La Commission nationale de l'informatique et des libertés,
Saisie le 29 septembre 2005 par la mairie d'Issy-les-Moulineaux d'un dossier de formalités préalables portant sur un projet de vote électronique,
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment l'article 27-II-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée ;
Après avoir entendu, Mme Isabelle Falque-Pierrotin, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La mairie d'Issy-les-Moulineaux souhaite mettre en place un dispositif de vote électronique pour les élections aux conseils de quartier du 5 au 12 décembre 2005.
Sur le régime de formalités préalables applicable
Aux termes de l'article 27-II, 4° de la loi du 6 janvier 1978 modifiée, sont autorisés par arrêté, ou en cas de traitement opéré pour le compte d'un établissement public ou d'une personne morale de droit privé gérant un service public, par décision de l'organe délibérant chargé de leur organisation, pris après avis motivé de la CNIL "les traitements mis en oeuvre par l'Etat ou les personnes morales mentionnées au I aux fins de mettre à disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques".
Le dispositif de vote électronique proposé par la mairie d'Issy-les-Moulineaux s'effectue par le biais d'un site internet mis à disposition de l'électeur et comporte un identifiant propre à chaque électeur (numéro d'électeur, code d'accès individuel et mot de passe).
Le vote électronique de la mairie d'Issy-les-Moulineaux constitue donc un traitement de données personnelles, mis en oeuvre par une collectivité territoriale, ayant pour fin de mettre à la disposition de ses administrés un téléservice de l'administration électronique.
Sur l'expertise indépendante du dispositif de vote électronique
La Commission constate qu'un audit de sécurité face aux risques d'intrusion par internet ainsi qu'un avis rendu par l'expert mandaté par l'ordre des avocats de Paris pour un système de vote électronique mis en place par ce dernier, identique à celui de la mairie d'Issy-les- Moulineaux lui ont été fournis.
La Commission considère cependant que, dans la mesure où l'expertise indépendante doit évaluer le logiciel de vote au regard des préconisations de la recommandation de la CNIL du ler juillet 2003, l'audit produit par la société Intrinsec, qui ne porte que sur les mesures de sécurité face aux risques d'intrusions externes via internet, ainsi que l'étude de l'expert, compte tenu de sa brièveté, ne répondent pas à sa demande.
Elle rappelle qu'une véritable expertise du logiciel de vote réalisée par un organisme indépendant est nécessaire pour garantir la sincérité, l'anonymat, la transparence, l'"auditabilité" et la sécurité du scrutin.
Sur la séparation des données identifiantes des électeurs et des votes
Le secret du vote doit être garanti par la mise en oeuvre de procédés rendant impossible l'établissement d'un lien entre le nom de l'électeur et l'expression de son vote.  Il en résulte que la gestion du fichier des votes et celle de la liste d'émargement doivent être faites sur des "systèmes informatiques distincts, dédiés et isolés" selon la recommandation de la CNIL du 1er juillet 2003.  Ces fichiers doivent, en outre, faire l'objet de mesures de chiffrement selon un algorithme public réputé "fort".
La Commission constate qu'en l'espèce les fonctions d'authentification des électeurs et de collecte des votes sont hébergées dans des systèmes informatiques rassemblés en un même lieu géographique, le déploiement et l'administration de l'ensemble de ces systèmes informatiques étant assurés par un prestataire technique également responsable de la génération et la diffusion des secrets (clés de chiffrement/déchiffrement).  De surcroît, l'hébergement sur un même système de plusieurs élections d'organismes différents en même temps est susceptible de générer des difficultés en termes de sécurité.
La Commission rappelle qu'il est souhaitable d'opter pour une séparation tant logique que physique des urnes et de la liste des électeurs et qu'en tout état de cause, le prestataire doit s'engager à garantir une réelle séparation opérationnelle entre ces deux traitements, ce qui implique au minimum deux équipes techniques distinctes.
De la même façon, le prestataire doit garantir les conditions permettant d'assurer la séparation totale des données relatives aux différentes élections hébergées sur un même système.
Sur le scellement du dispositif de vote électronique La Commission considère que la procédure de scellement du dispositif de vote par signature électronique proposée par le prestataire de la mairie d'Issy-les-Moulineaux doit être effectivement mise en oeuvre. Le projet d'acte réglementaire de la mairie d'Issy-les-Moulineaux devra être complété sur ce point.
Sur la surveillance effective du scrutin
La Commission prend acte de la mise en place d'une commission chargée de surveiller le bon déroulement du scrutin.
Sur le chiffrement des données
La Commission observe que le transport du vote fait l'objet d'un chiffrement mais que celui-ci est limité au tunnel de transport sans concerner le bulletin de vote et les données de l'électeur ; que cette solution n'est pas satisfaisante, les informations transmises pouvant être captées à leur sortie avant d'arriver sur le serveur de vote.
La Commission souligne que les données relatives aux électeurs ainsi que leur bulletin de vote devraient faire l'objet d'un chiffrement.
Elle demande que le chiffrement complémentaire, prévu dans le dossier de la mairie d'Issy-les-Moulineaux, des données à la sortie de la liaison avec le poste de l'électeur et avant leur arrivée sur le serveur de vote soit effectivement mise en oeuvre.  Le projet d'acte réglementaire de la mairie d'Issy-les-Moulineaux devra être complété sur ce point.
Sur la traçabilité des actions effectuées sur le dispositif de vote
La Commission que la traçabilité des actions menées sur le système de vote, aujourd'hui limitée, soit étendue à toutes les interventions opérées sur le système de vote. Le projet d'acte réglementaire de la mairie d'Issy-les-Moulineaux devra être complété sur ce point.
Sur la réédition des codes secrets permettant de voter
La Commission note la possibilité, pour les électeurs, de se faire communiquer sur place le jour de l'élection les codes d'accès leur permettant de voter dans l'hypothèse où ceux-ci auraient été égarés.
La Commission considère qu'une telle faculté nécessite un encadrement rigoureux et, en particulier, que la liste de tous les codes remis de nouveau aux électeurs ainsi que la liste des personnes habilitées à délivrer ces codes doivent être conservées. Il appartient également à la mairie d'Issy-les-Moulineaux de prendre les mesures organisationnelles afin que cette possibilité ne puisse donner lieu à la communication de ces codes d'accès à des tiers.
La Commission demande que le projet d'acte réglementaire de la mairie d'Issy-les-Moulineaux soit complété sur ce point.
Sur la gestion des clés de dépouillement
La Commission considère que, d'une part, les clés de dépouillement devraient être distinctes de celles permettant la consultation des compteurs et de la liste d'émargement et, d'autre part, que ces clés de dépouillement devraient être remises à la clôture du scrutin aux personnes désignées pour procéder au dépouillement.  Le projet d'acte réglementaire de la mairie d'Issy-les-Moulineaux devra être complété sur ce point.
Le président Alex TURK.