Vote électronique : Confidentialité et sécurité des données a confirmé le Conseil d’Etat

En l’espèce, la CNIL, saisie d’une plainte d’un syndicat, prononce un avertissement à l’encontre d’une société n’ayant pas pris toutes précautions utiles pour préserver la sécurité et la confidentialité des données à caractère personnel lors de l’élection des délégués du personnel organisée par voie électronique avec recours aux services d’un prestataire extérieur. La société et le prestataire forment un recours en annulation de cette délibération devant le Conseil d’Etat.

Le Conseil d’Etat rejette la requête et retient qu’il résulte des dispositions du Code du travail, « dont l’objectif est de garantir la sincérité des opérations électorales par voie électronique, que l’utilisation d’un système de vote électronique pour l’élection des délégués du personnel est subordonnée à la réalisation d’une expertise indépendante lors de la conception initiale du système utilisé, à chaque fois qu’il est procédé à une modification de la conception de ce système ainsi que préalablement à chaque scrutin recourant au vote électronique ».

Dès lors, « à supposer même que le système de vote électronique en litige n’ai fait l’objet d’aucune modification de sa conception depuis sa précédente utilisation par l’entreprise, […] une expertise indépendante était requise préalablement à sa mise en place pour les élections professionnelles organisées par la société requérante ».

Par ailleurs, « il résulte de [l’article R. 2324-5 du Code du travail sur la confidentialité des données transmises] que la transmission aux électeurs des identifiants et mots de passe leur permettant de participer au vote doit faire l’objet de mesures de sécurité spécifiques permettant de s’assurer que les électeurs en sont les seuls destinataires ». Ainsi, « c’est à bon droit que la CNIL a estimé que la transmission par simple courriel de ces données aux électeurs méconnaissait les obligations » découlant de ce même article.

En outre, le Conseil d’Etat rappelle, conformément à un arrêté ministériel du 25 avril 2007, que « le respect de ces dispositions implique nécessairement que le chiffrement des bulletins de vote soit ininterrompu », et ce dès l’émission du vote sur le poste de l’électeur jusqu’à sa transmission au fichier dénommé « contenu de l’urne électronique ».

Enfin, si l’employeur a recours à un prestataire extérieur pour l’organisation du vote électronique, il reste malgré tout responsable de ce traitement de données. Le Conseil d’Etat précise ainsi que « la circonstance que des opérations de traitement de données soient confiées à des sous-traitants ne décharge pas le responsable de traitement de la responsabilité qui lui incombe de préserver la sécurité des données ». Cela ne méconnaît pas « le principe constitutionnel de responsabilité personnelle, dès lors que ces sous-traitants ont agi sur instruction du responsable de traitement ».

Le Conseil d’Etat a ainsi estimé que la sanction de la CNIL visant à rendre public l’avertissement était proportionnée au regard de la nature et de la gravité des manquements constatés, et sa publication appropriée « à la recherche de l’exemplarité ».