoque. La recommandation CNIL 2026 va dans le même sens pour les scrutins de niveau 1 et 2, sous réserve que l’expertise antérieure date de moins de 24 ou 12 mois selon le niveau. Attention toutefois : le Conseil d’État retient une lecture plus exigeante, imposant un contrôle avant chaque scrutin.

Comment déterminer le niveau de risque de mon scrutin ?

En appliquant la grille de quatorze questions intégrée à la recommandation : onze questions valent 1 point, trois en valent 2. Un score de 0 à 4 correspond au niveau 1, de 5 à 8 au niveau 2, au-delà de 8 au niveau 3. Son usage est facultatif et le résultat indicatif : c’est l’organisateur qui retient le niveau, en tenant compte du contexte, et qui devra pouvoir justifier son analyse — l’expert indépendant peut d’ailleurs évaluer cette détermination. En cas de doute entre deux niveaux, la CNIL recommande de retenir le plus élevé.

Une AIPD est-elle obligatoire pour un vote électronique ?

La CNIL recommande une AIPD pour tout scrutin et indique que pour un scrutin de niveau 3, elle est susceptible de constituer une obligation, en particulier lorsque le traitement implique la collecte de données sensibles à large échelle. Une élection de représentants du personnel révélant des appartenances syndicales — données protégées par l’Art. 9 — la question se pose systématiquement. En pratique, il est plus économique de réaliser l’analyse que de documenter pourquoi on ne la fait pas.

Peut-on organiser un scrutin politique par vote électronique en France ?

Très marginalement. La loi française réserve le vote par correspondance électronique, pour les scrutins politiques, aux Français résidant à l’étranger — élections législatives et élections des conseillers des Français de l’étranger. La CNIL reste très réservée sur cette modalité pour les scrutins politiques, particulièrement lorsqu’un vote en présentiel est possible, et demande d’appliquer a minima le niveau de risque le plus élevé. Elle déconseille purement et simplement le vote électronique lorsque les sources de menace cumulent ressources importantes et forte motivation, par exemple en cas de risque d’ingérence étrangère identifié.

Que faire des données du scrutin après la proclamation des résultats ?

Les fichiers nécessaires à un contrôle a posteriori — codes sources et exécutables, matériels de vote, fichiers d’émargement, résultats, sauvegardes — se conservent sous scellés jusqu’à l’épuisement des voies et délais de recours, sous le contrôle de l’organisateur et dans des conditions garantissant le secret du vote. Lorsque des preuves mathématiques permettent de vérifier le décompte sans nouveau dépouillement, la CNIL recommande de supprimer les moyens de déchiffrement ou de les confier à un tiers de confiance. Une fois les délais épuisés sans contentieux, les supports doivent être détruits sous le contrôle de l’organisateur.

Le vote électronique peut-il coexister avec le vote papier ?

Oui. Dans ce cas, l’ouverture du vote papier n’a lieu qu’après la clôture du vote électronique. La recommandation ajoute deux conditions : les différentes modalités doivent offrir les mêmes possibilités de choix aux électeurs, vote blanc compris lorsqu’il est prévu, afin de ne pas créer de distorsion selon le moyen utilisé ; et le responsable de traitement doit s’assurer qu’un même électeur ne puisse pas voter deux fois.