fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ;

Transcription

1 1/10 Comité sectoriel du Registre national Délibération RN n 55/2015 du 30 septembre 2015 Objet: Demande d autorisation émanant du Conseil de la Jeunesse de la Fédération Wallonie- Bruxelles afin d être autorisé à utiliser le numéro du Registre national dans le cadre de la mise en place d un vote dématérialisé pour l élection des membres effectifs de son assemblée générale (RN- MA ) Le Comité sectoriel du Registre national (ci-après «le Comité») ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la «LRN») ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la «LVP»), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande du Conseil de la Jeunesse de la Fédération Wallonie-Bruxelles, reçue le 18/08/2015 ; Vu les informations complémentaires reçues dont la dernière date du 14/09/2015 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 11/09/2015 ;

2 Délibération RN 55/2015-2/10 Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 30 septembre 2015 : I. OBJET ET CONTEXTE DE LA DEMANDE 1. La demande du Conseil de la Jeunesse de la Fédération Wallonie-Bruxelles, dénommé ci-après le «Conseil de la Jeunesse» ou le «demandeur», vise à ce que celui-ci soit autorisé à utiliser le numéro du Registre national dans le cadre de la mise en place d un vote dématérialisé pour l élection des membres effectifs de son assemblée générale Le Conseil de la Jeunesse est l'organe officiel d'avis et porte-parole des jeunes francophones de Belgique. Son rôle est de faire participer les jeunes (16-30 ans) au processus démocratique, notamment en récoltant leur parole sur une série de thématiques qui touchent directement ou indirectement la jeunesse pour ensuite la relayer auprès du monde politique. Le Conseil de la Jeunesse défend l'intérêt des jeunes et les représente au niveau national et international. Le Conseil de la Jeunesse existe donc à la fois pour écouter les préoccupations des jeunes et les faire participer à la vie citoyenne, mais aussi pour construire une parole collective afin de porter la voix des jeunes. Les missions du Conseil de la Jeunesse sont définies à l'article 2 du décret du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française (modifié par un décret du 4 juillet ). 3. Les élections du Conseil de la Jeunesse sont organisées tous les 2 ans en octobre 2. La Ministre de tutelle souhaite qu'un système de vote électronique soit mis en place à titre principal, en remplacement du vote «papier». 4. Le processus électoral est décrit dans le règlement électoral 2015 du Conseil de la Jeunesse. Le demandeur utilise la carte d identité électronique afin d identifier les votants, vérifier qu ils ont entre 16 et 30 ans, sont domiciliés dans une commune éligible et n ont pas déjà voté. 1 Décret du 4 juillet 2013 modifiant le décret du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française. 2 Les prochaines élections se déroulent du 8 au 26 octobre 2015.

3 Délibération RN 55/2015-3/10 II. EXAMEN DE LA DEMANDE A. LÉGISLATION APPLICABLE A.1. Loi du 8 août 1983 (LRN) 5. L autorisation d'utiliser le numéro du Registre national peut être accordée par le Comité aux «organismes publics ou privés de droit belge pour les informations nécessaires à l'accomplissement de tâches d'intérêt général qui leur sont confiées par ou en vertu d'une loi, d'un décret ou d'une ordonnance ou de tâches reconnues explicitement comme telles par le comité sectoriel précité» (article 8, 1 er de la LRN). 6. Le décret du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française créé un Conseil de la Jeunesse, constitué sous forme d'association sans but lucratif, en établit les missions et en décrit la composition et le fonctionnement. 7. Le Conseil de la Jeunesse remplit les missions suivantes (article 2, alinéa 2 du décret précité) : - émettre des avis, conformément aux articles 4 à 7 du décret dans les matières qui concernent la jeunesse ; - mener et promouvoir des initiatives de participation citoyenne des jeunes en vue de contribuer à l'élaboration d'une parole collective représentative de la diversité pour l'ensemble des jeunes de la Communauté française ; - représenter les jeunes de la Communauté française lors de réunions au niveau national et international, à l'exception des matières sectorielles exclusivement dévolues à la CCOJ et à la CCMCJ. Le Comité constate qu il s agit de tâches d intérêt général. 8. L article 37, 2 de l arrêté du Gouvernement de la Communauté française du 29 août 2013 portant exécution du décret du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française, prévoit que, «afin de permettre à la commission électorale de remplir ses missions, le conseil de la jeunesse sollicite, en qualité de responsable de traitement, un accès au registre national, dans le respect de la loi du 8 août organisant un registre national des personnes physiques et de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel». 9. Au regard de ce qui précède, le demandeur peut prétendre, sur la base de l article 8, 1 er de la LRN, à obtenir l autorisation d utiliser le numéro du Registre national.

4 Délibération RN 55/2015-4/10 A.2. Loi du 8 décembre 1992 (LVP) 10. En vertu de l'article 4 de la LVP, le numéro du Registre national constitue une donnée à caractère personnel dont le traitement n'est autorisé que pour des finalités déterminées, explicites et légitimes. Une donnée à caractère personnel doit, en outre, être adéquate, pertinente et non excessive au regard des finalités pour lesquelles elle est traitée. B. FINALITÉS 11. Le demandeur vise à pouvoir utiliser le numéro du Registre national afin de pouvoir vérifier que les votants à l élection des membres effectifs de l assemblée générale du Conseil de la Jeunesse n ont pas déjà voté. Il envisage dans ce cadre de collecter le numéro d identification du Registre national des votants en procédant à une lecture électronique de leur carte d identité et de réaliser un codage irréversible (hashing) du numéro d identification du Registre national. Les numéros d identification du Registre national codés des votants seront conservés dans une liste d émargement. Afin d assurer l unicité du vote, le numéro d identification du Registre national hashé de toute personne se présentant au vote électronique sera comparé aux numéros de la liste d émargement. 12. Les conditions de vote sont fixées à l article 3/1, 1 er du décret de la Communauté française du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française 3, à savoir : - avoir entre 16 et 30 ans ; - être domicilié dans une des communes de la Région bilingue de Bruxelles-Capitale, la province du Brabant wallon, la province du Hainaut, la province de Namur, la province du Luxembourg et la province de Liège, à l'exception des communes de la Communauté germanophone ; - ne pas avoir déjà voté. 13. Suivant l article 3/5, 1 er du décret précité, «l'assemblée générale du Conseil de la Jeunesse fixe le mode de dépôt des candidatures, de désignation et d'élection des membres effectifs, de remplacement des membres effectifs démissionnaires ou réputés tels et de renouvellement des mandats des membres effectifs et ce dans le respect de la loi du 16 juillet 1973 garantissant la protection des tendances idéologiques et philosophiques (loi du pacte culturel). Elle soumet cette procédure à l'approbation du Gouvernement ( )». 3 Reprises à l article 8 du Règlement électoral du Conseil de la Jeunesse.

5 Délibération RN 55/2015-5/ L article 8 du Règlement électoral 2015 du Conseil de la Jeunesse stipule que le vote s effectue uniquement par voie électronique. Auparavant, le vote s effectuait par voie papier. Pour les prochaines élections du Conseil de la Jeunesse, le vote électronique remplacera le vote papier. Le processus de vote électronique est composé des étapes suivantes ( 3) : - «l électeur accède à la plateforme de vote en ligne via le site ou via un bureau de vote organisé ; - l électeur s identifie à l aide de sa carte d identité et d un lecteur de carte. Les électeurs ne disposant pas du matériel nécessaire sont invités à se rendre à un bureau de vote organisé ; - le Président des bureaux de votes peut octroyer un login et un mot de passe à un votant qui ne serait pas en possession de sa carte d identité (cf. le 5 de l article) ; - l électeur choisit 1 à 4 candidats affichés alphabétiquement ; - l électeur confirme son vote». 15. Suivant le 4 de l article 8 du Règlement électoral 2015 du Conseil de la Jeunesse, la plateforme de vote en ligne est sécurisée et garantit : - «le choix des candidats : le système doit proposer la liste des candidats possibles, permettre d en choisir maximum 4 et empêcher tout vote multiple sur le même candidat. Si la liste des candidats s avère longue, des outils de recherche et de filtre seront disponibles. - l identification : Le système doit pouvoir identifier de manière certaine les votants à l aide de la carte d identité nationale et du numéro de registre national. Le système doit pouvoir capturer les données d identité (NRN) présentes sur la carte eid à des fins d identification. - l unicité : Le vote doit être unique. Il est donc vérifié, lors de chaque vote que le votant n a pas déjà voté auparavant. Le NRN est donc stocké de façon sécurisée lors de chaque vote et le système interdit un vote déjà effectué. - la validité : La double validité est contrôlée pour la tranche d âge visée (16-30 ans) ainsi que sur le fait que les personnes doivent résider en Fédération Wallonie-Bruxelles, et pas dans les communes à facilités ou en Communauté flamande. La date de naissance est présente dans le NRN (6 premières positions). En outre, le domicile du votant est contrôlé via le code postal présent sur la carte». 16. D après les explications fournies par le demandeur, la solution de son sous-traitant permet d identifier le votant tout en garantissant l anonymat de son vote. Cet anonymat est garanti intrinsèquement par l architecture de la solution. En effet, l application est décomposée en trois fonctions séparées : un fonction «identification», un fonction «vote» et une fonction «dispatcher». Si la fonction d identification est réussie, un jeton est produit et transmis à la fonction dispatcher qui produit séparément un second jeton qui sert à informer la troisième

6 Délibération RN 55/2015-6/10 fonction de vote qu une session peut être ouverte. Une fois que le votant a terminé son choix dans la session de vote qui lui est propre, le processus s exécute en sens inverse via le dispatcher vers la fonction d identification. A ce moment la fonction dispatcher confirme à la fonction d identification qu un bulletin de vote a bien été reçu et enregistré. La liste d émargement des électeurs est alors mise à jour par la fonction d identification («a voté»). Parallèlement à ce principe de fonctionnement, l application met encore en œuvre d autres fonctions pour garantir l anonymat, notamment le mélangeage des bulletins de vote dans les urnes et la production de clés pour décoder les urnes. 17. Le demandeur a affirmé qu aucun lien n est réalisé entre la liste d émargement contenant les numéros du Registre national codés et le contenu des votes de sorte qu il est impossible de savoir qui a voté pour qui. Le Comité en prend acte. 18. Le demandeur précise que, à l exception du numéro du Registre national codé de façon irréversible, aucune donnée de la carte n est conservée. Si le votant remplit les critères pour participer à l élection (âge et commune), alors un hash (propre à cette élection : pré-fixé d'un numéro aléatoire spécifique à l'élection) du numéro du Registre national lu de la carte est comparé aux hashs des électeurs précédents (de la liste d'émargement). S il est trouvé, l'électeur est refusé (interdit de voter deux fois). S il n est pas trouvé, l'électeur peut voter et le hash du numéro du Registre national est ajouté dans la liste d'émargement. 19. Au vu des explications qui précèdent, le Comité constate le caractère déterminé, explicite et légitime, au sens de l article 4, 1, 2 de la LVP et de l article 5, deuxième alinéa de la LRN, de la finalité précitée poursuivie par le demandeur. 20. Le Comité note que les tâches d intérêt général du demandeur nécessitant les données demandées du Registre national sont clairement délimitées et édictées dans le décret de la Communauté française du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française et l arrêté du Gouvernement de la Communauté française du 29 août 2013 portant exécution du décret du 14 novembre 2008 instaurant le Conseil de la Jeunesse en Communauté française qui l exécute. Dès lors, les traitements envisagés du demandeur entrent dans les cas autorisés par la LVP qui énonce en son article 5, e) que le traitement des données personnelles peut être effectué «lorsqu'il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées». 21. Le Comité attire toutefois l attention du demandeur sur le fait que l article 9 du Règlement électoral 2015 du Conseil de la Jeunesse n exige pas uniquement le caractère unique du vote

7 Délibération RN 55/2015-7/10 mais également son caractère personnel («chaque électeur vote en son nom propre»). Or, la procédure de vote telle qu envisagée ne permet d assurer le caractère personnel du vote étant donné qu aucune authentification électronique du votant n est réalisée (une simple lecture électronique de la carte est réalisée ; ce qui ne nécessite pas l insertion du code pin du titulaire de la carte). Le demandeur fait valoir à cet égard que l authentification n est pas demandée car l expérience des élections du VJR (Conseil de la jeunesse néerlandophone) a démontré que trop de jeunes ne connaissaient pas leur code PIN. Le Comité fait néanmoins remarquer qu une réelle authentification électronique des votants permet d assurer un équivalent électronique au vote papier (où une vérification du porteur de la carte est faite sur base de la photo figurant sur sa carte d identité) et de rencontrer l exigence stipulée à l article 9 précité. 22. Par ailleurs, le Comité formule la plus grande réserve concernant la garantie relative au secret du vote étant donné qu'elle ne connaît pas clairement les spécificités du hashing employé ni la sécurité de ce dernier. De même, le Comité estime que le système de vote électronique utilisé ne garantit pas l intégrité du vote. Le Comité souhaite donc que le demandeur revoie sa méthodologie pour la prochaine élection afin que son système de vote soit plus fiable (utilisation du module d authentification de la carte d identité pour assurer le caractère personnel du vote, permettre aux votants de voter plusieurs fois tout en ne retenant que leur dernier vote pour éventuellement éliminer tout vote réalisé sous pression, ). C. PROPORTIONNALITÉ 23. L article 4 1er 3 de la loi vie privée prévoit que les données à caractère personnel doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues et traitées ultérieurement. C.1. Quant à l utilisation proprement dite du numéro du Registre national 24. L'utilisation du numéro du Registre national est demandée afin de permettre au demandeur d identifier de manière univoque les votants et partant de vérifier l unicité du vote. 25. Le système doit pouvoir identifier de manière certaine les votants à l'aide de la carte d identité électronique et du numéro du Registre national. Le système doit pouvoir capturer les données d identité (numéro du Registre national) présentes sur la carte eid à des fins d identification. Le vote doit être unique. Il est donc vérifié, lors de chaque vote que le votant n'a pas déjà voté auparavant. Le numéro du Registre national hashé de manière irréversible est donc stocké de façon sécurisée lors de chaque vote et le système interdit un vote déjà effectué.

8 Délibération RN 55/2015-8/ Le Comité considère que l'utilisation projetée du numéro du Registre national est conforme avec l article 4, 1, 3 de la LVP. C.2. Quant à la fréquence de l utilisation du numéro du Registre national et la durée de l autorisation 27. Le demandeur sollicite une utilisation du numéro du Registre national périodique et à intervalles réguliers aux données demandées dès lors que le demandeur est compétent pour organiser les élections des membres effectifs de son assemblée générale tous les deux ans. 28. Le Comité constate que la finalité pour laquelle le demandeur souhaite obtenir un accès s inscrit dans le cadre de ses missions qui ne sont pas limitées dans le temps. A la lumière de cet élément, le Comité considère que l utilisation sollicitée et une autorisation d une durée indéterminée sont appropriés, conformément à l article 4, 1 er, 3. C.3. Quant au délai de conservation 29. La durée sollicitée de conservation du «hash» du numéro du Registre national est de 1 mois. Ce délai tient compte de la durée des élections (deux semaines), du dépouillement qui intervient dans les trois jours ouvrables après la fin du scrutin et du délai de recours (une semaine). Le demandeur explique que la liste d émargement (ainsi que tout le reste : les bulletins, la configuration, ) est détruite après cette période. 30. Le Comité considère que, dans la mesure où le demandeur respecte ce délai, il agit conformément à l article 4, 1 er, 5 de la LVP. C.4. Usage interne et/ou communication à des tiers 31. Les numéros du Registre national des votants sont uniquement destinés à un usage interne par les membres de la Commission électorale du Conseil de la Jeunesse et ne feront pas l objet de communications à des tiers. Le comité en prend acte. 32. Le demandeur fait appel à une sous-traitance avec une société qui va mettre à disposition du demandeur la solution de vote dématérialisé explicitée au point B pour les élections des membres effectifs de son assemblée générale. Le Comité précise que si une mission de soustraitance telle que visée à l'article 1, 5 de la LVP est prévue, un contrat de sous-traitance doit être conclu entre le demandeur et le sous-traitant, conformément à l'article 16 de la LVP. L'article 5, premier alinéa, 3 de la LRN oblige également le sous-traitant à rendre compte aux

9 Délibération RN 55/2015-9/10 personnes au nom desquelles il agit en qualité de sous-traitant des mesures nécessaires qu'il prend pour se conformer à la LVP. C.5. Connexions en réseau 33. D'après les informations fournies par le demandeur, il apparaît qu'aucune information ne sera échangée avec des tiers sur la base du numéro du Registre national en tant que clé primaire et que par conséquent, il n'y a pas de connexion en réseau. 34. Le Comité en prend acte. Par souci d'exhaustivité, le Comité souligne que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro du Registre national ne peut être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités pour lesquelles ces derniers ont également été autorisés à utiliser ce numéro. D. SECURITE D.1. Conseiller en sécurité de l information et politique de sécurité 35. Le demandeur dispose d un conseiller en sécurité de l information. 36. D'après les documents fournis par le demandeur, il apparaît que le demandeur dispose d'une politique de sécurité. D.2. Personnes autorisées et liste de ces personnes 37. D après le demandeur, l accès à l application de vote dématérialisé est limité aux utilisateurs de la Commission électorale du Conseil de la Jeunesse en vue de dépouiller les votes. 38. Le Comité précise que la liste des personnes autorisées à utiliser le numéro d identification du Registre national doit être dressée. Cette liste sera constamment actualisée et tenue à la disposition du Comité. 39. Le demandeur doit prendre les mesures nécessaires pour enregistrer les loggings (qui a eu accès à quoi, quand et pourquoi) pendant au moins 10 ans.

10 Délibération RN 55/ /10 PAR CES MOTIFS, le Comité 1 autorise le demandeur, pour la réalisation de la finalité mentionnée au point B et aux conditions exposées dans la présente délibération, à utiliser le numéro du Registre national ; 2 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du Conseiller en sécurité et réponses aux questions relatives à l organisation de la sécurité), le demandeur adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. 3 stipule également que lorsqu'il enverra au demandeur un questionnaire relatif à l'état de la sécurité de l'information, celui-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Ce dernier en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. L Administrateur f.f., La Présidente, (sé) An Machtens (sé) Mireille Salmon