Analyse · Conformité

Vote électronique : ce que change vraiment la recommandation CNIL du 24 avril 2026

Adoptée par délibération n° 2026-045 du 19 mars 2026 et publiée au Journal officiel le 24 avril, la nouvelle recommandation de la CNIL sur la sécurité des systèmes de vote par correspondance électronique abroge celles de 2010 et de 2019. Sept ans séparent les deux derniers textes, pendant lesquels le vote électronique s’est généralisé. Voici ce qui change concrètement.

Un cadre désormais en deux textes

La principale nouveauté n’est pas dans le texte de la CNIL, mais dans son articulation avec un second document. L’ANSSI a publié le même jour son guide ANSSI-PA-118, consacré à la mise en œuvre du vote par internet pour les élections non politiques.

La répartition est nette : la CNIL fixe les objectifs de sécurité à atteindre, l’ANSSI apporte pour chacun les recommandations techniques permettant d’y répondre. Les deux documents sont explicitement conçus pour être utilisés ensemble.

Pour un organisateur, il ne suffit donc plus de lire la recommandation. Pour chaque objectif, la question devient : quelle recommandation technique de l’ANSSI y répond, et l’avons-nous mise en œuvre ? Le guide marque d’ailleurs chaque recommandation de son niveau. Celles de niveau 1 s’appliquent aux scrutins de niveaux 1, 2 et 3, celles de niveau 2 aux niveaux 2 et 3, celles de niveau 3 au seul niveau 3.

Les niveaux de risque : même logique, nouveaux critères

L’approche par niveaux, de 1 à 3, est conservée. Ce sont les critères d’appréciation qui ont été révisés, pour mieux tenir compte de la diversité des scrutins et de leurs enjeux propres. Le questionnaire d’auto-évaluation, auparavant disponible séparément, est maintenant intégré à la recommandation.

Le texte va plus loin sur les situations extrêmes. Lorsque les sources de menace cumulent des ressources importantes et une motivation forte, typiquement en présence d’un risque d’ingérence identifié, la recommandation déconseille le recours au vote électronique : les solutions disponibles ne permettent pas de couvrir ce niveau de risque.

Des objectifs réorganisés, et plus neutres technologiquement

La partie consacrée aux objectifs a été retravaillée. Certains ont été ajoutés, d’autres reformulés ou réorganisés. La CNIL cite notamment l’objectif 3.02 sur la vérifiabilité du bon dépouillement de l’urne et l’objectif 3.04 sur les modalités de manipulation du secret permettant le dépouillement.

Un changement de philosophie mérite d’être signalé : à la suite de la consultation publique, plusieurs objectifs ont été reformulés de façon plus neutre technologiquement. Le texte insiste sur les objectifs à atteindre en laissant le choix des moyens, à condition de pouvoir justifier et documenter ces choix. C’est une liberté qui a une contrepartie : un organisateur qui retient une solution non prévue par le guide ANSSI devra expliquer pourquoi elle atteint l’objectif. La charge de la démonstration se déplace vers lui.

La transparence renforcée

C’est l’un des axes les plus nets du nouveau texte. Au titre d’un objectif de niveau 2, le protocole de vote doit être publié en amont du scrutin. Au titre d’un objectif de niveau 3, c’est le code source du client de vote qui doit l’être, pour les scrutins les plus sensibles. Les électeurs doivent par ailleurs recevoir en amont une note expliquant comment leurs données sont traitées.

Pour les éditeurs de solutions propriétaires, l’exigence de publication du code source du client sur les scrutins de niveau 3 est un changement de fond. Elle acte que la sécurité d’un système de vote ne peut plus reposer sur la seule confiance accordée au fournisseur.

L’expertise indépendante : le régime évolue

C’est le point qui concerne le plus directement les organisateurs, et celui qui est le plus souvent mal compris. Le principe est renforcé : tout système de vote doit être expertisé avant sa première utilisation. Les modalités, elles, varient selon le niveau.

• ·Niveau 3 : une expertise est attendue à l’occasion de chaque élection.
• ·Niveaux 1 et 2 : l’organisateur peut s’appuyer sur une expertise préalable et définir lui-même le périmètre.

Cette évolution est souvent présentée comme un assouplissement. Elle l’est, avec deux nuances. Elle ne dispense pas de l’expertise initiale : un système jamais expertisé ne se met pas en service, quel que soit le niveau. Et s’appuyer sur une expertise antérieure suppose qu’elle porte sur le système effectivement utilisé. Une expertise conduite sur une autre version, une autre infrastructure ou des procédures modifiées ne couvre pas le scrutin en cours. En cas de contestation, c’est précisément ce point qui sera examiné.

Calendrier d’application

Une période de transition est prévue : les scrutins déjà en préparation et prévus en 2026 peuvent continuer d’appliquer la version de 2019. En revanche, la nouvelle recommandation s’applique à tout nouveau scrutin. Un organisateur qui engage aujourd’hui la préparation d’un scrutin doit donc raisonner sur le référentiel 2026, y compris pour la détermination du niveau de risque et pour l’expertise.

Ce qu’il faut faire maintenant

Pour un éditeur de solutions, la question est plus large : le produit satisfait-il les objectifs applicables dans sa version actuelle, et le dossier documentaire permet-il de le démontrer à un tiers ?