La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil national de l’Ordre des infirmiers d’une demande d’avis sur un projet de règlement électoral fixant les modalités de vote électronique au sein de l’Ordre national des infirmiers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données ou RGPD ) ;
Vu le code de la santé publique, notamment son article L. 4312-14 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-108 du 13 avril 2017 portant avis sur un projet de règlement électoral fixant les modalités de vote électronique au sein de l’ordre national des infirmiers ;
Vu la délibération n° 2019-053 du 25 avril 2019 portant adoption d'une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via Internet, et son rectificatif ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
1. Le Conseil national de l’Ordre des infirmiers a saisi la Commission, sur le fondement de l’article L. 4312-14 du code de la santé publique (CSP), d’une demande d’avis concernant un projet de règlement électoral fixant les modalités de vote électronique au sein de l’Ordre national des infirmiers.
2. Cet article prévoit en effet que les modalités d’élections par voie électronique sont fixées après avis de la CNIL. Le présent projet d’acte règlementaire vise à fixer les modalités des élections aux conseils et aux chambres disciplinaires de l’Ordre des infirmiers.
3. Compte tenu des risques spécifiques que ces traitements de données à caractère personnel peuvent présenter pour les personnes, comme la divulgation de leurs opinions politiques ou syndicales, lesquelles bénéficient d’une protection particulière en application de l’article 9 du Règlement général sur la protection des données (RGPD), la Commission porte une attention toute particulière aux mesures de sécurité mises en œuvre à l’aune de ses recommandations formulées dans la délibération n° 2019-053 du 25 avril 2019 portant adoption d'une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment

4. Elle rappelle au Conseil national de l’Ordre des infirmiers la nécessité de s’assurer que des mesures de sécurité adéquates sont mises en œuvre de manière effective par l’ensemble des acteurs prenant part à la mise en œuvre du dispositif de vote. Il s’agit tout particulièrement de respecter la confidentialité de l’expression du vote et la sincérité du scrutin.
Sur le niveau de risque du scrutin
5. La recommandation du 25 avril 2019 susvisée identifie trois niveaux de risque en fonction de leur importance.
6. Au regard des caractéristiques du scrutin qui concerne un ordre professionnel, implique un nombre important d’électeurs et présente un enjeu élevé pour les personnes, dans un contexte qui semble toutefois dépourvu de conflictualité particulière, la Commission relève un niveau de risque de niveau 2.
7. Elle recommande par conséquent que le dispositif de vote électronique remplisse les objectifs de sécurité correspondant à ce niveau de risque tels que fixés dans la recommandation.
Sur les données traitées
8. L’articl 15 du projet de règlement détermine les conditions de transmission du fichier des électeurs et du fichier des candidats au prestataire de vote.
9. S’il est indiqué que le fichier des électeurs
comporte les noms et adresses électronique et postale des électeurs ainsi que le collège électoral dans lesquels ils doivent voter
10. La Commission relève néanmoins à l’article 8 que la déclaration de candidature comprend
le nom et le prénom, la date de naissance, l’adresse professionnelle, le ou les titres permettant l’exercice de la profession, le mode d’exercice, la qualification professionnelle et, le cas échéant, les fonctions ordinales ou dans les organismes professionnels, actuelles ou passées
11. La Commission recommande de préciser quelles données personnelles contenues dans le fichier des candidats seront transmises au prestataire du vote électronique. Elle rappelle à cet égard que conformément au principe de minimisation prévu à l’article 5.1.c) du RGPD, seules les données strictement nécessaires peuvent être communiquées au prestataire de vote.
12. La Commission invite également le Conseil à préciser les données traitées s’agissant du traitement du fichier dénommé contenu de l’urne électronique mentionné à l’article 14 du projet de règlement.
Sur l’expertise indépendante du dispositif de vote électronique
13. La Commission relève que le système de vote électronique fait l’objet d’une expertise indépendante dans les conditions prévues à l’article 17 du projet.
14. Elle rappelle que, conformément à la recommandation du 25 avril 2019, l’expertise portant sur une solution mise en œuvre pour un scrutin dont le niveau de risque est évalué à 2 ne peut reprendre des éléments d’un rapport d’expertise précédant, qu’à la condition que celle-ci ne soit pas antérieure à douze mois.
15. Le précédent règlement électoral datant de 2017 ainsi que l’indique la saisine du Conseil national de l’Ordre des infirmiers, pour lequel la Commission s’était d’ailleurs prononcée par la délibération n° 2017-108 du 13 avril 2017, l’expertise réalisée à cet effet ne saurait être réutilisée dans le cadre de l’expertise prévue dans le présent projet.
Sur les listes d’électeurs
16. S’agissant de l’affichage des listes électorales relatives à l’élection des conseils départementaux, l’article 7 du projet prévoit qu’un site web dédié permet à chacun de vérifier son inscription.
17. Concernant l’affichage sur internet, la Commission recommande que le contenu de la page web soit protégé de toute indexation par les moteurs de recherche.
18. S’agissant de la transmission du fichier des électeurs au gestionnaire du système de vote électronique, la Commission relève que l’article 15 du projet dispose aux alinéas 2 et 3 que
le fichier des électeurs est transmis au gestionnaire du système de vote électronique qui attribue à chacun des électeurs un code d'accès et un mot de passe pour le vote électronique.

Le fichier des candidats est transmis au gestionnaire du système de vote électronique afin de l’insérer dans le système de vote
20. La Commission invite le Conseil à modifier les alinéas 2 et 3 comme suit :
Le fichier des électeurs est transmis, de manière sécurisée, au gestionnaire du système de vote électronique qui génère, de manière sécurisée et sans en prendre connaissance, à chacun des électeurs un code d'accès et un mot de passe pour le vote électronique.

Le fichier des candidats est transmis, de manière sécurisée, au gestionnaire du système de vote électronique afin de l’insérer dans le système de vote
Sur la sécurité informatique
22. La Commission recommande au Conseil national de l’Ordre des infirmiers de prendre en compte, notamment s’agissant des garanties permettant d’assurer la sécurité et la confidentialité des informations traitées, les dispositions de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, qui crée le référentiel général de sécurité (RGS), et du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 précitée.
Sur les procédés d’authentification
23. L’article 18 du projet dispose que
l'électeur reçoit par voie électronique (ou par voie postale si l'ordre ne détient pas d'adresse électronique) de manière sécurisée quelques jours avant l'ouverture de la période de vote un code d'identification personnel lui permettant d'accéder au système de vote afin de retirer son mot de passe après avoir entré ce code et le numéro ordinal à cette fin. Le mot de passe est adressé à l'adresse mail ou au numéro de téléphone portable que l'ordre détient dans sa base de données
24. La Commission souligne qu’il est important que le Conseil collecte, en amont des scrutins, des données fiables et qualifiées permettant de s’assurer que les risques majeurs et mineurs liés à une usurpation d’identité des électeurs soient réduits de manière significative.
25. La Commission invite également le Conseil à prendre en compte, dans la rédaction de l’article 18, les éléments suivant permettant d’assurer une authentification correcte des électeurs :
l’envoi du code d’identification et du mot de passe ne doit pas se faire par le même canal. Ainsi, il convient de disposer au minimum de deux moyens afin de contacter l’électeur (courriel et SMS, ou adresse postale et SMS, etc.) ;
le mot de passe ne doit jamais être envoyé en clair sur une boîte aux lettres, qu’elle soit personnelle ou professionnelle. Il convient au mieux d’envoyer un courriel contenant un lien sécurisé à usage unique permettant à l’utilisateur de générer un mot de passe qui lui sera affiché uniquement au sein de la connexion sécurisée de son navigateur, voire de choisir lui-même son mot de passe (ce dernier devant répondre aux conditions fixées par la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ainsi que la délibération n° 2017-190 du 22 juin 2017 portant modification de la recommandation relative aux mots de passe) ;
le mot de passe doit être généré juste avant l’envoi puis immédiatement stocké de manière sécurisée et non réversibles au sein de la solution de vote, de sorte que le prestataire ne puisse y avoir accès.
26. Par ailleurs, la Commission recommande de renforcer l’authentification de l’électeur en utilisant, en sus du couple identifiant et mot de passe précité, un dispositif de défi/réponse – c'est-à-dire l'envoi par le serveur d'authentification d'une question dont l'électeur est le seul à connaître la réponse. Elle rappelle que les données aisément accessibles, à l’instar de la date de naissance, ne devraient pas être utilisées pour organiser un défi/réponse.
27. L’article 18 du projet prévoit également qu’en cas de difficultés rencontrées par l’électeur dans la réception des codes, de compromission ou perte de ces codes, l’électeur peut contacter l’assistance téléphonique, mise en œuvre par le prestataire.
28. La Commission rappelle, d’une part, que l’assistance téléphonique doit être en mesure d’authentifier la personne de manière certaine et, d’autre part, qu’en cas de compromission ou de perte de ses moyens d’authentification, la procédure sécurisée doit permettre à l’électeur d’effectuer son vote et de rendre les moyens d’authentification perdus ou compromis inutilisables sans que le prestataire prenne connaissance du nouveau mot de passe.
29. Les autres dispositions du projet n’appellent pas d’observation de la Commission.

Pour la Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON