Vote électronique : des précautions suffisantes garantissant la confidentialité des votes et des données transmises

Dans l’arrêt inédit du 24 novembre 2021 n° 20-17.073 F.D, la Cour de cassation s’est positionnée sur les garanties à prendre pour respecter la confidentialité des votes et des données transmises lors du vote électronique organisé dans une entreprise.

En matière de vote électronique, l’article R 2314-6 du Code du travail précise que « La conception et la mise en place du système de vote électronique peuvent être confiées à un prestataire choisi par l’employeur sur la base d’un cahier des charges respectant les dispositions du présent paragraphe.

Le système retenu assure la confidentialité des votes et des données transmises, notamment de celles des fichiers constitués pour établir les listes électorales des collèges électoraux, ainsi que la sécurité de l’adressage des moyens d’authentification, de l’émargement, de l’enregistrement et du dépouillement des votes. »

Par cet arrêt, la Cour de cassation a validé certaines précautions qu’elle a jugées suffisantes au regard des conditions légales :

• Chaque ingénieur et cadre, disposant d’une adresse électronique unique, devait créer des mots de passe personnels, obligatoirement changés régulièrement, avec interdiction de les partager ;
• Les identifiants étaient générés par le système de vote de façon aléatoire, sans aucun élément permettant d’identifier l’électeur ;
• Chaque vote était validé par un mot de passe, lequel n’était pas envoyé sur la messagerie en même temps que l’identifiant et, après s’être connecté sur le site avec son identifiant et avoir inséré sa date de naissance (donnée secrète), chaque ingénieur et cadre devait indiquer une adresse mail ou un numéro de téléphone pour obtenir le mot de passe ;
• La procédure de secours était détaillée par le protocole d’accord préélectoral, qui précisait que l’électeur pouvait demander une réédition de son identifiant et/ou une régénération de son mot de passe en appelant un numéro vert ou via un formulaire en ligne et, pour l’obtenir, il devait donner son nom, son prénom, sa date de naissance mais aussi son lieu de naissance (donnée secrète) ;
• En outre la régénération d’un mot de passe avait automatiquement pour effet de rendre inutilisable le mot de passe précédent et était enregistrée au sein du système de vote, avec mention du nom de l’électeur, de la date et l’heure de l’envoi ;
• Et si l’un des salariés avait pu se faire adresser le nouveau mot de passe d’un autre salarié de l’entreprise, c’est parce que ce dernier lui avait donné son lieu de naissance, en sorte que ce procédé, résultant d’une usurpation d’identité avec l’accord de l’intéressé, ne démontrait pas de faille dans le dispositif.

Source : Cour de cassation, Pourvoi n° 20-17.073 F.D du 24 novembre 2021 :
>  https://www.doctrine.fr/d/CASS/2021/C53D8D3726F39B70C56CC