Le 24 octobre dernier, la CNIL a publi\u00e9 sur son site une foire aux questions afin d\u2019\u00e9clairer les employeurs, publics ou priv\u00e9s, ainsi que les prestataires de vote \u00e9lectronique, sur les modalit\u00e9s d\u2019organisation des \u00e9lections professionnelles au prisme de la collecte et de l\u2019utilisation des donn\u00e9es personnelles des \u00e9lecteurs.<\/p>\n
<\/p>\n
Parmi ces \u00e9claircissements :<\/p>\n
\u00a0<\/p>\n
<\/p>\n
La CNIL rappelle que les mentions devant figurer sur la liste \u00e9lectorale doivent \u00eatre pr\u00e9cis\u00e9es entre l\u2019employeur et les organisations syndicales dans l\u2019accord pr\u00e9\u00e9lectoral (nom, pr\u00e9nom, \u00e2ge, appartenance \u00e0 l\u2019entreprise, anciennet\u00e9 \u2013 de 3 mois minimum).<\/p>\n
\u00a0<\/p>\n
Il est attir\u00e9 l\u2019attention sur le fait qu\u2019une information relative \u00e0 l\u2019adresse du domicile n\u2019a pas \u00e0 figurer sur la liste \u00e9lectorale, sauf dans des cas particuliers.<\/p>\n
\u00a0<\/p>\n
<\/p>\n
La CNIL pr\u00e9cise que le prestataire de solution de vote par correspondance \u00e9lectronique mettant en \u0153uvre les \u00e9lections professionnelles pour le compte de l\u2019organisateur de l\u2019\u00e9lection, l’employeur, est en g\u00e9n\u00e9ral consid\u00e9r\u00e9 comme un \u00ab\u00a0sous-traitant\u00a0\u00bb, au sens du RGPD.<\/p>\n
\u00a0<\/p>\n
En effet, le prestataire de solution de vote \u00e9lectronique traite des donn\u00e9es personnelles des \u00e9lecteurs pour le compte et sur instruction de l\u2019organisateur de l\u2019\u00e9lection.<\/p>\n
\u00a0<\/p>\n
Dans l\u2019hypoth\u00e8se du recours \u00e0 un sous-traitant, l\u2019organisateur de l\u2019\u00e9lection, en qualit\u00e9 de responsable de traitement, doit respecter toutes les obligations du RGPD, en particulier l\u2019information des personnes et formaliser la relation de sous-traitance.<\/p>\n
\u00a0<\/p>\n
S\u2019agissant de l\u2019expert ind\u00e9pendant qui atteste de la s\u00e9curit\u00e9 de la solution de vote \u00e9lectronique et du bon d\u00e9roulement du processus \u00e9lectoral, la CNIL rappelle qu\u2019en g\u00e9n\u00e9ral ce dernier ne traite pas de donn\u00e9es personnelles, et qu\u2019il ne peut \u00eatre consid\u00e9r\u00e9 comme sous-traitant ou responsable de traitement m\u00eame s\u2019il a un acc\u00e8s limit\u00e9 et accessoires \u00e0 ces donn\u00e9es.<\/p>\n
\u00a0<\/p>\n
\u00a0<\/p>\n
La CNIL rappelle que le vote \u00e9lectronique a fait l\u2019objet d\u2019une recommandation en date du 25 avril 2019, actualis\u00e9e par une fiche pratique. Cette fiche expose une m\u00e9thodologie en 2 temps pour l\u2019organisateur du vote\u00a0: \u00e9tablir une grille d\u2019analyse pour d\u00e9terminer le niveau de s\u00e9curit\u00e9 que le syst\u00e8me de vote par correspondance \u00e9lectronique doit respecter, et d\u00e9finir des objectifs de s\u00e9curit\u00e9 avec des exemples de moyens minimaux \u00e0 mettre en \u0153uvre pour atteindre ces objectifs.<\/p>\n
\u00a0<\/p>\n
La CNIL identifie en g\u00e9n\u00e9ral un risque de niveau 2 pour la plupart des \u00e9lections des repr\u00e9sentants du personnel aux instances repr\u00e9sentatives, voire de niveau 3 lorsque les \u00e9lections se d\u00e9roule dans un \u00ab\u00a0organisme important\u00a0\u00bb et dans un cadre conflictuel.<\/p>\n
\u00a0<\/p>\n
Tout dispositif de vote par correspondance \u00e9lectronique devrait inclure un contr\u00f4le automatique de l\u2019int\u00e9grit\u00e9 du syst\u00e8me, de l\u2019urne et de la liste d\u2019\u00e9margement, ainsi qu\u2019un dispositif d\u2019authentification des \u00e9lecteurs (risque d\u2019usurpation d\u2019identit\u00e9).<\/p>\n
\u00a0<\/p>\n
Il n\u2019est pas n\u00e9cessaire de proc\u00e9der \u00e0 une formalit\u00e9 pr\u00e9alable aupr\u00e8s de la CNIL dans le cadre de l\u2019organisation d\u2019un vote par correspondance \u00e9lectronique. Toutefois l\u2019organisateur de l\u2019\u00e9lection, d\u00e8s lors qu\u2019il est responsable de traitement, doit respecter ses obligations au regard du RGPD.<\/p>\n
\u00a0<\/p>\n
Enfin, sur l\u2019information des \u00e9lecteurs concern\u00e9s par l\u2019utilisation de leurs donn\u00e9es personnelles, la CNIL rappelle que\u00a0:<\/p>\n
\u00a0<\/p>\n
<\/p>\n
L\u2019organisateur de l\u2019\u00e9lection ou son prestataire ne peuvent pas envoyer au domicile de l\u2019\u00e9lecteur son identifiant et son mot de passe par deux courriers distincts.<\/p>\n
\u00a0<\/p>\n
Au demeurant, les m\u00eames identifiants et mots de passe peuvent \u00eatre r\u00e9utilis\u00e9s lors des deux tours d\u2019une \u00e9lection.<\/p>\n
\u00a0<\/p>\n
La CNIL rappelle que l\u2019IBAN complet ne devrait pas \u00eatre utilis\u00e9 dans le cadre d\u2019une question secr\u00e8te, mais privil\u00e9gier une partie de l\u2019IBAN.<\/p>\n
\u00a0<\/p>\n
Sur l\u2019expertise de la solution de vote, celle-ci doit couvrir l\u2019int\u00e9gralit\u00e9 du dispositif install\u00e9 avant le scrutin, la constitution des listes d\u2019\u00e9lecteurs et leur enr\u00f4lement, ainsi que le fonctionnement du syst\u00e8me de vote durant le scrutin et les \u00e9tapes post\u00e9rieures. Cette expertise n\u2019est pas \u00e0 transmettre \u00e0 la CNIL sauf demande de sa part (exception\u00a0: fonction publique de l\u2019Etat).<\/p>\n
<\/p>\n