La Commission nationale de l'informatique et des libertés,
Saisie le 22 mai 2006 par le ministère de l'Emploi, de la Cohésion Sociale et du Logement d'un projet de décret et d'un projet d'arrêté relatifs aux modalités de vote électronique pour l'élection des délégués du personnel et du comité d'entreprise ;
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu le code du travail, notamment ses articles L. 423-13 et L. 433-9 ;
Vu la loi n° 2004-575 du 21 juin 2004 relative à la confiance dans l'économie numérique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 98-041 du 28 avril 1998 portant adoption d'une recommandation sur l'utilisation des systèmes de vote par code-barres dans le cadre d'élections par correspondance pour les élections professionnelles ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 03-036 du 1er juillet 2003 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique ;
Après avoir entendu, Mme Isabelle Falque-Pierrotin, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
L'article 54 de la loi n° 2004-575 du 21 juin 2004 relative à la confiance dans l'économie numérique dite loi "LEN" a ouvert la possibilité d'utiliser le vote électronique pour les élections des membres du comité d'entreprise et des délégués du personnel, en modifiant les dispositions des articles L. 423-13 (délégués du personnel) et L. 433-9 (comité d'entreprise) du code du travail. Ces textes prévoient désormais que l'élection a lieu au scrutin secret sous enveloppe "ou par vote électronique, dans les conditions et selon les modalités définies par décret en Conseil d'Etat".
Le ministère de l'Emploi, de la Cohésion Sociale et du Logement a saisi la Commission, le 22 mai 2006, d'un projet de décret en Conseil d'Etat et d'un projet d'arrêté pris pour l'application de ces dispositions et destinés à encadrer réglementairement ce vote électronique.
A titre préalable, la Commission se félicite que ces projets soient globalement en conformité avec sa recommandation du 1er juillet 2003 sur la sécurité des dispositifs de vote électronique. Toutefois, certaines des recommandations de la CNIL émises le 28 avril 1998, relatives à l'utilisation de systèmes de lecture optique de codes-barres, devraient également être prises en compte.
Sur les dispositions du projet de décret
Le projet de décret en Conseil d'Etat insère dans le code du travail deux nouveaux articles R. 423 et R. 433, précisant les modalités d'utilisation d'un dispositif de vote électronique sur place ou à distance et de recours à un système de lecture optique de codes-barres, pour les élections des délégués du personnel et du comité d'entreprise.
Les dispositions du projet de décret concernent tant l'utilisation d'un système de vote électronique que le recours à un dispositif de lecture optique de codes-barres permettant d'accélérer les opérations d'émargement et de dépouillement d'un scrutin sous enveloppe.
Dans la mesure où l'intitulé du projet de décret ne fait référence qu'au seul vote électronique et où, ainsi que la Commission l'a rappelé dans sa délibération du 1er juillet 2003, la lecture optique de codes-barres ne constitue pas un dispositif de vote électronique, la Commission estime qu'il conviendrait que l'intitulé du projet de décret soit modifié de la façon suivante "décret n° 2006- du relatif aux modalités de vote pour l'élection des délégués du personnel et du comité d'entreprise".
La possibilité de procéder à un vote électronique est ouverte par un accord d'entreprise ou par un accord de groupe qui comporte un cahier des charges assurant le respect des dispositions législatives et réglementaires garantissant la confidentialité des données transmises, la sécurité de l'adressage des moyens d'authentification, de l'émargement, de l'enregistrement et du dépouillement des votes, et le scellement du système de vote électronique à l'ouverture et à la clôture du scrutin.
Les organisations syndicales de salariés incluses dans le périmètre de l'accord, et représentatives au sens de l'article L. 132-2 du code du travail, sont tenues informées par l'employeur de l'accomplissement des formalités préalables fixées par la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Le protocole d'accord préélectoral fait référence à l'accord d'entreprise ou de groupe et il est accompagné d'une description détaillée du déroulement des opérations de vote ainsi que du fonctionnement du système de vote électronique.  En cas de recours à un prestataire pour la mise en oeuvre du vote électronique, son nom figure également dans le protocole.
Le projet de décret rappelle l'obligation légale mise à la charge de l'employeur d'assurer la confidentialité des données transmises, et notamment des fichiers de listes électorales, ainsi que la sécurité de l'adressage des moyens d'authentification, de l'émargement, de l'enregistrement et du dépouillement des votes.
Il prévoit également l'obligation d'assurer une expertise du système, préalablement à sa première mise en place ou à toute évolution, sous forme d'un avis détaillé d'un expert indépendant, tenu à la disposition de la CNIL.
Il reprend les préconisations de la CNIL s'agissant de l'inaccessibilité des fichiers comportant les éléments d'authentification des électeurs, des clés de chiffrement et de déchiffrement de l'urne ainsi que du scellement du système de vote à l'ouverture et à la clôture du scrutin.
Le texte prévoit que ces principes sont également opposables aux techniciens chargés de la gestion ou de la maintenance du système informatique, renforçant ainsi les garanties de confidentialité et de sincérité du scrutin.
Par ailleurs, une notice d'information détaillée sur le déroulement du vote doit être remise à chaque salarié, et les représentants du personnel ainsi que les membres du bureau de vote doivent être formés aux modalités de fonctionnement du système.
En outre, il prévoit la mise en place par l'employeur d'une cellule d'assistance technique chargée notamment de s'assurer du bon fonctionnement et de la surveillance du système informatique, de réaliser un test du système avant l'ouverture du scrutin et de vérifier que l'urne électronique est vide, scellée et chiffrée par les clés délivrées à cet effet en présence des représentants des candidats.
Toutefois, il convient de rappeler que la Commission recommande qu'à l'issue des opérations de vote, mais avant le dépouillement, un test soit réalisé sur un lot aléatoire de bulletins afin de vérifier l'intégrité du système de dépouillement.
Dans la mesure où seul un test préalable à l'ouverture du scrutin est actuellement prévu par les textes, la Commission demande que le III. des projets d'articles R. 423 et R. 433 soit complété par la phrase suivante :  "A l'issue des opérations de vote mais avant le dépouillement, un second test doit être réalisé sur un lot aléatoire de bulletins, sous la conduite de la cellule d'assistance technique, afin de vérifier l'intégrité du système de dépouillement".
Par ailleurs, la Commission demande que soit insérée aux projets d'articles R. 423 et R. 433, la garantie initialement prévue à l'article 6 alinéa 2 et à l'article 12 du projet d'arrêté, sous la rédaction suivante :  "Le système de vote doit garantir que les résultats partiels ne seront pas accessibles durant le déroulement du vote.  Seul le nombre de votants pourra, lorsque la diffusion d'une telle information est prévue, être diffusé".
Le choix des personnes composant la cellule d'assistance technique est laissé à l'employeur.  S'il recourt à un prestataire technique, il doit veiller à y associer les représentants de ce prestataire, qui sont en effet à même de disposer des compétences nécessaires afin que la cellule d'assistance technique joue pleinement son rôle.
Le principe d'un traitement des données des listes électorales et des données relatives à l'expression du vote sur des systèmes informatiques distincts, dédiés et isolés est repris.
La Commission prend note que le projet de décret prévoit que jusqu'à l'expiration des délais de recours, l'employeur conserve sous scellés ou s'assure que le prestataire auquel il a eu recours conserve selon les mêmes modalités les fichiers supports comprenant la copie des programmes sources et des programmes exécutables, les matériels de vote, les fichiers d'émargement, de résultats et de sauvegarde.
La Commission prend également acte du rappel de l'obligation renforcée de vigilance de l'employeur vis-à-vis du prestataire auquel il aurait eu recours, afin que ce dernier restitue les fichiers restant en sa possession à l'issue des opérations électorales et détruise toutes les copies totales ou partielles qu'il aurait effectuées sur un support quel qu'il soit.
Sur les dispositions du projet d'arrêté :
Le projet d'arrêté, pris en application du projet de décret, précise d'une part les conditions techniques dans lesquelles des opérations de vote électronique sur place ou à distance peuvent être mises en oeuvre et, d'autre part, les modalités selon lesquels les listes d'émargement et le dépouillement à l'aide d'un système de lecture optique de codes-barres sont établis.
La Commission demande que son observation formulée ci-dessus quant à l'intitulé du projet de décret soit également prise en compte dans l'intitulé du projet d'arrêté.
Sur les dispositions du projet d'arrêté relatives aux modalités de vote électronique sur place ou à distance :
L'article I du projet prévoit la constitution d'un "fichier des électeurs" scellé et non réinscriptible, établi à partir des listes électorales et ayant pour finalités de permettre de délivrer à chaque électeur un moyen d'authentification l'autorisant à se connecter au système de vote électronique, ainsi que l'édition des listes d'émargement comportant la date et l'heure du vote.
Il est précisé que les votes font l'objet d'un chiffrement dès leur émission, ce qui correspond à une préconisation de la CNIL. Ils sont versés dans un fichier chiffré dénommé "contenu de l'urne électronique", distinct du "fichier des électeurs", aucun lien ne devant permettre l'identification des électeurs.
L'article 3 précise l'étendue des obligations de contrôle préalable mises à la charge de l'employeur.  Ce dernier veille ainsi à la conformité des listes électorales importées sur le système de vote électronique aux listes électorales transmises le cas échéant au prestataire, ainsi qu'à la bonne intégration des candidatures dans le système.
Le contrôle effectif du bon fonctionnement informatique du système est opéré par les représentants de l'organisme mettant en place le vote, toute mesure devant être prise pour permettre la vérification de l'effectivité des dispositifs de sécurité.
Le texte pose également une obligation de prévoir un dispositif de secours en cas de panne du système principal, offrant les mêmes garanties et caractéristiques.  En cas de dysfonctionnement informatique, le bureau de vote peut décider toute mesure d'information et de sauvegarde, notamment la suspension des opérations de vote.
La Commission prend acte de ce que ces dispositions de l'article 3 du projet d'arrêté, qui précise en outre que toutes les mesures sont prises pour leur permettre de vérifier l'effectivité des dispositifs de sécurité prévus, reprennent ses recommandations.
L'article 4 fixe la liste des données à caractère personnel pouvant êtres traitées dans le cadre d'un vote électronique. L'article 5 vise quant à lui les destinataires des ces données.  La liste de ces données, tout comme ses destinataires, n'appellent pas d'observations particulières.
L'article 6 précise les conditions de déroulement du vote par voie électronique.  Il prévoit notamment que les heures d'ouverture et de fermeture du scrutin électronique doivent pouvoir être contrôlées par le bureau de vote ou les personnes désignées ou habilitées et aucun résultat partiel, hormis le nombre de votants, ne doit être accessible durant le déroulement du vote.
La Commission demande à ce que cette garantie soit reportée au projet de décret et formulée dans une rédaction selon laquelle "Le système de vote doit garantir que les résultats partiels, hormis le nombre de votants, ne seront pas accessibles durant le déroulement du vote.  Seul le nombre de votants pourra, lorsque la diffusion d'une telle information est prévue, être diffusé".
Pour se connecter au système de vote électronique, l'électeur se fait connaître grâce au moyen d'authentification qui a lui a été transmis selon des modalités garantissant la confidentialité.  Ce système doit permettre de vérifier son identité et l'unicité de son vote.
Le choix exprimé par l'électeur doit apparaitre clairement à l'écran et pouvoir être modifié avant validation.  La validation rend le vote définitif et interdit toute modification.  La transmission du vote et l'émargement font l'objet d'un accusé de réception que l'électeur peut conserver.  Le vote est anonyme et chiffré par le système, avant transmission au fichier "contenu de l'urne électronique". Le texte prévoit que le système doit alors rendre impossible à quiconque de voter à nouveau avec les mêmes moyens d'authentification.
L'article 7 précise les conditions dans lesquelles s'opèrent les opérations de dépouillement
A la clôture du scrutin, le fichier "contenu de l'urne électronique", les listes d'émargements et les états courants gérés par les serveurs sont figés, horodatés et scellés automatiquement sur l'ensemble des serveurs.
L'intégrité du fichier "contenu de l'urne électronique" doit alors être constatée publiquement, avant le début du dépouillement.
Le texte prévoit que le dépouillement de ce fichier ne peut s'opérer que par l'activation conjointe d'au moins deux clés de chiffrement différentes sur les trois devant être éditées.
Ces clés sont générées publiquement et remises, selon des modalités garantissant la confidentialité, respectivement au président du bureau de vote et à deux de ses assesseurs (à défaut d'accord, le plus jeune et le plus âgé).  Ils sont les seuls à avoir connaissance de ces clés, à l'exclusion de toute autre personne y compris du personnel technique.  Des clés de sauvegarde sont conservées sous scellés.
Le décompte des voix apparaît lisiblement à l'écran et fait l'objet d'une édition sécurisée afin d'être porté au procès-verbal.
Le système de vote électronique est scellé après le dépouillement afin de garantir l'impossibilité de reprendre ou modifier les résultats après la décision de clôture du dépouillement.  Le texte prévoit que la procédure de décompte des votes doit pouvoir être déroulée de nouveau, afin de permettre, si nécessaire, une vérification des résultats du dépouillement.
Ces mesures sont conformes aux recommandations de la CNIL relatives à la sécurité des systèmes de vote électronique du 1er juillet 2003.
Sur les dispositions du projet d'arrêté relatives à l'émargement et au dépouillement par lecture optique :
La Commission note que le projet d'arrêté prévoit la séparation physique entre, d'une part, le code barres situé sur l'enveloppe d'acheminement et permettant d'identifier l'électeur sur la liste électorale, et d'autre part, le code barres figurant sur le bulletin de vote.
Elle relève également que le texte prévoit que le code barres situé sur les enveloppes doit être imprimé sur l'enveloppe d'acheminement des votes afin de le rendre indissociable de son support.  Cette disposition est de nature à sécuriser le dispositif et éviter les éventuelles contestations liées à l'utilisation d'étiquettes comportant les codes-barres collées sur les enveloppes d'acheminement.
Les listes d'émargement ne comportent que l'identité des électeurs ainsi que la mention attestant sa participation au vote, à l'exclusion de toute autre information.  Elles sont enregistrées sur un support scellé et non réinscriptible.
Seul le nombre de votants peut être diffusé pendant le déroulement du scrutin.  Un test préalable au scrutin doit permettre de garantir l'effectivité du dispositif de scellement, le bon fonctionnement des lecteurs et la remise à zéro du compteur des voix.
Les décomptes finaux font l'objet d'une édition sécurisée portée au procès-verbal de l'élection.  Après la décision de clôture du scrutin, le système de décompte est scellé afin de garantir l'impossibilité de reprendre ou modifier les résultats, le décompte devant pouvoir être déroulé à nouveau.
Toutefois, la Commission estime nécessaire que les dispositions du projet d'arrêté soient complétées par certaines garanties supplémentaires, dont la CNIL a notamment préconisé la mise en oeuvre dans sa recommandation du 28 avril 1998 relative à l'utilisation de systèmes de vote par codes-barres dans le cadre d'élections professionnelles.
La Commission demande que soient prises en compte les préconisations suivantes :
- en cas de recours à un prestataire extérieur, s'assurer que ce dernier s'engage contractuellement à ne pas utiliser les fichiers nominatifs d'électeurs à d'autres fins que l'établissement de la liste électorale, l'adressage du matériel de vote, la réalisation des listes d'émargements et à ne pas les divulguer.
- afin de garantir le secret du vote, s'assurer de la mise en oeuvre de procédés rendant impossible l'établissement d'un lien entre le nom de l'électeur et l'expression de son vote.  A cette fin :
- l'électeur ne doit être identifié que par un code barre généré de façon aléatoire, à l'exclusion de toute autre information, ce numéro devant être modifié pour chaque scrutin ;
- le fichier de correspondance, établi pour permettre l'édition de la liste d'émargement, entre le nom des électeurs et les codes-barres qui leur sont attribués doit être conservé sous le contrôle du bureau de vote ;
- les documents de vote transmis par l'électeur doivent être conçus de façon à ce que le code-barre qui permet son identification et celui exprimant le sens du vote fassent l'objet de lectures distinctes afin qu'il soit impossible techniquement d'établir un lien entre ces deux informations ;
- les documents de vote transmis par l'électeur doivent être acheminés sous pli clos.
En outre, la CNIL recommande que toutes précautions utiles soient prises afin que les bulletins de vote par correspondance ne subissent, lors de leur envoi par les électeurs, aucune altération de nature à empêcher la comptabilisation du vote ou à considérer le vote comme étant nul.  Il en résulte que :
- l'envoi du matériel de vote aux électeurs doit être accompagné d'une note explicative détaillant de façon claire les modalités des opérations de vote et en particulier, les critères de comptabilisation et de détermination des votes nuls ou blancs ;
- au cas où l'expression de vote serait matérialisée par une étiquette comportant un code-barre identifiant le candidat, cette étiquette ne doit pouvoir être décollée sans être irrémédiablement altérée
De surcroît, la Commission recommande :
- que les opérations de dépouillement soient effectuées par un ordinateur isolé ou plusieurs ordinateurs reliés en réseau local, ces ordinateurs ne devant en aucun cas comporter le fichier nominatif des votants, ni le ou les fichiers de correspondance entre le nom des électeurs et les numéros qui leurs sont attribués aléatoirement ;
- qu'une solution de secours, comportant notamment un dispositif complémentaire en cas de défaillance du système, soit prévue ;
- que le système comporte un dispositif technique rejetant tout bulletin déjà lu ;
- que les voix soient comptabilisées par lot de sorte que les expressions individuelles de vote ne puissent être isolées et rapprochées de l'identité du votant ;
Enfin, pour des raisons de clarté, la Commission demande à ce que l'arrêté utilise systématiquement les termes "données du vote" pour désigner le vote et les données qui lui sont immédiatement attachées (par exemple d'horodatage), en particulier s'agissant des dispositions prévoyant l'obligation de procéder au chiffrement de ces données (article 2 alinéa 2 du I. du projet d'arrêté).
Sous réserve que les dispositions des projets de décret et d'arrêté soient modifiées dans le sens de l'ensemble des observations formulées, la Commission estime que les dispositifs de vote sont de nature à garantir la confidentialité des opérations de vote ainsi que la sincérité du scrutin.
Le président, Alex TURK.