Vote à bulletin secret en ligne : ce que le système doit garantir

Quand le secret est-il obligatoire ?

Dans une association loi 1901, la réponse est dans les statuts. Beaucoup prévoient que les élections de personnes, bureau ou conseil d'administration, ont lieu à bulletin secret, et que tout membre peut demander le secret pour n'importe quelle résolution. Même sans texte, l'usage est de voter à bulletin secret dès qu'il s'agit d'élire ou de révoquer quelqu'un : un membre doit pouvoir voter contre un candidat qu'il croisera la semaine suivante. Dans un syndicat, les statuts fixent de la même manière ce qui relève du scrutin secret.

En copropriété, la situation est inverse. Le procès-verbal doit indiquer le nom des copropriétaires qui se sont opposés ou abstenus, avec leurs tantièmes, pour que chacun puisse exercer son droit de contestation. Un vote secret est donc incompatible avec une assemblée de copropriétaires, y compris en ligne. Ce guide concerne les associations, les syndicats, les conseils et les fédérations.

Les élections professionnelles en entreprise, comme celles du comité social et économique, relèvent d'une réglementation spécifique du code du travail qui n'est pas traitée ici.

Ce que « secret » veut dire en ligne

Dans une salle, le secret repose sur l'isoloir et l'urne : on sait qui a voté, grâce à la liste d'émargement, mais pas ce qu'il a voté, parce que les bulletins sont mélangés. Un système en ligne doit reproduire exactement cette séparation, avec trois garanties.

• Unicité. Chaque membre inscrit vote une fois et une seule. Un lien partagé ne le permet pas ; il faut un accès personnel par votant.
• Anonymat irréversible. Une fois le bulletin déposé, aucune personne ni aucun fichier ne permet de le relier au votant. Ni l'organisateur, ni l'administrateur du système, ni le prestataire.
• Vérifiabilité. Le nombre de bulletins dans l'urne est égal au nombre d'émargements, et le décompte peut être refait à partir des bulletins.

Séparer le droit de vote et le bulletin

Techniquement, cela fonctionne en deux temps. Le membre se connecte avec son accès personnel ; le système vérifie qu'il est inscrit et qu'il n'a pas encore voté, puis l'inscrit sur la liste d'émargement. Il lui remet ensuite un bulletin vierge qui ne porte aucun identifiant. Le choix du membre est enregistré dans l'urne sans son nom, sans son adresse électronique et sans horodatage précis qui permettrait un recoupement. La liste d'émargement et l'urne sont deux ensembles distincts qu'aucune clé ne relie.

Deux conséquences pratiques en découlent. D'abord, un membre qui a voté ne peut pas modifier son vote, puisque le système ne sait plus quel bulletin est le sien. Ensuite, l'organisateur peut voir en temps réel combien de membres ont voté, mais pas le résultat avant la clôture, et jamais les choix individuels. Si un outil vous montre « qui a voté quoi » dans un tableau, ce n'est pas un vote secret, quel que soit le nom qu'on lui donne. Le guide sur Google Forms et Doodle pour un vote associatif explique pourquoi les outils de sondage ne répondent pas à ce besoin.

Un cas limite mérite attention : les très petits scrutins. Si trois membres votent et que le résultat est de trois voix pour, le secret est levé par l'arithmétique, quel que soit le système. C'est inévitable, et cela vaut aussi en salle.

Questions à poser au prestataire

Avant de confier une élection à un outil, posez ces questions et exigez des réponses écrites.

• Comment l'identité du votant est-elle séparée de son bulletin, et cette séparation est-elle irréversible dès l'enregistrement ?
• Qui, chez vous, a accès aux données de vote, et un administrateur peut-il reconstituer un vote individuel ?
• Le résultat est-il visible avant la clôture, et par qui ?
• Comment prouvez-vous que le nombre de bulletins correspond au nombre d'émargements ?
• Que contient le relevé remis à l'issue du scrutin, et sous quel format ?
• Où les données sont-elles hébergées, combien de temps sont-elles conservées, et le traitement est-il conforme au RGPD ?
• Peut-on faire vérifier le système par un tiers ?

La CNIL a publié une recommandation sur la sécurité des systèmes de vote électronique, qui distingue plusieurs niveaux d'exigence selon les enjeux du scrutin. Le niveau à retenir dépend d'une analyse des risques propre à chaque vote : une élection associative ordinaire et une consultation syndicale à grande échelle n'appellent pas les mêmes garanties. Le prestataire doit pouvoir vous dire à quel niveau il se situe.

Pendant la séance

Le président de séance annonce que le vote est secret et rappelle comment voter. Il ouvre le scrutin, laisse le temps nécessaire, vérifie que le nombre de votants correspond à ce qu'il attend, puis clôt le vote. Seuls les totaux s'affichent : voix par candidat ou par option, bulletins blancs, abstentions. Aucun nom n'apparaît. En cas d'égalité ou de second tour, le système doit permettre d'ouvrir immédiatement un nouveau scrutin avec les candidats restants.

Un conseil : faites un vote test secret en début de séance, sur une question anodine, pour que chacun voie à quoi ressemble l'écran de vote et que le président vérifie que le résultat n'affiche aucun nom.

Le procès-verbal

Le procès-verbal indique le nombre d'inscrits, de votants, de bulletins blancs et de suffrages exprimés, puis le résultat par candidat ou par option. Il ne contient aucun vote individuel, et le relevé annexé n'en contient pas non plus. Ce relevé montre en revanche la liste d'émargement, l'heure d'ouverture et de clôture, et l'égalité entre émargements et bulletins. C'est ce qui permet à un membre de vérifier que le scrutin a été régulier sans jamais savoir comment les autres ont voté.