La CNIL sanctionne un employeur pour défaut de sécurité du vote électronique pendant une élection professionnelle

La délibération de la CNIL du 11 avril 2013 a sanctionné un employeur pour des défauts de sécurités dans le processus de vote électronique dans le cadre de l’organisation d’élections professionnelles en septembre 2012.

Après un dépôt de plainte, la société a reçu un avertissement de la Commission Nationale de l’Informatique et des Libertés.

Les modalités de vote électronique lors d’un scrutin électoral professionnel

Les articles R2314-8 à 21 et R2324-4 à 17 du Code du Travail indiquent les modalités du vote électronique lors du scrutin électoral de l’élection des délégués du personnel et des des délégués du personnel au comité d’entreprise.

Ces dispositions ont été complétées par la délibération 2010-371 de la CNIL du 21 octobre 2010 portant adoption d’une recommandation relative à la sécurité des systèmes de vote électronique.

Le vote électronique doit être soumis à une expertise indépendante et assurer la confidentialité des données.

Ainsi, préalablement à sa mise en place ou à toute modification substantielle de sa conception, le système de vote électronique doit être soumis à une expertise indépendante.

De plus, le système de vote électronique doit assurer la confidentialité des données transmises, notamment de celles des fichiers constitués pour établir les listes électorales des collèges électoraux, ainsi que la sécurité de l’adressage des moyens d’authentification, de l’émargement, de l’enregistrement et du dépouillement des votes.

L’arrêt N°12-14415 de la Cour de Cassation du 27 février 2013 a indiqué que, lors d’un vote électronique d’un scrutin professionnel, l’envoi des codes personnels d’authentification sur la messagerie professionnelle des salariés, sans autre précaution destinée notamment à éviter qu’une personne non autorisée puisse se substituer frauduleusement à l’électeur, n’est pas de nature à garantir la confidentialité des données transmises.

Dans cette situation, il en résulte que la conformité des modalités d’organisation du scrutin aux principes généraux du droit électoral n’était pas assurée.

Lors d’un scrutin électoral professionnel, l’employeur doit prendre toutes les précautions utiles pour préserver la sécurité et la confidentialité des données à caractère personnel.