Vote électronique et RGPD : ce qui reste à votre charge
Organiser un vote, c’est traiter des données personnelles : une liste d’électeurs, des adresses, des traces de connexion. **Vous en êtes le responsable de traitement**, et le prestataire de vote n’est que votre sous-traitant. Cette page dit ce que cela implique concrètement, et ce qu’aucune plateforme ne peut faire à votre place.
Vous êtes responsable
Le prestataire de vote est sous-traitant. Il agit sur vos instructions. La responsabilité du traitement, elle, ne se délègue pas.
Trois fichiers, trois durées
La liste des électeurs, les traces du vote et le procès-verbal n’ont ni la même finalité ni la même durée de conservation.
Le secret du vote est un choix d’architecture
Si le lien entre une personne et son bulletin existe quelque part, il est communicable. S’il n’existe nulle part, la question ne se pose plus.
01 Les rôles
Qui est responsable de quoi
C’est le point le plus souvent mal présenté, y compris par des prestataires. Vous êtes responsable de traitement : c’est vous qui décidez de la finalité du vote, de qui y participe et de ce qu’il advient des données. Le prestataire de vote est sous-traitant : il agit sur vos instructions et pour votre compte.
Cela a une conséquence pratique que personne n’aime entendre : aucune plateforme ne peut vous rendre conforme. Elle peut vous donner les moyens de l’être, documenter ce qu’elle fait, et s’engager par contrat. Les décisions restent les vôtres.
| Vous, responsable de traitement | Le prestataire, sous-traitant |
|---|---|
| Décider du scrutin, de son corps électoral et de sa finalité | Mettre en œuvre le vote sur vos instructions |
| Informer les électeurs du traitement de leurs données | Vous fournir de quoi le faire, et ne rien collecter d’autre |
| Fixer les durées de conservation | Les appliquer, et supprimer quand vous le demandez |
| Répondre aux demandes d’accès et d’effacement | Vous assister pour y répondre |
| Tenir votre registre des traitements | Documenter ce qu’il fait, et où il le fait |
| Déterminer le niveau de risque du scrutin | Vous donner les éléments, pas la décision |
02 Les données
Trois fichiers qu’on confond, et qui n’ont rien à voir
Un scrutin produit trois ensembles distincts. Les mélanger est l’erreur qui coûte le plus cher, parce qu’elle conduit soit à trop conserver, soit à détruire une preuve.
La liste des électeurs. Elle vient de vous, elle reste votre propriété. Sa finalité s’arrête avec le scrutin et les délais de contestation.
Les traces du vote. Qui a voté, et quand : c’est ce qui permet d’établir la participation et le quorum. Sur un scrutin secret, ces traces ne disent jamais pour qui, et c’est une propriété de l’architecture, pas une promesse.
Le procès-verbal. Il ne porte aucune identité individuelle, et sa durée de conservation suit le mandat qu’il établit, pas les règles applicables à la liste.
03 Le secret
Ce qui n’existe pas ne se communique pas
Une demande d’accès peut porter sur le vote d’une personne. Si le lien entre un électeur et son bulletin existe quelque part, il entre dans le périmètre, et il devient un risque de violation de données. La recommandation CNIL le rappelle à son §14 : un accès non autorisé au fichier des électeurs peut constituer une violation au sens du RGPD, même sans impact sur la sincérité ou le secret du vote.
La seule réponse solide est architecturale : le lien ne doit exister nulle part. Sur un scrutin à bulletin secret, le bulletin est chiffré sur l’appareil de l’électeur et ne porte aucune identité. On ne peut donc pas le retrouver, ni pour vous, ni pour nous, ni pour une autorité.
C’est aussi la limite à annoncer : nous ne pourrons pas retrouver votre bulletin pour vous. C’est précisément la garantie que vous êtes venu chercher, et les deux ne peuvent pas coexister.
04 Avant d’ouvrir
Ce qu’un délégué à la protection des données vous demandera
Si votre organisation en a un, il posera ces questions. Mieux vaut les avoir traitées avant de signer qu’après.
Un contrat de sous-traitance
Il décrit ce que le prestataire fait de vos données, sur quelles instructions, et ce qu’il s’interdit. Il se lit avant l’achat, pas après le scrutin.
Une information des électeurs
Elle dit ce qui est collecté, pourquoi, pour combien de temps, et comment exercer ses droits. L’afficher ne suffit pas toujours : vérifiez comment elle doit être portée à la connaissance de vos électeurs.
Des durées de conservation écrites
Trois fichiers, trois durées, et une justification pour chacune. C’est votre registre des traitements qui les porte.
Le lieu d’hébergement
Où les données sont stockées, et par qui elles peuvent être consultées. Sur Electora, elles sont hébergées en France.
Questions fréquentes
Vous. Vous décidez de la finalité du vote et de son corps électoral ; le prestataire agit sur vos instructions, en qualité de sous-traitant. Une plateforme qui vous présente l’inverse vous induit en erreur, et vous expose.
Non, et c’est vrai de toutes. Elle peut vous donner les moyens de l’être, documenter ce qu’elle fait et s’engager par contrat. Les décisions, l’information des électeurs et le registre des traitements restent les vôtres.
Le temps de la finalité, c’est-à-dire le scrutin, puis les délais de contestation applicables à votre type d’élection. Ces délais varient : c’est votre conseil qui vous les donne. La durée doit figurer dans votre registre, et être justifiable.
Sur un scrutin à bulletin secret, la réponse est non, et ce n’est pas un refus : l’information n’existe nulle part. Le bulletin est chiffré sur son appareil et ne porte aucune identité. Le secret du vote et la traçabilité individuelle s’excluent.
Cela dépend de votre scrutin et de votre organisation, et c’est une appréciation qui vous revient. La détermination du niveau de risque prévue par la recommandation CNIL en est une entrée utile, mais elle ne s’y substitue pas : le texte précise lui-même que sa grille « n’a pas vocation à se substituer à une analyse approfondie ».
En France. Les comptes, les scrutins, les bulletins, le journal scellé et les pièces déposées sont hébergés dans la région Azure France Central. Seuls les fichiers statiques du site sont distribués depuis un réseau de diffusion.
