Sceller, c’est figer le système avant le premier vote
Dans une élection professionnelle sur papier, la confiance repose sur des objets visibles : une urne qu’on montre vide, des bulletins qu’on compte à voix haute, des scrutateurs qui regardent. Dans un vote électronique, ces objets disparaissent. L’urne est une base de données, les bulletins sont des enregistrements chiffrés, et personne ne voit rien tomber nulle part. Le scellement est la réponse à cette disparition. Il remplace le geste de montrer l’urne vide par un geste équivalent, adapté à un système informatique.
Sceller un système de vote, c’est en prendre une empreinte à un instant donné, avant l’ouverture du scrutin, de façon à pouvoir prouver ensuite qu’il n’a pas été modifié. L’empreinte porte sur tout ce qui détermine le résultat : les listes, le logiciel, les paramètres, l’urne elle-même. Si quoi que ce soit change entre le scellement et la clôture, l’empreinte ne correspond plus, et le changement se voit.
Le principe tient en une phrase que tout membre du bureau de vote devrait pouvoir répéter : rien ne doit pouvoir changer sans que cela se voie. Le scellement ne rend pas la fraude impossible au sens technique. Il la rend détectable, et c’est ce qui compte pour la validité d’un scrutin. Un système qu’on a pu modifier sans laisser de trace ne permet pas de prouver un résultat ; un système scellé le permet.
Pour l’élu ou le responsable des ressources humaines qui n’est pas informaticien, le scellement paraît souvent être l’affaire du prestataire. C’est en partie vrai : c’est lui qui le réalise techniquement. Mais c’est le bureau de vote qui en est le garant, qui y assiste, et qui signe le procès-verbal qui en découle. Comprendre ce qu’on scelle et ce qu’on vérifie n’est donc pas une curiosité technique. C’est la condition pour signer en connaissance de cause.
Ce qui est scellé : listes, urne, logiciel, paramètres
Le scellement porte sur plusieurs éléments distincts. Chacun correspond à une façon différente dont un résultat pourrait être faussé, et c’est en les prenant un par un qu’on comprend à quoi sert l’opération.
Les listes électorales, d’abord. Elles déterminent qui a le droit de voter et dans quel collège. Si un nom pouvait être ajouté ou retiré après l’ouverture du scrutin, on pourrait faire voter quelqu’un qui n’en a pas le droit ou en empêcher un autre. Le scellement fige les listes telles qu’elles ont été arrêtées et affichées. Toute modification ultérieure, même légitime, doit suivre une procédure prévue et laisser une trace.
Les listes de candidats, ensuite. Ce sont elles qui apparaissent sur l’écran du votant. Un candidat dont le nom serait mal orthographié, déplacé dans l’ordre de la liste ou retiré par erreur après le scellement rendrait le scrutin contestable. Leur contenu est figé au même moment.
Le logiciel de vote lui-même. C’est le programme qui affiche les bulletins, enregistre les choix et calcule le résultat. Si son code pouvait changer en cours de scrutin, il pourrait, en théorie, enregistrer autre chose que ce que le votant a choisi. Le scellement prend l’empreinte de la version qui a été expertisée et vérifie ensuite que c’est bien celle qui tourne.
Les paramètres du scrutin : dates et heures d’ouverture et de clôture, collèges, nombre de sièges, règles d’attribution. Ce sont eux que le protocole d’accord préélectoral a fixés. Les sceller garantit que le scrutin se déroule selon les règles négociées et pas selon des règles modifiées en chemin.
L’urne électronique, enfin. Au moment du scellement initial, elle doit être vide, et le scellement le prouve. C’est l’équivalent exact du geste de montrer l’urne vide à l’assemblée avant le premier vote. À la clôture, on vérifie que l’urne contient des bulletins chiffrés en nombre cohérent avec la liste d’émargement, et que personne n’a pu y glisser ou en retirer quoi que ce soit.
Reste la question du moment. Le scellement intervient après que tout a été arrêté et avant que le premier électeur puisse voter. S’il est réalisé trop tôt, alors qu’une liste doit encore être corrigée, il faudra le refaire, et chaque nouveau scellement doit être aussi documenté que le premier. S’il est réalisé trop tard, après l’ouverture, il ne prouve plus que l’urne était vide au départ. Le calendrier du scrutin doit donc prévoir une fenêtre précise, souvent une réunion du bureau de vote dédiée, la veille ou le jour même de l’ouverture. Inscrivez-la dans le calendrier électoral au même titre que la date de dépôt des listes : c’est une étape du scrutin, pas une formalité technique qu’on règle par courriel avec le prestataire.
Une dernière vérification se fait à ce stade : que la version figée est bien celle qui a été montrée aux organisations syndicales et au bureau. Il arrive qu’une maquette de bulletin ait été validée, puis corrigée par le prestataire pour une question d’affichage. Le bureau doit revoir l’écran final du votant avant le scellement, pas après.
Les clés de chiffrement et ceux qui les détiennent
Le vote électronique repose sur une idée simple : les bulletins sont chiffrés au moment du vote et ne peuvent être déchiffrés qu’au moment du dépouillement. Entre les deux, personne ne peut lire un bulletin, pas même le prestataire. Ce qui permet le déchiffrement, ce sont des clés, et la question de savoir qui les détient est au cœur de la confiance dans le scrutin.
Le principe le plus répandu consiste à répartir la clé de déchiffrement entre plusieurs personnes, en général des membres du bureau de vote. Chacun reçoit une partie de la clé, sous une forme qui dépend de l’outil : un code, un fichier sur une clé physique, un identifiant personnel. Le dépouillement n’est possible que si un nombre suffisant de détenteurs se réunissent et utilisent leur partie ensemble. Aucun ne peut déchiffrer seul, et le prestataire ne le peut pas non plus.
Le nombre de détenteurs et le nombre minimal nécessaire au dépouillement sont fixés par le protocole d’accord préélectoral et par la documentation technique du prestataire. Ce ne sont pas des valeurs à improviser. Vérifiez qu’elles figurent noir sur blanc dans les documents du scrutin, et que chaque détenteur sait qu’il en est un.
La remise des clés est un moment à part entière. Elle se fait en général lors d’une réunion du bureau de vote, avant l’ouverture du scrutin, en présence du prestataire. Chaque détenteur reçoit sa partie et la protège : un code qu’il ne note nulle part en clair, une clé physique qu’il garde sur lui. Cette remise est consignée, avec le nom de chaque détenteur. Le jour du dépouillement, on vérifie que ce sont bien les mêmes personnes qui présentent leurs clés.
Le risque le plus banal n’est pas le piratage, c’est la perte. Un détenteur qui oublie son code, qui égare sa clé ou qui est absent le jour du dépouillement peut bloquer l’opération si le nombre minimal n’est pas atteint. La plupart des dispositifs prévoient une marge, mais elle n’est pas infinie. Demandez au prestataire ce qui se passe en cas de perte, et notez la réponse.
Vérifier le scellement à l’ouverture et à la clôture
Le scellement n’a de valeur que s’il est vérifié. Un système qui a été scellé mais dont personne ne contrôle l’empreinte à la clôture ne prouve rien de plus qu’un système qui n’a jamais été scellé. Les vérifications se font à deux moments, et le bureau de vote doit y assister à chaque fois.
À l’ouverture, le bureau vérifie que le scellement a bien été réalisé et que l’urne est vide. Concrètement, le prestataire présente un document ou un écran qui donne l’empreinte du système et l’état de l’urne. Le bureau n’a pas à comprendre l’algorithme qui produit l’empreinte. Il doit en revanche voir de ses yeux qu’elle a été produite, en noter la référence ou en recevoir une copie, et constater que le compteur de bulletins est à zéro.
À la clôture, la vérification se fait en sens inverse. On recalcule l’empreinte du système et on la compare à celle de l’ouverture. Si elles sont identiques, rien n’a changé. On compare ensuite le nombre de bulletins dans l’urne au nombre d’émargements enregistrés : ils doivent correspondre. Ces deux contrôles sont la preuve que le scrutin s’est déroulé sur le système qui a été validé, et que l’urne contient exactement les votes des personnes qui ont voté.
- voir l’empreinte produite à l’ouverture et en garder la référence ;
- constater que l’urne est vide avant le premier vote ;
- voir l’empreinte recalculée à la clôture et la comparer ;
- comparer le nombre de bulletins au nombre d’émargements ;
- faire consigner chaque contrôle au procès-verbal.
Le scrutin peut durer plusieurs jours. Certains dispositifs permettent au bureau de vote de consulter en cours de route l’état du système, le taux de participation ou la liste d’émargement, sans accès au contenu des bulletins. Si cette possibilité existe, utilisez-la au moins une fois par jour. Un incident découvert pendant le scrutin se traite mieux qu’un incident découvert à la clôture.
Une règle simple guide toute l’opération : si vous ne voyez pas, demandez. Le prestataire a l’habitude de ces questions et doit pouvoir montrer chaque étape. Un membre du bureau qui signe un procès-verbal de scellement sans avoir rien vu engage sa signature sur une affirmation qu’il ne peut pas soutenir.
Ce qui se passe si le scellement est rompu
Un scellement rompu signifie que l’empreinte calculée à un moment ne correspond plus à celle de référence. Cela peut avoir des causes très différentes, et toutes ne sont pas des fraudes. Une mise à jour technique imprévue, une erreur de manipulation, un incident d’hébergement peuvent produire le même symptôme qu’une modification volontaire. Le rôle du bureau n’est pas d’enquêter, mais de constater, de consigner et de décider de la suite avec les éléments dont il dispose.
La première chose à faire est d’arrêter de considérer le scrutin comme normal. Le prestataire doit expliquer ce qui s’est passé, quand, et sur quel élément. Le bureau note ces explications, l’heure à laquelle l’incident a été constaté, et les personnes présentes. Si l’incident survient pendant le scrutin, la question de suspendre le vote se pose, et elle se règle selon ce que prévoient le protocole et la documentation du prestataire.
Les conséquences sur la validité du scrutin dépendent de la nature de l’incident et de son effet possible sur le résultat. Un incident qui n’a touché ni les listes, ni l’urne, ni le logiciel de comptage n’a pas la même portée qu’une modification de la liste électorale. Ce n’est pas au bureau de trancher cette question juridique, mais c’est lui qui fournit les éléments sur lesquels elle sera tranchée, en cas de contestation devant le juge.
Ce qu’il faut éviter à tout prix, c’est de taire l’incident pour ne pas retarder le résultat. Un incident consigné et expliqué peut ne pas remettre en cause un scrutin. Un incident découvert plus tard, qui n’apparaît nulle part dans le procès-verbal, jette le doute sur tout le reste.
La trace à garder pour le procès-verbal
Le scellement produit des documents, et ce sont eux qui permettront de prouver la régularité du scrutin si elle est contestée. Le bureau de vote doit s’assurer qu’ils existent, qu’ils sont complets et qu’ils sont conservés.
On garde le procès-verbal de remise des clés, avec le nom de chaque détenteur. On garde les références de l’empreinte à l’ouverture et à la clôture, et le constat de leur concordance. On garde le constat de l’urne vide à l’ouverture. On garde le nombre d’émargements et le nombre de bulletins à la clôture. On garde enfin la trace de tout incident, avec les explications du prestataire.
Le rapport de l’expertise indépendante, quand le dispositif en a fait l’objet, fait aussi partie du dossier. C’est lui qui atteste que le système scellé est bien celui qui a été vérifié avant le scrutin. Le protocole ou la réglementation applicable peut en exiger un ; vérifiez ce qu’il en est pour votre élection et demandez-en une copie.
Le scellement est souvent présenté comme une opération technique réservée aux spécialistes. Il est en réalité l’équivalent électronique de gestes que tout bureau de vote connaît, et il obéit aux mêmes exigences de transparence que les garanties d’un scrutin électronique dans leur ensemble. C’est aussi ce qui permet aux élections et instances élues de garder leur légitimité quand le papier disparaît. Teledis l’a vu sur des années de scrutins : un résultat se défend par la trace de chaque étape, pas par la réputation de l’outil.
Questions fréquentes
Le scellement est-il obligatoire pour un vote électronique au CSE ?
Les élections professionnelles organisées par voie électronique sont encadrées par des règles qui imposent des garanties de sincérité et de confidentialité, et le scellement en fait partie dans les dispositifs habituels. Les modalités exactes se lisent dans la réglementation applicable, dans le protocole d’accord préélectoral et dans la documentation du prestataire. Vérifiez qu’il y est décrit, et qu’il est prévu à l’ouverture comme à la clôture.
Faut-il être informaticien pour vérifier un scellement ?
Non. Le bureau de vote n’a pas à comprendre le calcul de l’empreinte. Il doit voir qu’elle a été produite, en garder la référence, constater qu’elle est identique à la clôture et que le nombre de bulletins correspond aux émargements. Ce sont des constats, pas des expertises. Demandez au prestataire de montrer chaque étape à l’écran.
Que se passe-t-il si un détenteur de clé perd sa partie ?
La plupart des dispositifs exigent un nombre minimal de détenteurs pour déchiffrer, ce qui laisse une marge en cas d’absence ou de perte. Si cette marge est dépassée, le dépouillement peut être bloqué. Renseignez-vous auprès du prestataire avant le scrutin sur la procédure prévue, et notez-la dans les documents du bureau.
Le prestataire peut-il lire les votes ?
Dans un dispositif bien conçu, non : les bulletins sont chiffrés au moment du vote et ne peuvent être déchiffrés qu’avec les clés détenues par les membres du bureau. C’est précisément la raison pour laquelle les clés sont remises à des personnes distinctes du prestataire. Demandez-lui de confirmer ce point par écrit dans sa documentation.