Vote par correspondance électronique : la CNIL ouvre une consultation publique pour mettre à jour sa recommandation

20 janvier 2025

Afin de suivre l’évolution des technologies et des usages, la CNIL met à jour sa recommandation de 2019 concernant les systèmes de vote par correspondance électronique (SVE). Le projet de recommandation est soumis à consultation publique.

Quel est l’objet de la recommandation ?

La recommandation relative à la sécurité des systèmes de vote par correspondance électronique (SVE) s’adresse aux organismes publics et privés qui souhaitent mettre en place un tel système de vote.

La recommandation définit, au regard de l’état de l’art, les objectifs de sécurité minimaux que devrait atteindre tout dispositif de vote par correspondance électronique utilisé pour la mise en œuvre de scrutins secrets. Les responsables de traitement peuvent également s’en inspirer pour la mise en œuvre de scrutins non secrets.

Enfin, elle s’inscrit dans le cadre d’une collaboration avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI). La publication de la recommandation dans sa version finale sera ainsi accompagnée d’un guide de l’ANSSI apportant des précisions complémentaires.

Quelles sont les principales modifications ?

Pour faire évoluer sa recommandation, la CNIL s’est appuyée sur des constats réalisés à l’occasion :

de ses actions d’accompagnement d’organismes ;
de ses contrôles ;
des plaintes et des notifications de violations reçues ;
de la veille technologique et scientifique sur le secteur.

À la lumière de ces constats, la CNIL souhaite notamment procéder aux modifications suivantes :

Une définition ajustée des critères servant à évaluer le niveau de risque que présente un scrutin, et qui tient notamment compte des dernières annonces de violations de données portées à la connaissance de la CNIL. Dans certains cas, cette modification peut conduire à la une révision du niveau de risque à la hausse ou la baisse, pour les scrutins existants.
L’intégration d’un questionnaire d’auto-évaluation destiné à aider les parties à évaluer le niveau de risque du scrutin. Le questionnaire qui accompagnait la recommandation du 2019, a été substantiellement modifié pour refléter les critères de détermination du niveau de risque et intégré directement dans le corps du document.
Une évolution de la partie « objectifs de sécurité », avec notamment :
- l’ajout de certains objectifs nouveaux, par exemple l’obligation d’alerter le bureau de vote par correspondance électronique de tout incident de sécurité intervenu lors du scrutin (objectif 2-04), ou encore l’obligation de publication du code source du scrutin en amont du vote (objectif 3-08) ;
- la reformulation d’une partie des objectifs de sécurité déjà présents dans la précédente version de la recommandation ;
- le changement de niveau de certains objectifs de sécurité (par exemple, l’ancien objectif de sécurité 2-04, applicable aux SVE avec un risque modéré, change de numérotation et devient n° 3-05, applicable aux SVE présentant un risque important).
Les développements relatifs aux objectifs de sécurité sont désormais précédés par un rappel des principes fondamentaux qui encadrent les opérations électorales. Ces principes sont dégagés par la jurisprudence et visent à expliquer la raison d’être de certains objectifs de sécurité.
La CNIL estime que les organisateurs de scrutins à faible risque (niveau 1 de la recommandation) pourront désormais se reposer sur une expertise réalisée en amont du scrutin sur les briques applicatives constituant le système de vote, dans la mesure où cette expertise a bien été réalisée sur le même système et dans les 24 mois précédents.
Des précisions nouvelles sur les conditions de conservation des fichiers nécessaires à la réalisation d’un contrôle en aval des opérations électorales, avec la formulation de nouvel objectif à atteindre (c’est-à-dire l’impossibilité, pour le responsable de traitement, de rejouer seul le dépouillement).

Qui peut participer à la consultation publique ?

La consultation est ouverte à tous.

Elle s’adresse tout particulièrement à l’ensemble des parties prenantes concernées par des scrutins, tels que les organismes recourant au vote par correspondance électronique, les fournisseurs de solutions, les experts indépendants, les chercheurs, les bureaux de vote, les candidats et les électeurs.

Les acteurs d’un même organisme sont invités dans la mesure du possible à regrouper leurs commentaires et propositions au sein d’une seule contribution.

Comment pouvez-vous nous aider à améliorer cette recommandation ?

L’objectif de la recommandation est de guider l’ensemble des parties prenantes dans la mise en œuvre des SVE. La CNIL souhaite donc s’assurer que la recommandation est compréhensible et applicable par les acteurs concernés.

En particulier, toute contribution visant à améliorer le nouveau projet de texte sera utile, et notamment :

sa clarté : quelles parties peuvent être développées ou précisées d’avantage ?
sa portée : identifiez-vous des situations qui aurait dû y être traitées, mais ne l’ont pas été (par exemple, un type de scrutin spécifique qui n’a pas été couvert par cette recommandation) ?
sa pertinence : estimez-vous en particulier que le contenu du projet tient suffisamment compte de la règlementation applicable et des contraintes pratiques des acteurs impliqués dans le SVE ? Les objectifs de sécurité vous paraissent-ils appropriés et applicables au regard de votre contexte et de votre expérience de mise en œuvre des SVE ?