La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 11 ;
Vu la loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires, ensemble la loi n° 84-16 du 11 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique de l’Etat ;
Vu le décret n° 82-451 du 28 mai 1982 modifié relatif aux dispositions générales applicables aux agents non titulaires de l’Etat pris pour l’application de l’article 7 de la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l’Etat ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n° 2011-184 du 15 février 2011 relatif aux comités techniques dans les administrations et les établissements publics de l’Etat ;
Vu la délibération n° 2010-371 du 21 octobre 2010 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique;
Sur le rapport de Mme Isabelle Falque-Pierrotin, Vice-présidente, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Emet l’avis suivant :
Le Ministère du Budget, des comptes publics, de la fonction publique et de la réforme de l’Etat a saisi la CNIL le 10 février 2011 d’une demande d’avis sur deux projets de textes :
un projet de décret relatif aux conditions de vote par voie électronique pour l’élection des représentants du personnel au sein des instances de représentation du personnel de la fonction publique de l’Etat ;
un projet d’arrêté relatif à la mise en œuvre du vote électronique pour l’élection des représentants du personnel au sein desdites instances.
Il a fait parvenir, par l’intermédiaire du Commissaire du gouvernement, une demande rectificative à la CNIL le 7 mars dernier après achèvement de la phase de concertation avec les organisations syndicales.
Le cadre juridique posé par ces textes pour la mise en œuvre du vote électronique concerne potentiellement tous les agents de l'Etat.
A titre liminaire
La Commission souhaite souligner qu’elle est très attentive aux conditions de développement du vote électronique. Compte tenu des risques particuliers que ces traitements peuvent présenter pour les personnes, comme la divulgation de leurs opinions politiques ou syndicales, la Commission rappelle au ministère l’importance de mettre en place des mesures de sécurité adéquates. A ce titre, la Commission souhaite donc insister sur la nécessité de respecter sa recommandation du 21 octobre 2010 remplaçant sa recommandation du 1

Sur le régime de formalités préalables applicable
Le décret et l’arrêté fixent le cadre général permettant le vote électronique dans la fonction publique pour l’élection des représentants du personnel et notamment, les mesures de sécurité à respecter par les administrations et les établissements publics de l’Etat lors de l’organisation des scrutins.
Toutefois, ces textes ne créent pas les traitements automatisés de données mis en œuvre pour le vote électronique et ne dispensent donc pas les administrations et établissements publics de l’Etat, en tant que responsables des traitements, de l’obligation de déclarer leurs systèmes de vote à la CNIL. En vertu de l’article 27-II-4° de la loi de
Le projet de décret soumis précise les informations que devront contenir ces actes réglementaires, à savoir :
la description détaillée du fonctionnement du système retenu et du déroulement des opérations.
les modalités d’accès au vote pour les électeurs ne disposant pas d’un poste informatique sur leur lieu de travail
les modalités de dépôt des listes, d’information des électeurs, de conditions de consultation des listes, etc. (article 5 du projet de décret) ;
les modalités de fonctionnement de la cellule d’assistance technique à l’électeur prévue à l’article 8 du projet de décret ;
la durée de scrutin (article 9 du projet de décret) ;
les modalités d’établissement des clés de chiffrement (article 13 du projet de décret) ;
l’institution d’un bureau de vote centralisateur (article 16 du projet de décret).
Sur l’expertise indépendante
du dispositif de vote électronique
L’article 6 du projet de décret reprend le principe d’une expertise complète du système de vote, que ce soit avant, pendant ou après le scrutin. Il est également indiqué que le rapport de l’expert doit être communiqué à la CNIL. Sur ce point, la Commission considère qu’il semble pertinent de préciser que le rapport doit être transmis
intégralement
Par ailleurs, l’article 12 mentionne la possibilité d’exprimer son vote sur un poste dédié dans un lieu aménagé à cet effet : il serait utile que l’expertise porte également sur la mise en place de cette possibilité. La Commission suggère donc d’ajouter à la fin du premier alinéa de l’article 6 la phrase suivante :
Elle couvre également les mesures particulières prises pour la mise en place du poste dédié mentionné à l’article 12.
Sur l’anonymat du scrutin
L’article 7 du projet de décret reprend la formulation de la recommandation de la CNIL de 2003. Dans sa recommandation de 2010, la CNIL a adopté une formulation de principe garantissant
que l’identité de l’électeur ne peut pas être mise en relation avec l’expression de son vote, et cela à tout moment du processus de vote, y compris après le dépouillement.
La Commission attire l’attention du ministère sur le fait que la séparation physique du fichier des électeurs et de l’urne prévue à l’article 7 du projet de décret n’est qu’une solution parmi d’autres pour garantir cet anonymat.
Sur le scellement du dispositif de vote électronique et la confidentialité des données
Les dispositions de l’article 11 du projet de décret sur le scellement reprennent la recommandation de la CNIL de 2010. Toutefois, concernant la confidentialité des données, le troisième alinéa de l’article 11 ne prévoit pas la mise en place d’un dispositif technique garantissant l’information systématique du bureau de vote en cas d’intervention sur le système de vote ni l’existence d’un module permettant la remontée automatique d’informations.
La Commission suggère donc au ministère que l’obligation d’information du bureau de vote soit renforcée, par exemple en ajoutant l’obligation de prévoir un dispositif technique garantissant l’information automatique du bureau de vote en cas d’intervention.
Sur la surveillance effective du scrutin
Le deuxième alinéa de l’article 8 prévoit une formation des membres du bureau de vote sur le système de vote, conformément au §I.6. de la recommandation de la CNIL, mais pas la mise à disposition de tous documents utiles .
La Commission propose donc au ministère de compléter cet article pour garantir l’autonomie du bureau de vote vis-à-vis du prestataire afin de mieux assurer la surveillance et le bon fonctionnement du système de vote. La Commission suggère de mentionner dans le deuxième alinéa de l’article 8 que les membres du bureau de vote
[…] et ont accès à tous documents utiles sur le système de vote électronique

Sur les procédés d’authentification
L’alinéa 3 de l’article 12 prévoit les principes de mise à disposition des moyens d’authentification des électeurs. Les principes sont partiellement conformes à la recommandation de la CNIL et devront être précisés par les actes réglementaires ultérieurs.
La Commission considère que cet alinéa pourrait préciser plus clairement que le choix des moyens d’authentification doit protéger contre l’usurpation d’identité. A ce titre, la Commission propose qu’à l’article 12, la phrase
Ce moyen d'authentification permet au serveur de vérifier son identité et garantit l'unicité de son vote.
Ce moyen d'authentification permet au serveur de vérifier son identité et qu’une personne non autorisée ne puisse se substituer frauduleusement à l’électeur. Il garantit également l'unicité de son vote.
Sur le contrôle du système avant le scrutin
Le contrôle n’est pas prévu par le projet de décret mais à l’article 8 du projet d’arrêté.
La Commission estime plus pertinent de prévoir clairement dans le décret, au sein de l’article 6 par exemple, ce contrôle du système de vote.
Sur les clés de chiffrement et le dépouillement
L’article 13 du projet de décret fixe les modalités de dépouillement du vote. Toutefois, il existe une confusion entre les conditions de création des clés de chiffrement/déchiffrement, qui seront utilisées pour le dépouillement et les conditions de dépouillement elles-mêmes.
La Commission propose donc que le texte soit précisé. Pour cela, la Commission suggère que les alinéas 2 à 7 de l’article 13 soient distingués dans un article distinct, qui pourrait être intitulé
Clés de chiffrement des bulletins
Les clés de chiffrement sont utilisées pour le chiffrement des bulletins et le dépouillement. Elles sont générées avant l’ouverture du scrutin.
Par ailleurs, l’article 13 b) mentionne, comme la recommandation de la CNIL, que
l’établissement des clés est public de manière à prouver de façon irréfutable que seuls les détenteurs de ces clés […] en ont connaissance à l’exclusion de toute autre personne
La Commission attire l’attention du ministère sur le fait que la notion d’irréfutabilité pourrait contraindre les administrations à utiliser certains organismes et dispositifs en application du Référentiel Général de Sécurité adopté le 6 mai 2010. La Commission tient à rappeler la nécessité de prévoir, pour la procédure d’établissement des clés de chiffrement, des mesures de sécurité adaptées aux risques associés au scrutin, notamment en matière de confidentialité.
Sur le chiffrement du bulletin de vote
Le chiffrement du bulletin de vote est mentionné au dernier alinéa de l’article 12 du projet de décret.
La formulation retenue ne permet pas de garantir que le bulletin sera chiffré sur le poste de l’électeur et qu’il ne sera pas déchiffré jusqu’au dépouillement. A cet égard, l’article 2 dernier alinéa du projet d’arrêté apporte les précisions suivantes :
Les données du vote font l’objet d’un chiffrement dès l’émission du vote sur le poste de l’électeur.
La Commission propose au ministère que la première phrase du dernier alinéa de l’article 12 du projet de décret soit séparée du reste de l’article et regroupée avec la partie
Clés de chiffrement des bulletins
Le vote est anonyme. Le bulletin de vote est chiffré sur le poste de l’électeur et stocké dans l’urne, en vue du dépouillement, sans avoir été déchiffré à aucun moment, même de manière transitoire.
Sur le dépouillement et la clôture du scrutin
L’article 13 du projet de décret mentionne le scellement de l’urne et de la liste d’émargement avant le dépouillement mais ne mentionne pas la copie de tous les documents utiles pour le contrôle
a posteriori
La Commission propose en conséquence au ministère de préciser l’article 13 en ajoutant la phrase
L’ensemble des informations nécessaires à un éventuel contrôle a posteriori doit également être recueilli lors de cette phase.
La Commission rappelle en tout état de cause que, conformément à l’article 15 du projet de décret,
à l’expiration du délai de recours ou, lorsqu’une action contentieuse a été engagée, après l’intervention d’une décision juridictionnelle devenue définitive, l’administration ou, le cas échéant, le prestataire procède à la destruction des fichiers supports
Le Président

