La publication, le 24 avril 2026, par la CNIL de sa recommandation actualisée relative à la sécurité des systèmes de vote par correspondance électronique constitue une étape déterminante dans l’encadrement juridique de ces dispositifs. Adoptée par délibération du 19 mars 2026, cette mise à jour s’inscrit dans un contexte marqué par la diffusion croissante du vote électronique et par l’intensification des risques de cybersécurité.
Ce texte ne se limite pas à une simple actualisation du référentiel de 2019 : il recompose le cadre applicable en articulant plus étroitement les exigences issues du droit des données personnelles avec les contraintes techniques formulées par l’ANSSI, avec des effets significatifs sur les analyses d’impact comme sur la conception et l’exploitation des logiciels de vote.
De la prescription à l’obligation de démonstration
Là où la version antérieure reposait sur une logique prescriptive, le nouveau texte privilégie une approche fondée sur des objectifs de sécurité. Il ne s’agit plus d’imposer des moyens déterminés, mais d’exiger des acteurs qu’ils démontrent que les principes fondamentaux du vote — secret du suffrage, sincérité du scrutin, transparence du processus — sont effectivement garantis. La conformité ne peut donc plus être présumée : elle doit être établie, documentée et justifiée. Tout écart significatif est susceptible d’être interprété comme un manquement à l’obligation de sécurité du RGPD.
Le rôle central de l’analyse d’impact
Compte tenu de la nature des données traitées et des risques pour les droits et libertés, ces dispositifs relèvent désormais, de manière quasi systématique, des traitements nécessitant une analyse d’impact (AIPD). Celle-ci devient un véritable instrument d’aide à la décision, permettant d’évaluer l’opportunité même du recours au vote électronique, et doit démontrer concrètement la capacité du système à garantir les principes fondamentaux du vote. Les mesures techniques préconisées par l’ANSSI (chiffrement, authentification, gestion des clés) y sont intégrées : l’AIPD devient un document hybride, à la croisée du droit et de la cybersécurité.
Conséquences sur la conception des logiciels
Les logiciels de vote ne peuvent plus être appréhendés comme de simples outils, mais comme des systèmes critiques intégrant dès l’origine la sécurité et la protection des données. La recommandation consacre une exigence accrue de transparence (documentation détaillée de l’architecture, accès au code source dans les cas sensibles) et place la vérifiabilité au centre : vérification individuelle par l’électeur de la prise en compte de son vote, et vérification globale du bon déroulement du scrutin. Les audits et expertises indépendants sont renforcés, faisant de la sécurité un processus continu et responsabilisant fortement les éditeurs.
Le vote électronique apparaît ainsi comme un domaine emblématique de la convergence entre droit des données personnelles et cybersécurité.
Source : CNIL — Recommandation vote électronique.