Sécurité du vote électronique : garanties techniques, anonymat et contrôle électoral

La CNIL recommande que tout dispositif de vote électronique à distance, notamment par internet, garantisse les principes fondamentaux du scrutin : secret, caractère personnel, liberté, anonymat, sincérité, surveillance effective et contrôle a posteriori par le juge électoral.

Le dispositif doit faire l’objet d’une expertise indépendante couvrant le logiciel, les serveurs, les échanges réseau, le chiffrement, le scellement, le déroulement du vote, le dépouillement et l’archivage. L’identité des électeurs doit rester séparée de l’expression des votes. Les systèmes doivent prévoir des mesures de sécurité physiques et logiques, une solution de secours, une journalisation intègre et un contrôle effectif par le bureau de vote et les représentants habilités.

Les fichiers nominatifs ne peuvent être utilisés qu’aux fins prévues et leur divulgation expose aux sanctions des articles 226-17 et 226-21 du code pénal. Le bulletin doit être chiffré dès son émission, conservé sans déchiffrement intermédiaire et dépourvu d’horodatage dans l’urne. L’émargement intervient après validation du vote, dans un traitement distinct.

Avant l’ouverture, les systèmes, listes et urnes doivent être scellés et contrôlés. Après clôture, l’urne et la liste d’émargement sont scellées avant le dépouillement, lequel est effectué publiquement au moyen de clés détenues par les membres désignés du bureau. Les supports nécessaires au contrôle contentieux sont conservés sous scellés jusqu’à l’expiration des délais de recours.

⬇️Télécharger la décision version officielle

La CNIL actualise sa recommandation sur le vote électronique à distance, notamment par Internet. Elle impose notamment une expertise indépendante, la séparation des données nominatives et des votes, le scellement du système, une solution de secours et une surveillance effective. Le texte encadre l’authentification, l’information, le chiffrement, l’émargement, le dépouillement et la conservation, tout en exprimant des réserves pour les élections politiques.

La CNIL adopte une recommandation actualisée sur les dispositifs de vote électronique à distance, principalement par internet. Elle remplace une recommandation de 2003 et s’applique notamment aux élections professionnelles, aux assemblées générales et à certaines élections politiques, sans concerner les machines à voter, le vote par téléphone ni les dispositifs par codes-barres.

La recommandation fixe des garanties minimales : expertise indépendante, séparation entre données nominatives et votes, sécurités physiques et logiques, scellement du système, solution de secours et surveillance effective du scrutin. Elle encadre aussi l’authentification, l’information des électeurs, le chiffrement du bulletin, l’émargement, le dépouillement et la conservation des supports.

La CNIL relève que les systèmes existants ne fournissent pas toujours toutes les garanties requises et se montre réservée sur leur utilisation pour les élections politiques. Elle prévoit enfin les éléments techniques nécessaires à un contrôle a posteriori par le juge électoral.

• Faire réaliser une expertise indépendante couvrant l’ensemble du dispositif
• Maintenir une séparation étanche entre données nominatives et bulletins
• Mettre en œuvre des algorithmes publics réputés forts
• Sceller les systèmes, listes électorales, urnes et listes d’émargement
• Prévoir une solution de secours offrant les mêmes garanties
• Permettre une surveillance effective des opérations électorales
• Conserver les supports nécessaires au contrôle a posteriori

• Rapport d’expertise indépendante et vérification des composants logiciels
• Empreintes numériques et procédés cryptographiques de scellement
• Journalisation intègre des actions effectuées sur le serveur
• Support scellé, non réinscriptible et probant après clôture
• Éléments techniques démontrant l’anonymat et l’intégrité de l’urne

Le responsable du traitement doit sélectionner un dispositif audité, sécurisé et contrôlable avant, pendant et après le scrutin. Le prestataire est tenu à la confidentialité, à la traçabilité de ses interventions et à la restitution ou destruction des fichiers après les opérations électorales.

• Organiser une expertise indépendante complète
• Séparer les fichiers électeurs de l’urne électronique
• Prévoir un dispositif de secours opérationnel
• Former le bureau de vote et les délégués
• Conserver les supports jusqu’à l’expiration des recours
• Documenter toute intervention technique et informer immédiatement le bureau

À faire

• Faire auditer le code source et l’infrastructure
• Sceller les systèmes, listes et urnes avant ouverture
• Chiffrer le bulletin dès son émission
• Contrôler publiquement les clés et le dépouillement
• Conserver les supports sous scellés

À éviter

• Mettre en relation identité et contenu du vote
• Autoriser un déchiffrement transitoire du bulletin
• Permettre l’accès technique sans journalisation
• Exposer des résultats partiels pendant le scrutin
• Détruire les données avant la fin des recours

L’expertise indépendante des systèmes de vote électronique

L’expertise doit couvrir l’intégralité du dispositif, avant, pendant et après le scrutin, notamment le code source, les scellements, les serveurs, les échanges réseau et le chiffrement. L’expert doit être spécialisé en sécurité informatique, indépendant financièrement, expérimenté et formé par la CNIL. Le rapport doit permettre de vérifier a posteriori l’absence de modification des composants examinés.

La séparation des données nominatives et des votes

Le dispositif doit empêcher toute mise en relation entre l’identité de l’électeur et son vote, à tout moment, y compris après le dépouillement. Le bulletin est chiffré dès son émission, conservé dans l’urne sans déchiffrement intermédiaire et sans horodatage. L’émargement intervient séparément après validation du vote.

Le contrôle a posteriori des opérations électorales

Le système doit fournir des éléments prouvant l’intégrité des scellements, la confidentialité des clés, l’anonymat du vote, la composition régulière de l’émargement et de l’urne, l’absence de décompte partiel et la possibilité de rejouer le décompte. Les supports sont conservés sous scellés jusqu’à l’expiration des délais de recours.

Convention du Conseil de l’Europe du 28 janvier 1981, Directive 95/46/CE du 24 octobre 1995, Code électoral, Loi n° 78-17 du 6 janvier 1978, Ordonnance n° 2009-936 du 29 juillet 2009, Article 226-17 du code pénal, Article 226-21 du code pénal