Le 7 octobre 2026, la Cour de cassation a annulé les élections CSE d’une entreprise de transport urbain, organisées par vote électronique. Le motif tient en une phrase : un rapport d’expertise sur le logiciel du prestataire, même sérieux et récent, ne suffit pas. Il faut aussi faire expertiser la façon dont le vote est déployé dans votre entreprise, et le faire avant l’ouverture du scrutin. Voici ce que dit l’arrêt, ce que la CNIL a changé en 2026, et ce que vous devez vérifier avant vos prochaines élections.
Les faits : une expertise sérieuse, mais pas la bonne
Une entreprise de transport urbain organisait ses élections CSE avec un prestataire de vote électronique. Voici la chronologie :
Juin 2023 : une expertise générique de la solution du prestataire est réalisée. Elle porte sur l’infrastructure, le chiffrement, le scellement et le code source. C’est un rapport sérieux.
Novembre 2023 : les élections ont lieu.
Juillet 2024 : l’expertise complémentaire sur la mise en œuvre propre à l’entreprise est enfin réalisée, huit mois après le scrutin.
Saisi du litige, le tribunal judiciaire avait jugé que l’expertise de juin 2023 suffisait. La Cour de cassation n’est pas d’accord.
Ce que juge la Cour de cassation (pourvoi n° 24-60.207)
Pour la chambre sociale, l’expertise indépendante prévue par l’article R. 2314-9 du Code du travail doit porter sur deux choses.
1. Le logiciel du prestataire
Ses caractéristiques générales : infrastructure, chiffrement, scellement, code source.
2. Les conditions de déploiement propres à votre scrutin
Ce volet couvre l’authentification des électeurs, le secret du vote, l’intégrité des suffrages, la sincérité des opérations et la possibilité d’un contrôle a posteriori.
Et elle doit être faite avant le vote
Un complément réalisé après le scrutin ne répare rien. Les élections ont été annulées sans renvoi devant une autre juridiction. L’arrêt est publié au Bulletin, signe que la Cour lui donne une portée générale.
Que vérifie concrètement l’expertise du déploiement ?
Elle ne refait pas l’audit du logiciel. Elle porte sur la façon dont la solution est mise en place pour votre scrutin. Les éléments à examiner sont ceux que le juge regarde : vos listes électorales, l’envoi des identifiants aux électeurs, le paramétrage de la plateforme et le scellement avant l’ouverture du vote.
L’objectif est de s’assurer que les cinq garanties citées par la Cour sont tenues : authentification des électeurs, secret du vote, intégrité des suffrages, sincérité des opérations et contrôle possible après coup. Un logiciel solide peut être mal paramétré. Et c’est le scrutin concret, pas le logiciel en général, qui sera contesté devant le juge.
Ce que la CNIL recommande depuis 2026
La CNIL a adopté le 19 mars 2026 une nouvelle recommandation sur le vote par correspondance électronique (délibération n° 2026-045). Elle remplace celle de 2019. Sur l’expertise, elle recommande :
- Une expertise indépendante avant la première utilisation de toute solution de vote ;
- Une expertise à chaque scrutin pour le niveau de risque 3 ;
- Pour les niveaux 1 et 2, de laisser l’organisateur décider de l’opportunité d’une expertise, avec la possibilité de reprendre des éléments d’une expertise antérieure sur les briques logicielles.
Cette reprise est encadrée. L’expertise ne doit pas dater de plus de 24 mois pour un scrutin de niveau 1, ni de plus de 12 mois pour un scrutin de niveau 2. Il faut aussi pouvoir vérifier que l’élément expertisé n’a pas été modifié depuis, et qu’aucune vulnérabilité ne l’a touché entre temps.
Comment se détermine le niveau de risque ?
L’organisateur répond à une grille de 14 questions. En cas de doute, la CNIL demande de retenir le niveau le plus élevé.
| Niveau | Score à la grille | Expertise recommandée |
| 1 | 0 à 4 points | L’organisateur décide. Reprise possible d’une expertise de moins de 24 mois, sous conditions |
| 2 | 5 à 8 points | L’organisateur décide. Reprise possible d’une expertise de moins de 12 mois, sous conditions |
| 3 | Plus de 8 points | Expertise à chaque scrutin |
Pourquoi l’arrêt appelle à la prudence ?
On pourrait croire que la grille de la CNIL suffit à se protéger. Ce serait une erreur, pour deux raisons.
- La recommandation de la CNIL reste une recommandation. L’article R. 2314-9 est un texte réglementaire, que le juge applique.
- Le juge examine l’élection concrète : vos listes électorales, la façon dont les identifiants sont envoyés, le paramétrage, le scellement. Une expertise générique de la solution ne couvre pas tout cela, même si elle est récente et de bonne qualité.
En clair, quand la CNIL laisse la décision à l’organisateur, c’est l’organisateur qui en assume le risque.
Les trois enseignements à retenir
- Le rapport générique de la solution de vote fourni par le prestataire ne suffit pas à lui seul. Il est utile, mais il ne couvre que le logiciel.
- L’expertise du déploiement et du paramétrage doit être terminée avant l’ouverture du vote, pas régularisée après.
- Un niveau de risque 1 ou 2 ne dispense pas de faire vérifier votre propre paramétrage. C’est la lecture prudente que nous faisons de l’arrêt, pas une règle posée par la CNIL.
Qui réalise l’expertise, et qui la commande ?
La CNIL recommande de confier l’expertise à un informaticien spécialisé en sécurité, sans conflit d’intérêt avec l’organisateur comme avec le fournisseur. Elle préfère un expert qui a déjà examiné les systèmes d’au moins deux prestataires différents. L’expertise peut être commandée par le fournisseur de la solution, à condition que l’indépendance de l’expert soit garantie.
Elle demande aussi à l’expert de vérifier que les composants audités n’ont pas été modifiés, par exemple avec des empreintes numériques. Demandez donc à votre prestataire qui a commandé l’expertise, quand, et quel est le périmètre exact du rapport.
Checklist avant d’ouvrir le vote
Posez ces questions à votre prestataire, puis vérifiez les réponses avec votre expert :
- Quelle expertise de la solution existe, de quand date-t-elle et que couvre-t-elle (infrastructure, chiffrement, scellement, code source) ?
- Les composants expertisés ont-ils été modifiés depuis ? La CNIL demande à l’expert de le vérifier, par exemple avec des empreintes numériques.
- L’expertise de votre déploiement est-elle commandée, avec un périmètre écrit : authentification des électeurs, listes électorales, envoi des identifiants, paramétrage, scellement ?
- Le rapport sera-t-il remis avant l’ouverture du vote, avec le temps de traiter d’éventuelles réserves ?
- L’expert est-il indépendant, sans conflit d’intérêt avec vous ni avec le prestataire ?
- Quel niveau de risque avez-vous retenu, et sur quelles réponses à la grille ? En cas de doute, retenez le niveau supérieur.
Comment Paragon Élections vous accompagne ?
Paragon Élections accompagne les organisateurs de scrutin par internet, par correspondance ou en vote mixte, à chaque étape. Pour chaque client, Paragon transmet aussi le rapport d’expertise qui confirme que les caractéristiques générales de la solution respectent les recommandations de la CNIL. Après cet arrêt, ce rapport reste nécessaire, mais il ne remplace pas l’expertise de votre scrutin.
Avant le vote
- Conseil sur le cadre réglementaire et les délais à respecter ;
- Modèles de documents, dont l’accord et le protocole d’accord préélectoral ;
- Choix de la configuration et de la communication ;
- Réception de vos données (électeurs, candidats), paramétrage de la plateforme, tests, recette et scellement du système.
Pendant le vote
- Supervision du bon déroulement ;
- Suivi du taux de participation et conseils pour l’améliorer ;
- Assistance aux organisateurs et à la commission électorale, assistance téléphonique des électeurs.
Après le vote
- Support au dépouillement, calcul des résultats, attribution des sièges et génération automatique des procès-verbaux à signer ;
- Rappel des démarches et du délai de recours ;
- Archivage puis destruction des données (RGPD).
Le paramétrage et le scellement font partie des éléments sur lesquels portera l’expertise de votre déploiement.
La décision de faire réaliser, ou non, une expertise indépendante de votre déploiement vous revient, et le risque aussi. Cet arrêt montre que le juge peut annuler des élections quand elle manque.
En résumé
En cas de contestation, le juge ne se demandera pas si le logiciel est bon en général. Il regardera si votre élection, avec vos listes et vos paramètres, a été vérifiée avant l’ouverture du vote.
Questions fréquentes
Un rapport d’expertise de moins de 12 mois suffit-il pour mon vote ?
Non, pas à lui seul. Il peut couvrir le logiciel, mais l’arrêt du 7 octobre 2026 exige aussi l’expertise des conditions de déploiement propres à votre scrutin.
Mon scrutin est de niveau 1 ou 2 : dois-je faire une expertise ?
La CNIL laisse l’organisateur décider. Mais sa recommandation n’est pas un texte réglementaire, contrairement à l’article R. 2314-9 que le juge applique. Nous vous conseillons de faire au moins vérifier votre paramétrage.
Quand faire l’expertise du déploiement ?
Avant l’ouverture du vote. Dans l’affaire jugée, un complément réalisé en juillet 2024, huit mois après le scrutin, n’a pas évité l’annulation. Prévoyez-la dès que vous préparez vos listes et le paramétrage.
Comment savoir si mon scrutin est de niveau 1, 2 ou 3 ?
Le niveau résulte d’une grille de 14 questions que l’organisateur remplit. Le niveau 1 correspond à des scrutins de petite taille et peu conflictuels, le niveau 3 à un nombre élevé de votants, un enjeu élevé ou un climat conflictuel. Gardez une trace de vos réponses, et en cas de doute retenez le niveau supérieur.
