Sécurité du vote électronique : responsabilité de l’employeur et exigences de chiffrement

La société qui organise un vote électronique demeure responsable du traitement lorsqu’elle recourt à un sous-traitant. Selon l’article 35 de la loi du 6 janvier 1978, cette responsabilité ne disparaît pas du fait du choix d’un prestataire. L’article 34 impose de prendre les précautions utiles pour préserver la sécurité des données et empêcher leur accès par des tiers non autorisés.

La formation restreinte retient trois manquements. L’expertise indépendante du système devait être préalable à la mise en place du vote, conformément à l’article R. 2314-12 et à l’article R. 2324-8 du Code du travail. Une expertise réalisée après le début des opérations, sans preuve de l’identité entre le système expertisé et celui utilisé, ne satisfait pas cette exigence.

La transmission conjointe des identifiants et mots de passe, par courrier simple ou courrier électronique non sécurisé, ne garantissait ni l’accès exclusif de l’électeur ni la prévention de l’usurpation. Les articles R. 2314-9 et R. 2324-5 du Code du travail imposent la confidentialité des données et la sécurité de l’adressage des moyens d’authentification.

Enfin, le bulletin devait être chiffré dès son émission sur le poste de l’électeur et sans déchiffrement intermédiaire. La formation restreinte a considéré que l’obfuscation suivie d’un chiffrement ultérieur sur serveur ne répondait pas à cette exigence. Un avertissement public a été prononcé sur le fondement de l’article 45 de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Une société organisait des élections professionnelles électroniques avec l’aide d’un prestataire. La CNIL a relevé une expertise réalisée tardivement, la transmission conjointe des identifiants et mots de passe sans sécurisation suffisante, ainsi que l’absence de chiffrement continu des bulletins dès leur émission. Elle a retenu plusieurs manquements à la sécurité et prononcé un avertissement public.

Un syndicat a saisi la CNIL au sujet de l’organisation d’élections professionnelles par voie électronique au sein d’une société. Celle-ci avait recours à un prestataire spécialisé et soutenait avoir prévu contractuellement le respect des obligations de sécurité.

Les contrôles réalisés avant et pendant les opérations de vote ont conduit la CNIL à examiner l’expertise du système, la confidentialité des moyens d’authentification et le chiffrement des bulletins. L’expertise indépendante avait été réalisée après le début du vote. Les identifiants et mots de passe étaient transmis ensemble, sans procédé de sécurisation particulier. Le bulletin n’était pas chiffré de façon ininterrompue dès son émission sur le poste de l’électeur.

La CNIL a retenu plusieurs manquements à l’obligation de sécurité pesant sur la société, malgré l’intervention du prestataire, puis a prononcé un avertissement rendu public.

• Maintenir la responsabilité du traitement malgré le recours à un sous-traitant
• Réaliser une expertise indépendante avant la mise en place du système
• Établir l’identité entre le système expertisé et le système utilisé
• Sécuriser séparément l’adressage des identifiants et mots de passe
• Garantir l’accès exclusif de l’électeur aux moyens d’authentification
• Chiffrer le bulletin dès son émission sur le poste électeur
• Éviter tout déchiffrement intermédiaire avant l’enregistrement dans l’urne

• Constats des agents de la CNIL lors des missions de vérification
• Expertise du système réalisée après le début des opérations de vote
• Logiciel déposé chez un huissier et conservé sous scellés
• Constat de transmission conjointe des identifiants et mots de passe
• Rapports d’experts sur l’obfuscation et le chiffrement AES128

La société reste exposée aux sanctions en tant que responsable du traitement, même lorsque les opérations techniques sont confiées à un prestataire. Le prestataire doit fournir des garanties techniques permettant de démontrer la conformité effective du système avant et pendant le scrutin.

• Prévoir une expertise indépendante avant toute ouverture du vote
• Conserver les éléments permettant de comparer les versions du système
• Séparer et sécuriser l’envoi des moyens d’authentification
• Chiffrer le bulletin dès l’expression du vote
• Éviter tout déchiffrement temporaire ou traitement en clair
• Anticiper le risque d’avertissement et de publicité de la sanction

À faire

• Organiser l’expertise indépendante avant l’ouverture du scrutin
• Transmettre le rapport d’expertise à la CNIL
• Vérifier l’identité du système expertisé et déployé
• Séparer et sécuriser les moyens d’authentification
• Contrôler le chiffrement dès le poste électeur

À éviter

• Lancer le vote avant la fin de l’expertise
• Envoyer identifiant et mot de passe ensemble
• Utiliser un courrier ou courriel non sécurisé
• Assimiler une obfuscation à un chiffrement fort
• Déchiffrer le bulletin avant son dépôt dans l’urne

La responsabilité du responsable de traitement recourant à un sous-traitant

La société qui recourt à un sous-traitant demeure l’unique responsable du traitement au sens de l’article 35 de la loi du 6 janvier 1978. L’article 34 s’apprécie au regard des mesures effectivement adoptées par le prestataire pour assurer la sécurité et la confidentialité, et non des seuls critères ayant conduit à sa sélection.

L’expertise indépendante préalable du vote électronique

Les articles R. 2314-12 et R. 2324-8 du Code du travail imposent une expertise indépendante avant la mise en place ou toute modification substantielle du système. Une expertise réalisée après le début du vote ne suffit pas. Le dépôt du logiciel chez un huissier ne prouve pas l’identité entre le système expertisé et celui utilisé.

La confidentialité et le chiffrement du bulletin de vote

Les articles R. 2314-9 et R. 2324-5 du Code du travail exigent la sécurité de l’adressage des moyens d’authentification. Leur transmission conjointe sans sécurisation ne garantit pas l’accès exclusif de l’électeur. L’article 2 de l’arrêté du 25 avril 2007 impose en outre un chiffrement dès l’émission du vote, sans déchiffrement intermédiaire.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article R. 2314-9 du Code du travail, Article R. 2314-12 du Code du travail, Article R. 2314-20 du Code du travail, Article R. 2324-5 du Code du travail, Article R. 2324-8 du Code du travail, Article R. 2324-16 du Code du travail