FR 2930357 A1 20091023 FR 0802133 A 20080417 PROCEDE DE VOTE ELECTRONIQUE, DECODEUR_POUR LA MISE EN îUVRE DE CE PROCEDE ET RESEAU COMPRENANT UN SERVEUR DE VOTE POUR LA MISE EN îUVRE DU PROCEDE L'invention se rapporte au domaine technique des télécommunications. L'invention concerne plus particulièrement les techniques de vote électronique et sondages d'opinions. Par � sondage � on désigne ici la collecte de renseignements auprès d'une partie d'une population cible. Par � sondage d'opinion � on désigne ici l'application des techniques de sondage afin de déterminer les opinions ou les préférences probables des individus de la population cible. Conventionnellement, les instituts de sondage privilégient l'approche téléphonique. Cette approche directe est source d'erreurs pour plusieurs raisons. En premier lieu, la réponse à un questionnaire proposé par téléphone nécessite l'attention de la personne sondée, à un moment ou dans un environnement qu'elle n'a pas choisi, par exemple au travail ou dans un lieu public. La personne sondée n'a pas nécessairement le temps et la tranquillité d'esprit nécessaires pour répondre de façon naturelle aux questions. En second lieu, les personnes sondées ne sont pas nécessairement disposées à répondre franchement à tout type de question. Par exemple, certaines questions peuvent être vues comme indiscrètes, par exemple lorsqu'il s'agit de préférences politiques ou religieuses. D'autres questions peuvent être perçues, à tort ou à raison, comme des amorces d'opération de télémercatique. D'une manière générale, les personnes sondées peuvent hésiter à répondre à certaines questions, en l'absence de garantie d'anonymat ou de confidentialité. Les enquêtes ou sondage d'opinion réalisés par Internet, avec incitation à répondre, sont souvent perçues comme du pourriel (spam, funk mail). Les destinataires peuvent craindre d'ouvrir un message imprévu, pouvant contenir des virus. Par ailleurs, les résultats de ces enquêtes et sondages peuvent être statistiquement faussés, un participant répondant plusieurs fois, le cas échéant en contournant un filtre basé sur le contrôle de l'adresse IP. Le vote électronique par Internet a été proposé, sa mise en oeuvre restant délicate, en particulier pour des raisons de sécurité (cf. Stephen Mason, Computer Fraud & Security 2004). Le vote électronique (evoting) pourrait augmenter les taux de participations, en particulier pour les personnes jeunes. Le vote électronique permettrait en outre de limiter le recours aux procurations, dès lors que tout terminal connecté à Internet (y compris des bornes interactives) permettrait le vote (voir Andreas Auer & Alexander Threchsel, Voter par Internet ? Centre d'études et de documentation sur la démocratie directe 2004). Pour assurer la confidentialité du vote électronique, plusieurs techniques ont été proposées, par exemple chiffrement homomorphique, ou ben encore schéma de signature aveugle et réseaux de mélangeurs proposés par David Chaum. Seul un petit nombre de logiciels de vote électroniques ont été proposés en version commerciale (pour une revue de ces systèmes, voir Bouras et al Telematics ad Informatics 20, 2003, pp. 255-274). La sécurité du vote implique que personne ne puisse faire le rapprochement entre un électeur et son vote. De plus, seules les personnes autorisées à voter doivent pouvoir voter, et aucun électeur ne doit pouvoir voter deux fois lors d'une même élection. Chaque électeur doit pouvoir vérifier que son vote a été comptabilisé et aucun électeur ne dois: être capable de prouver la manière dont il a voté. Un exemple de protocole de vote anonyme a été décrit récemment par Chang et al (An anonymous voting mechanisms based on the key exchange protocol, Computer & security 25, 2006, pp., 307-314). Les contraintes du vote électronique ne permettent pas sa mise en oeuvre par les moyens de communications classiques offerts sur Internet, par exemple blogues, forums. En effet, la confidentialité n'est pas garantie pour les votants. Par ailleurs, aucun moyen n'est en général mis en oeuvre pour éviter qu'une personne adresse des votes multiples. On connaît par ailleurs depuis longtemps des enquêtes, votes et sondage d'opinion annoncés par la voie de la télévision ou de radio. Par exemple, le spectateur est invité à appeler un numéro de téléphone pour exprimer son choix, typiquement une réponse à un jeu. Le document WO 01/65849 décrit le principe d'une autre application possible : les spectateurs sont invités à exprimer leur préférences pour le déroulement du scénario, parmi plusieurs alternatives. Lorsque des enquêtes d'opinion sont lancées par la voie de la télévision ou de la radio, les résultats ne sont souvent pas utilisables, pour deux raisons majeures. Premièrement, chaque personne peut voter à de multiples reprises. Deuxièmement, en supposant que chaque personne n'aie voté qu'une seule fois, le vote ne représente que les opinions des personnes ayant choisi de participer, y compris sur des questions pour lesquelles elles n'ont aucun intérêt ou aucune connaissance particulière. La possibilité de participer dépend en outre de facteurs divers et notamment de l'emploi du temps immédiat, au moment du sondage. Pour atténuer ces difficultés, le document GB 2376101 propose un procédé dans lequel les questions posées, lors du sondage, sont établies en fonction de profils préenregistrés. Ces profils tiennent compte de la décision des consommateurs de ne pas répondre à telle ou telle nouvelle question. On connaît également des procédés de vote électronique, pour élections, déployés en tant que service de télévision interactive. Le document US 2003/0149616 décrit un tel procédé, qui s'avère inadapté pour la réalisation de sondages d'opinion, notamment pour opérations commerciales. En effet, les règlementations interdisent toute technique permettant d'associer un vote à telle ou telle caractéristique personnelle du votant, par exemple catégorie socio professionnelle, âge, etc. Des moyens complexes et onéreux sont prévus pour assurer un complet anonymat du vote exprimé. L'invention vise à fournir une technique palliant les inconvénients de l'art antérieur. Selon un premier objet, l'invention vise à fournir un système de vote électronique, de sondage d'opinion ou d'enquête, par exemple enquête de satisfaction, permettant de garantir la confidentialité et l'anonymat des données fournies par les participants, et permettant également d'assurer une bonne représentativité des votants par rapport à une population cible. Selon deuxième aspect, l'invention vise à fournir un système de vote électronique, de sondage d'opinion ou d'enquête, par exemple enquête de satisfaction, du type ci-dessus, permettant d'inciter à la participation. A ces fins, l'invention se rapporte, selon un premier aspect, à un procédé de vote électronique à un questionnaire, comprenant : - une étape de diffusion d'une offre de service de vote électronique à une pluralité de terminaux de communications ; - une étape d'envoi depuis un terminal de communication d'un votant, d'une requête à un serveur distant, cette requête contenant des informations d'authentification du votant ; - une étape d'authentification du votant par comparaison entre les informations d'authentification reçues et des informations enregistrées associées au votant ; - lorsque le votant a été authentifié, une étape d'envoi au terminal de communication du votant d'un ticket de participation au vote ; - une étape d'envoi au serveur du vote, contenant une réponse au questionnaire et le ticket de participation au vote, ce procédé comprenant deux étapes d'anonymisation, une première étape assurant l'anonymisation du ticket de participation adressé au votant par le serveur, une deuxième étape assurant l'anonymisation du terminal de communication adressant au serveur la réponse au vote, le ticket de participation contenant au moins une donnée associée au profil du votant. Dans une mise en oeuvre, le ticket de participation contient au moins une donnée cryptée de profil du votant. Dans une mise en oeuvre, le procédé comprend une étape de création d'une clé d'identification du questionnaire, cette clé étant adressée par le serveur au terminal du votant. Avantageusement, le procédé comprend une étape de sélection, parmi les requêtes, de celles provenant de votant satisfaisant à un critère prédéfini, cette sélection prenant la forme d'un accès conditionnel, ou de gestion numérique des droits. L'invention se rapporte, selon un deuxième aspect, à un décodeur adapté à la mise en oeuvre du procédé tel que présenté ci dessus, ce décodeur comprenant des moyens de réception d'un programme de télévision numérique par câble ou par ondes électromagnétique, ce décodeur comprenant en outre : - des moyens de connexion à une plateforme logicielle, - des moyens d'identification d'une application interactive de vote électronique adaptée au programme de télévision diffusé, -. des moyens de synchronisation de cette application interactive audit programme numérique, 5 - des moyens de diffusion d'un signal comprenant le programme numérique et les données propres à l'application interactive de vote électronique identifiée. L'invention se rapporte, selon un troisième aspect, à un réseau de diffusion de télévision, ce réseau comprenant une pluralité de terminaux de réception pourvus chacun d'un décodeur tel que présenté ci dessus, et un serveur de vote électronique, le décodeur comprenant un module de sélection du service de vote électronique et un module de gestion, le serveur comprenant : - un premier module, dit module de création, assurant la génération du questionnaire, - un générateur de guide de services électroniques, ajoutant les services de vote électronique aux autres services de télévision interactive, - un module de souscription effectuant une comparaison des informations d'authentification reçues du module de sélection avec des informations enregistrées dans des bases de données de profil, le module de souscription adressant ledit ticket de participation au module de gestion , lorsque le votant a été identifié, - un module d'anonymisation recevant la réponse au questionnaire et le ticket de participation au vote. Le serveur comprend en outre un module de facturation, la participation au vote étant enregistrée et associée à une offre commerciale. D'autres objets et avantages de l'invention apparaîtront à la lumière de la description suivante de modes de réalisation actuellement préférés, description qui va être effectuée en référence à la figure annexée. La description suivante va être effectuée en référence à une mise en oeuvre d'un sondage d'opinion, proposé en service de télévision interactive, sur terminal mobile ou via une set to box, contexte dans lesquels des langages tels que MPEG4-BIFS ou MPEG4-LASER (rich media language) permettent de proposer des services interactifs aux utilisateurs. L'expression � télévision interactive � étant employée dans l'état de la technique pour désigner des réalités assez différentes, les précisions suivantes sont apportées ici, pour autant que nécessaire. Par � télévision interactive � (ITV Interactive Television) on désigne ici toute technologie permettant une communication à double sens entre spectateurs et fournisseur de services (tel que broadcaster, câblodistributeur), notamment pour le divertissement, l'information, l'éducation, le commerce. Par exemple, la demanderesse a développé une technologie de télévision interactive appelée ArnigoTV permettant à l'utilisateur de partager au sein d'une communauté des opinions et des émotions. Dans les techniques actuelles de télévision interactive, le téléspectateur peut par exemple choisir entre différents contenus d'un bouquet numérique, à l'aide d'un guide électronique des programmes (EF'G Electronic Program Guide). Il peut aussi accéder à Internet à partir d'un décodeur ad hoc (WebTv). La télévision interactive comprend conventionnellement un canal retour (back channe!) permettant au spectateur d'adresser au fournisseur de contenu (content provider) des informations ou des requêtes. Le contenu télévisé traditionnel se trouve ainsi complété : accès à des liens vers des sites Internet, télécommerce (T-commerce), télévision à la demande (Video On Demand), guide électronique des programmes (Electronic Program Guide). Le canal retour peut être apparent à l'écran du téléviseur (par exemple par un écran séparé split screen), l'utilisateur communiquant à l'aide de sa télécommande et de son décodeur (set top box) ou d'un dispositif incorporé (built in) par exemple IST (Integrated Smart Television). La réalité des services proposés sous l'étiquette � télévision interactive � peut être présentée suivant deux angles : le contenu des services d'une part et le type d'interactivité d'autre part. Pour ce qui est du contenu des services, peuvent être distinguées : - la télévision enrichie (enhanced TV); la télévision participative (cal/ TV) ; - la télévision interactive autonome. Pour la télévision enrichie, des services sont proposés en complément au programme télédiffusé. Des informations additionnelles sont envoyées au spectateur par exemple via l'intervalle de suppression de trame du signal télé (Vertical Blanking Interval) et/ou via des lignes téléphoniques. Ces informations additionnelles peuvent être du texte, des graphiques et des images fixes concernant la programmation, du contenu web activé par des déclencheurs, un nouveau volet audio et vidéo, ou bien encore une vision personnalisée (angle de caméra). A titre d'exemple, la chaîne Equidia propose aux abonnés disposant d'un ternninal numérique connecté à une ligne téléphonique d'ouvrir un compte et de parier à domicile sur toutes les courses de chevaux diffusées. L'information délivrée peut être liée ou non au programme en cours de diffusion. La télévision enrichie ne permet pas une communication entre les personnes regardant un même programme. Pour la télévision participative, un service de communication permet à un téléspectateur d'intervenir sur le contenu d'un programme diffusé pendant ou en dehors des temps d'antenne. Par exemple, la société Tatamia Solutions propose une plateforme Tatamia Interactive Channel permettant la diffusion de SMS (Short Message Service) en direct sur les écrans. Le téléspectateur peut par exemple choisir le clip vidéo qui sera diffusé pendant une émission et le dédicacer en clavardant (chat) avec ses amis. Les spectateurs peuvent également voter ou participer à un concours, par exemple lors d'émissions dites de télé réalité. Un service de télévision interactive autonome ne comporte aucun service de télévision à titre principal ou accessoire. II s'agit notamment de services transactionnels tels que banque à domicile, petites annonces. Le récepteur de télévision peut aussi par exemple être utilisé comme terminal de réception de messages entre abonnés (par exemple TV mail de la société TPS) : lorsqu'un abonné reçoit un nouveau message, il est automatiquement prévenu en bas de l'écran, lorsqu'il change de chaîne. Le récepteur de télévision peut également servir d'écran pour jeux interactifs proposés par une chaîne virtuelle L'invention concerne pus particulièrement la télévision enrichie et la télévision participative. Elle vise essentiellement la télévision interactive sur terminal fixe. Le système schématisé en figure annexée comprend un serveur 1 et un dispositif utilisateur 2, par exemple un périphérique d'ensemble numérique (set top box). Le dispositif utilisateur 2 comprend des moyens de réception des données génériques du guide des services électronique ESG (Electronic Service Guide). Dans une mise en oeuvre, ces données génériques proviennent d'un réseau de diffusion numérique tel que DVB-H, DVB-H+, DMB-S. Une syntaxe des données d'ESG est présentée dans le document EP 1791280 pour le standard européen de télévision numérique DVB. Avantageusement, le dispositif utilisateur 2 comprend par ailleurs des moyens de réception des données spécifiques de l'ESG, ces 10 données spécifiques dépendant du profil de l'utilisateur. A partir de des données génériques et des données personnalisées reçues, un guide des services électroniques à jour est obtenu. La mise à jour peut être assurée par transmission de trames de données modulée sur une porteuse selon un carrousel ou une boucle sans fin. 15 Un navigateur permet à l'utilisateur du dispositif 2 de consulter les différents services proposés, par exemple en complément de programmes de télévision, et d'accéder à ces services. Ce navigateur est avantageusement connecté à un module de gestion de droits. Ainsi, l'utilisateur du dispositif 2 est informé des 20 possibilités ou non de partager tel ou tel service. Le serveur 1 est pourvu de plusieurs modules. Un premier module, dit module de création 3, assure la génération des questions du sondage d'opinion. Ce module de création 3 assure également la génération d'une clé d'identification du sondage. 25 Un générateur de guide de services électroniques 4 ajoute les services du sondage aux autres services de télévision interactive. Avantageusement, le service de sondage est d'accès limité (conditionnai access), par exemple à accès conditionnel. En variante, une gestion numérique des droits (DRM Digital Rights Management) 30 assure la protection du contenu du service à l'aide d'un serveur de licence. Cette gestion numérique des droits permet de limiter l'accès au service de sondage à une population spécifique. Les codes d'accès au service peuvent, par exemple, être fournis à une catégorie socio professionnelle, ou aux habitants d'une région donnée. Des données de 35 géomarketing ou de d'extraction de données (data mining) peuvent être employées pour définir les profils de la population cible. Dans le dispositif utilisateur 2, un module 5 permet la sélection du service de sondage. Lorsqu'un sondage est sélectionné par l'utilisateur, le générateur de guide de services électroniques 4 adresse au module 5 une clé d'identification du sondage. Le module 5 transmet alors cette clé d'identification ainsi que l'authentification de l'utilisateur à un module de souscription 6. Le module de souscription reçoit ainsi une requête du dispositif utilisateur 2, pour la participation à un sondage déterminé. Le module de souscription est relié à une base de données de profils utilisateurs 7 et une base de données de localisation utilisateur 8. A partir de ces bases de données 7, 8, le module de souscription effectue avantageusement une pondération ou une adaptation du sondage, pour construire un échantillon représentatif de la population cible. Par exemple, l'échantillon représentatif est établi selon la méthode empirique des quotas : à partir de caractéristiques dont on connaît la distribution dans l'ensemble d'une population, un modèle réduit de cette population est construit. Les caractéristiques sont choisies comme pouvant influer sur les réponses au sondage. Le module de souscription adresse à un module de gestion 9 un ticket de participation unique. Ce ticket est avantageusement anonyme. Il permet un seul accès unique au service de sondage. Un module serveur 10 transmet au module de gestion un contenu de sondage, le cas échéant adapté au profil de l'utilisateur. Les réponses de l'utilisateur et le ticket de participation sont adressés, par le module de gestion 9, à un module d"anonymisation 11. Ce ,module protège la confidentialité des données de l'utilisateur, par exemple adresse IP. Les réponses, après passage dans le module dl'anonymisation 1 1 , sont transmises à un module de collationnement 12 pour être stockées dans une base de données 13. Le module de souscription adresse également des données à un module de facturation 14 et au module de collationnement 12. Pour inciter le spectateur à répondre au sondage, plusieurs mesures techniques sont avantageusement mises en oeuvre. Premièrement, l'offre de participation au sondage est visible pour le spectateur, lors de la diffusion (broadcast) d'une émission dont le contenu correspond à un thème du sondage. En variante ou en combinaison, la participation au sondage est associée à une offre commerciale (par exemple une réduction de facture pour un service). Le module de souscription adresse à cette fin des informations au module de facturation 14. Pour assurer la qualité statistique des résultats du sondage, plusieurs mesures techniques sont avantageusement mises en oeuvre. Premièrement, les réponses au sondage sont associées au profil du spectateur, tout en préservant son anonymat. A cette fin, le module de souscription 6 adresse des informations relatives au profil du spectateur au module de collationnement 12. Lorsque ce module de collationnement reçoit les réponses au sondage, il associe ces réponses au profil du spectateur, via le ticket de participation anonyme. Il est ainsi possible de pondérer les réponses au sondage. Par exemple, un questionnaire est adressé aux spectateurs d'une compétition sportive. Si l'échantillon représentatif de la population cible comprend autant d'hommes que de femmes, le procédé permet de détecter une éventuelle sous représentation de réponses provenant de femmes. Deuxièmement, le ticket de participation anonyme est à usage unique, le procédé permettant de déceler et de rejeter une nouvelle demande de participation au sondage. Le procédé peut être utilisé pour la réalisation de sondages, de vote ou de questionnaires, avec ou sans impact direct sur les émissions diffusées. Le procédé est compatible avec différents types d'interactivité. Lorsque l'interactivité est simulée, les applications et données sont intégrées dans le flux vidéo diffusé, en une seule fois ou en boucle. Le service de sondage est mis à disposition soit en temps réel sur sélection du téléspectateur, soit par stockage sur le disque dur qui perrnet une interactivité locale. Lorsque l'interactivité est déportée, il y a échange de données entre le diffuseur et le téléspectateur au moyen d'un équipement indépendant du réseau de diffusion des contenus. A titre d'exemple, la 11 personne sondée adresse les réponses au sondage par la ligne téléphonique à laquelle est raccordé un décodeur. L'invention présente de nombreux avantages. Quelques uns de ces avantages sont présentés ci-dessous. Lors d'un sondage d'opinion, il est possible de conserver un lien entre les réponses du sondage et certaines informations relatives à la personne sondée, tout en interdisant d'associer directement une opinion à une personne. Lors d'un sondage d'opinion, il est possible de cibler les personnes qui seront autorisées à répondre. L'accès au service de sondage est protégé, par exemple par accès conditionnel ou DRM. Pour inciter les personnes à participer aux sondages, plusieurs moyens sont possibles : coupons électroniques permettant d'obtenir des réductions, accès à de nouveaux services interactifs, abonnements à tarifs avantageux par exemple. L'anonymat des personnes sondées est assurée en particulier par le masquage de l'adresse source IP des terminaux : les requêtes IP d'un utilisateur du service de sondage parviennent avec une adresse IP source donnée sur un anonymizer et ressortent de cet anonymizer avec une autre adresse source. Cette fonction d'anonymisation peut être hébergée par un site de confiance indépendant du fournisseur de service en charge de gérer les sondages. Les langages � Rich Media �� (par exemple MPEG4-BIFS ou MPEG-LASER) permettent de personnaliser les questionnaires de sondages, les utilisateurs étant invités à ne répondre qu'à certaines questions en fonction de leurs profils ou de leurs réponses précédentes, par exemple. L'invention permet ainsi une exploitation améliorée des résultats de sondages.30 REVENDICATIONS1. Procédé de vote électronique à un questionnaire, comprenant - une étape de diffusion d'une offre de service de vote électronique à une pluralité de terminaux de communications ; - une étape d'envoi depuis un terminal de communication d'un votant, d'une requête à un serveur distant, cette requête contenant des informations d'authentification du votant ; - une étape d'authentification du votant par comparaison entre les informations d'authentification reçues et des informations enregistrées associées au votant ; - lorsque le votant a été authentifié, une étape d'envoi au terminal de communication du votant d'un ticket de participation au vote ; - une étape d'envoi au serveur du vote, contenant une réponse au questionnaire et le ticket de participation au vote, ce procédé étant caractérisé en ce qu'il comprend deux étapes d'anonymisation, une première étape assurant l'anonymisation du ticket de participation adressé au votant par le serveur, une deuxième étape assurant l'anonymisation du terminal de communication adressant au serveur la réponse au vote, le ticket de participation contenant au moins une donnée associée au profil du votant. 2. Procédé de vote électronique selon la revendication 1, caractérisé en ce que le ticket de participation contient au moins une donnée cryptée de profil du votant. 3. Procédé de vote électronique selon la revendication 1 ou 2, caractérisé en ce qu'il comprend une étape de création d'une clé d'identification du questionnaire, cette clé étant adressée par le serveur au terminal du votant. 4. Procédé de vote électronique selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comprend une étape de sélection, parmi le requêtes, de celles provenant de votants satisfaisants à un critère prédéfini, cette sélection prenant la forme d'un accès conditionnel, ou de gestion numérique des droits. . Décodeur adapté à la mise en oeuvre du procédé tel que présenté dans les revendications précédentes, ce décodeur étant caractérisé en ce qu'il comprend des moyens de réception d'un programme de télévision numérique par câble ou par ondes électromagnétique, ce décodeur comprenant en outre : - des moyens de connexion à une plateforme logicielle, - des moyens d'identification d'une application interactive de vote électronique adaptée au programme de télévision diffusé, - des moyens de synchronisation de cette application interactive audit programme numérique, - des moyens de diffusion d'un signal comprenant le programme numérique et les données propres à l'application interactive de vote électronique identifiée. 6. Réseau de diffusion de télévision, ce réseau comprenant une pluralité de terminaux de réception pourvus chacun d'un décodeur selon la revendication 5, et un serveur de vote électronique, le décodeur comprenant un module (5) de sélection du service de vote électronique et un module de gestion (9), le serveur comprenant : - un premier module, dit module de création (3), assurant la génération du questionnaire, - un générateur de guide de services électroniques (4), ajoutant les services de vote électronique aux autres services de télévision interactive, - un module de souscription (6) effectuant une comparaison des informations d'authentification reçues du module de sélection (5) avec des informations enregistrées dans des bases de données de profil, le module de souscription adressant ledit ticket de participation au module de gestion (9), lorsque le votant a été identifié, - un module d'anonymisation (11) recevant la réponse au questionnaire et le ticket de participation au vote. 7. Réseau de diffusion selon la revendication 6, caractérisé en ce que le serveur comprend en outre un module de facturation (14), la participation au vote étant enregistrée et associée à une offre commerciale.