PROTOCOLE D’ACCORD PREELECTORAL POUR LES ELECTIONS DES REPRESENTANTS DU PERSONNEL AU CONSEIL D’ADMINISTRATION DE LA CAF DE LA LOIRE

ENTRE :

La Caisse d'Allocations Familiales de la Loire, représentée par , Directrice, d’une part ;

ET

Les organisations syndicales représentatives du personnel mentionnées ci-après d’autre part :

CFDT, représentée par , déléguée syndicale,

CGT, représentée par , délégué syndical,

Il a été convenu ce qui suit :

Préambule

Les articles L. 212-2, L. 213-2, L. 215-2, L. 222-5, L. 223-3, L. 225-3, L. 752-6, L. 725-9 du code de la Sécurité sociale prévoient la présence, à titre consultatif, au sein des conseils d’administration des organismes locaux du régime général ainsi que de la CNAF, de la CNAV et de l’ACOSS, de trois représentants du personnel qui sont élus dans des conditions fixées aux articles D. 231-5 à D. 231-23 du même code.

En conséquence, dans la perspective du renouvellement du conseil d’administration de la Caf de la Loire, des élections devront intervenir pour procéder à la désignation des représentants du personnel dans le prochain conseil d’administration qui sera mis en janvier 2022.

Le protocole préélectoral mentionné à l’article D. 231-17 du code la Sécurité sociale détermine les modalités d’organisation et de déroulement des opérations électorales. Il doit respecter les principes généraux du droit électoral.

Conformément au décret n° 2017-1535 du 3 novembre 2017, l‘employeur peut décider d’utiliser un dispositif de vote électronique. Pour les élections 2021-2022 des représentants du personnel au Conseil d’administration de la Caf, l'employeur a retenu le système de vote électronique (accord local du 28 octobre 2021) dont la mise en œuvre est assurée par la société Paragon Elections.

Le système de vote électronique proposé est conforme aux prescriptions du code du travail relatives aux conditions et aux modalités de vote par voie électronique pour l’élection de la délégation unique du personnel.

Les informations relatives au processus électoral ont été et seront tout au cours de ce dernier réalisées dans le respect des dispositions légales.

Il a été convenu ce qui suit, en vue du renouvellement des mandats des représentants du personnel au Conseil d’administration.

ARTICLE 1 : Organisation des élections

La date des élections des représentants du personnel au Conseil d’administration est fixée au 17 janvier 2022.

La date du scrutin visée ci-dessus s’entend de la date :

• de clôture des votes par internet,

• du dépouillement électronique,

• de la proclamation des résultats.

Le vote sera possible pour l’ensemble des collèges du 12 janvier à 10 heures au 17 janvier à 14 heures.

Les modalités pratiques du déroulement des élections feront l’objet d’une note d’information qui sera affichée le 13 décembre 2021.

ARTICLE 2 : Nombre de sièges à pourvoir

L’effectif contractuel de référence au jour de l’élection est de 444 salariés au regard des éléments connus à ce jour.

Conformément à l’article D.231-5 du Code de la Sécurité sociale, les représentants du personnel au Conseil d’administration sont élus par les cadres et les employés de l’organisme à raison de :

• Employés et assimilés : 2 représentants

• Cadres et assimilés : 1 représentant

Les employés et assimilés élisent deux représentants. Les cadres et assimilés élisent un représentant.

ARTICLE 3 : Nombre de collèges et répartition des sièges entre chaque collège

Le personnel est réparti en deux collègues :

• Employés et assimilés 

• Cadres et assimilés 

Le collège cadres est composé des agents cotisants à la retraite des cadres.

Le collège employé est composé de tous les agents non prévus dans l’autre collège.

Les collèges électoraux sont composés de la façon suivante au regard des éléments connus à ce jour et des exclusions précisées dans l’article 5.3, soit 438 salariés :

• Employés et assimilés : 374 salariés

• Cadres et assimilés : 64 salariés

La proportion de femmes et d'hommes de chaque collège est la suivante :

• Employés et assimilés : 320 femmes et 54 hommes, soit 85,56 % femmes et 14,44 % hommes,

• Cadres et assimilés : 53 femmes et 11 hommes, soit 82,81 % femmes et 17,19 % hommes.

La Direction portera, par tout moyen permettant de donner une date certaine à cette information, cette proportion à la connaissance des salariés.

ARTICLE 4 : Durée des mandats

Conformément à l’article D.231-1 du Code de la Sécurité sociale, la durée des mandats des membres des conseils ou des conseils d’administration des organismes du régime général de Sécurité sociale est de quatre ans.

Les représentants du personnel sont élus pour la durée du mandat des conseils d’administration, conformément à l’article D. 231-21 du code de la Sécurité sociale.

ARTICLE 5 : Electorat et éligibilité

Article 5.1 – Salariés électeurs

Sont électeurs, dans chaque collège, les salariés des deux sexes remplissant les conditions suivantes à la date du scrutin :

• avoir un contrat en cours au jour du scrutin,

• être âgé de 16 ans accomplis,

• justifier d'au moins 3 mois de présence dans un organisme de Sécurité sociale,

• n'ayant fait l'objet d'aucune interdiction, déchéance ou incapacité relative à leurs droits civiques.

Peuvent également être électeurs, les salariés mis à disposition qui remplissent les conditions pour être pris en compte dans les effectifs et dont la présence dans l'entreprise utilisatrice est de douze mois continus à la date des élections. Ces salariés doivent choisir s'ils exercent leur droit de vote dans l'entreprise utilisatrice ou dans celle qui les emploie. Le service ressources humaines est chargé de recueillir l'option choisie par ces salariés auprès des entreprises prestataires.

Article 5.2 – Salariés éligibles

Sont éligibles les salariés de l'Organisme ayant la qualité d'électeurs et qui à la date du scrutin :

• ont un contrat de travail en cours au jour du scrutin ;

• ont l'âge minimum légal pour être éligibles, soit 18 ans ;

• justifient d'au moins 6 mois de présence dans un organisme de Sécurité sociale ;

• n'ont pas été condamnés pour indignité nationale et n'ont pas été déchus de leurs fonctions syndicales ;

• ne sont pas agent de direction.

Un salarié n'est éligible que dans le collège auquel il appartient.

Les salariés mis à disposition ne sont pas éligibles dans l’entreprise utilisatrice.

Article 5.3 – Les exclusions

La Directrice, la Directrice-adjointe, le Sous-directeur des ressources, la Sous-directrice des prestations, la Sous directrice projets stratégiques et innovation et le Directeur comptable et financier sont exclues des listes électorales du fait de leur rôle et délégation.

ARTICLE 6 : Formalisme de liste

Conformément à l'article D.231-9 du Code de la sécurité sociale, la liste du personnel électeur et éligible est établie par l'employeur pour chaque collège et affichée le 13 décembre 2021 sur les panneaux direction et dans l’espace réservé aux élections sur l’intranet.

Cette liste comportera les indications suivantes : nom, prénom, date de naissance, ancienneté, collège et éligibilité.

Toute contestation relative à l'électorat devra être adressée au service des ressources humaines au plus tard le 16 décembre 2021, soit dans les 3 jours ouvrés suivant la publication de la liste du personnel électeur et éligible.

ARTICLE 7 : Calendrier des élections

Article 7.1 – Information des salariés

La Direction adressera, le 10 décembre 2021 par courriel à l’ensemble des électeurs, un appel à candidatures qui précisera la date et l’heure limite de dépôt des candidatures ainsi que le nombre de sièges à pourvoir par collège.

La Direction affichera les listes de candidats sur les panneaux qui lui sont réservés et sur l’espace Elections de l’intranet le 20 décembre 2021. La Direction indiquera dans le même temps la période de vote par internet (dates et heures de début et de fin de vote) ainsi que les jours et horaires d’accès aux postes en libre-service.

Les résultats du scrutin seront affichés sur les panneaux direction et communiqués sur l’intranet le 17 janvier 2022.

Un ou plusieurs mails de relance pourront être émis par la direction afin d’appeler au vote.

Article 7.2 - Listes de candidats

Il est rappelé que les seules organisations syndicales qui satisfont aux critères de respect des valeurs républicaines et d'indépendance, légalement constituées depuis au moins deux ans et dont le champ professionnel et géographique couvre l'entreprise, sont en droit de présenter des listes de candidats.

Les listes électorales sont déposées par les organisations syndicales ou le délégué syndical ayant reçu mandat de son syndicat.

Conformément à l’article D.231-11 du Code de la sécurité sociale, chaque liste comprend, au maximum, un nombre de candidats égal au triple du nombre de postes de représentant du personnel à pourvoir dans le collège concerné.

Les fonctions de suppléant des représentants du personnel sont exercées par les candidats venant sur la liste immédiatement après le dernier candidat élu de cette liste.

Pour des raisons d'ordre matériel tenant à l'organisation du vote, les listes devront parvenir à la Balf Direction (direction.cafloire@caf.cnafmail.fr) le 20 décembre à 14 heures au plus tard. Un accusé de réception sera dès lors envoyé.

Conformément à l'article D.231-12 du Code de la Sécurité sociale, la déclaration de candidature est faite collectivement pour chaque liste par le candidat de tête de liste ou par un mandataire muni d'une procuration écrite et signée de chaque candidat figurant sur la liste.

Cette déclaration doit préciser :

• Le collège électoral

• Le titre de la liste

• L’ordre de présentation des candidats figurant sur la liste.

A cette déclaration collective sont jointes les déclarations individuelles de chacun des candidats de la liste. Chaque déclaration individuelle est signée par le candidat.

L'article L.2314-30 du Code du travail prévoit les règles de parité. Pour chaque collège électoral, les listes mentionnées à l'article L.2314-29 qui comportent plusieurs candidats sont composées d'un nombre de femmes et d'hommes correspondant à la part de femmes et d'hommes inscrits sur la liste électorale. Les listes sont composées alternativement d'un candidat de chaque sexe jusqu'à épuisement des candidats d'un des sexes.

Lorsque l'application du premier alinéa du présent article n'aboutit pas à un nombre entier de candidats à désigner pour chacun des deux sexes, il est procédé à l'arrondi arithmétique suivant :

• 1° Arrondi à l'entier supérieur en cas de décimale supérieure ou égale à 5 ;

• 2° Arrondi à l'entier inférieur en cas de décimale strictement inférieure à 5.

En cas de nombre impair de sièges à pourvoir et de stricte égalité entre les femmes et les hommes inscrits sur les listes électorales, la liste comprend indifféremment un homme ou une femme supplémentaire.

Lorsque l'application de ces règles conduit à exclure totalement la représentation de l'un ou l'autre sexe, les listes de candidats pourront comporter un candidat du sexe qui, à défaut ne serait pas représenté. Ce candidat ne peut être en première position sur la liste.

La parité homme/femmes se mesure à la date du scrutin, sur la population « liste électorale ».

Article 7.3 – Professions de foi

Les organisations syndicales pourront remettre à la Direction leurs supports de propagande électorale pour qu'ils soient mis en ligne sur le site de vote par Internet. La date limite de transmission de ces supports est fixée au 20 décembre à 14 heures.

Il est précisé que les supports de propagande électorale acceptés seront constitués d'un fichier PDF comportant 2 pages au maximum de taille inférieure à 2 Mo.

Article 8 : Modalités pratiques du vote électronique

Aucun vote à bulletin secret sous enveloppe ne sera organisé.

La solution technique choisie pour ce vote est celle de la société PARAGON TRANSACTION SA dont le siège social est 39 rue des Rivière Saint-Agnant, 58200 COSNE-SUR-LOIRE.

Les parties reconnaissent que les modalités du vote électronique permettent d’assurer la confidentialité des données transmises, notamment de celles des fichiers constitués pour établir les listes électorales des collèges électoraux, ainsi que la sécurité de l’adressage des moyens d’authentification, de l’émargement, de l’enregistrement et du dépouillement des votes, conformément aux principes généraux du droit électoral.

Pour plus d’informations sur le fonctionnement et la description du vote électronique, il est également joint au présent protocole la description détaillée du fonctionnement du système de vote électronique.

Le cahier des charges sera tenu à la disposition des salariés au sein de la Caf de la Loire.

Chaque salarié sera également informé au moyen d’une notice d’information détaillée sur le déroulement des opérations électorales.

Article 8.1 – Langue, ordre des instances et affichage des listes

Les indications et informations présentées sur le site de vote sont disponibles en français.

Le prestataire assure la réalisation des pages Web et, notamment, la présentation à l’écran des bulletins de vote après avoir procédé à l’intégration dans le dispositif du vote électronique, des listes de candidats et des logos conformes à ceux présentés et transmis par leurs auteurs.

Les listes sont présentées à l’écran suivant l’ordre défini par tirage au sort.

Conformément au tirage au sort effectué le 10 décembre 2021 : pour les signataires de ce protocole l’affichage sera le suivant CFDT puis CGT.

Par ailleurs, afin de garantir l’égalité de traitement entre les listes de candidats le prestataire veillera à ce que la dimension des bulletins et la typographie utilisée soient identiques pour toutes les listes.

Article 8.2 – Code de vote confidentiels

Afin de pouvoir se connecter sur place ou à distance au système de vote, chaque électeur recevra à son domicile un moyen d’authentification confidentiel.

Les code d’accès, qui se composent d’un code d’accès et d’un mot passe, sont générés aléatoirement par le prestataire sans qu’ils soient communiqués à l’entreprise.

L’envoi de ce matériel de vote sera réalisé le 5 janvier 2022 à l’adresse personnelle du salarié par affranchissement prioritaire.

L’envoi du code d’accès (login) et du mot de passe sera fait par 2 envois courriers séparés.

Le code secret (ou appelé code défi) nécessaire à la connexion sera non imprimé et correspondra au matricule du salarié.

En cas de perte ou de non-réception de des codes de vote, l’électeur pourra se déclarer en ligne.

L’électeur aura la possibilité de récupérer ses codes personnels en saisissant :

• son nom

• son prénom,

• son département de naissance,

• son matricule.

Le prestataire lui adressera ses codes à son adresse mail professionnelle qui sera communiquée par l’électeur.

Article 8.3 – Déroulement du vote

La connexion au site de vote a lieu par le navigateur internet à l’aide de l’adresse suivante : https://caf42.paragon-election.com

Après avoir saisi cette URL dans la barre d’adresse dans le navigateur internet ou en accès direct via l’intranet Cafcom ou le mail envoyé par la direction, l’électeur devra saisir le code d’accès et son mot de passe imprimés sur le courrier transmis à l’occasion de l’envoi du matériel de vote ainsi que le code secret nom imprimé sur son courrier.

Afin de faciliter l’opération de vote, un lien direct vers le site de vote sera ajouté dans l’intranet durant la période de vote.

Une fois connecté, l’électeur se verra présenter les seuls bulletins de vote correspondant à son collège.

Il pourra alors procéder à son choix :

• choisir une liste complète,

• raturer des candidats,

• voter blanc.

Le choix de l’électeur lui sera par la suite rappelé et modifiable.

À tout moment, l’électeur peut interrompre le processus de vote et le reprendre.

La confirmation du vote par l’électeur vaut signature de la liste d’émargement dès réception dans l’urne électronique.

Un accusé de réception confirme au salarié l’enregistrement définitif de son vote.

Toute personne non reconnue n’aura pas accès aux pages du serveur de vote.

Article 8.4 – Consultation de la participation

Le Prestataire est autorisé à consulter les taux de participation pendant l'ouverture du vote électronique.

Il les consulte sur demande de la Direction de la CAF, puis les lui communique afin qu'elle se charge de diffuser, le cas échéant, cette information à toutes les listes en présence.

Article 8.4 – Scellement du système d’information

Afin de répondre à ses obligations techniques et légales, le prestataire formera avant l’ouverture du vote un correspondant des ressources humaines, les représentants du personnel et les membres du bureau de vote avant l’ouverture du site internet.

Le scellement des urnes électroniques a pour effet de :

• figer les données de l’élection (fichier électeurs, fichiers candidats, profession de foi, paramétrage global de l’élection),

• remettre les compteurs des urnes à zéro et ainsi s’assurer que les urnes sont vides,

• créer la clé globale de chiffrement de l’élection et donc des bulletins de vote.

Les organisations syndicales signataires du présent protocole sont invitées par la Direction à assister à ces opérations de contrôles et de scellement le 11 janvier à 14 heures.

L'information et la formation sont assurées :

• pour les Délégués Syndicaux, par la participation à cette intervention précédant l'ouverture du site de vote ;

• pour les membres du bureau de vote, par une explication de leur rôle tout au long du scrutin ainsi que le jour du dépouillement.

Article 8.5 – Assistance aux électeurs

La cellule assistance technique du prestataire sera chargée de veiller, tout au long du déroulement du processus de vote électronique, au bon fonctionnement, à la supervision technique de ce système de vote.

Durant la période d’ouverture du scrutin telle que définie dans le présent protocole d’accord, la cellule d’assistance pourra être contactée par les électeurs à l’adresse Email : supportelection@paragon-europe.com ou par téléphone (numéro communiqué lors de l’envoi des codes d’accès) 24/7

Les électeurs auront également la possibilité de s’adresser aux ressources humaines.

Tout électeur atteint d'une infirmité le mettant dans l'impossibilité de voter peut se faire assister par un électeur de son choix.

Article 8.7 – Dates et horaires des votes par internet

Les plages horaires de vote par internet pour l'élection des représentants du personnel au Conseil d'administration sont, pour l'ensemble des électeurs de l'entreprise, les suivantes :

• du 12 janvier 2022 à 10 heures au 17 janvier 2022 à 14 heures.

Toutes facilités seront accordées au personnel pour lui permettre de voter. Le temps passé par l'électeur pour voter n'entraînera aucune réduction de salaire, sous réserve du respect par l'électeur du temps strictement nécessaire pour effectuer les opérations de vote.

Un poste en libre-service dans une salle réservée à cet effet sera mis à disposition au siège social à Saint-Etienne, ainsi que sur le site de Roanne et au centre social de Beaulieu. Il permettra à tout électeur de voter sur internet durant la période d'ouverture des scrutins. Les postes en libre-service seront accessibles de 8 heures à 18 heures.

Article 9 : Bureau de vote et commission de surveillance

Article 9.1 – Constitution du bureau de vote

Un Bureau de vote est constitué pour l’ensemble des collèges.

Par accord entre la direction et les organisations syndicales lors de la négociation de ce protocole d’accord préélectoral, deux membres du bureau de vote seront désignés par chaque organisation syndicale ayant présenté des listes de candidats. Cette désignation devra être communiquée à la balf Direction au plus tard le 20 décembre 2021. Seront retenus comme membre du bureau les 2 personnes les plus âgées et les 2 les plus jeunes.

Le plus âgé sera le Président. Les autres membres du Bureau de vote disposent de la qualité d’assesseur.

Néanmoins, les signataires conviennent, par référence aux usages électoraux, que la Présidence du Bureau de vote ne peut être occupée par un candidat.

Un représentant de la Direction pourra assister aux opérations électorales.

Un représentant de chaque liste de candidats, membre du personnel, ainsi qu’un représentant de la Direction, peuvent assister aux opérations électorales. Ces personnes n’ont aucune voix délibérative mais peuvent aider aux opérations de dépouillement.

Les membres du Bureau de vote contrôleront le bon déroulement des opérations électorales et proclameront les résultats.

La participation au Bureau de vote se fera pendant les heures de travail et n’entraînera aucune réduction de salaire.

À ce titre, :

• ils seront invités à la réunion de contrôle des données, test et scellement du système de vote, au cours de laquelle les clés de déchiffrement seront générées,

• ils contrôleront le déroulement du vote, au moyen des informations mises à leur disposition via le système de vote,

• ils seront alertés par la Cellule d’assistance technique de tout incident et prendront tout décision utile,

• ils participeront à la séance de dépouillement, au cours de laquelle :

  • ils autoriseront le dépouillement des urnes à l’aide de leurs clés de déchiffrement,

  • ils proclameront les résultats, signeront les listes d’émargement et les procès-verbaux (formulaires), édités et imprimés sous leur contrôle.

Les membres du Bureau de vote pourront consulter sur le site de vote :

• les listes électorales,

• les listes de candidats et les documents éventuels attachés,

• la composition du bureau de vote,

• l’évolution du taux de participation pendant la période d’ouverture du scrutin,

• le journal des événements,

• le code de scellement du Système de vote.

Article 9.3 – Dépouillement

Procédure de dépouillement

Le dépouillement des urnes aura lieu en présence des membres du bureau de vote, des représentants de listes souhaitant être présents et du gestionnaire de l’élection.

Après saisie par les membres du bureau des clés de déchiffrement, 3 clés valide sur 4 seront suffisantes pour procéder au déscellement des urnes, le système de vote affichera les résultats du vote pour chaque scrutin.

Lorsque le nom d’un candidat a été raturé, les ratures ne seront pas prises en compte si leur nombre est inférieur à 10% des suffrages exprimés en faveur de la liste sur laquelle figure le candidat.

Dans ce cas, les candidats seront proclamés élus dans l’ordre de représentation.

Signature et conservation des procès-verbaux

Les procès-verbaux, imprimés sur les formulaires prévus à cet effet, seront signés par les membres du Bureau de vote.

Les résultats seront portés à la connaissance du personnel.

Une copie des procès-verbaux sera également transmise par la société aux organisations syndicales de salariés qui ont présenté des listes de candidats aux scrutins concernés ainsi qu’à celles ayant participé à la négociation du protocole d’accord préélectoral.

Signature et conservation des listes d’émargement

À l’issue du dépouillement, les listes d’émargement seront imprimées et signées par les membres du Bureau de vote.

Les listes d’émargement signées seront placées dans une enveloppe qui sera scellée et conservée par la CAF.

L’enveloppe sera détruite à l’issue de la période de recours.

Article 10 – Proclamation des résultats

Les résultats seront proclamés oralement par le Président du bureau de vote.

La Direction de la Caf de la Loire communiquera les résultats par affichage et par voie électronique le jour des élections.

Article 11 – Contestation

Les contestations relatives à l'électorat, l'éligibilité des candidats et à la régularité des opérations électorales sont portées dans un délai de cinq jours à compter de la proclamation des résultats devant le tribunal d'instance du siège de l'organisme, conformément à l'article D.231-21 du Code de la Sécurité sociale.

ARTICLE 12 : Formalités

Conformément à la loi n°78-17 du 6 janvier 1978 modifiée en 2004, une déclaration à la CNIL sera effectuée par la société au titre de la constitution des fichiers électoraux et de candidats.

Conformément aux obligations légales, les utilisateurs du système de vote pourront faire valoir leur droit d’accès aux informations enregistrées les concernant, en adressant une demande par courrier postal auprès du prestataire et en justifiant de leur identité.

Conformément aux obligations relatives au vote électronique dans le cadre des élections professionnelles, le prestataire conservera sous scellées, jusqu’à l’expiration du délai de recours et, lorsqu’une action contentieuse a été engagée, jusqu’à la décision juridictionnelle devenue définitive, les fichiers supports comprenant la copie des programmes sources et des programmes exécutables, les matériels de vote, les fichiers d’émargement, de résultats et de sauvegarde.

La procédure de décompte des votes pourra, si nécessaire, être exécutée de nouveau.

À l’expiration du délai de recours ou, lorsqu’une action contentieuse a été engagée, après l’intervention d’une décision juridictionnelle devenue définitive, le prestataire après en avoir informé le gestionnaire de l’élection, procédera à la destruction des fichiers supports.

ARTICLE 13 : Durée de l’accord

Le présent protocole est conclu pour les élections des représentants du personnel au conseil d'administration dont le scrutin est fixé au 17 janvier 2022.

L’accord sera mis à disposition des salariés de la Caf de la Loire sur le site intranet de l’organisme.

Fait à Saint-Etienne, le 10 décembre 2021, en autant d’exemplaires originaux que de parties signataires, dont un exemplaire remis à chacune des parties

Pour la CAF de la Loire

La Directrice

Pour les organisations syndicales

CFDT CGT

ANNEXE TECHNIQUE

Description de la solution de Vote Electronique par internet

Rédacteur :

Olivier Le Roux | Responsable avant-vente Document Solutions

AXE SEINE, Immeuble Parallèle, 1 rue du 1er Mai, 92752 NANTERRE CEDEX

Version 210311 V1

TABLE DES MATIERES

1. Caractéristiques de la solution

1.1. Responsive design : 100 % COMPATIBLE SMARTPHONE/TABLETTE

1.2. Site d’administration du vote

1.3. Pilotage du vote électronique par la commission électorale

2. Description fonctionnelle de la solution

2.1. Etape 1 : Transmission des codes confidentiels de vote

2.2. Etape 2 : Le scellement

2.3. ETAPE 3 : Le vote par Internet

2.4. ETAPE 3 : Le vote par Internet

2.5. ETAPE 4 : Descellement et Résultats

2.6. Affichage des résultats du vote

2.7. Conservation et archivage

2.8. Le Journal électronique de l’élection :

2.9. Architecture technique de la solution

2.10. sécurisation du système

2.11. Niveaux de service

2.12. Conformité CNIL

1. 
   Caractéristiques de la solution

Conformément à vos exigences, PARAGON Elections fournira un site de vote pour les électeurs répondant aux caractéristiques suivantes :

• Un dispositif d'authentification unique de l’électeur sur la base d’un code d’anonymat et d’un mot de passe unique généré aléatoirement complété éventuellement d’un code de défi .

• Au cours de cette procédure, le serveur de vote vérifie que l'électeur est bien autorisé à voter et qu’il n’a pas déjà voté. Dans ce cas seulement, l’électeur accède aux listes uniquement de son scrutin dans l'ordre officiellement retenu.

• Les moyens pour l’électeur d’exprimer son suffrage en accédant aux listes des candidats sur une page unique.

• La validation finale du vote après l’affichage du bulletin de vote sélectionné ne se fera qu’après une double confirmation, conformément aux recommandations de la CNIL.

Après confirmation du vote par une double validation, la prise en compte et la mémorisation sécurisée et chiffrée de l’expression du vote et de son émargement seront effectives.

L’électeur pourra télécharger et conserver un accusé de réception à valeur probante ou demander l’envoi de cet AR par Email après saisie de son adresse Email.

Toutes les informations relatives au vote de l’électeur sont chiffrées par un algorithme réputé fort.

La solution garantit à 100% la confidentialité du vote :

• Quelqu’un qui accèderait au poste après le dépôt du vote d’un électeur n’a pas d’information sur ce vote,

• ni directement à l’écran (une fois le vote confirmé, l’expression de celui-ci ne peut être retrouvée affichée sur le site),

• ni via la fonction «retour» du navigateur (la fonction « retour » fait automatiquement revenir à la page d’accueil et non aux pages précédentes utilisées pour voter.

• il tombe sur l’accusé de réception sans possibilité de revoter ou de connaître l’expression du vote (ni via les cookies, ni via le cache du navigateur, ni via aucun autre canal).

La solution de vote PARAGON Elections est compatible avec tous les principaux navigateurs web sur le marché (Internet Explorer, Mozilla Firefox, Chrome, Safari, Opéra) représentant plus de 97% de compatibilité dans le monde.

Le site de vote est également compatible avec les smartphones et les tablettes disposant des systèmes d’exploitation les plus répandus sur le marché : IOS, Android, Windows XP et ultérieur, Linux.

Aucun logiciel n’est exigé pour notre solution qui ne requiert aucun téléchargement, source de faille sécuritaire et trop intrusif.

La solution ne nécessitant aucun logiciel spécifique et étant compatible avec l’extrême majorité des ordinateurs du parc français, l’outil de diagnostic ne parait pas essentiel, mais nous pourrons cependant mettre en place un contrôle de la version du navigateur web.

1. Responsive design : 100 % COMPATIBLE SMARTPHONE/TABLETTE

Les internautes se connectant de plus en plus souvent depuis leur téléphone ou leur tablette notamment par le flashage d’un QR Code, les sites internet doivent s’adapter aux nouvelles modalités de connexion. Tactilité ou lenteur du débit internet, chaque terminal a des caractéristiques et une résolution d'écran qui lui sont propres et impacte la qualité visuelle du site de base.

L’approche technologique de création d’un site internet doit être repensée pour mieux anticiper les différentes contraintes liées à chaque support. Le Responsive Design est aujourd'hui une solution incontournable quel que soit le support de navigation emprunté.

Les avantages du Responsive Design sont nombreux :

• plus de réactivité au site web qui s'adapte alors aux différentes résolutions d'écrans disponibles.

• universaliser l'affichage d'un site web en utilisant les nouvelles règles acceptées par la grande majorité des navigateurs.

• Les colonnes et les images s'ajustent, se redimensionnent et se déplacent automatiquement selon que la résolution d'écran l'exige.

• ergonomie optimale en sauvegardant intacte la qualité de l'information du site de vote.

Avec le Responsive Design, c'est l'assurance d'une URL unique, peu importe le terminal utilisé (mobile ou fixe). En effet, le non-ajustement du site au support de navigation peut affecter grandement l'expérience de vote en ligne pour l’électeur.

Le site s'affiche automatiquement en fonction de l'écran sans demander de quelle manière l'utilisateur souhaite naviguer.

La plateforme de vote par Internet PARAGON Elections est un site internet Responsive Design, totalement compatible avec les Smartphones et Tablettes

2. Site d’administration du vote

Conformément à vos exigences, PARAGON Elections fournira un site d’administration pour le bureau de vote et l’ensemble des personnes habilitées par le client :

• Chaque personne désignée aura en sa possession un code et un mot de passe unique pour se connecter au site d’administration.

• Le site de gestion/administration permettra le scellement puis le descellement de l’élection.

• La possibilité de générer des clés de scellement ou la possibilité au bureau de vote de saisir leurs clés de scellement : Ces clés sont personnelles et connues seulement des membres les saisissant.

• le dépouillement/déchiffrement des expressions de vote (bulletins de vote électroniques)

• La génération des résultats de l’élection par scrutin (urne) dans un fichier non modifiable et horodaté.

• Les listes d’émargement et l’accès au taux de participation tout au long du scrutin et après descellement/dépouillement. Plusieurs niveaux du taux de participation sont paramétrés : global, par région, par scrutin, etc…

• Le suivi en temps réel des alertes techniques et applicatives et les interventions éventuelles sur la solution de vote après le scellement dans un journal des interventions sécurisé, non modifiable et accessible uniquement par les seules personnes habilitées.

• La garantie que la version applicative et technique ainsi que les données (fichiers des électeurs, expression des votes et caractéristiques des scrutins) n’ont pas été altérées. Cette garantie est contrôlée par des prises d’empreintes régulières, aléatoires et déclenchées manuellement par les personnes habilitées quand ils le souhaitent permettant un suivi précis de la non modification des données tout au long de la période de vote.

• Les dates et heures d’ouverture et de fermeture sont mentionnées avant le scellement et paramétrable avant le processus de scellement selon les souhaits du client. Aucun vote ne pourra être enregistré avant et après ces dates. Avant l’ouverture et après la fermeture, un message avertira l’électeur que l’élection n’a pas encore commencée ou que l’élection est terminée.

• Aucun accès à des résultats partiels ne sera possible. Seule la participation sera consultable par les personnes habilités (gestionnaire, commission électorale, expert)

  3. Pilotage du vote électronique par la commission électorale

Le bureau de vote (ou commission électorale) a un rôle de surveillance du scrutin et doit disposer des outils nécessaires pour s’assurer de la bonne mise en œuvre de la plateforme de vote électronique. La CNIL précise aussi que le bureau de vote doit pouvoir agir sur le déroulement du scrutin en cas d’anomalie constatée. A ce titre elle sera formée et elle dispose de codes d’accès spécifiques à l’interface gestionnaire lui permettant de :

• Procéder au scellement/descellement des urnes électroniques.

• Suivre le taux de participation en temps réel des scrutins en cours de vote + graphiques :

Un accès dédié permettra de suivre en permanence et en temps réel la participation à l’élection. Ce site de gestion mis à disposition offrira une vision en temps réel de la participation globale et par scrutin pour le vote internet.

La participation globale et son évolution graphique dans le temps affichée à la demande après connexion offrira des indicateurs précis et en temps réel. La participation pourra également être observée par scrutin (section de vote) pour évaluer les scrutins à plus forte ou à plus faible participation. A la fin du vote internet, ces taux de participation seront historisés.

1. Mise en pause du scrutin

Mettre en pause le scrutin si une irrégularité est constatée (la CNIL demande à ce que cette fonctionnalité soit prévue).

Exemple d’écran de scrutins en pause :

2. Contrôle d’intégrité du scrutin :

Contrôler l’intégrité du scrutin en déclenchant une prise d’empreinte de la solution. Cette action permet de s’assurer que rien n’a été modifié en cours de vote (par conception logicielle, rien ne peut être modifié, mais il doit être prévu un moyen pour le bureau de vote de le vérifier).

Ces prises d’empreinte peuvent être déclenchées manuellement par un membre du bureau de vote, et elles sont également réalisées par la plateforme de vote elle-même de manière régulière et aléatoire afin de détecter la moindre anomalie en temps réel.

Exemple d’écran de prises d’empreinte et comparaison des empreintes :

3. Suivi en temps réel :

Le suivi en temps réel des alertes techniques, applicatives et les interventions éventuelles sur la solution de vote après le scellement dans un journal des interventions sécurisé, non modifiable et accessible uniquement par les seules personnes habilitées.

Exemple d’écran d’interventions techniques en cours de scrutin :

4. SCELLEMENT/Descellement :

Desceller les urnes électroniques et déchiffrer les expressions de vote pour accéder aux résultats de l’élection et aux listes d’émargement.

Ces fichiers sont non modifiables, horodatés et archivés à valeur probante dans un coffre-fort électronique.

5. La chronologie du vote par internet

2. Description fonctionnelle de la solution

Les heures d’ouverture et de fermeture du scrutin sont fixées par le Client. Ce paramètre fera partie des éléments protégés par le scellement de l’opération de vote et ne seront plus modifiables après le scellement de la plateforme réalisé.

L’électeur recevra, par Email, les éléments pour savoir comment procéder le jour du vote (note explicative, code d’accès, numéro de téléphone du centre d’appel, …). Son mot de passe lui sera transmis soit par SMS, soit par Email.

Chaque électeur disposera d’un code d’accès unique (aussi appelé login) et d’un mot de passe, générés aléatoirement et dont l’unicité est contrôlée à l’import des fichiers électeurs et candidats et à l’export avant l’édition des courriers. L’électeur se connecte en saisissant son code d’accès et son mot de passe et un code de défi optionnel (date de naissance par exemple). Cette information devra être sûre, connu de l’électeur lui-même. Nous recommandons d’utiliser comme code de défi une donnée chiffrée pour une saisie facilitée.

Le vote validé, entraînera plusieurs actions :

• émargement avec génération de l’accusé de réception

• alimentation du taux de participation

• chiffrement du bulletin de vote du poste de l’électeur

• dépôt du bulletin de vote chiffré dans l’urne chiffrée en empêchant tout recoupement entre l’heure de dépôt de l’expression de vote et l’heure d’émargement ce qui garantit l’anonymat d’une façon optimale.

• enregistrement du vote qui déclenche l’impossibilité d’une nouvelle expression de vote par le même électeur pour l’élection considérée

Ces opérations reposent sur une gestion en temps réel des données directement sur les bases de données de l’élection.

Le site internet de vote ne nécessite aucune installation de logiciel sur le poste de l’utilisateur, l’installation de « JAVA » n’est pas requise. Le site de vote dispose d’un certificat HTTPS de niveau A compatible avec les normes RGS et ETSI TS 102 042 permettant des échanges totalement sécurisés entre le serveur et le client.

L’ensemble du processus de vote comprend le scellement, le vote par internet, le dépouillement des urnes électroniques, le descellement et le calcul des résultats.

4. Etape 1 : Transmission des codes confidentiels de vote

Pour chaque électeur, il y a 2 codes confidentiels à transmettre : 1 code d’accès + 1 mot de passe.

L’électeur devra saisir ces 2 données pour se connecter au site de vote et procéder au vote électronique. Il est possible de lui demander de saisir une 3^ème donnée, par exemple son matricule.

L’envoi des codes est prévu par courrier ou par e-mail à l’adresse de l’électeur selon le cas

Envoi par courrier :

La lettre comportera les mentions suivante, exemple :

Recto Verso

5. 
   Etape 2 : Le scellement

Avant de procéder au vote, il faudra sceller l’élection. Le client détermine l’heure d’ouverture et de fermeture du scrutin qui conditionne la période de vote par internet puis scelle l’élection en saisissant les clés de chiffrement distinctes

Le processus de scellement consiste à réaliser les opérations suivantes :

• le scrutin ne peut pas être ouvert tant que l’opération de scellement n’a pas été réalisée

• le scellement est effectué par le Client ou par toute personne mandatée par lui (huissier,…) via quatre clés privées qu’ils demeurent les seuls à connaître. La saisie de cette clé (pour rappel toutes les connexions sont réalisées en https) permet de générer un certificat dont la clé publique est seule communiquée et enregistrée par la plateforme pour le chiffrement des expressions de vote, conformément à la CNIL.

• le scellement déclenche le calcul d’une signature des programmes applicatifs aussi bien pour le site web (développé en php) que pour l’application serveur (développé en java). Le programme lui-même qui effectue le calcul de signature est intégré au calcul de signature si bien qu’il ne peut être altéré sans modification de la signature.

• Durant le scrutin il est possible à tout moment de consulter par les membres des bureaux de vote et le gestionnaire client le journal électronique de l’élection pour vérifier que les signatures des fichiers électeurs, candidats, ainsi que des programmes applicatifs sont inchangées et ainsi garantir la stabilité et l’intégrité de la plateforme de vote.

L’opération de scellement déclenche automatiquement les opérations suivantes :

• impossibilité de modifier toute donnée relative à l’élection : ajout ou modification de données électeur (nom, adresse, identifiant, catégorie,…), ajout ou modification de données candidat et/ou liste de candidature (nom de liste, nom et prénom de candidat, profession de foi,…),

• suppression de toutes les expressions de vote antérieurement enregistrées dans l’urne notamment pour les opérations de tests et de recette.

• effacement de toute information associée aux listes d’émargement, c'est-à-dire l’effacement de toute information de date et heure de votes tests, accusé de réception existant dans la base avant le scellement.

En fin d’opération de dépouillement des votes par correspondance, les mêmes acteurs du scellement devront être présents sur place pour saisir ces mêmes clés afin de procéder au déchiffrement des urnes électroniques et accéder aux résultats et listes d’émargement, par collège.

Le scellement peut être unique ou par section de vote. Le scellement intervient avec le scellement de la solution de vote électronique grâce à notre solution multicanal

Conformément aux dernières recommandations de la CNIL

le prestataire n’a pas connaissance des clés de scellement :

Seuls les acteurs du scellement (habituellement les membres des bureaux de vote) en ont connaissance. La plate-forme de vote ne doit donc pas les générer pour eux.

Objectif 1-08 de la CNIL :

Renforcer la confidentialité et l'intégrité des données en répartissant le secret permettant le dépouillement exclusivement au sein du bureau électoral et garantir la possibilité de dépouillement à partir d'un seuil de secret déterminé.

Nous proposons une solution dont le nombre de clés de scellement est paramétrable avec les principes suivants :

• La génération des clés de scellement est prévue avec la saisie de clés de scellement par les membres de la commission électorale lors de la cérémonie de scellement complétée de la génération de clés de secours remis à des autorités tierces de confiance.

• Les clés de secours seules ne permettent pas le descellement de l’élection.

• Chaque clé de scellement saisie dans l’interface lors de la cérémonie de scellement permet de chiffrer un fragment de la clé globale de scellement et seules les personnes ayant saisie leur clé pourront procéder au déscellement du fragment concerné

• Les clés saisies par les membres de la commission électorale devront être réputée forte. 8 caractères (ce nombre peut être porté à 12 pour des élections très sensibles) contenant à minima une majuscule, une minuscule, un chiffre et un caractère spécial.

• Le déscellement de l’élection ne peut s’effectuer qu’avec la saisie du nombre de clés défini par le seuil minimum de clés, pouvant inclure les clés de secours confiées des tiers de confiance sans que ceux-ci soient suffisants pour pouvoir desceller l’élection.

Au scellement, nous proposons de générer une clé secrète, découpée en 6 fragments. Nous demanderons ainsi la saisie de 4 « clés de scellement » aux participants à la cérémonie de scellement qui permettront de chiffrer 4 fragments de clé et les 2 derniers fragments sont déposés dans le coffre de l’huissier.

Lors du descellement, nous proposons d’imposer la saisie de 4 fragments (sur 6) pour desceller. Nous demandons la saisie des 4 « clés de descellement », et s’il manque 2 clés (absent, perte de clé, décès, maladie) il est alors possible de récupérer les 2 fragments en plus auprès du tiers de confiance en possession des clés (Huissier de justice).

Avec ce fonctionnement, nous pouvons desceller avec 4 fragments sur 6 générés au début.

• Pour effectuer le contrôle de conformité des clés de scellement lors du descellement, les identifiants des personnes ayant effectué le scellement sont concaténés et chiffrés avec la clé privée, puis une empreinte est générée et mémorisée par le serveur pour comparaison lors du descellement.

• La validation de la saisie des clés scellement déclenche également la génération d’une empreinte des fichiers électeurs, candidats ainsi que des programmes exécutables du serveur et du site Internet qui sont déposés dans le CFE Paragon.

• De manière aléatoire, des empreintes du fichier des électeurs, des candidats et programmes exécutables sont réalisées de manière aléatoire à l’initiative du serveur ou à l’initiative du client sur son interface de gestion selon le même procédé que lors du scellement. Ces empreintes sont déposées sur le CFE Paragon avec toutes les fonctions associées (horodatage et garantie d’intégrité) tout en enregistrant l’opération sur le journal d’horodatage les éléments de la preuve de dépôt au CFE Paragon. Au terme de l’élection, après descellement un contrôle de similitudes des empreintes déposées est effectué et généré en liaison avec le journal d’horodatage.

• Un contrôle de validité de la saisie des clés, et donc de la clé globale de déchiffrement est immédiatement effectué en procédant à la comparaison du résultat du calcul de l’empreinte des identifiants des personnes ayant effectué le scellement chiffré avec la clé privée qui vient d’être déchiffrée, par rapport à l’empreinte générée lors du scellement. En cas de discordance, la saisie de la clé de scellement n’est pas validée.

• Après validation du descellement, l’ensemble des bulletins déposés dans l’urne électronique sont déchiffrés pour dépouillement et calcul des résultats.

• Après descellement, l’ensemble des informations sont accessibles : liste d’émargement, urne, résultats,…

6. ETAPE 3 : Le vote par Internet

1. Page d’accueil :

• Page d’accueil du site de vote par internet dédié à vos élections. Textes paramétrables.

• L’URL sera définie à votre convenance, par exemple:

• https://nomduclient.paragon-election.com

• La communication entre le PC de l’électeur et les serveurs de PARAGON est en HTTPS, SSL de niveau A.

• Le code d’accès (login) de l’électeur sera généré par Paragon de manière aléatoire. Ce code est anonyme et sera unique dans toute l’élection, à 10 positions numériques. Le mot de passe est à 8 positions numériques.

• Le système bannit un électeur (comme un fail2ban) qui se trompe 5 fois de mot de passe avec un login valide. Ceci afin de bloquer les éventuelles « attaques en masse ». Cette donnée est paramétrable.

• Pour se connecter, l’électeur doit saisir son code d’accès et son mot de passe, et en option un code de défi (matricule, code postal, derniers chiffres du numéro de sécurité sociale etc.)

Renvoi automatisé de codes en cas de perte/oubli :

• Il est possible d’ajouter un module automatique de récupération de codes en cas de perte.

• L’électeur peut récupérer ses codes par Email à l’adresse de son choix

• Les informations demandées à l’électeur seront à définir avec le client : lieu de naissance, numéro de sociétaire ….

• Ce module de récupération en ligne est un bon complément à la hotline téléphonique. L’objectif étant que 100% des votants puissent voter même dans le cas de perte de codes.

• À chaque demande de code, le mot de passe est modifié, invalidant l'information précédemment communiquée

2. Présentation des scrutins  (accessible AVANT et PENDANT le vote)

• L’électeur visualise tous les scrutins disponible la même page.

• L’électeur choisi le scrutin pour lequel il souhaite voter, à la fin de chaque vote il pourra revenir pour choisir un autre scrutin,

• Les scrutins pour lesquels il n’a pas encore voté sont clairement identifiés.

3. Présentation des listes candidates  (accessible AVANT et PENDANT le vote)

• L’électeur visualise toutes les listes sur la même page.

• Pour chaque liste, l’électeur peut visualiser les noms des candidats ou les professions de foi des listes

3bis. Voir les candidats

3ter. Voir les professions de foi

4. Choix d’une liste - choix d’un bulletin de vote (uniquement en cours de vote)

Pour choisir une liste, l’électeur coche la case en face de la liste ou clique sur le logo de la liste, puis clique sur le bouton vert qui apparait en bas de page pour « confirmer son choix » :

5. Présentation du bulletin de vote choisi :

• Le bulletin de vote sélectionné est alors présenté comme un bulletin de vote papier classique.

• L’électeur dispose de 2 possibilités : Voter pour la liste complète ou revenir en arrière.

6. Vote définitif : double validation nécessaire

Double validation obligatoire pour confirmer définitivement son vote avant transmission à l’urne électronique.

L’électeur peut revenir en arrière à tout moment, tant qu’il n’a pas confirmé 2 fois son vote.

Le bulletin de vote est chiffré sur le poste de l'électeur et déposé dans l'urne sans jamais être déchiffré

7. Accusé de réception de son vote : Preuve du vote

Apres la double validation définitive, un accusé réception de votre vote est présenté à l’électeur.

Il atteste de la bonne réception de l’émargement de l’électeur et du vote dans l’urne électronique.

Vous pouvez au choix le télécharger ou vous l’envoyer par Email en renseignant l’adresse Email de votre choix.

Accusé réception au format PDF en téléchargement et/ou reçu par Email :

Votre vote est totalement confidentiel et l’anonymat est garanti par la plateforme de vote qui a fait l’objet d’un audit indépendant et qui répond aux exigences de :

• la délibération CNIL n°2019-053 «portant adoption d’une recommandation relative à la sécurité des systèmes de vote électronique» du 25 avril 2019 ;

• du décret n°2007-602 et l’arrêté du 25 avril 2007 relatifs aux conditions et aux modalités de vote par voie électronique pour l’élection des délégués du personnel et des représentants du personnel au comité d’entreprise.

8. RETOUR MENU

S’il reste des scrutins, le bouton « choisir ce scrutin reste disponible.

7. 
   ETAPE 4 : Descellement et Résultats

Descellement des urnes électroniques par les mêmes acteurs du scellement

A la fin de la période de vote par internet, il est procédé au descellement des urnes par la commission électorale :

Les mêmes acteurs du scellement saisissent à nouveau leurs clés privées (codes secrets) de scellement. Les données de l’élection sont alors déchiffrées, les résultats deviennent lisibles et accessibles immédiatement.

Un dépôt au coffre-fort électronique a lieu à ce stade avec les données de l’élection (liste électorale, candidats, empreinte, liste d’émargement) pour un archivage à valeur probante et une prise d’empreinte.

8. Affichage des résultats du vote

Une fois le descellement réalisé par la commission électorale (mêmes acteurs que le scellement), les résultats sont calculés puis affichés.

Le Procès-verbal de résultats est suivant vos données : exemple de PV

Remise au client sur support numérique (clé USB ou Email) des PV de résultats officiels, de la liste d’émargement et autres documents si nécessaire.

A l’issue du descellement et du dépouillement, PARAGON fournira, sous forme de fichier PDF, la liste d’émargement et les résultats de l’élection contenant les informations suivantes :

• nom de l’élection

• nom du collège

• prénom et nom de l’électeur

• le canal de vote

• le numéro unique d’accusé de vote

• l’horodatage du vote

La liste d’émargement s’enrichit en temps réel suite au vote d’un électeur par Internet, par collège.

Exemple de liste d’émargement précisant le canal de vote. :

9. Conservation et archivage

Conservation et archivage à valeur probante dans notre coffre-fort électronique des données informatiques jusqu’aux termes des délais de recours : Archivage, restitution et destruction des données

Selon les modalités prédéfinies avec le client, PARAGON Elections s’engage à remettre à son client l’ensemble des fichiers écrit et de d’effacer des supports informatiques les données relatives à l’élection une fois le délai de recours expiré et à la demande du client.

Les données informatiques sont conservées et archivées selon une méthode à valeur probante jusqu’aux termes des délais de recours dans un coffre-fort électronique chez un huissier, tiers de confiance.

10. Le Journal électronique de l’élection :

D’un point de vue technique, la solution PARAGON Elections intègre une sécurisation complète de l’élection au moyen des dispositifs suivants :

Gestion des modifications : toute modification des listes, des paramètres de l’élection,… est impossible après le scellement de l’élection. Seul le descellement permet d’apporter des modifications aux données électeurs (modification adresses, identification,…), sachant que par construction le scellement entraîne un effacement de l’ensemble des expressions de vote ainsi qu’une remise à zéro de la liste d’émargement.

Avant le scellement de l’élection, toutes les opérations d’importation de fichiers, de modifications sur les électeurs ou les candidats font l’objet d’un enregistrement dans un journal d’importation qui comprend :

• les opérations de création client

• les opérations de création des élections

• les opérations d’importation des fichiers électeurs

• les opérations d’importation des fichiers candidats

Ce journal permet au client de suivre les opérations de modification des fichiers afin de faciliter les contrôles, même si cette étape n’a aucune incidence sur le déroulement sécurisé de l’élection

Suite au scellement, le journal électronique de l’élection est créé pour permettre au client de suivre le déroulement complet de l’élection. Il comprend :

• La date, l’heure et le nom des membres de la commission qui ont effectué le scellement de l’élection

• Les dates, heures et résultats des contrôles aléatoires de signature des fichiers des électeurs et des candidats, ainsi que des codes sources avec horodatage des résultats (uniquement en cas de modification d’empreinte)

• Les dates et heures des opérations de vérification d’émargement

• Les dates, heures et login des opérations de consultation des taux de participation

• La date et l’heure de la saisie des clés pour descellement de l’élection

• La date et l’heure de production des résultats

• La date et l’heure de production du Cerfa

Le Journal électronique est déposé (signé et horodaté) dans le Coffre-Fort Electronique de PARAGON Elections.

Un journal interne de l’applicatif à gestion aléatoire permet de vérifier et de contrôler la stabilité du système

11. Architecture technique de la solution

Notre architecture technique basée sur une réplication de serveurs garantit un fonctionnement 24/24 et 7j/7.

Nos serveurs sont hébergés chez le professionnel OVH.

Nos centres d’hébergements présentent toutes les garanties de construction, de mesures anti-intrusion, anti-feu, etc. et notre hébergeur a obtenu la certification ISO/IEC 27001:2005 pour la fourniture et l’exploitation d’infrastructures dédiées de Cloud Computing. Cette norme internationale, qui lui a été délivrée par l’Afnor Certification, atteste de la mise en place d’une organisation sans faille de la sécurité sur l’offre Dedicated Cloud : mesures de sécurité, appréciation des risques, plan de traitement des risques.

• Vos données sont disponibles, et préservées de toute perte, vol ou altération.

Le périmètre de la certification ISO 27001 englobe l’ensemble des salles d’hébergement où sont localisés les serveurs Dedicated Cloud dans trois centres de données (P19, RBX2 et SBG). L’ensemble du personnel situé dans le périmètre ISO 27001 reçoit régulièrement des formations spécifiques à la sécurité du système d’information. De plus, notre hébergeur s’appuie sur les normes ISO 27002 afin de mettre en place des bonnes pratiques en termes de gestion de la sécurité de l’information, et ISO 27005 afin de réaliser son appréciation des risques ainsi que leurs traitements associés.

Notre hébergement répond naturellement aux prérequis de sécurité physique suivant :

• énergie redondante

• générateur en cas de perte de courant

• réseau protégé (pare-feu, routeurs redondants, antivirus serveur, détection d’intrusion…)

• système d'extinction d'incendie par gaz (FM200, ou autre agréé)

• système de vidéosurveillance interne et externe sur l'ensemble du bâtiment: (enregistrement vidéo 24h/24)

• bâtiment entièrement sous alarme

• système de contrôle d'accès biométrique ou par badge.

• pour la connectivité et la disponibilité :

  • haute disponibilité (rétablissement sous 4 heures)

  • connectivité Internet redondante par 3 fournisseurs différents

  • bande passante redondante réservée

  • accès par réseau Internet

  • 2 accès EDF indépendants et prise en charge par des groupes électrogènes en cas de coupure totale

Les prestations réseaux, d’hébergement et de connexion comprennent :

• La mise à disposition des équipements permettant une connectivité dans un contexte hautement sécurisé à savoir : routeurs, pare-feu, système d'équilibrage de charges et redondance des systèmes

• La supervision et l’anticipation face aux incidents détectés, monitoring permanent des éléments du système ;

• La détection d’intrusions et le bannissement en cas d’intrusion par un système de fail2ban

• Notre plateforme est construite de manière à pouvoir s’adapter à tout besoin de dimensionnement en amont du processus de scellement et s’adapte aux différentes configurations exigibles en termes de volumétrie. Celle-ci sera analysée en amont de façon à éviter tout problème liée à celle-ci.

• La relance de machine sur demande 7 jours sur 7 : un technicien dédié prêt à intervenir 7/7 24h/24 en moins de 15min.

• La surveillance de la connexion IP permanente avec alerte envoyée par email pour «Ping» et port serveur : La trace des accès entrants et sortant et la surveillance des adresses IP entrantes.

• L’administration du site 24 heures sur 24 et 7 jours sur 7 et la mise en place et exploitation des statistiques

• Toutes les machines constitutives du système de vote par Internet sont synchronisées sur une source de temps fiable.

Les principaux éléments techniques sont :

• L’électeur accède au site des élections au moyen de son login + mot de passe (+ code de défi)

• La connexion au serveur est réalisée en mode HTTPS, certificat SSL de niveau A.

• Les serveurs sont hébergés dans des centres d’hébergement hautement sécurisés reliés par fibre optique privative (OVH)

• La plateforme de vote est structurée au travers de 2 serveurs distincts avec un serveur pour la gestion de l’élection (base de données électeurs, base de données candidats, applications de gestion des élections), et un serveur pour le stockage des expressions de vote (urne électronique)

• Chaque serveur est répliqué en temps réel sur son serveur miroir dans le second centre d’hébergement, faisant office de sauvegarde et de relais comme centre de secours en cas de panne ou du serveur principal ou d’interruption des accès au serveur principal

• Un mécanisme d’IP FailOver permet de transférer toutes les connexions en temps réel au serveur du 2nd centre d’hébergement en cas d’interruption de service sur le centre d’hébergement n°1

• Avant l’ouverture du scrutin, l’ensemble du dispositif est scellé afin d’assurer l’intégrité des données et des programmes pendant la durée du scrutin et jusqu’au dépouillement

• Les expressions de vote sont chiffrées par l’application web sur le PC de l’électeur au moyen de la clé publique associée à la clé privée de scellement connue uniquement par les membres de la commission électorale

• Seule la clé privée permet de déchiffrer les expressions de vote lors du descellement indispensable pour réaliser le dépouillement

• L’émargement et l’expression de vote sont stockés sur des serveurs distants et distincts empêchant tout rapprochement entre l’expression de vote et l’identité de l’électeur.

• Les serveurs sont localisés dans deux centres d’hébergement distincts protégés physiquement par des clôtures, des caméras et des équipes de sécurité. Pour accéder aux serveurs, la personne devra franchir la première barrière physique pour rentrer dans l’enceinte des locaux puis devra franchir 3 portiques avec un contrôle vidéo, magnétique et biométrique. Les serveurs sont également stockés dans un univers épuré avec un air purifié, une hygrométrie et une température constante. Ils sont également hors d’eau empêchant toute inondation.

• En cas de panne d’un site, l’autre site prendra automatiquement le relais grâce à un système de load balancer. Ce système offre donc les mêmes garanties que le système principal, et est totalement transparent pour l’utilisateur puisqu’aucune interruption de service ou baisse de la qualité de service ne pourra exister.

• Le dialogue entre le navigateur web et le serveur de données se fera sous forme de session, une fois l’électeur connecté par son login et mot de passe, il ne pourra que suivre l’ordre des actions à réaliser pour voter. Nous vérifions que l’électeur n’a pas déjà voté au moment de la connexion et au moment de l’action de voter.

  6. 
     Rôles du coffre-fort électronique pour le vote internet

Parallèlement à l’action de scellement, les données de votre élection vont automatiquement s’archiver à valeur probante dans 2 coffres forts électroniques : PARAGON Elections (CFE hébergé chez EVERIAL) et chez un huissier de justice, tiers de confiance.

1. ETAPE 1 : LE SCELLEMENT

3 actions associées au scellement en Base de Données :

• Remise à zéro des compteurs de voix et liste d’émargement (dans le cas de tests au préalable)

• Chiffrement des données de l’élection

• Scellement des urnes électroniques dans le périmètre du scellement.

  2. ENVOI AU COFFRE FORT ELECTRONIQUE PARAGON (CFE) :

• Fichier électeurs

• Fichier candidats

• Liste d'émargement

• Empreinte code source de la plateforme de vote

  3. ENVOI AU COFFRE FORT ELECTRONIQUE DE L'HUISSIER (tiers de confiance)

• 4 clés de chiffrement renseignées par le Client

• Clé privée (qui sert à desceller l’urne (en cas de perte d’au moins une clé)

  4. ETAPE 2 : L'OUVERTURE DU SCRUTIN

ENVOI AU CFE :

• Fichier électeurs

• Fichier candidats

• Liste d'émargement

• Empreinte code source et vérification avec l'envoi 1

HORODATAGE :

• à périodicité fixe : envoi des empreintes correspondantes aux fichiers : électeurs, candidats, code source

• à périodicité aléatoire : envoi des empreintes correspondantes aux mêmes fichiers ci-dessus.

• Les données issues d'un horodatage sont envoyées au CFE.

• Les dates et heures d’ouverture et de fermeture du scrutin.

  5. ETAPE 3 : LE DESCELLEMENT DU SCRUTIN

ACTIONS ASSOCIEES :

• ouverture des urnes électroniques.

• déchiffrement des expressions de vote.

ENVOI AU CFE :

• fichier électeurs

• fichier candidats

• listes d'émargement

• empreinte code source et vérification avec les envois antérieurs

• données du serveur urne (bulletins (en clair, non chiffrés))

• journal de l’élection

• PV de résultats

  6. ETAPE 4 : DESTRUCTION DES DONNEES

En fonction du protocole signé avec le Client, destruction des données après avis d'information. Toutes les données sont détruites : chez PARAGON Elections (serveurs et CFE) et chez l'Huissier.

Compléments d’information :

L'arborescence du CFE est organisée par Client et à un sous-niveau par élection.

Une élection = 1 urne = 1 fichier électeurs = 1 fichier candidats = 1 feuille d'émargement = 1 feuille de résultat = 1 taux de participation = 1 journal = 1 scellement/ descellement = 1 dossier dans le CFE = 1 dossier dans le CFE de l'Huissier

Nous pouvons grouper des circonscriptions dans un même scellement. Par exemple, dans votre cas, nous pouvons sceller tous les collèges en 1 scellement.

Le mode opératoire choisi par PARAGON élections permet de s’assurer d’une pleine conformité avec les recommandations de la CNIL. Il est décrit ci-après :

• Le scellement sera réalisé au moyen d’un cryptage asymétrique avec une solution de clés publique et privée.

• Le Client via une interface web dédiée pourra renseigner quatre clés de chiffrement (versus les trois minimums recommandés par la CNIL). Celles-ci généreront un chiffrement de toutes les données d’expression de vote. Les clés seront conservées en parallèle chez un tiers de confiance, un huissier de justice, pour être réutilisables en cas de perte (partielle ou totale).

• Ces quatre clés seront indispensables pour desceller la plateforme de vote et ainsi pouvoir procéder au dépouillement et proclamer les résultats.

• Ces quatre clés ne seront jamais connues de l’opérateur ni de quiconque externe à la Commission électorale. En effet, lors de leur génération par le Client, elles donneront lieu à une clé publique qui permettra à PARAGON de chiffrer les expressions de vote, mais cette clé est insuffisante pour les déchiffrer selon le principe du chiffrement asymétrique.

• Les expressions de vote et l’émargement sont chiffrés grâce à un protocole de type RSA (asymétrique) en 1024 bits avec échanges de clés privées et de clés publiques.

  12. 
      sécurisation du système

Les plus hautes précautions ont été prises dans la conception de la plateforme à plusieurs niveaux :

• concernant l’accès logique aux serveurs et aux applications : tous les ports des serveurs de vote sont fermés sauf les ports 22 (avec dispositif de fail2ban) et 443 (https), sachant que le port 80 est redirigé sur le port 443. Seul l’administrateur système dispose des moyens d’accès au serveur, mais ses possibilités d’action sont limitées par le dispositif de scellement qui comprend le chiffrement en temps réel des expressions de vote, la signature du fichier des électeurs et du fichier des candidats, ainsi que du code source du programme serveur et du site web permettant de vérifier de manière aléatoire avec horodatage qu’aucune modification n’a été apportée. Les opérations de contrôle aléatoire font l’objet d’un enregistrement d’évènement dans le journal électronique des élections qui a pour but de tracer l’ensemble des actions clés concernant le déroulement de l’élection : scellement, ouverture scrutin,

• fermeture scrutin, descellement, vérification des signature des programmes et site internet et des bases de données, connexion d’un utilisateur sur le système (gestionnaire client, administrateur technique),…

• concernant l’accès logique au serveur de l’électeur, du gestionnaire client, et de l’administrateur opérationnel des élections, toutes les connexions sont effectuées en mode sécurisé SSL.

• L’accès au serveur de l’administrateur technique est chiffré avec les algorithmes définis par ssh2 avec dialogue chiffré via aes128 et 3des.

• Les algorithmes de chiffrement des expressions de vote sont basés sur l’aes128.

Par ailleurs, les connexions client et administrateur sont enregistrées dans un journal de connexion contenant l’adresse IP de chacune des connexions complétées par l’envoi d’un mail informant de la connexion réalisée (ou ses tentatives échouées) à l’adresse e-mail référencée dans le système.

Les différents serveurs sont situés sur deux plates-formes françaises (Strasbourg et Roubaix). Les serveurs sont hébergés par une entreprise spécialisée garantissant une qualité de service supérieur à 99,9%.

En cas de défaillance de ce site de production, le site de repli prendrait le relais instantanément grâce à un système de réplication en temps réel. Ce site de repli est situé en région lilloise. Il n’y aurait aucun impact côté Client. Le dialogue entre les serveurs est basé sur un tunnel sécurisé (SSL) sur fibre optique propriétaire de l’hébergeur.

7. Description et sécurité des locaux d’hébergement et de traitement

La sécurité du traitement est une de nos priorités puisque nous traitons des données sensibles. Tous les serveurs du dispositif informatique de la plateforme PARAGON Elections sont localisés en France métropolitaine.

Concernant l’accès physique aux serveurs : ces 2 serveurs dédiés sont hébergés dans deux structures distinctes sécurisées d’un hébergeur de référence en France (OVH.com) et aucun accès physique n’est possible par des personnels extérieurs à cet hébergeur, afin de garantir la plus haute confidentialité et le plus haut niveau de sécurité d’accès physique. L’hébergeur gère un contrôle d’accès physique strict et avec une totale traçabilité interdisant l’accès à tout tiers non autorisé.

Afin de résister à toute forme d’intrusion ou d’aléa, chaque périmètre est sécurisé par des clôtures équipées de barbelés. Un système de vidéo-surveillance et de détection de mouvements fonctionne également en continu. L’activité dans les centres de données et à l’extérieur des bâtiments est monitorée puis enregistrée sur des serveurs sécurisés, tandis que des équipes de surveillance se relaient 24h /24, 7j /7.

Le fait de faire appel à un prestataire extérieur nous permet d'avoir une sécurité bien plus importante que si les serveurs étaient hébergés dans nos locaux, nous ne sommes pas des professionnels de la sécurité physique, notre hébergeur l'est.

De plus, l’ensemble des serveurs sont protégés de l’eau, des inondations et du feu, par une alimentation électrique redondante et si besoin par groupe électrogène, l’ensemble de notre système fonctionnera même en l’absence d’alimentation EDF.

Afin de contrôler et de surveiller l’accès à l’enceinte de notre hébergeur, des procédures de sécurité strictes sont en place. Chaque membre du personnel est équipé d’un badge RFID nominatif auquel sont associés ses droits d’accès. Ceux-ci sont régulièrement reconsidérés, en fonction des attributions de chacun. Pour accéder aux locaux, chaque employé doit tout d’abord soumettre son badge à une vérification, puis traverser un sas sécurisé.

Les Datacenters bénéficient d’une protection encore plus élevée, puisque seul le personnel autorisé peut y pénétrer. De plus, notre hébergeur est l’unique exploitant de ses installations ce qui garantit une sécurité et une traçabilité des mouvements optimale

Au sein de nos équipes, seules quelques personnes sont habilitées à intervenir et celles-ci doivent au préalable s'authentifier.

En parallèle de notre propre politique de développement durable et RSE, notre hébergeur de données OVH.com, 3^ème hébergeur internet dans le monde s’engage en matière de développement durable en mettant en place depuis 2004 de nombreuses solutions innovantes respectueuses de l’environnement. OVH a par exemple mis en place des solutions de watercooling pour refroidir les serveurs en consommant moins d’énergie, d’Ecosalles et une gestion des flux d’air chaud et froid optimisée.

13. 
    Niveaux de service

    8. Plateforme de vote multicanal :

Nos serveurs de dépouillement (plateforme de vote) peuvent absorber environ 500 votes par seconde, sans dégradation perceptible des temps de réponse et tout en préservant l’intégrité et la sécurité. Lors du dépouillement des bulletins du RSI (800 000 votes en 1 journée), nous avions des pics à 350 votes par seconde sur nos serveurs.

Pour assurer la mise en œuvre d’une disponibilité optimale de la plateforme sur la base d’un taux de service de 99,99 % pour une couverture 24h/24 et 7j/7, le système dispose :

• de serveurs redondants et avec répartition de charge dynamique

• des serveurs de dernière génération pour profiter de niveaux de performances optimales

• des datacenters redondants sur des sites différents

• d’un engagement de type SLA qui a pour objectif la mise en œuvre d’une qualité de service globale qualifiée, quantifiée et mesurable.

  9. Le site de vote par Internet :

Le site de vote Internet est accessible 24 heures sur 24 et 7 jours sur 7.

Afin de garantir la meilleure disponibilité du site de vote, l’ensemble des équipements matériels est redondé :

• redondance des équipements réseaux : routeurs, pare-feu, switch,

• redondance des serveurs d’application,

• redondance des serveurs de données par une répartition de charge permanente pour garantir une très haute disponibilité.

En fonction des limites indiquées, le système surveille son propre trafic entrant afin de garantir des temps de réponse optimums et éviter des engorgements.

La disponibilité est mesurée et testée régulièrement pendant toute la période vote sans perturber et ni altérer la sincérité des suffrages. Les serveurs fonctionnent en mode actif-actif, avec répartition de charge basée sur l’adresse IP. Les données mises à jour sont automatiquement répliquées sur un serveur de secours.

Lors d’une élection à forte volumétrie en novembre 2014 (élections LES REPUBLICAINS), nous avions enregistré :

• 200 000 votes Internet en moins de 24h.

• Jusqu'à 32 000 connexions simultanées sur le site de vote Internet (front) pour 650 votes minutes au plus fort.

  10. Temps de réponse :

Le temps de réponse (connexion, consultation de profession de foi, validation du vote, téléchargement de l’accusé de réception) quel que soit la volumétrie de connexion dans une limite de 10 000 connexions instantanées sera de moins de 3 secondes.

11. Prévention d’attaque contre la plateforme de vote internet

Compte-tenu de la portée médiatique d’un tel évènement, il est très important de prévenir les attaques potentielles visant à déstabiliser le vote. L’objectif principal est de renforcer la protection pour prévenir et être capable de gérer les attaques visant à saturer la capacité réseau du serveur, épuiser les ressources système ou exploiter des failles des logiciels externes à Paragon.

Ces attaques peuvent être du type :

• ICMP Echo Request Flood

• IP Packet Fragment Attack

• SMURF

• IGMP Flood

• Ping of Death

• TCP SYN Flood

• TCP Spoofed SYN Flood

• TCP SYN ACK Reflection Flood

• TCP ACK Flood

• TCP Fragmented Attack

• UDP Flood

• UDP Fragment Flood

• Distributed DNS Amplification Attack

• DNS Flood

• HTTP(S) GET/POST Flood

  12. Principe de base des attaques DDoS

Pour ce faire, nous utilisons une combinaison de technologies informatiques visant à protéger les services informatiques en ligne des attaques DDos (appelés AntiDDoS ).

Basé sur la technologie VAC développé par notre hébergeur (OVH.com), cette combinaison de techniques permet d’analyser le trafic entrant sur les serveurs, de l’aspirer et de le mitiger. La mitigation est un terme qui est employé pour désigner des moyens et des mesures mises en place pour atténuer les effets négatifs liés à un risque. Pour résister aux attaques DDoS, la mitigation consiste à repérer tous les paquets IP non légitimes, les filtrer et les aspirer via le VAC, laissant ainsi passer tous les paquets légitimes.

Le VAC est composé de plusieurs équipements qui assurent chacun une fonction spécifique afin de bloquer un ou plusieurs types d'attaque (DDoS, Flood, etc.). En fonction de l’attaque, une ou plusieurs stratégies de défense peuvent être mises en place sur chacun des équipements qui composent le VAC.

Grâce à son réseau de 3 Tbps, l'infrastructure peut absorber une très grande quantité de flux lors des attaques. Ces mesures permettront donc de se prémunir des attaques possibles sur un tel événement permettant au vote de se dérouler normalement.

14. Conformité CNIL

Dans le cadre de votre élection, notre solution répond à la Délibération n° 2019-053 du 25 avril 2019, le niveau 3 étant retenu

13. chiffrement du Bulletin de Vote de bout en bout (CNIL)

Le bulletin est chiffré au moment de la confirmation du vote. Nous n’utilisons pas d’applet Java car cela implique pour chaque électeur d’installer Java sur son poste (droit d’administrateurs, indisponibilité sur mobile + failles de sécurité).

La solution PARAGON Elections chiffre le bulletin de vote en JavaScript coté navigateur web. Le navigateur chiffre le bulletin et le dépose directement dans l’urne chiffrée. Avec cette solution nous assurons la continuité du chiffrement de bout en bout entre le terminal de l’électeur et la plateforme de vote, conformément aux recommandations de la CNIL. Il n’y a aucun possibilité de « contourner » l’expression de vote car en aucun cas nous déchiffrons le bulletin, il est déposé « chiffré » dans l’urne sans le retoucher.

Nous respectons donc en intégralité la directive de la CNIL car c'est bien par le navigateur du poste de travail de l’électeur que le chiffrement est effectué.

Toutes les expressions de vote sont sécurisées au moyen de la clé publique de l’élection générée lors du scellement de l’élection, dans le cadre d’un chiffrement asymétrique (RSA 4096), puis transmis au serveur pour stockage dans la base de données « urne électronique», sur un serveur différent du serveur de gestion des élections comprenant la base de données des électeurs et des candidats.

L’accès au site web s’effectue en mode https sur la base de TLS plus sûr que SSL.

Le dialogue entre le navigateur web et le serveur de données se fera sous forme de session, une fois l’électeur connecté par son login et mot de passe, il ne pourra que suivre l’ordre des actions à réaliser pour voter. Nous vérifions que l’électeur n’a pas déjà voté au moment de la connexion et au moment de l’action de voter.

Le système bannit un électeur (comme un fail2ban) qui se trompe 5 fois de mot de passe avec un login valide. Ceci afin de bloquer les « attaques en masse ». Cette donnée est paramétrable.

Le code d’anonymat (login) à 10 positions numériques ce qui représente au maximum 10 milliards de possibilités.

.

14. Rapport d’expertise indépendante

Ci-dessous les conclusions du rapport d’expertise indépendante réalisée dans le cadre d’une élection en vote par Internet en 2020

Conforme à la délibération CNIL n°2019-053 «portant adoption d’une recommandation relative à la sécurité des systèmes de vote électronique» du 25 avril 2019

Les rapports complets sont à votre disposition, sous réserve d’un accord de confidentialité signé de votre part. Nous attirons votre attention qu’il vous est nécessaire de réaliser votre propre expertise de la solution de vote électronique retenue, par un expert informatique indépendant satisfaisant aux qualités demandées par la CNIL.

15. Audit Sécurité Informatique de la plateforme de vote

Ci-dessous les conclusions de notre rapport sécurité IT réalisé dans le cadre d’une élection politique à fort enjeu. Tests d’intrusion réalisés en boite noire et en boite grise.

Page 1/2

Page 2/2