Le 24 octobre dernier, la CNIL a publié sur son site une foire aux questions afin d’éclairer les employeurs, publics ou privés, ainsi que les prestataires de vote électronique, sur les modalités d’organisation des élections professionnelles au prisme de la collecte et de l’utilisation des données personnelles des électeurs.
Parmi ces éclaircissements :
- Liste électorale
La CNIL rappelle que les mentions devant figurer sur la liste électorale doivent être précisées entre l’employeur et les organisations syndicales dans l’accord préélectoral (nom, prénom, âge, appartenance à l’entreprise, ancienneté – de 3 mois minimum).
Il est attiré l’attention sur le fait qu’une information relative à l’adresse du domicile n’a pas à figurer sur la liste électorale, sauf dans des cas particuliers.
- Qualification des acteurs
La CNIL précise que le prestataire de solution de vote par correspondance électronique mettant en œuvre les élections professionnelles pour le compte de l’organisateur de l’élection, l’employeur, est en général considéré comme un « sous-traitant », au sens du RGPD.
En effet, le prestataire de solution de vote électronique traite des données personnelles des électeurs pour le compte et sur instruction de l’organisateur de l’élection.
Dans l’hypothèse du recours à un sous-traitant, l’organisateur de l’élection, en qualité de responsable de traitement, doit respecter toutes les obligations du RGPD, en particulier l’information des personnes et formaliser la relation de sous-traitance.
S’agissant de l’expert indépendant qui atteste de la sécurité de la solution de vote électronique et du bon déroulement du processus électoral, la CNIL rappelle qu’en général ce dernier ne traite pas de données personnelles, et qu’il ne peut être considéré comme sous-traitant ou responsable de traitement même s’il a un accès limité et accessoires à ces données.
- Gestion de la conformité et protection des droits des personnes concernées
La CNIL rappelle que le vote électronique a fait l’objet d’une recommandation en date du 25 avril 2019, actualisée par une fiche pratique. Cette fiche expose une méthodologie en 2 temps pour l’organisateur du vote : établir une grille d’analyse pour déterminer le niveau de sécurité que le système de vote par correspondance électronique doit respecter, et définir des objectifs de sécurité avec des exemples de moyens minimaux à mettre en œuvre pour atteindre ces objectifs.
La CNIL identifie en général un risque de niveau 2 pour la plupart des élections des représentants du personnel aux instances représentatives, voire de niveau 3 lorsque les élections se déroule dans un « organisme important » et dans un cadre conflictuel.
Tout dispositif de vote par correspondance électronique devrait inclure un contrôle automatique de l’intégrité du système, de l’urne et de la liste d’émargement, ainsi qu’un dispositif d’authentification des électeurs (risque d’usurpation d’identité).
Il n’est pas nécessaire de procéder à une formalité préalable auprès de la CNIL dans le cadre de l’organisation d’un vote par correspondance électronique. Toutefois l’organisateur de l’élection, dès lors qu’il est responsable de traitement, doit respecter ses obligations au regard du RGPD.
Enfin, sur l’information des électeurs concernés par l’utilisation de leurs données personnelles, la CNIL rappelle que :
- L’organisateur des élections doit informer les personnes concernées, et le faire de manière individuelle lorsqu’il s’agit d’un vote par correspondance électronique ;
- Cette information doit être complète et de nature à faciliter l’exercice des droits des électeurs (l’organisateur doit définir ses mesures) (exemple : à l’adresse mail professionnelle, au moment de la remise de fiche de paie). La voie d’affichage ne peut constituer qu’un rappel ;
- L’information doit être délivrée au moment de la collecte des données personnelles et peut être renouvelée à tout moment.
- Mesures de sécurité
L’organisateur de l’élection ou son prestataire ne peuvent pas envoyer au domicile de l’électeur son identifiant et son mot de passe par deux courriers distincts.
Au demeurant, les mêmes identifiants et mots de passe peuvent être réutilisés lors des deux tours d’une élection.
La CNIL rappelle que l’IBAN complet ne devrait pas être utilisé dans le cadre d’une question secrète, mais privilégier une partie de l’IBAN.
Sur l’expertise de la solution de vote, celle-ci doit couvrir l’intégralité du dispositif installé avant le scrutin, la constitution des listes d’électeurs et leur enrôlement, ainsi que le fonctionnement du système de vote durant le scrutin et les étapes postérieures. Cette expertise n’est pas à transmettre à la CNIL sauf demande de sa part (exception : fonction publique de l’Etat).
https://www.cnil.fr/fr/elections-professionnelles-et-donnees-personnelles-questions-reponses
