Pourquoi le vote électronique association revient dans l'actualité
Le vote en ligne s'est installé durablement dans la vie associative. Les fédérations l'utilisent pour élire leurs instances, les clubs pour faire participer les licenciés qui ne peuvent pas se déplacer, les associations nationales pour consulter des membres dispersés sur tout le territoire.
Cette pratique vient de faire l'objet d'une refonte complète de son cadre de référence. La CNIL a adopté le 19 mars 2026 une nouvelle recommandation relative à la sécurité des systèmes de vote par correspondance électronique, publiée en avril 2026.
Une recommandation entièrement revue
Le texte remplace la recommandation du 25 avril 2019, qui servait jusqu'ici de référence. Il fait suite à une consultation publique menée en 2025 et s'accompagne d'un guide technique publié par l'ANSSI.
La logique générale est conservée : le niveau d'exigence dépend du niveau de risque du scrutin. Mais les critères d'évaluation ont été revus, le questionnaire d'auto-évaluation est désormais intégré au texte et de nouveaux objectifs ont été ajoutés, notamment sur la vérification du dépouillement.
Une période de transition qui s'achève
La CNIL avait annoncé que la recommandation de 2019 resterait applicable jusqu'à fin 2026, afin de laisser aux organisateurs le temps de s'adapter. Les scrutins déjà en préparation pouvaient donc se poursuivre sur l'ancien référentiel.
Pour votre association, le calendrier est clair. Si votre assemblée générale de 2027 comporte un vote en ligne, c'est le nouveau texte qu'il faudra suivre. Le moment est donc idéal pour faire le point avec votre prestataire.
Le vote électronique association est-il soumis au RGPD ?
Oui. Un scrutin en ligne repose nécessairement sur des données personnelles : il faut savoir qui peut voter, vérifier son identité et enregistrer qu'il a voté. Le RGPD s'applique donc pleinement, comme pour le fichier des adhérents.
Les données traitées lors d'un scrutin en ligne
La liste électorale contient au minimum les noms, prénoms et adresses email ou numéros de téléphone des membres à jour de cotisation. S'y ajoutent les identifiants de connexion, la liste d'émargement et les journaux techniques de la plateforme.
Dans certaines structures, le simple fait d'appartenir au corps électoral est révélateur. Pour une association à caractère syndical, religieux ou politique, l'adhésion peut révéler une opinion ou une conviction, ce qui relève des données sensibles de l'article 9 du RGPD.
Qui est responsable : l'association ou le prestataire ?
L'association qui organise le vote est responsable de traitement. C'est à elle de déterminer le niveau de risque, de s'assurer que les objectifs de sécurité sont atteints et d'informer les électeurs. Le fait de confier la technique à une plateforme spécialisée ne la décharge pas de cette responsabilité.
Le prestataire de vote intervient comme sous-traitant au sens de l'article 28 du RGPD. Il peut choisir les moyens techniques pour atteindre les objectifs fixés, à condition de les documenter. Chez Asolys, nous constatons souvent que ce partage des rôles n'est écrit nulle part : c'est la première chose à clarifier.
Ce que prévoient vos statuts
La loi du 1er juillet 1901 laisse une grande liberté aux associations pour organiser leur fonctionnement. Les modalités de convocation et de vote en assemblée générale relèvent donc principalement des statuts et du règlement intérieur.
Avant d'ouvrir un vote en ligne, il est prudent de vérifier que ces textes prévoient cette possibilité. La question n'est pas propre au RGPD, mais elle conditionne la régularité du scrutin et mérite d'être traitée en même temps.
Quels votes sont concernés par la recommandation ?
La recommandation ne vise pas tous les usages numériques d'une assemblée générale. Elle porte sur un type de scrutin bien précis, qu'il est utile de savoir reconnaître.
Le vote par correspondance électronique à bulletin secret
Le texte s'applique au vote à distance par internet lorsque le scrutin est secret. C'est typiquement le cas de l'élection des administrateurs ou du bureau sur une plateforme dédiée, chaque adhérent votant depuis son ordinateur ou son téléphone.
Il couvre aussi les scrutins qui combinent plusieurs modalités, par exemple un vote en salle et un vote en ligne. L'association doit alors veiller à ce qu'aucun membre ne puisse voter deux fois et à ce que la combinaison ne fragilise pas le secret du vote.
Les dispositifs qui sortent du champ
Le vote par SMS ou par téléphone, le vote par code-barres, les boîtiers de vote et les machines à voter sont exclus du champ de la recommandation. Il en va de même pour les votes qui ne sont pas secrets.
Ainsi, un vote à main levée organisé en visioconférence ou un sondage informel envoyé aux bénévoles ne relèvent pas de ce texte. Ils restent toutefois soumis aux principes généraux du RGPD : information, minimisation et sécurité.
Déterminer le niveau de risque de votre scrutin
Le cœur de la recommandation est une approche par les risques. Plus un scrutin présente d'enjeux, plus les mesures de sécurité attendues sont nombreuses. C'est à l'association d'identifier le bon niveau et de pouvoir justifier son analyse.
Trois niveaux de risque
Le niveau 1 correspond aux scrutins à faible risque : peu d'électeurs, contexte non conflictuel, aucune opinion politique ou syndicale révélée et des élus aux pouvoirs limités. La CNIL cite expressément les associations locales parmi les exemples.
Le niveau 2 vise les scrutins aux enjeux moyens, avec un nombre modéré d'électeurs. Le niveau 3 concerne les élections à forts enjeux, à grand nombre d'électeurs ou dans un climat potentiellement conflictuel, comme celles des ordres professionnels. La CNIL déconseille même le vote électronique lorsque la menace est à la fois très motivée et très outillée.
La grille d'auto-évaluation
Pour vous aider, la recommandation propose une grille facultative de quatorze questions fermées. Un total de 0 à 4 points correspond au niveau 1, de 5 à 8 points au niveau 2, et au-delà de 8 points au niveau 3.
En cas d'hésitation entre deux niveaux, la CNIL recommande de retenir le plus élevé. Conservez la grille remplie avec les documents de l'assemblée générale : elle prouve que la réflexion a bien eu lieu.
Quelques situations associatives
Le comité des fêtes d'un village qui élit son bureau parmi une soixantaine de membres relèvera généralement du niveau 1. Une fédération sportive qui renouvelle ses instances nationales, avec des milliers de votants et des enjeux de gouvernance importants, peut se situer plus haut.
Le contexte compte autant que la taille. Une petite association traversée par un conflit interne, avec deux listes concurrentes, mérite une analyse plus prudente qu'une élection sans candidat d'opposition.
Besoin d'aide pour mettre votre association en conformité RGPD ?
Contactez AsolysLes objectifs de sécurité à respecter
La recommandation fixe des objectifs cumulatifs : un scrutin de niveau 2 doit respecter ceux du niveau 1, et ainsi de suite. Ils sont formulés de manière neutre sur le plan technologique, ce qui laisse le choix des moyens à condition de les documenter.
1. Authentifier l'électeur et garantir un vote unique
Chaque adhérent doit être authentifié de manière fiable avant de voter. Le vote doit être indivisible : la validation, l'enregistrement du bulletin, l'émargement et l'accusé de réception forment un tout.
Concrètement, envoyer un simple lien de vote à une liste de diffusion non mise à jour expose à des votes d'anciens membres ou à des votes multiples. La qualité du fichier des adhérents est donc la première mesure de sécurité du scrutin.
2. Séparer l'identité de l'électeur et son bulletin
Le secret du vote impose une étanchéité totale entre l'identité de l'électeur et le contenu de son vote, tout au long du traitement. Personne, ni le bureau ni le prestataire, ne doit pouvoir savoir qui a voté quoi.
La liste d'émargement, quant à elle, ne doit contenir que les personnes ayant voté. Elle sert à contrôler la participation, pas à suivre le comportement des adhérents.
3. Partager les clés de dépouillement
Le secret permettant de déchiffrer les bulletins doit être réparti entre plusieurs membres du bureau de vote. Le dépouillement ne peut intervenir qu'après la clôture du scrutin.
Pour une association, cela signifie désigner à l'avance les assesseurs détenteurs des clés, par exemple le président de séance et deux adhérents non candidats. Ce choix doit figurer dans le procès-verbal.
4. Pouvoir vérifier le résultat
Le décompte des voix doit être vérifiable. À partir du niveau 2, l'électeur doit en outre pouvoir contrôler que son bulletin a bien été pris en compte dans l'urne, et les spécifications du protocole de vote doivent être publiques.
Ces garanties protègent l'association en cas de contestation. Un candidat battu pourra constater que le résultat est sincère, sans que le secret des votes soit compromis.
Informer les électeurs et ne laisser personne de côté
Un vote en ligne réussi est un vote que les adhérents comprennent et auquel tous peuvent participer. La recommandation insiste sur ces deux points, quel que soit le niveau de risque.
La note explicative avant le vote
Avant l'ouverture du scrutin, chaque électeur doit recevoir une note claire expliquant comment son bulletin sera traité. Elle peut accompagner la convocation à l'assemblée générale.
Cette note ne remplace pas l'information prévue par les articles 13 et 14 du RGPD. Votre mention d'information doit préciser qui organise le vote, quel prestataire intervient, quelles données sont utilisées, combien de temps elles sont conservées et comment exercer ses droits.
Les adhérents peu à l'aise avec le numérique
Dans beaucoup d'associations, une partie des membres n'utilise pas ou peu internet. La CNIL recommande de leur proposer un équipement sécurisé, une aide humaine encadrée qui respecte le secret, ou une autre modalité de vote.
L'accessibilité compte aussi. Les organismes publics doivent respecter le référentiel général d'amélioration de l'accessibilité (RGAA), et les autres structures sont fortement encouragées à le faire. Pensez aux adhérents malvoyants avant de choisir votre plateforme.
Choisir et encadrer votre prestataire de vote électronique
La plupart des associations font appel à une plateforme spécialisée. Ce choix engage votre responsabilité : il doit donc reposer sur des vérifications précises et un contrat adapté.
L'expertise indépendante
La recommandation prévoit qu'une expertise indépendante soit réalisée sur toute solution de vote avant sa première utilisation. Pour les scrutins de niveau 3, la CNIL recommande une nouvelle expertise à chaque élection.
Pour les niveaux 1 et 2, l'expertise propre au scrutin est facultative. Un rapport existant peut être réutilisé s'il date de moins de 24 mois pour le niveau 1, ou de moins de 12 mois pour le niveau 2, si le composant n'a pas changé et si aucune faille n'est apparue depuis. Demandez ce rapport à votre prestataire.
Le contrat de sous-traitance
L'article 28 du RGPD impose un contrat écrit avec le prestataire. Il doit préciser l'objet et la durée du traitement, les mesures de sécurité, la confidentialité et le sort des données à la fin de la mission.
Vérifiez aussi que le prestataire s'engage à remettre les éléments du scrutin à la personne désignée par l'association après le vote. Chez Asolys, nous relisons régulièrement ces contrats : les clauses de fin de mission sont souvent les plus floues.
Analyse d'impact et conservation après le scrutin
La recommandation invite l'organisateur à mener une analyse d'impact relative à la protection des données (article 35 du RGPD). Pour un scrutin de niveau 3, elle peut être obligatoire.
Après le vote, les éléments du scrutin sont conservés sous scellés jusqu'à l'expiration des délais de recours contentieux. Une fois ces délais écoulés, ils n'ont plus de raison d'être conservés et doivent être supprimés.
L'accompagnement Asolys pour vos assemblées générales en ligne
Asolys accompagne les associations dans la protection de leurs données personnelles, y compris lors des temps forts de leur vie démocratique. Nous vous aidons à organiser un vote électronique sûr et conforme.
Une expertise dédiée au monde associatif
Nous connaissons les réalités des associations : bureaux bénévoles, fichiers d'adhérents parfois incomplets, élections préparées en quelques semaines. Nos conseils tiennent compte de ces contraintes.
Un diagnostic et des modèles adaptés
Nous évaluons avec vous le niveau de risque de votre scrutin, analysons le contrat de votre prestataire et identifions les points à corriger. Nous vous fournissons des modèles prêts à l'emploi : mention d'information des électeurs, note explicative, fiche du registre des traitements.
Un accompagnement dans la durée
La conformité ne s'arrête pas à la proclamation des résultats. Nos formules d'accompagnement vous garantissent un suivi régulier, d'une assemblée générale à l'autre, et une assistance en cas de question ou d'incident.
Conclusion
Le vote électronique association est un formidable outil de participation. Il permet à des adhérents éloignés de prendre part aux décisions et renforce la légitimité des instances élues.
La nouvelle recommandation de la CNIL ne cherche pas à le freiner. Elle demande simplement d'adapter les précautions aux enjeux : évaluer le niveau de risque, garantir le secret et la sincérité du vote, informer les électeurs, encadrer le prestataire. Pour la plupart des associations locales, ces exigences restent tout à fait accessibles.
Avec la fin de la période de transition, c'est le bon moment pour préparer vos assemblées générales de 2027. Asolys accompagne les associations dans la maîtrise de leurs données. Contactez-nous pour un échange gratuit sur votre situation.
Questions fréquentes
Oui. La loi du 1er juillet 1901 laisse aux associations une grande liberté pour organiser leurs assemblées générales, à condition que les statuts ou le règlement intérieur le permettent. Lorsque le vote est secret et se déroule à distance par internet, la recommandation de la CNIL de 2026 sur le vote par correspondance électronique s'applique, en plus des règles générales du RGPD.
Dans la plupart des cas, le niveau 1 : la CNIL cite d'ailleurs les associations locales parmi ses exemples. Pour le confirmer, utilisez la grille de quatorze questions de la recommandation, où un total de 0 à 4 points correspond au niveau 1. En cas de doute, notamment en présence de listes concurrentes ou d'un conflit interne, retenez le niveau supérieur.
L'association reste responsable de traitement, même si la technique est confiée à un prestataire, qui agit comme sous-traitant au sens de l'article 28 du RGPD. Elle doit donc choisir une solution ayant fait l'objet d'une expertise indépendante et signer un contrat précis. En cas de violation présentant un risque, elle doit la notifier à la CNIL dans les 72 heures.
La CNIL recommande de conserver les éléments du scrutin sous scellés jusqu'à l'expiration des délais de recours contentieux. Passé ce délai, ils doivent être supprimés. La liste d'émargement ne doit contenir que les adhérents ayant voté, et la liste électorale transmise au prestataire doit se limiter aux informations strictement nécessaires pour identifier et contacter les électeurs.