Protection des données et confidentialité du vote électronique : les garanties exigées par la CNIL

La Commission considère également que l’article 34 de la même loi exige des mesures suffisantes pour garantir la sécurité et la confidentialité des données. Un dispositif de vote électronique demeure insuffisant lorsque la combinaison des codes et la conservation d’une table de correspondance permettent indirectement de relier un électeur au sens de son vote. L’intégrité du scrutin suppose aussi que le logiciel ayant servi à éditer les bulletins soit sécurisé avant leur émission, et non après.

Après les engagements pris sur un nouveau procédé technique et sur la mise en conformité des formulaires, la CNIL a estimé qu’il n’y avait pas lieu de prononcer une sanction. La procédure a ainsi été clôturée, malgré les manquements initialement constatés.

⬇️Télécharger la décision version officielle

Les réponses transmises ont établi que certaines mesures avaient été prises, mais que la plupart des formulaires ne mentionnaient pas suffisamment la cession des données et le droit d’opposition. Un syndicat professionnel disposait par ailleurs d’informations issues du fichier des membres et les utilisait pour sa prospection sans information préalable.

Le dispositif de vote permettait encore, dans certaines hypothèses, de relier indirectement l’électeur au sens de son vote. Les garanties d’intégrité du logiciel d’édition des bulletins étaient également jugées insuffisantes. La fédération ayant finalement pris des engagements techniques et informationnels complémentaires, la CNIL a renoncé à sanctionner.

• Informer les personnes conformément à l’article 32 de la loi
• Mentionner la cession des données et le droit d’opposition gratuit
• Empêcher toute prospection fondée sur des données transmises sans information préalable
• Garantir la confidentialité du lien entre électeur et vote
• Prévenir les rapprochements indirects permis par une codification unique
• Assurer l’intégrité du logiciel avant l’édition des bulletins
• Prendre des engagements techniques et informationnels effectivement satisfaisants

• Analyse des treize formulaires papier utilisés
• Constat d’accès du syndicat à une partie du fichier des membres
• Constat de prospection syndicale sans information préalable
• Spécimen de bulletin et documents techniques du vote électronique
• Courriers et engagements transmis par la fédération
• Constatations des deux missions de contrôle sur place

• Réviser tous les formulaires de collecte
• Prévoir une information explicite sur la cession des données
• Garantir un droit d’opposition gratuit
• Renforcer l’anonymisation et la confidentialité du vote
• Sceller le logiciel avant l’édition des bulletins
• Documenter les formalités et mesures de sécurité

À faire

• Auditer chaque formulaire de collecte utilisé
• Ajouter les mentions de l’article 32
• Informer préalablement les personnes avant toute diffusion
• Tester l’absence de lien entre électeur et vote
• Sécuriser le logiciel avant l’impression des bulletins

À éviter

• Limiter l’information à certains formulaires seulement
• Transmettre des données sans droit d’opposition
• Autoriser une prospection sans information préalable
• Conserver une table de correspondance accessible
• Sceller le logiciel après l’édition des bulletins

L’information des personnes lors de la collecte des données

L’article 32 de la loi du 6 janvier 1978 impose une information conforme sur les formulaires de collecte. La CNIL a relevé que seul un formulaire sur treize mentionnait explicitement la cession à des tiers et la possibilité d’opposition. L’accès d’un syndicat aux données et leur utilisation à des fins de prospection sans information préalable confirmaient la persistance du manquement.

La confidentialité du vote électronique

Au regard de l’article 34 de la loi du 6 janvier 1978, le dispositif devait garantir la confidentialité du vote. La combinaison de codes-barres et l’existence d’une table de correspondance permettaient encore, notamment en cas de fraude interne et lorsque la codification était unique, d’établir un lien indirect entre le votant et son choix.

L’intégrité du logiciel d’édition des bulletins

Les mesures techniques communiquées ne garantissaient pas la conformité des bulletins édités au logiciel ensuite sauvegardé et scellé. Le scellement intervenant après l’impression ne permettait donc pas d’assurer suffisamment l’intégrité des bulletins transmis aux votants.