Délibération relative à une demande d'avis portant sur la mise en oeuvre d'un système de vote électronique à distance pour l'élection des membres des chambres de commerce et d'industrie.
Nature: Avis

   La Commission nationale de l'informatique et des libertés,   Saisie par le ministre de l'économie, des finances et de l'industrie pour avis, d'un projet d'arrêté, pris en application des articles 27 à 32 du décret n° 91-739 du 18 juillet 1991 modifié relatif aux chambres de commerce et d'industrie, aux chambres régionales de commerce et d'industrie, à l'assemblée des chambres françaises de commerce et d'industrie et aux groupements interconsulaires, portant sur la mise en oeuvre d'un système de vote électronique à distance pour l'élection des membres de chambres de commerce et d'industrie ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la Directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27 ;   Vu le code électoral ;   Vu le code de commerce ;   Vu l'article 19 de la loi n° 2003-591 du 2 juillet 2003 habilitant le Gouvernement à simplifier le droit ;   Vu l'ordonnance n° 2003-1067 du 12 novembre 2003 relative à l'élection des membres des Chambres de commerce et d'industrie, à la prorogation des mandats des délégués consulaires et modifiant le code de commerce ;   Vu le décret n° 91-739 du 18 juillet 1991 modifié par le décret n° 2004-576 du 21 juin 2004 relatif aux chambres de commerce et d'industrie, aux chambres régionales de commerce et d'industrie, à l'assemblée des chambres françaises de commerce et d'industrie et aux groupements inter consulaires ;   Vu la délibération n° 03-036 du 1er juillet 2003 de la Commission nationale de l'informatique et des libertés portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique ;
   Vu la délibération n° 03-049 du 20 novembre 2003 portant avis sur le projet de décret modifiant le décret n° 91-739 du 18 juillet 1991 relatif aux Chambres de commerce et d'industrie, aux chambres régionales de commerce et d'industrie, à l'assemblée des chambres françaises de commerce et d'industrie et aux groupements interconsulaires ;   Vu le projet d'arrêté pris en application des articles 27 à 32 du décret n° 91-739 du 18 juillet 1991 modifié relatif aux chambres de commerce et d'industrie, aux chambres régionales de commerce et d'industrie, à l'assemblée des chambres françaises de commerce et d'industrie et aux groupements interconsulaires ;   Vu le dossier de formalités préalables l'accompagnant enregistré sous le numéro 1040061 ;   Après avoir entendu Mme Isabelle Falque-Pierrotin, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
   Formule les observations suivantes   Les élections des membres des chambres de commerce et d'industrie (CCI) sont régies par les dispositions des articles L. 713-1 à L. 713-15 du code de commerce ainsi que celles du décret n° 91-739 du 18 juillet 1991, modifiées par les dispositions de l'ordonnance n° 2003-1067 du 12 novembre 2003.   Les opérations pour les élections des membres des CCI sont organisées par le préfet et soumises en vertu de l'article L. 713-13 du code du commerce aux dispositions du code électoral relatives à la publicité et la propagande électorale (articles L. 49 et L. 50), au caractère secret du scrutin et au déroulement du vote (L. 58 à L. 67), et aux sanctions pénales (L. 86 à L. 117-1).   L'article 19 de la loi n° 2003-591 du 2 juillet 2003 habilitant le Gouvernement à simplifier le droit introduit la possibilité de mise en oeuvre du vote électronique en particulier pour les élections aux chambres de commerce et d'industrie dans le respect des règles de protection de la liberté individuelle et de la vie privée établies par la législation relative à l'informatique, aux fichiers et aux libertés.   L'article 7 de l'ordonnance n° 2033-1067 du 12 novembre 2003 relative à l'élection des membres des chambres de commerce et d'industrie, à la prorogation des mandats des délégués consulaires et modifiant le code de commerce, consacre l'introduction du vote électronique pour les élections des membres des Chambres de commerce et d'industrie (CCI) et fixe la primauté du vote électronique sur le vote par correspondance.   Le décret n° 91-739 du 18 juillet 1991 modifié a fixé les conditions du vote électronique et déterminé l'ensemble du processus de dématérialisation de l'organisation des élections consulaires.   Les systèmes de vote électronique nécessitent le recours à des fichiers nominatifs au sens de la loi du 6 Janvier 1978 et sont donc soumis à l'accomplissement de formalités auprès de la Commission préalablement à leur mise en oeuvre.   En application de l'article 27 II 4° de la loi du 6 janvier 1978 modifiée sont "autorisés par arrêté ou, en cas de traitement opéré pour le compte d'un établissement public ou d'une personne morale de droit privé gérant un service publie, par décision de l'organe délibérant chargé de leur organisation, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés ... les traitements mis en oeuvre par l'État ou les personnes morales de droit public ou les personnes morales de droit privé gérant un service public aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques".
   Le dossier de demande d'avis porte sur une expérience pilote d'une plate-forme de vote électronique, en tant que mode alternatif au vote traditionnel par correspondance, pour l'élection des membres des chambres de commerce et d'industrie menée par les chambres de commerce et d'industrie de Paris, Grenoble, Bordeaux, Nice et Alençon. La possibilité de voter par internet sera ainsi proposée à 340.000 électeurs sur une durée de trois semaines, du 13 octobre 2004 au 3 novembre 2004 minuit.  Le présent traitement s'inscrit donc bien dans le cadre de l'article 27 II 4° de la loi du 6 janvier 1978 modifiée dans la mesure où d'une part il s'agit d'un téléservice puisque le vote électronique s'effectue par le biais d'un site internet mis à disposition de l'électeur par chaque chambre de commerce participante à l'opération et d'autre part le dispositif de vote électronique mis en place comporte un identifiant de chaque électeur.
   1. L'expertise du système de vote   En application des dispositions de l'article 32 du décret n° 91-739 du 18 juillet 1991 précité, le projet d'arrêté dispose que le système de vote fait l'objet d'une expertise indépendante réalisée par un comité d'experts dont l'avis est rendu sous la forme d'un rapport détaillé ; le rapport doit être transmis à la CNIL et faire partie intégrante du dossier de formalités préalables et il doit être communiqué à la cellule visée à l'article 8 du projet d'arrêté.   L'expertise a été menée par une société indépendante et a permis de décrire précisément le système de vote projeté.  Elle a cependant été réalisée sur le mode déclaratif à partir des entretiens avec les acteurs du projet et d'une analyse documentaire.  Les conclusions du rapport restent ainsi subordonnées à la mise en oeuvre effective des solutions formulées et des garanties évoquées.   Le comité d'experts n'a notamment pas pu procéder à la vérification de la réalité des éléments d'architecture et de sécurité prévus et n'a pu conduire d'analyse de risques sur l'architecture technique et sur l'organisation prévue, notamment en termes de moyens humains et de définition des profils d'administration du système ; en particulier il n'a pas été conduit dans le cadre de l'expertise de tests d'intrusions internes et externes, de vérification des fonctionnalités de sécurité ou d'audit de configuration des équipements, d'analyse des scénarios d'incidents potentiels pouvant survenir.   L'expertise versée dans le dossier ne répond pas aux termes de la recommandation de la CNIL relative à la sécurité des systèmes de vote électronique en ce qu'elle aurait dû également porter sur le logiciel exécutable dans sa version finalisée avant toute installation, puis après installation dans les conditions réelles de mise en oeuvre.   La Commission considère en conséquence que l'obligation réglementaire de procéder à une expertise indépendante du système de vote n'est pas remplie ; elle estime nécessaire qu'une expertise complémentaire soit effectuée sur les points précis visés tant précédemment que plus avant, au plus tard pendant les opérations électorales.
   2. L'authentification de l'électeur   L'article 2 du projet d'arrêté prévoit que les listes électorales validées par les commissions d'établissement des listes électorales sont transmises par chaque chambre au prestataire technique ; que la conformité des listes importées sur le système de vote électronique par rapport aux listes électorales transmises au prestataire est contrôlée pour chaque chambre par un représentant du préfet dont elle relève ou par toute personne habilitée à cet effet par le préfet ; la même procédure est appliquée pour l'intégration et le contrôle des candidatures.   L'article 6 dispose que dans le cadre des opérations d'envoi de la propagande électorale et du matériel de vote, il est transmis à chaque électeur des données personnelles permettant son authentification lors des opérations de vote ; cette authentification est rendue possible par l'envoi, sous enveloppe cachetée et pli sécurisé, d'un identifiant et d'un code strictement personnel ; outre ces éléments, chaque électeur devra, pour procéder au vote, faire état d'une donnée qui lui est personnelle.   La Commission considère que ces dispositions permettent, compte tenu de la nature professionnelle des élections, d'assurer l'authentification de l'électeur dans des conditions satisfaisantes et analogues à celles prévues pour le vote par correspondance.
   3. La question de l'effectivité du caractère distinct, dédié et isolé des systèmes informatiques et le chiffrement des données   La solution retenue entend faire application d'une exigence fondamentale pour un applicatif de vote, figurant dans la recommandation de la CNIL, et reprise par le décret, à savoir la mise en oeuvre des traitements dénommés "fichier des électeurs" et "contenu de l'urne électronique" sur des systèmes informatiques distincts, dédiés et isolés, et la mise en oeuvre du traitement "fichier des électeurs" sur un support distinct de celui de l'urne électronique, scellé, non réinscriptible, rendant son contenu inaltérable et probant, avec un chiffrement des données traitées dans l'urne électronique et l'absence de lien permettant l'identification des électeurs.   Le rapport d'expertise produit met en avant l'insuffisance de l'architecture analysée et préconise des modifications de nature à empêcher la corruption du système par une ouverture sur l'extérieur. La Commission prend acte qu'aux termes du dossier, il a été procédé à la modification de l'architecture dans le sens voulu par l'expert.   Par ailleurs, la Commission observe que le vote exprimé, bien que transféré à partir du micro-ordinateur de l'électeur sur le système de vote au travers d'une liaison sécurisée (protocole SSL), arrive sur le serveur de vote en clair et n'est chiffré que lors de son versement dans l'ume électronique.  Cette configuration a pour conséquence d'accroître les risques de perte de confidentialité ou de malveillance possibles si le serveur est mal protégé contre les attaques externes et contre les connivences internes.  La Commission estime qu'en cas de généralisation d'un tel système de vote, la confidentialité du vote devrait être renforcée par le recours au chiffrement du vote sur le poste de l'électeur.
   4. Les opérations de dépouillement   L'article 10 du projet d'arrêté dispose que, dès la clôture du scrutin, le contenu de l'urne et la liste d'émargement sont enregistrés en deux exemplaires sur cédéroms sécurisés et transférés au bureau des élections du ministère de l'intérieur de la sécurité intérieure et des libertés locales qui conserve un exemplaire à des fins de sauvegarde et assure l'acheminement de l'autre cédérom vers chacune des préfectures concernées sous le contrôle des membres de la cellule de veille visée à l'article 8.   La Commission relève que l'envoi des résultats à un bureau centralisateur à distance aurait pu se faire selon une liaison sécurisée de type VPN, solution susceptible de mieux tenir compte de l'impératif de sécurité et d'intégrité et que le transfert de "l'urne électronique" et du "fichier des électeurs" à des fins de sauvegarde au ministère de l'intérieur aurait pu porter sur les disques durs eux-mêmes.   La Commission estime, en l'état des solutions retenues, que devraient faire l'objet d'une expertise :   . la sécurité du processus de gravure des cédéroms au moment de la clôture du scrutin ;   . l'édition sécurisée des résultats, telle que prévue dans le décret ;   . la conservation sous scellé de tous les fichiers support (copies des programmes sources et exécutables, matériels de vote, fichiers d'émargement, de résultats, sauvegardes) jusqu'à l'expiration des délais de recours contentieux ;   . le transfert des fichiers supports en la possession du prestataire technique à l'issue du scrutin à la personne ou au tiers nommément désigné pour assurer la conservation des supports et, lorsque aucune action contentieuse n'a été engagée avant l'épuisement des délais de recours, la destruction de toutes les copies totales ou partielles que le prestataire technique aurait été amené à effectuer sur quelque support que ce soit ;
   5. Le rôle de la cellule de veille prévue à l'article 8 du projet d'arrêté.   L'article 8 du projet d'arrêté prévoit la constitution pour chaque chambre de commerce et d'industrie d'une cellule composée d'un représentant du Ministre de l'intérieur, de la sécurité intérieure et des libertés locales, d'un représentant du Ministre chargé de la tutelle administrative des chambres de commerce et d'industrie, d'un représentant de l'assemblée des chambres françaises de commerce et d'industrie et d'un représentant de chaque préfet concerné ; qu'elle se réunit au cours de la première quinzaine d'octobre pour une répétition des opérations de vote permettant de tester le dispositif de vote électronique ; qu'elle peut associer ou consulter toute personne indépendante disposant d'une expertise dans les domaines couverts par l'opération de vote.   La composition de la cellule ne lui donne pas de compétence technique particulière en l'absence d'expert indépendant.  L'absence de membres du corps électoral ou de candidat ne lui confère pas plus un rôle de contrôle démocratique, contrairement à ce que préconisait la CNIL dans sa recommandation sur le vote électronique.   En conséquence il apparaît à la Commission que le rôle de la cellule devrait être plus amplement défini.  Cette cellule pourrait, outre les compétences déjà définies dans l'arrêté, s'assurer de :   - l'effectivité des dispositifs de sécurité prévus pour assurer le secret du vote et son intégrité,   - la confidentialité du fichier des électeurs comportant les éléments d'authentification,   - l'effectivité du chiffrement de l'urne électronique et de la conservation des votes dans un traitement distinct de celui mis en oeuvre pour assurer la tenue du fichier des électeurs,   - la conservation des différents supports d'information dans les mêmes conditions de sécurité et de confidentialité pendant et après le déroulement du scrutin, et enfin vérifier l'adéquation du nombre et de la qualité des personnes autorisées à accéder au système et de leurs droits respectifs.   Elle devrait de plus être en mesure de communiquer aux membres de la commission d'organisation des élections, aux délégués des candidats et aux scrutateurs toutes les informations et moyens permettant de garantir un contrôle effectif des opérations électorales.   La Commission estime qu'un bilan de la mise en oeuvre du dispositif de vote électronique utilisé doit être établi à brève échéance suivant le déroulement de l'élection par le ministère de tutelle et lui être adressé de même que le rapport d'expertise complémentaire.
   Emet l'avis suivant sur le projet d'arrêté pris en application des articles 27 à 32 du décret n° 91-739 du 18 juillet 1991 modifié relatif aux chambres de commerce et d'industrie, aux chambres régionales de commerce et d'industrie, à l'assemblée des chambres françaises de commerce et d'industrie et aux groupements interconsulaires :   La Commission nationale de l'informatique et des libertés prend acte de ce que le dispositif de vote électronique présenté entend faire application de ses recommandations en matière de sécurité des systèmes de vote électronique figurant dans la délibération n° 03-036 du 1er juillet 2003 et que les choix effectués ont été motivés par la volonté d'assurer tout à la fois la confidentialité du vote dans le respect du code électoral et des exigences réglementaires et la simplicité du dispositif dans un but de participation électorale accrue.   Elle considère que, compte tenu de l'absence de réalisation des opérations d'expertise sur le système de vote opérationnel effectivement déployé à la date où elle est appelée à se prononcer, une expertise complémentaire doit être menée pendant les opérations électorales afin de vérifier notamment :   - la réalité des éléments d'architecture et de sécurité prévus et leur résistance à des tests d'intrusion ;   - l'analyse de risques sur l'architecture technique et l'organisation déployée, incluant l'analyse des scénarios d'incidents potentiels pouvant survenir au cours du scrutin ;   - la sécurité du processus de gravure des cédéroms au moment de la clôture du scrutin et l'édition sécurisée des résultats ;   - la conservation sous scellé de tous les fichiers support (copies des programmes sources et exécutables, matériels de vote, fichiers d'émargement, de résultat sauvegardes) jusqu'à l'expiration des délais de recours contentieux ;   - le transfert des fichiers supports en la possession du prestataire technique à l'issue du scrutin à la personne ou au tiers nommément désigné pour assurer la conservation des supports et lorsque aucune action contentieuse n'a été engagée avant l'épuisement des délais de recours, la destruction de toutes les copies totales ou partielles que le prestataire technique aurait été amené à effectuer sur quelque support que ce soit ;   - la présence de tous les éléments de traçabilité nécessaires au contrôle du juge.
   L'arrêté devrait en conséquence être complété afin de préciser que le système de vote fera l'objet d'une expertise, y compris pendant les opérations électorales.   Compte tenu de la nature professionnelle des élections, la Commission considère que les dispositions prévues permettent d'assurer l'authentification de l'électeur dans des conditions satisfaisantes et analogues à celle prévue pour le vote par correspondance.   Elle estime que, dans le cas d'une généralisation du système de vote, la confidentialité du vote doit être renforcée par le recours au chiffrement du vote sur le poste de l'électeur dès son émission et que la solution consistant en l'envoi des résultats en vue du dépouillement par une liaison sécurisée de type VPN ou toute autre solution offrant des garanties de sécurité optimales devrait être envisagée.
   Elle considère que les missions de la cellule de veille destinée à surveiller les opérations électorales devraient être précisées dans l'arrêté de manière à ce qu elle puisse assurer :   - l'effectivité des dispositifs de sécurité prévus pour assurer le secret du vote et son intégrité ;   - la confidentialité du fichier des électeurs comportant les éléments d'authentification ;   - l'effectivité du chiffrement de l'urne électronique et de la conservation des votes dans un traitement distinct de celui mis en oeuvre pour assurer la tenue du fichier des électeurs ;   - la conservation des différents supports d'information dans les mêmes conditions de sécurité et de confidentialité pendant et après le déroulement du scrutin ;   - la vérification de l'adéquation du nombre et de la qualité des personnes autorisées à accéder au système et de leurs droits respectifs ;   - la communication aux membres de la commission d'organisation des élections, aux délégués des candidats et aux scrutateurs toutes les informations et moyens permettant de garantir un contrôle effectif des opérations électorales.   Le président, Alex Türk.