Elections professionnelles par vote électronique : de nouvelles recommandations !

Vote électronique et protection des données personnelles

Il est possible de recourir au vote électronique, si un accord d’entreprise ou, à défaut, l’employeur le décide, dans le respect d’un cahier des charges établi par accord collectif ou, à défaut, par l’employeur.

La mise en place du vote électronique n’exclut pas d’office le vote à bulletin secret sous enveloppe, mais l’accord collectif ou l’employeur peuvent décider de ne recourir qu’au vote électronique.

L’employeur devra, au préalable, identifier le niveau de risque du scrutin parmi les 3 niveaux déterminés par la CNIL, à savoir :

• Niveau 1 : ce niveau s’applique pour les scrutins impliquant peu d’électeurs, se déroulant dans un cadre non conflictuel, à l’issue duquel les personnes élues auront peu de pouvoirs ;
• Niveau 2 : ce niveau s’applique à des scrutins impliquant un nombre important d’électeurs et présentant un enjeu élevé pour les personnes, mais dans un contexte dépourvu de conflictualité particulière ;
• Niveau 3 : ce niveau concerne les scrutins impliquant un nombre important d’électeurs et présentant un enjeu très élevé, dans un climat potentiellement conflictuel.

S’agissant des élections professionnelles, le niveau de risque correspondrait au niveau 2 dans un cadre non conflictuel, au niveau 3 dans un cadre conflictuel.

La CNIL déconseille d’utiliser un dispositif de vote par correspondance électronique, notamment via Internet, dans l’hypothèse où les sources de menace peuvent disposer à la fois de ressources importantes et d’une motivation forte (et correspondant au niveau 3).

Une fois le niveau de risque identifié, le responsable de traitement peut déterminer les objectifs de sécurité que la solution de vote doit atteindre. Chaque niveau de risque se voit associer des objectifs de sécurité qui permettent de définir le niveau de sécurité attendu. La CNIL rappelle, à ce sujet, que les traitements de données personnelles, issues des dispositifs de vote, doivent en principe faire l’objet d‘une analyse d’impact relative à la protection des données.

Les solutions de vote dont le scrutin présente un risque de niveau 2 doivent atteindre a minima l’ensemble des objectifs de sécurité suivants :

• mettre en œuvre une solution technique et organisationnelle de qualité ne présentant pas de faille majeure (faille publiée par l’éditeur et/ou rendue publique par des tiers) ;
• définir le vote d’un électeur comme une opération atomique, c’est-à-dire comme comportant de manière indivisible le choix, la validation, l’enregistrement du bulletin dans l’urne, l’émargement et la délivrance d’un récépissé ;
• authentifier les électeurs en s’assurant que les risques majeurs liés à une usurpation d’identité sont réduits de manière significative ;
• assurer la stricte confidentialité du bulletin dès sa création sur le poste du votant ;
• assurer la stricte confidentialité et l’intégrité du bulletin pendant son transport ;
• assurer, de manière organisationnelle et/ou technique, la stricte confidentialité et l’intégrité du bulletin pendant son traitement et son stockage dans l’urne jusqu’au dépouillement
• assurer l’étanchéité totale entre l’identité de votant et l’expression de son vote pendant toute la durée du traitement ;
• renforcer la confidentialité et l’intégrité des données en répartissant le secret permettant le dépouillement exclusivement au sein du bureau électoral et garantir la possibilité de dépouillement à partir d’un seuil de secret déterminé ;
• définir le dépouillement comme une fonction atomique utilisable seulement après la fermeture du scrutin ;
• assurer l’intégrité du système, de l’urne et de la liste d’émargement ;
• s’assurer que le dépouillement de l’urne puisse être vérifié a posteriori ;
• assurer une haute disponibilité de la solution ;
• assurer un contrôle automatique de l’intégrité du système, de l’urne et de la liste d’émargement ;
• permettre le contrôle automatique par le bureau électoral de l’intégrité de la plateforme de vote pendant tout le scrutin ;
• authentifier les électeurs en s’assurant que les risques majeurs et mineurs liés à une usurpation d’identité sont réduits de manière significative ;
• assurer un cloisonnement logique entre chaque prestation de vote de sorte qu’il soit possible de stopper totalement un scrutin sans que cela ait le moindre impact sur les autres scrutins en cours ;
• utiliser un système d’information mettant en œuvre les mesures de sécurité physique et logique recommandées par les éditeurs et l’ANSSI ;
• assurer la transparence de l’urne pour tous les électeurs.

Les solutions de vote dont le scrutin présente un risque de niveau 3 doivent atteindre a minima l’ensemble des objectifs de sécurité précités, ainsi que les suivants :

• étudier les risques selon une méthode éprouvée afin de définir les mesures les plus adéquates au contexte de mise en œuvre ;
• permettre la transparence de l’urne pour tous les électeurs à partir d’outils tiers ;
• assurer une très haute disponibilité de la solution de vote en prenant en compte les risques d’avarie majeure ;
• permettre le contrôle automatique et manuel par le bureau électoral de l’intégrité de la plateforme pendant tout le scrutin ;
• assurer un cloisonnement physique entre chaque prestation de vote de sorte qu’il soit possible de stopper totalement un scrutin sans que cela ait le moindre impact sur les autres scrutins en cours.

Quel que soit le niveau déterminé, il convient de fournir aux électeurs, en temps utile, une note explicative détaillant clairement les opérations de vote ainsi que le fonctionnement général du système de vote par correspondance électronique, notamment via Internet.

Tout responsable de traitement mettant en œuvre un système de vote par correspondance électronique, notamment via Internet, doit faire expertiser sa solution par un expert indépendant, que la solution de vote soit gérée en interne ou fournie par un prestataire. L’expertise doit couvrir l’intégralité du dispositif installé avant le scrutin (logiciel, serveur, etc.), la constitution des listes d’électeurs et leur enrôlement et l’utilisation du système de vote durant le scrutin et les étapes postérieures au vote (dépouillement, archivage, etc.).

S’agissant du vote, les heures d’ouverture et de fermeture du scrutin électronique doivent pouvoir être contrôlées par les membres du bureau de vote et les personnes désignées ou habilitées pour assurer le contrôle des opérations électorales. Les fichiers nominatifs des électeurs constitués aux fins d’établir la liste électorale, d’adresser le matériel de vote et de réaliser les émargements ne peuvent être divulgués sous peine de sanctions pénales.

Notez que, dans le cas où le scrutin est mixte, composé d’un vote par correspondance électronique associé à un vote par correspondance papier par exemple, il convient que le vote électronique permette aux électeurs les mêmes possibilités que celles offertes par le vote papier, telle que la possibilité de voter nul ou blanc lorsque cela est prévu pour un scrutin, afin de ne pas créer de distorsion en fonction du moyen utilisé. Dans le cas où ces différentes possibilités sont offertes à l’électeur, il convient d’être attentif au fait qu’une personne ne puisse pas voter deux fois, notamment en utilisant le système par correspondance papier et le système par Internet. Ainsi la solution retenue doit permettre d’écarter les votes par correspondance papier d’une personne ayant déjà voté par Internet.

Source : Délibération n° 2019-053 du 25 avril 2019 portant adoption d’une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via Internet

Elections professionnelles par vote électronique : de nouvelles recommandations ! © Copyright WebLex – 2019