0) Table des matières. 1) Introduction et avertissement

Transcription

1 Etude de l'empl sur le vote électronique dans le cadre de l'avant-projet de loi du 01 juillet 2010 (proposition du Conseil d'etat d'ajouter à la LEDP l'e-vote des expatriés). 0) Table des matières 0) Table des matières page 1 1) Introduction et avertissement page 1 2) Postulats page 2 3) Principes page 2 4) Critères sur les scrutins démocratiques page 3 5) Avant-projet de l'exposé des motifs page 3 6) Avant-projet de loi page 21 7) Solution libre page 24 8) Conclusion page 25 1) Introduction et avertissement Le présent document, résumant une étude pour laquelle ont été utilisés les services d'experts politiciens et informaticiens, détaille de manière critique aussi bien l'empl que les propositions législatives du Conseil d'etat. Il a pour but d'éclairer les lecteurs sur la problématique très délicate de la mise en place du vote électronique. La procédure prévue dans cet avant-projet du Conseil d'etat paraît insoutenable à la fois techniquement et politiquement : le processus électoral est en effet l'une des bases fondamentales de la démocratie directe que l'on ne saurait traiter à la légère et en considérant le citoyen de base et/ou ses élus comme devant être contournés au profit de systèmes opaques confiés à la seule administration. Le présent rapport ne se contente pas de critiquer; il fait des propositions, d'où le chapitre consacré à xvote, un système concurrent qui est conçu pour respecter les critères d'un véritable vote démocratique, et non pour utiliser sans analyse approfondie des logiciels destinés à d'autres fins et intrinsèquement inadéquats pour respecter les dits critères, voire les transgressant. Les éléments de ce rapport qui mettent en cause la fiabilité de l'administration publique et des politiciens ne sont que les conséquences de constatations sociologiques et historiques. Certains membres de l'administration publique actuelle pourraient se sentir attaqués personnellement. Ce n'est évidemment pas l'intention des auteurs, et c'est justement pour éviter que des soupçons se portent sur l'administration publique que le système de vote électronique doit être absolument fiable et ne pas être laissé à sa seule discrétion et sous sa seule responsabilité. Les auteurs du présent rapport sont naturellement à disposition pour tout éclaircissement. Ils prient les lecteurs d'excuser les éventuelles erreurs et, selon la philosophie des logiciels libres, remercient les lecteurs de leur indiquer les erreurs de toute nature qui auraient pu subsister dans ce rapport. EtudedAvPrjEMPLEDPeVtdéfavecsign odt 1/25

2 En préliminaire, il est important de prendre connaissance du texte : «Et si le canton de Vaud sous-traitait ses votations à la République de Genève?» Fichier de 4 pages sous : 2) Postulats Pour répondre à cette consultation, il s'agit d'argumenter de manière fondée, à partir de deux postulats bien établis : Les Vaudois de l'étranger sont des citoyens au même titre que les résidents, entre autres avec les mêmes droits politiques et les mêmes protections de leurs droits que ceux-ci. Les scrutins vaudois sont organisés (par l'exécutif) et effectués -conformément à la loi, aux principes et aux usages de notre démocratie- sous la pleine et constante scrutation par des délégués du pouvoir législatif. En conséquence, et au moins aussi bien que cela est fait pour les votes papier des expatriés, la scrutation actuelle doit tout autant s'appliquer au vote électronique. De plus, la restriction vaudoise aux expatriés est incompatible tant avec les buts fédéraux (étendre le vote et les élections électroniques à toute la population) qu'avec les vœux populaires (signifiés dans les sondages fédéraux et le plébiscite constitutionnel genevois). Aussi est-il préférable d'appliquer l'égalité de traitement entre Suisses de l'étranger et résidents en rédigeant l'article de loi en toute généralité; la mise en application, les choix de la progressivité et de la sélectivité d'introduction du vote électronique peuvent être le fait de l'exécutif (règlement), mais toujours en coordination avec un contrôle par les citoyens ou des délégués de ceux-ci n'appartenant pas à l'ordre exécutif, administratif ou judiciaire. 3) Principes Le vote électronique est très délicat, qu'il soit à l'usage général ou -plus problématique- destiné aux Suisses de l étranger. Ce mode de vote est épineux, car il ne bénéficie pas pour des raisons de complexité technique évidente du contrôle exercé sur les risques de tricherie par des citoyens des tendances les plus diverses participant aux travaux du Bureau électoral, comme c est au contraire le cas du vote manuel (au local de vote ou par correspondance), de sorte que les précautions suivantes doivent être prises: 1. Les scrutateurs en charge de ce type de vote doivent être nommés par les groupes politiques représentés au Grand Conseil, avec l'aide d'experts nommés par eux; 2. Ils doivent pouvoir étudier l'ensemble des procédures (donc la totalité des logiciels mis en œuvre dans le traitement des votes depuis la réception des données) et pouvoir observer valablement et directement l'intégralité de ces traitements, durant tout le scrutin et jusqu'au dépouillement; 3. Ils doivent pouvoir assurer que le secret du vote (le contenu du bulletin de vote doit demeurer impossible à connaître et le lien entre le bulletin à dépouiller et l'identité du votant doit être irrémédiablement rompu dès l émission de ce bulletin) et la vérité ou fiabilité du résultat sont inconditionnellement respectés; 4. Ils doivent pouvoir demander un recomptage des bulletins, avec les preuves (directes ou indirectes) de validité, d'authenticité, d'intégrité et d'exhaustivité de ceux-ci. EtudedAvPrjEMPLEDPeVtdéfavecsign odt 2/25

3 5. La totalité des observations constatées par les scrutateurs, ainsi que leurs analyses et conclusions, doivent être publiées en toute transparence. 6. Tout électeur doit pouvoir s'informer de l'état des opérations du scrutin en cours à tout moment. Pour une introduction claire et illustrée à la problématique du vote électronique : «Vote électronique un défi pour la démocratie» Document PDF de 10 pages, avec illustrations : 4) Critères sur les scrutins démocratiques D'une manière plus formelle, tout système de vote (dont en particulier électronique) doit respecter les 10 critères minimaux basés sur la loi fédérale et les usages suisses: la justesse (une et une seule voix pour tous), le secret (anonymat du votant et confidentialité du bulletin), la conformité (le bulletin contient bien la motivation), l'incessibilité (pas de procuration ou vente), la temporalité (le contenu de l'urne ne peut être connu avant clôture du scrutin), l'exactitude (l'urne contient tous les bulletins recueillis et seulement eux), la recomptabilité (il est possible de vérifier l'authenticité et l'intégrité des bulletins dépouillés), la prouvabilité (les réclamations et contestations peuvent être résolues à satisfaction), la transparence (le processus est vérifiable par les citoyens), la sécurité (les fraudes sont empêchées ou détectées rapidement). Il est important de prendre connaissance du tableau qui donne notamment les bases légales de ces critères: «Les dix critères minimaux à remplir pour un mode de votation démocratique actuel» Fichier annexé de 1 page, ou sous : 5) Avant-projet de l'exposé des motifs À gauche le texte de l'avant-projet d'empl, à droite quelques commentaires. Communiqué du 01/07/2010 Vote électronique: le Conseil d'etat propose d'introduire le vote électronique pour les 13'324 Vaudoises et Vaudois vivant à l'étranger et inscrits au rôle des électeurs, qui ont souvent de grandes difficultés à exercer leur droit de vote en raison des lenteurs postales. Le vote électronique pour l'ensemble de la population du canton n'est en revanche pas à l'ordre du jour. La Chancellerie fédérale indique pourtant expressément que le vote électronique des Suisses de l'étranger n'est qu'une première étape avant le déploiement pour les citoyens résidents. Le but annoncé est l'élection fédérale de 2015 par voie électronique. D'ici là, les cantons doivent avoir progressivement essayé les votations sur leur sol, puis des élections. Les articles encadrant le vote fédéral par voie électronique sont d'ailleurs pour le vote sur sol suisse. EtudedAvPrjEMPLEDPeVtdéfavecsign odt 3/25

4 Avant-projet de l'empd partie concernant le vote électronique EXPOSE DES MOTIFS ET PROJET DE LOI modifiant la loi du 16 mai 1989 sur l exercice des droits politiques (LEDP) 1. PREAMBULE Le présent exposé des motifs se veut une révision partielle de la LEDP à caractère essentiellement pragmatique. Trois thématiques seront abordées : l introduction du vote électronique pour les Suisses de l étranger [...] «Pragmatique» peut-être, mais les principes du vote populaire démocratiques ne sont pas à jeter pour autant! 2. MODIFICATIONS LEGALES PROPOSEES PRESENTATION GENERALE 2.1 Vote électronique des Suisses de l étranger Au début des années 2000, la Confédération a décidé d autoriser le lancement de projets pilotes en matière de vote électronique. Trois cantons se sont proposés et ont vu leur candidatures retenues : Genève, Neuchâtel et Zurich. Chacun d entre eux a dès lors développé son propre système. Financièrement, l accord prévoyait 80% de financement fédéral en échange de la mise à disposition gratuite des systèmes résultant de ces travaux, tant en faveur de la Confédération que des cantons. Les tout premiers essais pilotes ont eu lieu en 2003 (scrutins communaux) et 2004 (scrutins fédéraux) à Genève ; ont suivi Neuchâtel et Zurich (2005). La Confédération, pour des raisons bien compréhensibles, souhaite conserver le contrôle dans ce domaine particulier des droits politiques. Ainsi, pour chacun des trois systèmes, une demande d autorisation doit être présentée pour chaque essai pilote lors de chaque scrutin. La Confédération fixe de manière extrêmement rigoureuse les règles qui doivent être respectées, en particulier quant au pourcentage de personnes autorisées à utiliser le vote électronique. Genève avait commencé son projet lorsque la Confédération a approché le canton. Genève a sous-traité le développement à Hewlett-Packard (tout comme pour SIEF, HP aurait sous-soustraité à une petite entreprise, ici créée pour l'occasion et liquidée ensuite). Zurich a remis le développement à Unisys, qui est copropriétaire. Neuchâtel a acheté la licence d'un logiciel commercial pré-existant à une entreprise espagnole. La Confédération (faut-il confondre la Confédération avec l'administration fédérale?) ne conserve rien, elle n'a aucun droit sur le vote cantonal ou communal. En fait, elle n'a pas non plus de droit sur l'organisation proprement dite des votes fédéraux, qui sont du ressort des cantons. Pour le vote fédéral, elle édicte le cadre légal (minimal) que les scrutins fédéraux organisés et gérés pleinement par les cantons doivent atteindre pour que les résultats puissent être reçus au niveau fédéral (soient juridiquement liants). La demande d'autorisation est l'affirmation par le canton que le système est supposé remplir les conditions de l'ordonnance fédérale sur les EtudedAvPrjEMPLEDPeVtdéfavecsign odt 4/25

5 Droits Politique article 27a à 27n. La Confédération rappelle dans ses positions documentées, ou dans ses déclarations ad hoc, que les cantons sont libres de choisir ou développer le système qui leur semble le plus approprié à leurs besoins. Le déploiement du vote électronique en Suisse est même encouragé, par la chancelière, à être mené d'une manière toute fédérale. Fondamentalement, les cantons sont strictement souverains pour l'organisation des votations sur leur territoire (ou de leurs expatriés), et ne doivent -et ce uniquement dans le cas de votes fédéraux- que remplir les obligations de la loi et de l'ordonnance sur les droits politiques (LDP et ODP). Ces textes légaux définissent désormais des principes généraux pour le vote électronique, plutôt minimaux; le canton doit actuellement fournir un petit dossier, rendant plausible son respect des articles pertinents, pour recevoir l'autorisation pour un scrutin fédéral. Il n'y a aucune ingérence fédérale dans l'organisation cantonale. Ainsi, actuellement, après des années d essais pilotes sans aucun problème, la limite reste fixée à un maximum de 10% des électeurs au niveau fédéral et, dans les cas où la double majorité est requise, il s y ajoute une limite d au maximum 20% des électeurs de chaque canton concerné. Il n est pas prévu de toucher à ces limites avant 2012 au plus tôt. En informatique, un essai raté prouve qu'il y avait un problème, mais un essai réussi ne prouve rien; sauf que s'il y a un problème, c'est que celui-ci n'a pas -encore- été trouvé. Le canton de Genève a déjà demandé, par voie officielle, qu'il soit libéré de ces restrictions déjà cette année, afin de pouvoir faire voter électroniquement l'ensemble de sa population à l'automne Par ailleurs, ces restrictions sont temporaires -pour la présente législature fédérale, soit pour encore quinze mois- et ne tiennent pas compte des Suisses de l'étranger, soit potentiellement 520'000 bulletins. Sous l angle technique également, la Confédération garde la haute main sur le vote électronique. Les systèmes existants ont dû répondre dès le départ à des cahiers des charges extrêmement complets et sont soumis à des batteries de tests très poussés commandés par des Là encore, il n'y a pas de main de la Confédération (haute ou non), qui n'a fait que financer et n'a pu que suivre, et même d'un peu trop loin à son goût. Il n'y a pas eu de cahier fédéral des charges (juste l'article 27 de l'odp). EtudedAvPrjEMPLEDPeVtdéfavecsign odt 5/25

6 spécialistes. Il y a là une triple confusion: qui sont donc ces «spécialistes»? Ont-ils réellement «validé» ce système? Et quel sens ce terme «validé» a- t-il vraiment? -> Spécialistes, mais de quoi? En effet, peut-on appeler «spécialistes» sur un sujet aussi pointu et démocratiquement sensible, un petit groupe de juristes (dit «comité ad hoc»), par ailleurs peu au fait de l'informatique, qui est venu parfois admirer les boitiers métalliques des serveurs lors de la journée dite de "fermeture" de l'urne électronique, puis à nouveau lors du moment dit de l"ouverture" de cette urne électronique. Ils étaient ensuite gracieusement invités par la République à festoyer dans une bonne auberge du lieu. Comme mode d'analyse d'un logiciel complexe, il est certain qu'on pourrait mieux faire. À propos, il est bon de noter que l'emploi de "fermeture" ou d"ouverture" est abusif pour ce modèle d'urne électronique, car si les bulletins individuels y sont versés chiffrés (comme enclos dans l'enveloppe), il est possible d'ajouter, de supprimer ou de remplacer des bulletins. Ceci tout au contraire des urnes physiques scellées, qui sont bel et bien fermées, puis ouvertes lors du dépouillement. Il y eut et il y a un groupe de travail fédéral du vote électronique (d'où est extrait le comité ad hoc précité), se réunissant quelques heures de loin en loin, et simplement formé des délégués des cantons et de quelques offices. Ce sont presque intégralement des juristes (extraits des chancelleries cantonales), à part un ancien journaliste et un ou deux informaticiens de gestion aux compétences fort démodées (alors qu'il doit s'agir, avec l'e-vote, typiquement de mettre en œuvre des techniques très modernes et très avancées du domaine scientifique). Un ancien participant de ce groupe de travail ou de commissions fédérales ne peut que constater que ce n'est pas le lieu pour la EtudedAvPrjEMPLEDPeVtdéfavecsign odt 6/25

7 validation d'un logiciel. Justement, l'état de Genève, et la chancellerie fédérale, entretiennent la confusion entre la validation d'un logiciel, et le test d'un logiciel. -> Dit fiable, mais l'a-t-on validé? La validation d'un logiciel se fait par une étude très particulière et normalisée, appelée certification (pour les logiciels aéronautiques p.ex.), et après un mode de développement très strict (dit pour conditions de haute criticité), ou mieux encore par une preuve formelle. La certification est le fait d'organismes autorisés, est très lourde et très coûteuse. Il est à noter aussi qu'une première preuve formelle intégrale d'un système vient d'être réalisée : sur un relativement petit logiciel, avec des critères de preuve seulement partiels, une équipe universitaire à mis cinq années à la mener. À défaut d'une certification, ou d'une preuve formelle, on peut considérer que l'on bénéficie d'une bonne approximation de validation dans le cas des logiciels dont le texte source est bien connu et largement étudié (donc publié et libre). Pour le système genevois, il s'agit donc uniquement de "tests", par divers essais internes et surtout par sa mise en exploitation (bien qu'il ne s'agit plus au sens strict de "tests", qui supposent la recherche de variabilités aux limites et l'observation dans un environnement spécifique ou avec des sondes). -> Or, quel sens y a-t-il si on n'a que «testé» un logiciel? Tester un logiciel ne prouve rien. - Si le test dévoile une erreur ou une faille, il prouve qu'il y avait cette erreur ou cette faille, et c'est tout. - Si le test ne trouve rien, il prouve qu'il n'a rien trouvé, mais certainement pas qu'il n'y a pas d'erreur ou de faille. En effet un logiciel comporte une multitude de chemins d'exécution, avec pour chacun de ces chemins de nombreuses variables impliquées (volontairement ou non), et pour chacune de ces EtudedAvPrjEMPLEDPeVtdéfavecsign odt 7/25

8 variables un nombre d'immense à quasi-infini de valeurs éventuelles (correctes ou non). Les états possibles d'un logiciel sont donc le résultat de toutes les combinaisons de chemins parcourus, de toutes les variables susceptibles de s'y exprimer, et de toutes les valeurs que celles-ci peuvent prendre. Sans être un infini au sens mathématique, à vue humaine on s'en rapproche : avec un programme de taille raisonnable et s'exécutant rapidement, un test exhaustif (donc seul probant) durerait au-delà de l'extinction de notre soleil! Les tests n'ont donc un intérêt que durant le développement afin d'avoir un ressenti de l'exécution, surtout d'unités et sur certaines valeurs type ou aux limites, ou lors de la maintenance pour vérifier qu'il n'y a pas eu de régression vers d'anciennes erreurs répertoriées. Concernant l'absence d'indications probantes, il en est de même des tentatives d'attaques externes (dites maladroitement de "hacking"), elles prouvent une vulnérabilité si elles la trouvent (ce qui fut d'ailleurs le cas), mais elles ne prouvent rien si elles ne trouvent rien. Elles sont ponctuelles sur un ensemble de possibilités innombrables humainement. De plus, ces tentatives d'attaques des serveurs ne furent qu'externes, or la majorité des risques (statistiquement les deux tiers) sont internes à l'administration publique, qui peut donc être très justement soupçonnée; de nombreuses fuites de documents «confidentiels» ou secrets récentes démontrant ces possibilités. Ce marché du "hacking éthique" n'a donc d'utilité que pour créer un choc, et motiver la direction ou le personnel de l'entreprise cliente à une meilleure appréhension de la sécurité. Enfin, le lieu du plus haut risque d'attaques se trouve sur le poste de l'électeur, où le système considéré possède une très forte vulnérabilité : il a été évalué* que près de la moitié des bulletins électroniques pourraient être falsifiés à l'insu des votants. (*) %27eVoting-GE.pdf EtudedAvPrjEMPLEDPeVtdéfavecsign odt 8/25

9 En résumé, on a donc un groupe de travail fédéral, constitué d'employés des administrations publiques très ponctuellement délégués, qui sont des spécialistes du droit, qui n'ont pas validé le système informatique de vote, et ne peuvent rien en dire. Le développement d un nouveau système de vote électronique se heurte à diverses barrières : le coût : dans son «rapport sur les projets pilotes en matière de vote électronique du 31 mai 2006», le Conseil fédéral évaluait les coûts totaux pour les dix premières années d un système de vote électronique à CHF 15,36 millions, soit CHF 5,76 millions de coûts de développement, CHF 4,93 millions de coûts récurrents et CHF 4,67 millions de coûts supplémentaires liés aux scrutins (par rapport à la situation actuelle d offre du vote à l urne et du vote par correspondance). A partir de là, il est clair qu il ne financera en aucune manière un nouveau système qui s ajouterait aux trois existants. Cela a une certaine logique : il a été calculé que si les 26 cantons choisissaient un système unique, celui-ci représenterait un coût d environ CHF 66 millions, contre CHF 400 millions si chaque canton développait son propre système ; Il est vrai que la Confédération ne finance plus rien. Les deux projets de développement pilote ont coûté chacun environ quatre ou sept millions de francs en frais essentiellement «externes» (soit hors utilisation des locaux, infrastructures et services existants de l'état). En regard, le solde tout compris de financement de la finalisation du projet mentionné ci-dessous (voir point 7 du présent rapport - xvote) n'est que d'environ un dixième de ces montants (et n'incombe pas à l'état); le fonctionnement de l'infrastructure matérielle est des plus économique (malgré une capacité très supérieure), plus sa gestion en piquet, et marginalement des services collatéraux qui sont utiles par ailleurs; enfin, il n'y a pas de frais supplémentaires, mais une économie progressive avec son utilisation (suppression du retour et dépouillement du bulletin, mais aussi de la liasse papier en amont). Nous sommes donc loin des chiffres mentionnés par l'exposé des motifs. la durée : les trois cantons pilotes, après des dizaines d essais, n en sont encore qu au stade des essais pilotes, dûment autorisés à chaque fois par la Confédération, et limités en nombre d électeurs, cela après bientôt une décennie de travail. La demande d'autorisation pour un scrutin est formée d'un simple dossier à déposer à la chancellerie fédérale six mois avant la date de la votation. Le contenu est d'un tel dossier est connu, et ne doit qu'expliciter les concepts ou procédures propres à respecter l'article 27 de l'odp. A ce stade, quelques cantons, encore peu nombreux, ont pris la décision de principe d avancer en direction du vote électronique, mais généralement sans que cela soit pour l instant Mais il n'y a aucune obligation, la chancelière fédérale précise bien que les cantons sont absolument libres de prendre le système qu'ils désirent. EtudedAvPrjEMPLEDPeVtdéfavecsign odt 9/25

10 concrétisé par des plans précis. Et, dans tous les cas, le projet est alors envisagé dans le cadre du ralliement à l un des trois systèmes pilotes existants. Le Conseil d Etat, pour l heure, n est pas favorable à l introduction du vote électronique. Des raisons financières dictent cette décision, mais aussi le sentiment que les esprits ne sont pas encore suffisamment mûrs. S impose aussi la conviction que les progrès qui pouvaient être faits en matière de facilitation du vote et d augmentation de la participation ont été en fait atteints avec l introduction du vote par correspondance généralisé. Le Conseil d Etat ne ferme toutefois pas la porte et entend rester attentif à l évolution du dossier en Suisse. On estime, à partir des sondages effectués, à 10-15% l'augmentation de la participation avec l'evote; essentiellement au sein de l'électorat jeune et urbain, qui est actuellement politiquement sensibilisé, mais chroniquement abstentionniste. La chancellerie fédérale espère pouvoir effectuer les élections de 2015 avec le vote électronique; c'est-à-dire que d'ici là les cantons devraient avoir essayé les votations, puis des élections, avec ce nouveau canal. En revanche, le Conseil d Etat considère que le cas des Suisses de l étranger est fondamentalement différent. Il s agit, pour le canton de Vaud (scrutin du 7 mars 2010), de 13'324 électeurs, l un des plus importants contingents du pays, en constante augmentation. Or, une part importante de ces ayants droit se trouve de facto régulièrement, voire dans certains cas systématiquement privée de son droit, la durée d acheminement du courrier, à l aller et/ou au retour, étant trop longue. On soulignera d ailleurs au passage que le problème majeur ne se situe pas forcément dans les pays les plus lointains ou les moins développés. Par exemple, selon une statistique fédérale, les plaintes les plus fréquentes proviennent des Suisses installés en Italie. Les votes de Suisses de l étranger arrivant hors délai ne représentent, en apparence, «que» quelques pour-cents des votants de cette catégorie (3,1% lors d un comptage le 30 novembre 2008). Mais cela s explique, l essentiel de la On l'a vu, les citoyens vaudois résidant actuellement à l'étranger sont fondamentalement des citoyens au même titre que ceux qui sont actuellement au Pays. Le Vaudois de l'étranger ne doit-il pas avoir les mêmes droits et les mêmes protections quant à l'exercice de ses droits politiques que le Vaudois résidant en Suisse? A notre sens, les Vaudois de l'étranger doivent pouvoir bénéficier de l'exercice de leurs droits politiques, avec les mêmes soutiens et protections, quelque soit le pays dans lequel ils résident (voire où ils se trouvent en déplacement). On remarquera que le problème de durée prohibitive d'acheminement postal peut déjà être enduré à l'aller, pour recevoir à temps la liasse de vote et «à temps» doit aussi tenir compte d'un délai de réflexion, ou de disponibilité... La seule solution est de non seulement résoudre l'acheminement de retour, mais aussi celui de l'aller avec une voie électronique totale. Bon raisonnement. Il faut viser un exercice de plus de la moitié des Suisses de l'étranger, y compris ceux qui ne sont pas encore inscrits. EtudedAvPrjEMPLEDPeVtdéfavecsign odt 10/25

11 déperdition de votants potentiels s effectuant en amont, de trois manières : certains électeurs ne tentent de voter que lorsqu un objet leur tient particulièrement à cœur, sachant le risque élevé que leur vote arrive trop tard ; d autres ne tentent de voter que lorsque le matériel leur arrive exceptionnellement tôt et qu ils évaluent qu il y a une chance raisonnable que leur vote arrive dans les délais ; et, enfin, de très nombreux Suisses de l étranger ne se font simplement pas inscrire au registre des électeurs à cause de la difficulté à réussir à voter. La Confédération insiste désormais extrêmement lourdement auprès de tous les cantons pour qu ils offrent le vote électronique à leurs Suisses de l étranger. Quasiment tous les cantons se sont désormais décidés en ce sens. La solution qui a été mise au point est l hébergement : chaque canton souhaitant introduire ce nouveau système de vote choisit l un des trois cantons pilotes comme canton hébergeur. Le 27 septembre 2009, Genève a été le premier canton à offrir le vote électronique à tous ses Suisses de l étranger. Le 29 novembre 2009, Bâle-Ville est devenu le premier canton hébergé (à Genève en l occurrence). En phase de projet, la plupart des cantons se répartissent à présent en deux groupes sensiblement de même taille, soit en collaboration avec Genève, soit en collaboration avec Zurich. Ce n'est pas «la solution qui a été mise au point», mais la solution littéralement vendue au porte-à-porte par les deux cantons proposant un hébergement. Le canton de Neuchâtel est hors de ce marché. Tous les cantons? Deux groupes de même taille? - Le logiciel de Zurich (et d'unisys) a été choisi par FR, SO, SH, SG, AG, TG et GR (qui cofinancent ses évolutions et adaptations), soit 8 cantons représentant 44,3% de la population; - du côté de Genève, il s'agit de BS, BE et LU, soit 4 cantons représentant ensemble 25,7%. En quoi consistera une solution d hébergement? La Ville de Lausanne continuera à gérer, sur mandat cantonal, le rôle des électeurs suisses de l étranger pour l ensemble du canton. A l approche d un scrutin, elle transmettra ce rôle au canton hébergeur, qui le traitera (en y ajoutant pour chaque électeur les divers codes permettant de voter par internet), puis le renverra. La Centrale d achats de l Etat de Vaud pourra alors imprimer les cartes d électeurs comme pour les 375 communes du canton, à la différence que les cartes des Suisses de l étranger comprendront des codes permettant de voter de manière électronique. Ensuite, un Suisse de l étranger aura le choix. Lorsqu il votera de manière électronique, la base de données située dans le canton hébergeur enregistrera directement le Il conviendrait de remplacer «canton hébergeur» par «organisme hébergeur», qu'il faut étendre le «rôle des électeurs» outre celui de Lausanne aux autres communes éventuelles utilisatrices du vote électronique, que «l'ajout des divers codes» et «l'impression des cartes d'électeurs» ne sont nécessaire que pour les citoyens n'ayant pas encore d'identité numérique. EtudedAvPrjEMPLEDPeVtdéfavecsign odt 11/25

12 vote. Et s il vote par correspondance, la même base de données enregistrera la chose au moment où la Ville de Lausanne scannera la carte de vote. Ce système ne peut déboucher que sur un seul vote. Il faut préciser que le vote électronique ne résoudra pas tous les problèmes des Suisses de l étranger. En effet, si l acheminement du courrier à l aller dure plus de cinq à six semaines cela arrive, l électeur recevra son matériel après le jour du scrutin. Mais il s agit là de cas rares. Avec un système basé sur l'identité numérique (saine et souple), il n'y a plus besoin d'envoyer le matériel de vote aux citoyens qui progressivement l'obtiennent, en particulier pas par voie postale (lente et coûteuse). Autre restriction : seuls les électeurs domiciliés dans des Etats dits «Wassenaar» (membres de l Accord de Wassenaar sur le contrôle à l'exportation des armes conventionnelles et des biens et technologies à double usage) peuvent actuellement bénéficier du vote électronique. Cela découle d une décision du Conseil fédéral, qui veut éviter que des ressortissants helvétiques n aient des problèmes en votant d une manière qui serait surveillée ou alors en utilisant des systèmes à cryptographie forte qui pourraient être considérés comme une atteinte à la souveraineté de l Etat. Il veut par ailleurs éviter qu un scrutin suisse ne soit perturbé par un Etat étranger pour cette même raison. Les Etats Wassenaar sont une minorité de pays de la planète (toute l Europe occidentale, centrale et orientale, Russie et Turquie comprises, l Océanie, l Amérique du Nord, l Argentine, la Corée du Sud, l Afrique du Sud), mais cette minorité regroupe 90% des Suisses de l étranger. Par ailleurs, comme on l a vu plus haut, le problème de la lenteur d acheminement du courrier est un réel problème y compris dans des pays très proches de la Suisse. Le vote électronique pour les Suisses de l étranger a donc tout son sens, malgré ces quelques restrictions. Il y a ici confusion entre conditions d'exportation (ce qui regarde la Suisse) et autorisation d'importation (qui regarde le pays de résidence). L'Arrangement de Wassenaar est un accord international entre une quarantaine de pays et portant sur le contrôle des technologies à doubles usages : c'est à dire à la fois civiles et militaires, ce qui inclut -pour notre cas- les moyens de cryptographie, et en particulier les logiciels implantant des algorithmes cryptographiques. (couverts par les premiers alinéas de la catégorie 5 - partie 2, de la liste des biens à double usage). Cet Arrangement n'est pas une organisation (il n'y a qu'un secrétariat, gérant les mises à jour et les informations), et les pays signataires sont souverains dans leurs décisions d'application. Ceux-ci s'engagent à empêcher l'exportation de ces moyens depuis leurs territoires vers des pays non parties prenantes de l'arrangement. Cet arrangement est strictement appliqué par la chancellerie fédérale, et interdit d'utiliser (en particulier) le système genevois dans les pays non membres, car le serveur Web de Genève livre (cà-d. exporte de Suisse) une appliquette chiffrant les transactions et chiffrant le bulletin lors du second envoi (le premier envoi, du bulletin rempli, au serveur a les choix de celui-ci pleinement lisibles par l'informatique de l'état). À peu près les seuls pays parties prenantes des accords, et donc dans lesquels sont EtudedAvPrjEMPLEDPeVtdéfavecsign odt 12/25

13 utilisables/exportables ces technologies, et par là l'utilisation des evoting fédéraux, sont, en gros, les pays occidentaux. Ce qui exclus nos expatriés résidant dans toutes l'afrique (sauf l'afrique du Sud), toute l'asie (sauf Russie), toute l'amérique Latine (sauf Argentine), toute la zone Arabie/Moyen-Orient... Il est à noter que les logiciels Open Source (OSS) sont affranchis de la liste des biens régulés du fait de leur diffusion libre, cette levée d'interdiction est explicitement contenue dans l'addendum "General Technology and General Software Notes" qui mentionne comme explicitement exclus des interdictions d'exportation les logiciels universellement disponibles («dans le domaine public, ce qui signifie 'technologies' ou 'logiciels' qui ont été rendus disponibles sans restrictions quant à leur dissémination ultérieure, quelque soit leurs clauses restrictives de droits d'auteurs»). Cette liberté exceptionnelle s'applique régulièrement, et en particulier en Suisse, aux logiciels contenant des algorithmes cryptographiques et publiés sous une licence Open Source (droits de copie, d'exécution, de modification et de distribution). Par ailleurs, le SECO (BaWi) précise qu'il n'y a pas, dans le droit suisse, de restriction pour l'exportation de logiciels cryptographiques libres. En résumé : les logiciels sous une licence Open Source ne sont pas soumis à l'interdiction de l'arrangement de Wassenaar, ni à celles du droit helvétique, et sont donc libres d'exportation. Aussi, en combinaison avec le principe reconnu de transparence des moyens et procédures de votation, qui nécessite que toute la chaîne logicielle d'un système de vote électronique soit Open Source, le vote sous Open Source serait alors de plus accessible pour l'ensemble des Suisses de l'étranger, quel que soit leur pays de résidence. Et donc, le vote électronique deviendrait une réalité pour les électeurs les plus défavorisés par le vote par correspondance, et qui ne peuvent voter électroniquement avec les systèmes actuels : nos concitoyens habitants en Afrique, en Asie, en Amériques Latine, au Sud de l'amérique du Nord, dans les Iles de l'océanie, à EtudedAvPrjEMPLEDPeVtdéfavecsign odt 13/25

14 la périphérie de l'europe, ou au Moyen-Orient. Par ailleurs, et contrairement à ce qui a été publié dans la presse, sur le site genevois ou repris ci-contre, les pays membres de Wassenaar ne sont pas plus sûrs pour le secret du vote, il y a parmi eux les champions mondiaux de l'espionnage électronique. Inversement, les pays hors Wassenaar ne sont pas les moins libéraux quant à l'importation de moyens cryptographiques, il y a en Europe plusieurs pays qui l'interdisent à priori. Les pays parties de l'arrangement de Wassenaar seraient-il donc des pays si sûrs? Prenons quelques exemples : La Russie, n'est pas particulièrement connue pour son respect de la démocratie; Les USA : le Patriot Act (dont interceptions automatisées des transactions Internet des résidents), la surveillance interne illégale de la NSA, le «monstre incontrôlable des services secrets» (1271 organisations gouvernementales et 1931 sociétés privées, 850'000 personnes, 75 milliards de dollars annuels); La France : la cellule de l'elysée (écoutes illégales), l'affaire des Irlandais de Vincenne (fausses preuves créées par l'unité d'élite de la police), les «plombiers» du Canard Enchaîné (espionnage interne), les étrangetés d'hadopi (scrutation des raccordements des résidents); L'Italie : la loge P2 (dont tous les chefs des services de renseignements) et bien d'autres; Et la Suisse n'est pas exempte de ces dérapages : officines intra- ou extra-officielles paranoïaques, double scandale des «fiches» de son service de renseignements... Le choix du Conseil d Etat, parmi les trois systèmes pilotes, se portera très probablement sur Genève. Une analyse menée par la section des droits politiques du Service des communes et des relations institutionnelles et par le pôle institutions de la Direction des systèmes d information a en effet débouché sur cette proposition, qui a les faveurs du Conseil d Etat. Il a pris en compte des critères techniques, financiers et linguistiques. La volonté claire des deux conseils d Etat de développer les collaborations lémaniques a aussi joué un rôle, de Il n'y a que Berne à avoir choisi l'hébergement à Genève; le canton de Neuchâtel a son propre système, celui de Fribourg a choisi Zurich. D'une manière générale, un système qui est, non seulement juridiquement et politiquement mal conçu, mais en plus techniquement lacunaire et non fiable, a toujours d'excessifs coûts d'exploitation, de maintenance et d'évolution. Dans ce contexte d'analyse des systèmes d'e- EtudedAvPrjEMPLEDPeVtdéfavecsign odt 14/25

15 même que l état d avancement du système genevois et le fait que de nombreux cantons, de Suisse occidentale en particulier, vont se faire héberger à Genève de la même manière, ce qui devrait permettre, à terme, de développer des partenariats et de réduire les coûts. voting à adopter, on peut se demander quels ont été les apports et critiques techniques concrets de la Direction des systèmes d'information (DINF-DSI)). Et y a-t-il eu implication de la Commission du Grand Conseil chargée des questions d'informatique (Commission thématique des systèmes d'information), compte tenu du caractère éminemment fondamental et politique de ce pilier de la démocratie qu'est l'acte de voter? En l'occurrence, la volonté politique de deux exécutifs (si bien intentionnés soient-ils) est à l'évidence insuffisante pour contrebalancer les défauts techniques du produit genevois. A ce propos, le coût d introduction et d exploitation du système devrait représenter les montants suivants : - CHF 48'000.- pour le développement, l installation et la formation ; - ensuite, CHF 26'625.- par scrutin, soit CHF 106'500.- par année (base : 4 votations fédérales par année). Du point de vue juridique, comme cela a été fait récemment pour le canton hébergé de Bâle-Ville, une convention tripartite sera signée entre la Confédération, Genève et Vaud. Une autre convention mettra à jour le mandat donné par le Canton à la Ville de Lausanne pour la gestion des Suisses de l étranger. Enfin, on ne saurait conclure ce chapitre sans évoquer la problématique de la protection des données. En effet, de vifs débats ont eu lieu pendant plusieurs années à ce propos dans le canton de Genève, débat qui se sont terminés par l adoption par 70,2% de la population genevoise de l inscription du vote électronique dans la Constitution le 8 février Ceci est un amalgame entre un principe général et un cas particulier de système informatique. Le référendum constitutionnel genevois, mené en février de cette année, a en effet plébiscité LE PRINCIPE du vote électronique, avec l'ajout d'une petite phrase à la loi fondamentale du canton, qui autorise ce troisième mode de vote aux côtés des deux actuels. C'est tout. Si près des trois quarts des électeurs genevois (s'étant exprimés) ont demandé la possibilité d'un vote électronique, ils ne sont jamais prononcés pour le système particulier de la chancellerie du canton. Au contraire, ils se sont implicitement prononcés contre! D'abord au travers de leurs élus, puisqu'avant* ce EtudedAvPrjEMPLEDPeVtdéfavecsign odt 15/25

16 vote le Grand Conseil avait retoqué la loi d'application (calquée sur le fonctionnement de ce système) en émettant les plus grands doutes sur la fiabilité dudit système et à cause des méthodes plus que discutables utilisées pour le promouvoir. Enfin, et surtout, les électeurs résidents genevois, après un fugace engouement ne sont plus que 14 à 17% à l'utiliser (proportion des bulletins électroniques par rapport aux votes exprimés dans les communes desservies par le système). (*) Après ce référendum populaire, le parlement de ce canton a accepté le même texte de loi, mais sans possibilité de débat et avec des abstentions, dont deux partis importants (Verts et UDC). Entre autres, car le système considéré ne permet pas un recomptage sensé des bulletins en cas de contestation du résultat. Autrement dit, si presque les trois quarts demandent UN vote électronique, ce n'est guère qu'un sur six qui ose utiliser CELUI proposé (donc environ quatre fois moins!). Par ailleurs, on peut dire que le système n'a pas, mais pas du tout, été conçu et développé avec les méthodes d'ingénierie propres aux systèmes fiables et sécurisés (dits sûrs). De son côté, le Conseil d Etat vaudois relève que le Conseil fédéral, ainsi que les autorités législatives et exécutives genevoises appuyées par le peuple considèrent le système genevois comme absolument digne de confiance. Le peuple n'a voté que sur le principe. Le très faible taux d'usage -en décroissance régulièremontre au contraire que le système n'est pas considéré de confiance. Il est incroyable et proprement contraire à toute éthique et efficacité scientifique de prétendre qu'un système technique est valable parce que de pures instances politiques l'affirment: nous ne sommes plus au temps de Galilée... Or, justement, on sait très bien -par exemple- que le système genevois (comme le zurichois) n'assure absolument pas et pour plusieurs raisons d'architecture et techniques, le secret du vote (ni l'anonymat, ni la confidentialité du bulletin), et cela avant même la clôture du scrutin - donc enfreignant de plus l'obligation de temporalité du vote. De surcroît, un virus sur le poste de l'électeur aurait accès à tous les choix -par exemple, et grâce à une possible collecte extensive, pour une sorte de délit d'initié de la part des pirates. Un tel EtudedAvPrjEMPLEDPeVtdéfavecsign odt 16/25

17 virus peut aussi modifier les choix du citoyen, sans que celui-ci puisse s'en douter. Une étude* a montré qu'environ quarante pour cent des bulletins de vote pourraient être falsifiés par un de ces logiciels malveillants sans laisser de trace... (*) %27eVoting-GE.pdf Par ailleurs, la chancelière fédérale -dans sa réponse de juin 2010 à l'interpellation Recordon sur la fiabilité du vote électronique- a indiqué : «Nous partons de l'idée que nous avons toujours affaire à des citoyens honnêtes. [..] Cela ne signifie pas qu'il n'y ait aucun mécanisme de contrôle. [...Mais que] Les mesures de sécurité sont assez modestes.» Cette dernière remarque est proprement ahurissante: partir de l'idée que «nous avons TOUJOURS affaire à des citoyens honnêtes» devrait permettre de démanteler tout le droit pénal: on croit rêver. Et c'est sur cette base qu'il faudrait faire confiance à l'administration fédérale? Pour la Landsgemeinde, cela peut se comprendre, mais pour le vote par Internet, un seul pirate (citoyen "pas honnête" ou plutôt mercenaire, par exemple d'une puissance étrangère) peut modifier sans grosse peine autour de la moitié des bulletins déposés... Sans parler des opérateurs ou autres personnes ayant contact avec le système informatique de vote. Donc, si nous bénéficions de mesures de sécurité modestes pour le vote électronique... alors c'est fort inquiétant! Le Conseil fédéral a défini en 2002 que la sécurité du vote électronique devait correspondre au degré de sécurité qu'on exige du vote par correspondance. Il y a là une méconnaissance grave : Avec le vote par correspondance, la conception d'une fraude est simple, mais pour qu'elle ait une portée réelle (nombre de bulletins falsifiés suffisants) son opération doit être très lourde et comporte de bien grands risques d'être découverte; avec le vote électronique, la conception de la fraude requiert des capacités techniques (bien que pas nécessairement poussées), mais sa portée est massive même pour un seul "pirate" et le risque EtudedAvPrjEMPLEDPeVtdéfavecsign odt 17/25

18 pour celui-ci peut-être aussi faible que désiré. Si l on prend encore en considération que le système de vote électronique genevois est composé à 80% de logiciels open source, qu il est propriété intégrale de l Etat (contrairement aux systèmes neuchâtelois et zurichois, partiellement ou entièrement en mains privées), que les coûts, le temps et les procédures nécessaires au développement d un nouveau système seraient démesurés (voir plus haut), et que des experts choisis par le canton de Vaud ou des hauts fonctionnaires vaudois pourront recevoir avec clause de confidentialité le code-source et la documentation technique (que le Grand Conseil genevois a choisi, dans la loi, de ne pas rendre publics, sans qu un référendum soit lancé), le Conseil d Etat ne voit pas de raison de refuser la solution de l hébergement qui doit permettre, rappelons-le, de fournir rapidement aux Suisses de l étranger des conditions correctes d exercice de leur droit de vote. De monter en épingle comme avantage que le système genevois est à 80% open source est un slogan insensé des promoteurs du système que, par respect pour les électeurs, il ne faut pas reprendre. L'accès au code source, puisqu'il définit le fonctionnement et les propriétés du logiciel, est clairement nécessaire pour en évaluer la fiabilité et (d'abord) l'adéquation, c'est un préalable évident. C'est vrai que la disponibilité (même libre!) du code source n'est pas suffisante*. Mais, ce qui est nécessaire, même si pas suffisant, reste nécessaire. (*) Le code s'exécutant sur les machines peut ne pas être celui étudié. D'autres moyens intrinsèques à l'architecture, au protocole et à la technique sont nécessaires pour assurer néanmoins la vérité et la bonne fin des opérations. Premièrement, de tenir l'étude du code source comme réservée à "un petit comité" est déplacé sur un sujet d'une telle importance pour notre démocratie (semi-)directe. Un programme ne peut être étudié par la seule lecture de quelques personnes (voir la question de la validation ci-dessus). Secondement, ces 80% mis en avant par la chancellerie genevoise représentent le code d'un logiciel complémentaire universel, dont l'application genevoise dépend, mais dont elle est distincte. C'est donc 100% du programme de vote qui est obscure. De plus, il faudrait compter avec l'ensemble de la chaîne de traitement (dont les systèmes d'exploitation et ceux de gestion de bases de données). En outre, et même, que diraient les usagers des téléphériques, si les exploitants tentaient de les rassurer en annonçant que leurs installations ont été contrôlées à 80%? Ils diraient à juste titre qu'on se moque d'eux, qu'il peut arriver n'importe quoi dans les 20% restant, et qu'ils refusent d'utiliser des systèmes si peu de confiance! Surtout si, comme à Genève, ce seraient le EtudedAvPrjEMPLEDPeVtdéfavecsign odt 18/25

19 distributeur de billets ou le tourniquet d'entrées qui étaient contrôlables, mais pas le câble ou les freins. Un contrôle de validité, de sûreté, de justesse, d'honnêteté, se fait à100%, et (c'est un truisme) de l'intégralité. Donc, dans notre cas, en pouvant scruter et contrôler tous les logiciels traitant le flux d'authentification du citoyen, d'autorisation de vote, de collecte, de manipulation, de mémorisation des bulletins, et de leur dépouillement. Donc en ayant accès au code source : des logiciels de vote proprement dit (serveur et client), des bibliothèques qu'ils appellent directement ou indirectement, des systèmes d'exploitation hôtes de l'exécution*, des systèmes de gestion de base de données utilisés (spécialement de l'urne électronique), des répartiteurs de charge, etc. (*) Et, pour être cohérent, aussi du navigateur et du système d'exploitation utilisés sur le poste de l'électeur... Un logiciel, dont le code source n'est pas intégralement connu, s'exécute comme une boîte noire, dont on n'a aucune maîtrise. Alors qu'au contraire, toutes les procédures encadrant le vote populaire visent à son intégrale transparence, à en faire une boîte transparente, ou de cristal. Enfin, puisqu'il s'agit du contrôle de l'outil supportant le fondement de la démocratie, et puisqu'il s'agit de contrôler un logiciel (un absolu algorithmique et non la mise en tolérance d'une mécanique), le contrôle pour être effectif doit être public, libre, global et profond. Pour des raisons simplement pragmatiques, cette publication du texte des programmes de vote doit alors se faire avec les libertés octroyées par les licences des logiciels open source, afin de permettre une étude réelle du fonctionnement du système : Outre la liberté d'accès pour première lecture, il s'agit de la liberté de copie pour éprouver dans des logiciels analyseurs, d'exécution pour observer le comportement, de modification pour EtudedAvPrjEMPLEDPeVtdéfavecsign odt 19/25

20 effectuer des variations d'essais, de distribution pour bénéficier de l'aide de divers experts. Ces licences et ces libertés ont été soigneusement pesées et exercées, pour leurs corrections et adéquations; un bon exemple en est la licence des administrations européennes et des États membres (EUPL). Par ailleurs, la propriété de l'état ne change rien. Les presque deux-cents ans d'expériences et d'améliorations des procédures de vote populaire montrent bien que, justement, presque tout est fait dans les scrutins démocratiques pour empêcher la partie la plus puissante de l'opération l'état - d'être tentée de frauder. En fait, la propriété par l'état est dangereusement contreproductive, car le propriétaire des droits intellectuels d'un logiciel Open Source n'est pas tenu de publier les modifications qu'il y apporte. Alors que si une entité tierce (p.ex. une fondation) est la détentrice des droits (mais n'exploite pas le vote), l'état -en tant que simple licencié- est obligé de publier tous changements qu'il apporterait au programme de vote, dès qu'il utilise celui-ci (publie ou exploite sur un serveur - cas de la licence AGPL choisie pour xvote - voir pt 7 du présent rapport ). Il y a une autre raison, de principe, qui vient de ce que pour garantir la scrutation par les politiciens de milice, il est nécessaire d'utiliser principalement deux grappes de serveurs, une sous l'autorité de l'état (exécutifs, donc l'administration publique), mais l'autre doit être sous la direction de la commission électorale (législatif) et qu'elle ne peut donc être exploitée par les employés de (la même) administration publique. Il est à souligner que les pilotes fédéraux sont -au contraire- conçus purement linéairement (citoyen client-->serveur de l'état) et donc fonctionnent en boîtes noires inscrutables par le pouvoir législatif, mais librement manipulables par leurs opérateurs. Pour conclure, quelques chiffres : lors de la première utilisation genevoise du vote Voir pourtant la chute de l'utilisation par les Genevois locaux : de près de la moitié à un EtudedAvPrjEMPLEDPeVtdéfavecsign odt 20/25