Vote électronique RGPD :
conformité CNIL & sécurité

Vote électronique et RGPD : ce que dit la loi

Tout vote électronique traite des données personnelles : a minima l'identité des électeurs, leurs coordonnées d'authentification et leur participation au scrutin. À ce titre, il entre dans le champ du RGPD et de la loi Informatique et Libertés de 1978. La CNIL a précisé ses attentes dans une recommandation spécifique relative à la sécurité des systèmes de vote par correspondance électronique, adoptée le 26 janvier 2021 et faisant l'objet de mises à jour régulières (2025/2026). Cette recommandation est la principale source d'autorité pour évaluer la conformité d'une plateforme.

Il faut distinguer « conforme CNIL » et « conforme RGPD » : la conformité RGPD porte sur le traitement des données (base légale, information, durées, droits des personnes), tandis que la recommandation CNIL ajoute des exigences de sécurité propres au vote (objectifs de sécurité, niveaux 1/2/3, expertise). Une solution de vote électronique conforme RGPD doit satisfaire les deux. Ces principes s'appliquent sous réserve des règles particulières de votre forme juridique et de vos statuts.

• Cadre applicable : RGPD, loi Informatique et Libertés, recommandation CNIL (26 janvier 2021, mise à jour mars 2026)
• Le RGPD vote électronique concerne aussi bien les élections de CSE que les AG d'associations, de copropriétés ou d'entreprises
• La recommandation CNIL n'est pas une norme contraignante en soi, mais c'est le référentiel d'appréciation utilisé en cas de contrôle ou de contentieux
• Documenter chaque mesure technique et organisationnelle relève du principe d'« accountability » (responsabilité de démontrer la conformité)

Recommandation CNIL 2026 : ce qui change pour les AG

La première recommandation de la CNIL sur le vote électronique datait de 2003, révisée substantiellement en 2021. En mars 2026, la CNIL a publié une mise à jour qui tient compte de l'évolution des cybermenaces et de l'émergence de nouveaux contextes — dont les assemblées générales dématérialisées, longtemps ignorées au profit des seules élections professionnelles (CSE). C'est un tournant : la CNIL reconnaît explicitement que les AG d'associations, de copropriétés et d'entreprises entrent dans le champ de ses recommandations, au même titre que les élections de personnel.

Concrètement, la version 2026 renforce trois points par rapport à 2021 : (1) l'exigence de vérifiabilité de bout en bout pour les scrutins de niveau 3, avec production d'une preuve mathématique publiable que chaque bulletin a bien été comptabilisé sans déchiffrement individuel ; (2) la clarification des critères de classification pour passer du niveau 1 au niveau 2, afin d'éviter la sous-estimation du risque dans les AG de taille moyenne ; (3) l'obligation, pour les prestataires, de remettre un rapport d'expert indépendant à jour (datant de moins de 36 mois) et non plus seulement pour les scrutins CSE. Pour les AG d'associations ou de copropriétés dépassant certains seuils, la recommandation 2026 recommande désormais un niveau 2 minimum, sous réserve de l'analyse de risque propre à chaque organisation.

• 2003 → 2021 → 2026 : trois générations de recommandations CNIL, chacune élargissant le périmètre
• La version 2026 intègre explicitement les AG (associations, copropriétés, entreprises) — pas uniquement les élections de CSE
• Vérifiabilité de bout en bout renforcée pour le niveau 3 : preuve cryptographique publiable
• Rapport d'expert indépendant : exigé pour tous les scrutins de niveau 3, quelle que soit la forme juridique
• Durée de validité du rapport d'expertise : 36 mois maximum selon la recommandation 2026
• Vérifiez que votre prestataire dispose bien d'un rapport à jour, daté après mars 2026

Les 3 niveaux de sécurité CNIL : quel scrutin pour quel niveau

La CNIL définit trois niveaux de sécurité, déterminés par une analyse de risque propre à votre scrutin. Le niveau requis dépend de l'impact d'une atteinte à la confidentialité ou à l'intégrité du vote, et du profil des personnes susceptibles d'attaquer le système (de l'électeur isolé jusqu'à un attaquant disposant de moyens importants). Plus l'enjeu et le risque sont élevés, plus les mesures de sécurité, de chiffrement et de contrôle indépendant se renforcent.

C'est à l'organisateur, idéalement avec son DPO, de déterminer le niveau adapté avant de choisir une solution. Aucun des comparateurs grand public ne détaille ces niveaux ; ils sont pourtant le cœur de la conformité.

• Niveau 1 : scrutins à faible enjeu et faible risque (consultations internes, votes d'AG ordinaire d'une petite association). Mesures de sécurité de base, chiffrement et séparation électeurs/urne.
• Niveau 2 : enjeu et risque modérés (élections associatives importantes, AG de copropriété, votes engageants). Renforcement du chiffrement, du scellement de l'urne et de la traçabilité.
• Niveau 3 : enjeu fort et menace élevée (élections professionnelles de CSE très disputées, scrutins fédéraux). Chiffrement de bout en bout, séquestre des clés partagé, vérifiabilité et expertise indépendante du système.
• Le niveau se justifie par une analyse de risque écrite, conservée comme élément de preuve

Secret du vote, chiffrement et scellement de l'urne

Le cœur technique d'un vote électronique conforme RGPD repose sur la séparation stricte du fichier des électeurs (qui sert à l'authentification et à l'émargement) et de l'urne (qui contient les bulletins chiffrés). L'identité est séparée du contenu du vote : une fois le bulletin déposé, plus aucun lien ne doit permettre de le relier à son auteur, et les bulletins individuels ne sont jamais déchiffrés. C'est ainsi que l'on concilie l'émargement nominatif, nécessaire au quorum, et le secret du vote.

Le bulletin est chiffré de bout en bout avant son envoi ; l'urne est scellée pendant toute la durée du scrutin et ne peut être ouverte qu'à la clôture. Les clés de déchiffrement sont placées sous séquestre et réparties entre plusieurs membres du bureau de vote, de sorte qu'aucune personne seule ne puisse déchiffrer l'urne. Grâce au chiffrement homomorphe (ElGamal sur courbe Ristretto255), seul le résultat agrégé est calculé, sans jamais déchiffrer un bulletin isolé. La vérifiabilité cryptographique (à l'image des travaux sur Belenios, INRIA/CNRS) permet de contrôler que chaque bulletin a bien été pris en compte sans rompre le secret du vote.

• Séparation technique fichier électeurs / urne pour préserver le secret du vote
• Chiffrement du bulletin et scellement de l'urne pendant tout le scrutin
• Séquestre et partage des clés de déchiffrement entre plusieurs détenteurs
• Authentification forte des électeurs et horodatage de chaque opération
• Journal d'événements scellé et traçabilité des connexions pour prouver l'intégrité du scrutin

Données collectées, bases légales et durées de conservation

Le principe de minimisation des données (article 5 RGPD) impose de ne collecter que ce qui est strictement nécessaire au bon déroulement du scrutin. Pour un vote électronique, les catégories typiques sont : l'identité et les coordonnées des électeurs (liste électorale), les données d'authentification (identifiant unique, code à usage unique ou certificat), l'émargement (heure de vote, sans lien avec le bulletin), et les journaux d'événements techniques (connexions, tentatives d'authentification, erreurs). En aucun cas le système ne doit enregistrer des données superflues — centres d'intérêt, données de navigation, géolocalisation précise — qui ne seraient pas justifiées par une finalité déterminée.

La base légale du traitement varie selon le contexte : pour une AG d'association, il s'agit généralement de l'intérêt légitime de l'organisation ou de l'exécution d'une obligation statutaire ; pour les élections de CSE, la base légale est l'obligation légale (Code du travail, articles R2314-5 à R2314-17). La durée de conservation doit être proportionnée à la finalité : les résultats du scrutin peuvent être conservés le temps nécessaire à d'éventuelles contestations (souvent 3 à 5 ans selon vos statuts ou la loi applicable), mais les données d'authentification et les journaux d'événements n'ont pas vocation à être archivés au-delà de la période de contestation. Le droit à l'effacement (article 17 RGPD) s'applique dès lors que la finalité est atteinte et qu'aucune obligation légale ne justifie une conservation plus longue.

• Minimisation : collecter uniquement identité des électeurs, données d'authentification, émargement et journaux techniques
• Base légale selon le contexte : intérêt légitime ou obligation statutaire (AG), obligation légale (CSE, Code du travail R2314-5 à R2314-17)
• Durée de conservation des résultats : à fixer selon vos statuts et les délais de contestation applicables
• Données d'authentification et journaux : suppression après la période de contestation close
• Droit à l'effacement (art. 17 RGPD) : applicable dès que la finalité est atteinte
• Informer les électeurs des durées de conservation dans la notice d'information avant le scrutin

L'AIPD (analyse d'impact / PIA) : quand est-elle obligatoire

L'analyse d'impact relative à la protection des données (AIPD ou PIA) est un point souvent négligé alors qu'elle est fréquemment obligatoire pour un vote électronique. Elle s'impose dès lors que le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes — ce qui est typiquement le cas d'un vote en ligne traitant l'identité des électeurs à grande échelle ou portant sur des sujets sensibles, et plus encore pour les scrutins de niveau 2 ou 3.

L'AIPD décrit le traitement, évalue sa nécessité et sa proportionnalité, identifie les risques (perte de confidentialité, atteinte à l'intégrité, ré-identification) et les mesures qui les réduisent. Elle est conduite par le responsable de traitement, avec l'avis du DPO lorsqu'il existe. Une plateforme sérieuse fournit une trame d'AIPD et la documentation technique pour la compléter.

• Réaliser l'AIPD avant l'ouverture du scrutin, pas après
• Décrire le traitement, les finalités, les catégories de données et les destinataires
• Évaluer les risques et lister les mesures de sécurité (chiffrement, séparation, séquestre)
• Recueillir l'avis du DPO et conserver l'AIPD comme preuve de conformité

Ce qu'il faut vérifier dans le contrat avec votre prestataire (DPA, sous-traitance)

Lorsque vous confiez l'organisation d'un vote à un prestataire externe, celui-ci agit comme sous-traitant au sens de l'article 28 du RGPD. Vous, l'organisateur, restez responsable de traitement : en cas de contrôle ou de violation de données, c'est votre organisation qui doit rendre des comptes à la CNIL, même si la défaillance provient du prestataire. Cette réalité rend le contrat de sous-traitance (ou DPA, Data Processing Agreement) non pas une formalité administrative, mais un filet de sécurité juridique essentiel.

Un DPA conforme RGPD doit impérativement préciser : l'objet et la durée du traitement, les catégories de données traitées et les finalités autorisées, les mesures de sécurité techniques et organisationnelles mises en place, la localisation et les conditions d'hébergement des données (en France/UE, sans transfert hors UE non encadré), les modalités de sous-sous-traitance éventuelle (data centers, CDN, services e-mail), les procédures en cas de violation de données, et les conditions de restitution ou de suppression des données à la fin du contrat. Concernant l'hébergement souverain en France, vérifiez non seulement que le prestataire l'affirme, mais qu'il est en mesure de produire une attestation ou un certificat de localisation.

• Objet, durée, finalités et catégories de données clairement définis dans le DPA
• Mesures de sécurité : chiffrement, séparation électeurs/urne, séquestre des clés, audit-log
• Localisation des données : France ou UE, attestation de localisation exigible
• Absence de transfert hors UE non encadré (pas de sous-traitants soumis au Cloud Act sans garanties)
• Chaîne de sous-traitance : liste des sous-sous-traitants (hébergeur, CDN, messagerie) et accord préalable obligatoire
• Procédure de notification de violation de données : délai de 72 h pour vous prévenir (art. 33 RGPD)
• Fin de contrat : modalités de restitution et de suppression certifiée des données
• Pour les scrutins de niveau 3 : clause d'expertise indépendante et accès au rapport d'expert

Hébergement en France, souveraineté et choix du sous-traitant

La localisation des données est un critère décisif. Des données de vote hébergées en France ou dans l'UE limitent les risques de transfert hors UE et échappent à la portée extraterritoriale du Cloud Act, qui peut permettre à des autorités étrangères d'accéder à des données détenues par des acteurs soumis au droit américain. Pour les scrutins les plus sensibles, on privilégie des infrastructures certifiées (ISO 27001, HDS pour les données de santé, et pour la souveraineté, la qualification SecNumCloud de l'ANSSI).

Le prestataire de vote agit en règle générale comme sous-traitant au sens du RGPD, l'organisateur restant responsable de traitement. Ce partage des rôles doit être formalisé par un contrat de sous-traitance (clauses DPA) précisant les obligations de sécurité, la localisation des données, les durées de conservation et l'absence de transfert hors UE non encadré. Vérifiez ces clauses avant de signer.

• Données vote hébergées en France ou en UE, hors portée du Cloud Act
• Certifications utiles : ISO 27001, HDS, qualification SecNumCloud (ANSSI)
• Organisateur = responsable de traitement ; prestataire = sous-traitant
• Contrat de sous-traitance (DPA) avec engagements de sécurité et de localisation
• Expertise indépendante et audit tiers pour les scrutins de niveau 3

Un vote électronique RGPD conforme repose sur trois piliers que les comparateurs survolent : le bon niveau de sécurité CNIL (1/2/3) justifié par une analyse de risque, une AIPD et un registre des traitements à jour, et des données hébergées en France sous contrat de sous-traitance. La conformité se prouve par des documents, sous réserve de votre forme juridique et de vos statuts.