Accord d’entreprise relatif au vote électronique lors des élections des membres du Comité Social et Économique de Veolia Recherche et Innovation

ENTRE :

VEOLIA RECHERCHE ET INNOVATION, société en nom collectif, immatriculée au RCS de Paris sous le n°494 539 224, ayant son siège social 21 rue de la Boétie - 75008 Paris, représentée par M. , dûment mandaté à l’effet des présentes,

Ci-après dénommée « VERI », la « Société », la « Direction », l’« Entreprise » ou l’« Employeur »,

D’UNE PART

ET :

L’organisation syndicale représentative :

• CFDT, représentée par dûment habilité à l’effet des présentes,

Ci-après désignée l’« Organisation Syndicale »,

D’AUTRE PART,

Ci-après désignées ensemble les « Parties »,

PREAMBULE

Compte tenu de l’organisation du travail en vigueur au sein de VERI, les Parties conviennent que la mise en place d’un système de vote électronique offre les meilleures conditions pour favoriser la participation des salariés aux élections des membres du Comité Social et Économique (ci-après désigné, le « CSE »).

Ce procédé présente de nombreux avantages pour les salariés qui peuvent voter plus facilement sans être tributaires des horaires du bureau de vote et des aléas de la Poste en cas de vote par correspondance.

Les objectifs du présent accord (ci-après désigné, l’« Accord ») sont de :

• Donner un cadre légal au vote électronique pour les élections des membres du CSE,

• Simplifier et sécuriser l'organisation de ces élections,

• Favoriser l'accès au scrutin, optimiser la participation des électeurs et ainsi renforcer la légitimité des acteurs du dialogue social,

• Sécuriser et accélérer les dépouillements et la proclamation des résultats,

• Participer à une démarche de développement durable,

• Etablir le cahier des charges portant sur le recours au vote électronique ;

• Mais aussi rappeler les principes fondamentaux qui doivent régir ces élections, à savoir notamment le secret du vote, l’unicité du vote, l’intégrité du vote, le caractère personnel, libre et anonyme du vote, la sincérité des opérations électorales, les possibilités de surveillance et de contrôle ainsi que la conservation des éléments de preuve.

Le contenu de l’Accord est strictement limité aux dispositions légales et réglementaires en vigueur, le choix du prestataire et les modalités précises de mise en œuvre du vote électronique feront l'objet de stipulations spécifiques au sein du protocole d'accord préélectoral.

Le présent Accord se substitue à tout autre accord ou avenant conclu antérieurement portant sur le même objet.

IL A ETE DECIDE CE QUI SUIT :

ARTICLE 1 : OBJET ET CHAMP D’APPLICATION DE L’ACCORD

L’Accord a pour objet d'autoriser le recours au vote électronique lors des élections des membres du CSE de VERI - de manière exclusive à tout autre moyen de vote.

Le système de vote électronique, défini dans le présent Accord, couvre le vote par internet.

L’Accord s’appliquera à l’ensemble des salariés de VERI ayant la qualité d’électeurs à la date du premier tour de chaque scrutin des élections des membres du CSE.

ARTICLE 2 : MODALITÉS DE MISE EN ŒUVRE DU SYSTÈME DE VOTE ELECTRONIQUE

Article 2.1 - Recours à un prestataire

La conception et la mise en place du système de vote électronique sont confiées à un prestataire choisi par VERI, dans le respect du cahier des charges en Annexe, constitué sur la base des prescriptions énoncées notamment par les articles R.2314-5 et suivants du Code du travail, par l’arrêté du 25 avril 2007 pris en application du décret n°2007-602 du 25 avril 2007 et par la délibération CNIL n9 2019-053 du 25 avril 2019.

Le cahier des charges en Annexe de l’Accord est tenu à la disposition des salariés sur le lieu de travail ainsi que sur l’Intranet de la Société.

Article 2.2 - Caractéristiques du système

La Direction s’engage à ce que la mise en œuvre et le fonctionnement du système adopté respectent la loi « Informatique et Libertés » et ses textes d’application.

La Direction s'engage à prendre toutes les mesures nécessaires pour vérifier que le système adopté assure :

• L’anonymat et le secret du vote : impossibilité d’établir un lien quelconque entre un vote émis et un électeur en particulier,

• La sincérité et l’intégrité du vote : stricte conformité entre le bulletin choisi par l’électeur et le bulletin enregistré dans l’urne électronique,

• L’unicité du vote : impossibilité de voter plusieurs fois pour un même scrutin,

• La confidentialité et la liberté du vote : exercice du droit de vote sans pression extérieure,

• La confidentialité des données transmises, notamment celles des fichiers constitués pour établir les listes électorales des collèges électoraux,

• La sécurité du vote au moyen notamment de chiffrements et cryptages ainsi que de codes d’accès confidentiels pour chacun des votants,

• La sécurité de l'adressage des moyens d'authentification,

• La sécurité de l'émargement,

• La sécurité de l'enregistrement et du dépouillement des votes,

• L’existence d’un dispositif de secours pour parer à tout dysfonctionnement.

De plus, il est convenu que le système de vote électronique doit répondre aux caractéristiques suivantes :

• Les fichiers comportant les éléments d'authentification des électeurs, les clés de chiffrement et de déchiffrement et le contenu de l'urne ne doivent être accessibles qu'aux personnes chargées de la gestion et de la maintenance du système,

• Le système de vote électronique doit pouvoir être scellé à l'ouverture et à la clôture du scrutin,

• Les données relatives aux électeurs inscrits sur les listes électorales ainsi que celles relatives à leur vote sont traitées par des systèmes informatiques distincts, dédiés et isolés, respectivement dénommés « fichier des électeurs » et « contenu de l'urne électronique ».

Le traitement « fichier des électeurs » est établi à partir des listes électorales. Il a pour finalité de délivrer à chaque électeur un moyen d'authentification, d'identifier les électeurs ayant pris part au vote et d'éditer les listes d'émargement.

L'émargement indique la date et l'heure du vote. Les listes sont enregistrées sur un support distinct de celui de l'urne électronique, scellé, non réinscriptible, rendant son contenu inaltérable et probant.

Les données du vote font l'objet d'un chiffrement dès l'émission du vote sur le poste de l'électeur.

Le fichier dénommé « contenu de l'urne électronique » recense les votes exprimés par voie électronique. Les données de ce fichier font l'objet d'un chiffrement et ne doivent pas comporter de lien permettant l'identification des électeurs afin de garantir la confidentialité du vote.

Article 2.3 - Expertise indépendante du système de vote électronique

Le système de vote électronique, préalablement à sa mise en place ou à toute modification substantielle de sa conception, est soumis à une expertise indépendante, destinée à vérifier le respect des prescriptions énoncées ci-dessus.

A cette fin, la Société a obtenu le rapport de synthèse de l’expert indépendant qui a effectué l’expertise du système de vote électronique retenu.

Ce rapport de l'expert est tenu à la disposition de la Commission Nationale de l'Informatique et des Libertés (ci-après désignée, la « CNIL »).

Article 2.4 - Gestion et maintenance du système de vote électronique

Les personnes chargées de la gestion et de la maintenance du système informatique sont tenues de respecter l’ensemble des prescriptions énoncées ci-dessus, fixées aux articles R. 2314-5 et suivants du Code du travail.

Article 2.5 - Cellule d’assistance technique, dispositif de secours et formation

La Direction met en place une cellule d'assistance technique constituée d’un représentant du prestataire et d’un représentant de la Société. Cette cellule veille au bon fonctionnement et à la surveillance du système de vote électronique.

En présence des représentants des listes de candidats, la cellule d’assistance technique :

• Procède, avant que le vote ne soit ouvert, à un test du système de vote électronique et vérifie que l'urne électronique est vide, scellée, et chiffrée par des clés délivrées à cet effet,

• Procède, avant que le vote ne soit ouvert, à un test spécifique du système de dépouillement, à l'issue duquel le système est scellé,

• Contrôle, à l'issue des opérations de vote et avant les opérations de dépouillement, le scellement de ce système.

En outre, un dispositif de sécurité est susceptible de prendre le relais en cas de panne du système principal. Il offre les mêmes garanties et dispose des mêmes caractéristiques que le dispositif principal.

En cas de dysfonctionnement informatique résultant d’une attaque du système par un tiers, d’une infection virale, d’une défaillance technique, ou d’une altération des données, le bureau de vote aura compétence, après avis des représentants du prestataire chargé de la mise en œuvre du vote, pour prendre toute mesure d’information et de sauvegarde et notamment pour décider la suspension des opérations de vote.

Les Organisations Syndicales représentatives sont tenues informées par la Direction de la conformité de la solution aux préconisations de la CNIL.

Les délégués syndicaux, membres élus en exercice ainsi que les membres du bureau de vote seront invités à participer à une formation sur le système de vote électronique retenu assurée par le prestataire préalablement à l’ouverture du vote.

La formation est assurée pour les membres du bureau de vote, par une explication de leur rôle donnée par le prestataire, au plus tard à l'ouverture du bureau le jour du dépouillement.

Article 2.6 - Modalités de vote

Le vote électronique se déroulera, pour chaque tour de scrutin, pendant une période délimitée, laquelle sera précisée par le protocole d’accord préélectoral.

Chaque salarié disposera d'une notice d'information détaillée sur le déroulement des opérations électorales et sur le fonctionnement général du système de vote électronique. Cette note sera adressée suffisamment en amont de l’ouverture du premier tour du scrutin.

Pour se connecter au système de vote, l'électeur doit se faire connaître par le moyen d'authentification qui lui aura été transmis, selon des modalités garantissant sa confidentialité.

Ce moyen d'authentification permettra au serveur de vérifier l’identité de l’électeur et garantira l'unicité de son vote. Il est alors impossible à quiconque de voter de nouveau avec les mêmes moyens d'authentification.

En cas de perte ou de vol de ce moyen d’authentification, une procédure permettra à l’électeur d’effectuer son vote et de rendre le moyen d’authentification perdu ou volé inutilisable.

Tout électeur atteint d'une infirmité le mettant dans l'impossibilité de voter peut se faire assister par un collègue de son choix.

L’électeur accède aux listes de candidats, aux candidats ou au vote blanc de façon à ce que ce choix apparaisse clairement à l’écran, indépendamment de toute autre information. Son choix peut être modifié avant validation. L’électeur exprime son vote.

Le vote est anonyme et chiffré par le système, avant transmission au fichier « contenu de l'urne électronique ». La validation le rend définitif et empêche toute modification. La transmission du vote et l’émargement font l’objet d’un accusé de réception que l’électeur a la possibilité de conserver.

Pendant le déroulement du vote, aucun résultat partiel n'est accessible. Toutefois, le nombre de votants peut être révélé au cours du scrutin, à la demande de VERI, selon des modalités à préciser dans le protocole d'accord préélectoral.

Pendant le scrutin, la liste d'émargement n’est accessible que par les membres du bureau de vote, lorsque celui-ci est ouvert et à des fins de contrôle de déroulement du scrutin. Elle est ensuite conservée par la Direction.

Article 2.7 - Dépouillement

Dès la clôture du scrutin, le contenu de l'urne électronique, les listes d'émargement et les états courants gérés par les serveurs sont figés, horodatés et scellés automatiquement sur l'ensemble des serveurs.

Le décompte des voix apparaît lisiblement à l'écran et fait l'objet d'une édition sécurisée, c’est-à-dire d’un mécanisme garantissant que l’affichage et l’impression des résultats correspondent au décompte de l’urne, afin d'être porté au procès-verbal.

Le système de vote électronique est scellé après le dépouillement afin de garantir l'impossibilité de reprendre ou de modifier les résultats après la décision de clôture du dépouillement. La procédure de décompte des votes enregistrés doit pouvoir être déroulée de nouveau.

Article 2.8 - Protocole d'accord préélectoral

Le protocole d'accord préélectoral prévu à l’article L. 2314-5 du Code du travail mentionnera la conclusion du présent Accord et le nom du prestataire choisi pour mettre en place le système de vote électronique.

Le protocole d'accord préélectoral comportera en annexe la description détaillée du fonctionnement du système retenu et du déroulement des opérations électorales.

Article 2.9 - Vote à bulletin secret sous enveloppe

La mise en place du vote électronique supprime le vote à bulletin secret sous enveloppe.

Les Parties conviennent expressément que le recours au procédé de vote électronique pour les élections des membres du CSE est exclusif de tout autre moyen de vote.

Article 2.10 - Existence et contenu des fichiers

Les données devant être enregistrées sont les suivantes :

• Pour les listes électorales : noms et prénoms des inscrits, date d’entrée dans l’entreprise, âge, collège,

• Pour le fichier des électeurs : noms, prénoms, collège, moyen d’authentification et, le cas échéant, coordonnées,

• Pour les listes d’émargement : collège, noms et prénoms des électeurs,

• Pour les listes des candidats : collège, noms, prénoms des candidats, titulaires ou suppléants, appartenance syndicale le cas échéant,

• Pour les listes des résultats : noms et prénoms des candidats, élus, non élus, voix obtenues, appartenance syndicale le cas échéant, collège.

Les destinataires ou catégories de destinataires de ces informations sont les suivants :

• Pour les listes électorales : électeurs, syndicats représentatifs, membres habilités de la Direction des Ressources Humaines,

• Pour le fichier des électeurs : électeurs pour les informations les concernant,

• Pour les listes d’émargement : membres des bureaux de vote, membres habilités de la Direction des Ressources Humaines,

• Pour les listes des candidats : électeurs, syndicats, membres habilités de la Direction des Ressources Humaines,

• Pour les listes des résultats : électeurs, services du ministère chargé de l’emploi, syndicats, membres habilités de la Direction des Ressources Humaines.

En cas de contestation des élections, ces pièces sont tenues à la disposition du juge.

Article 2.11 - Conservations des données

Le prestataire conserve sous scellés jusqu'à l'expiration du délai de recours et, lorsqu'une action contentieuse a été engagée, jusqu'à la décision juridictionnelle devenue définitive, les fichiers supports comprenant la copie des programmes sources et des programmes exécutables, copie du système sous-jacent, les matériels de vote, les fichiers d'émargement, de résultats et de sauvegarde. La procédure de décompte des votes doit, si nécessaire, pouvoir être exécutée de nouveau.

Cette conservation doit notamment être assurée dans des conditions garantissant le secret du vote.

A l'expiration du délai de recours ou, lorsqu'une action contentieuse a été engagée, après l'intervention d'une décision juridictionnelle devenue définitive, le prestataire procède à la destruction de l’ensemble des éléments conservés.

ARTICLE 3 : STIPULATIONS FINALES DE L’ACCORD

Article 3.1 - Durée et entrée en vigueur de l’Accord

L’Accord est conclu pour une durée indéterminée. Il entrera en vigueur à compter des formalités de dépôt.

Article 3.2 - Rendez-vous et révision de l’Accord

Les Parties signataires conviennent de faire un point sur l’application de l’Accord dans les 2 (deux) mois qui suivent sa conclusion.

Les Parties signataires ont la faculté de réviser à tout moment l’Accord dans les conditions légales et réglementaires fixées par le Code du Travail.

La Partie qui souhaite réviser l’Accord informera les autres Parties signataires de son souhait, par lettre recommandée avec accusé de réception, en précisant les stipulations de l’Accord dont elle souhaite la révision et ses propositions de remplacement.

Une réunion de négociation sera organisée à l’initiative de la Direction dans les 15 (quinze) jours calendaires qui suivront la première présentation de cette lettre, sauf circonstances légitimes qui permettraient de justifier d’un délai supérieur. Les stipulations, objet de la demande de révision, resteront en vigueur jusqu’à la conclusion d’un avenant éventuel de révision.

Les stipulations de l’éventuel avenant portant révision de tout ou partie de l’Accord se substitueront de plein droit aux stipulations de ce dernier.

L’éventuel avenant de révision sera déposé selon les mêmes modalités que le présent Accord.

Article 3.3 - Dénonciation de l’Accord

L’Accord pourra également être dénoncé par l’une ou l’autre des Parties signataires ou adhérentes dans les conditions prévues par les articles L. 2261-9 et suivants du Code du travail, en respectant un préavis de 3 mois.

Article 3.4 - Publicité et dépôt de l’Accord

Un exemplaire de l’Accord est établi pour chaque Partie.

L’Accord fera l’objet des formalités de dépôt et de publicités prévues aux articles D. 2231-2 et suivants du Code du travail.

L’Accord sera notifié par lettre remise en main propre contre décharge à l’Organisation Syndicale représentative au sein de VERI.

Conformément à l’article D.2231-4 du Code du travail, l’Accord sera déposé sur la plateforme www.teleaccords.travail-emploi.gouv.fr en deux versions, à savoir une version signée par les Parties et une version publiable, c’est-à-dire ne comportant pas les noms et prénoms des négociateurs et signataires en application de l’article L. 2231-5-1 du Code du travail.

Un exemplaire original sera adressé au secrétariat-greffe du Conseil de prud’hommes compétent.

Par ailleurs et dans les conditions prévues aux articles R. 2262-1 et R. 2262-2 du Code du travail, les salariés seront destinataires du présent Accord.

Fait à Aubervilliers, le 16 novembre 2022,

.

Pour Veolia Recherche et Innovation SNC :
Pour l’Organisation Syndicale représentative : CFDT, M.

ANNEXE 1 – Cahier des charges de la solution de vote VOXALY

1. Les exigences de sécurité pour le vote

La sécurité du scrutin est un enjeu majeur pour la réussite des élections. Nous présentons ci-dessous notre approche des différentes problématiques et les solutions appliquées.

1. Anonymat

   1. L’anonymat lors des échanges Internet avec l’électeur

Sur la base de la liste électorale consolidée, le prestataire devra attribuer à chaque électeur un code d’accès et un mot de passe uniques.

Le prestataire génère un code d’accès pour chaque électeur, qui sert d’identifiant unique lors de l’authentification sur les services de vote. Ces codes d’accès sont générés de façon non prédictible.

Le mot de passe est généré par l’électeur.

Au niveau de l’authentification sur les services de vote, un mécanisme est mis en place pour éviter de deviner les mots de passe, en bloquant toute tentative de recherches multiples.

Sur le site Internet, le nom et toutes autres informations nominatives, ne sont jamais affichés.

L’anonymat des votes et la confidentialité : séparation des informations nominatives du bulletin

L’urne recueillant les suffrages et la liste d’émargement sont deux espaces totalement distincts. Il s’agit de deux espaces de stockage sans aucun lien ni relation entre les deux.

Lorsque l’électeur confirme son vote, l’ensemble du traitement est réalisé selon un mécanisme assurant une intégrité parfaite entre la tenue de la liste d’émargement et l’insertion dans l’urne.

De plus, ce traitement garantit l’intégrité du scrutin lors des accès simultanés. Il impose un ordonnancement séquentiel, empêchant, par un exemple, un électeur de voter deux fois simultanément.

La préservation de l’anonymat

Comme indiqué ci-dessus, chaque bulletin inséré dans l’urne ne comprend aucune référence (référence nominative ou référence technique) avec l’électeur. Par absence de référence, nous entendons aucun nom, aucune adresse, mais aussi aucun identifiant, ni même aucune empreinte d’un éventuel identifiant qui permettrait, par des traitements croisés ou de jointure, de pouvoir retrouver ultérieurement l’électeur. Le bulletin est totalement anonyme, même après la clôture. De plus, lorsque les bulletins sont extraits de l’urne, ils sont mélangés afin d’éviter toute tentative de rapprochement chronologique avec les émargements.

L’anonymat est toujours préservé, même après le dépouillement et l’usage des clés de déchiffrement.

Confidentialité et chiffrement

Pour garantir la confidentialité, VOXALY chiffre le bulletin tout au long de son parcours, du poste de travail jusqu’à l’urne, sans aucun interruption. Le bulletin n'est ainsi jamais « déchiffré » sur le serveur applicatif.

Deux niveaux de chiffrement sont mis en place :

• le chiffrement sur le poste de travail, via une implémentation locale en Javascript, est assurée afin de protéger le contenu du suffrage, durant son transport puis durant son stockage dans l’urne jusqu’au dépouillement,

• la totalité des échanges entre le navigateur de l’électeur et le serveur de vote se font selon le protocole HTTPS/TLS ou SSL.

De plus, afin de renforcer la confidentialité, toutes les étapes intermédiaires de construction du bulletin sont réalisées en local sur le poste de l’électeur, sans aucun échange avec le serveur.

Ainsi, le chiffrement du bulletin commence dès que l’utilisateur clique sur le bouton JE VOTE, donc dès son émission. Ces mécanismes garantissent qu’il est impossible de connaître le résultat du scrutin, sans intervention des possesseurs des clés de déchiffrement.

Cette architecture permet de répondre ainsi parfaitement aux exigences de la CNIL sur le chiffrement de bout en bout sans interruption décrite dans sa dernière recommandation n° 2010-371 du 21 octobre 2010.

Intégrité

Par intégrité, il faut entendre : « S’assurer que la saisie faite par le votant sera fidèlement retranscrite lors du dépouillement final».

L’application assure l’intégrité des votes :

• après avoir exprimé son choix, l’électeur ne peut pas voter à nouveau pour la même élection,

• un électeur ne pas peut voter aux élections auxquelles il n’est pas inscrit,

• une tierce personne, non inscrite, ne peut pas voter.

La solution mise en œuvre est conçue pour garantir :

• aucune altération lors de la saisie du vote Internet, via l’utilisation de HTTPS,

• aucune altération entre la saisie et le dépouillement final, via le chiffrement des bulletins.

  4. Disponibilité

Les services de vote par Internet est accessible 24 heures sur 24 et 7 jours sur 7.

Afin de garantir la meilleure disponibilité, l’ensemble des équipements matériels est redondé.

Le délai de rétablissement du service après une panne est garanti contractuellement par l’hébergeur de la plate-forme VOXALY.

En fonction des limites définies (nombre de connexions simultanées), le système est capable de surveiller son propre trafic entrant et de le limiter, afin de garantir des temps de réponse optimums et éviter des engorgements.

La disponibilité est mesurée et testée régulièrement pendant toute la période de vote sans perturber et ni altérer la sincérité des suffrages.

Enfin, afin de permettre aux instances de contrôle de surveiller elles-mêmes le bon fonctionnement de bout en bout les traitements applicatifs et cela tout en respectant la plus stricte régularité et sincérité du scrutin, VOXALY met à disposition des comptes ECOLE (identifiants et mots de passe attribués à des fins de test).

Authentification

Sur la base de la liste électorale consolidée, nous attribuons à chaque électeur un identifiant unique, un code d’accès unique et un mot de passe.

Dans le cas où le code d’accès ne peut être fourni par l’entreprise le code d’accès est généré de telle façon qu’il soit impossible de deviner l’identifiant d’une personne, à partir d’un autre identifiant connu.

Le mot de passe est généré de façon aléatoire.

Au niveau de l’authentification sur les services de vote, un mécanisme est mis en place pour éviter de deviner les mots de passe, en bloquant toute tentative de recherches multiples.

2. Le scellement du système et des données

Le scellement a pour but de s’assurer de la stabilité dans le temps des différents éléments et dans le cas contraire, de détecter immanquablement toute modification, quelle qu’en soit la forme ou la justification et avertir les personnes concernées.

Ces différents éléments sont surveillés en comparant leurs empreintes courantes par rapport à un jeu d’empreintes de référence, stocké sur un support stable et non modifiable.

Chaque traitement de surveillance donne lieu à une trace. En cas de différence, une alerte est remontée auprès de la supervision.

Le journal des traitements est associé à l'archive finale réalisée lors de la fermeture du vote.

3. L’expertise

Depuis le décret du 25 avril 2007 et les dernières recommandations CNIL n° 2019-053 du 25 avril 2019, la plate-forme de vote VOXALY-DOCAPOSTE est régulièrement expertisée par des sociétés spécialisées et indépendantes, à la demande de nouveaux clients.

Ces expertises ont toutes mis en évidence l’adéquation des solutions VOXALY-DOCAPOSTE avec les exigences requises en matière de vote électronique, sécurité, confidentialité, anonymat et intégrité des scrutins.

4. Déclaration CNIL

Les principes fondateurs, les fonctionnalités, l’architecture fonctionnelle, applicative et technique du système de vote ont déjà été présentées à la CNIL à la division des affaires économiques.

VOXALY a des échanges réguliers avec la CNIL afin que ses applications et leurs évolutions soient toujours en conformité avec les recommandations.