Rapport explicatif

liés à la sécurité, tels que les imprimeries, les fournisseurs de dispositifs techniques destinés aux vérificateurs ou de composants de contrôle, le canton doit vérifier s’il suffit qu’il effectue lui-même l’appréciation des risques ou si une appréciation supplémentaire des risques par le prestataire est nécessaire. Les prestataires de services établissent les appréciations des risques à l’intention du canton. Celui-ci les prend en compte pour effectuer sa propre appréciation des risques, qu’il soumet à la Confédération dans le cadre de la procédure d’autorisation.

Al. 3 : La phrase introductive et les objectifs de sécurité (points a à e) sont revus sur le plan linguistique. L’objectif de sécurité figurant au point f est précisé afin de mieux éclairer sa finalité. L’achat de votes, par exemple, entre dans le champ de cet objectif de sécurité.

Al. 4 : Correspond essentiellement au précédent al. 2. L’obligation de démontrer que les risques sont jugés suffisamment faibles a été reprise à l’al. 1.

L’actuel al. 3 peut être supprimé puisque les éléments visés à l’art. 11 P-OVotE doivent être publiés, ce qui lui enlève une bonne partie de sa signification.

Art. 5 Exigences applicables à la vérifiabilité complète

La vérifiabilité complète permet de détecter, sans compromettre le secret du vote, une éventuelle défaillance système qui se produirait pendant la procédure de vote en raison d’une erreur logicielle, d’une erreur humaine ou d’une tentative de manipulation. Elle prévoit que l’électeur obtienne la preuve que son suffrage a été comptabilisé correctement et qu’il n’a fait l’objet d’aucune altération, provoquée par exemple par un logiciel malveillant installé sur l’ordinateur utilisé. Les vérificateurs peuvent s’assurer, indépendamment du système utilisé, que tous les suffrages dont il a été vérifié qu’ils avaient été émis correctement par les votants, ont également été dépouillés correctement, c.-à-d. conformément à la preuve obtenue par les votants. La mise en œuvre de la vérifiabilité doit se fonder sur des méthodes cryptographiques reconnues.

À l’avenir, seuls obtiendront l’agrément les systèmes entièrement vérifiables. Les exigences précédemment prévues aux art. 4 et 5 sont reprises aux art. 5 à 8 P-OVotE avec quelques modifications.

Al. 2 : La vérifiabilité individuelle permet aux électeurs de constater toute utilisation abusive qui serait faite de leur droit de vote. Cette opération doit aussi être possible si la plate-forme utilisateur et le canal de transmission ne sont pas fiables. Il faut considérer a priori que la plate-forme utilisateur et le canal de transmission sont infectés par des virus indétectables ou exposés à d’autres risques.

Al. 3 : La vérifiabilité universelle permet de détecter toute manipulation dans l’infrastructure. À la différence de la vérifiabilité individuelle, la vérifiabilité universelle ne doit cependant pas être impérativement proposée aux électeurs : il est en effet possible de recourir pour cela à des vérificateurs. Le processus de vérification doit être observable, ce qui signifie que les vérificateurs doivent être en mesure de comprendre autant que possible la signification et les résultats des différentes étapes. À cette fin, ils doivent pouvoir attester la bonne exécution des étapes ainsi que les résultats des tests, par exemple en se rendant sur le lieu de l’exécution.

Art. 6 Caractère concluant des preuves

Aucune preuve ne permet de confirmer avec une certitude absolue que tous les suffrages ont été correctement traités au sens des exigences prévues à l’art. 5, al. 2 et 3. Les preuves doivent donc être interprétées à la lumière de leur caractère concluant. L’art. 6 énonce à cet égard des exigences minimales, auxquelles les personnes amenées à interpréter une preuve doivent pouvoir se fier. Plus le caractère est concluant, et plus la falsifiabilité est faible. On trouvera dans l’annexe des précisions et des exigences supplémentaires (ch. 2.9.1, 2.9.2 et 2.11).

Un électeur qui bénéficie de la vérifiabilité individuelle devrait pouvoir être certain, sur la base de la référence de vérifiabilité reçue par la poste, que son vote est très probablement arrivé à destination, à condition que la génération et l’impression des données pour la référence de vérifiabilité ait fonctionné correctement et que l’un des quatre composants de contrôle ait fonctionné correctement (voir commentaire du ch. 2 de l’annexe). Si l’électeur ne croit pas que ces conditions sont remplies, le résultat de l’examen de