Verslag 4-7/2 (Sénat) 52-0015/001 (Chambre)

4-7/2 (Sénat) 52-0015/001 (Chambre) Sénat et Chambre des représentants SESSION DE 2008-2009 22 JUIN 2009 Rapport concernant les élections régionales et européennes du 7 juin 2009 RAPPORT FAIT AU NOM DU COLLÈGE D'EXPERTS CHARGÉS DU CONTRÔLE DES SYSTÈMES DE VOTE AUTOMATISÉ SOMMAIRE Pages 1. Composition du Collège . 2. La mission . 2.1. La loi 2.2. Application de la loi . 2.3. Vote automatisé et vote papier 3. Les systèmes 3.1. Modifications principales aux lois et aux arrêtés royaux . 3.2. Le vote automatisé 3.3. Modifications aux logiciels 3.4. Le système informatique cetralisé de gestion de toutes les données électorales . 3.5. Application de la loi du 14 avril 2009 4. Méthode de contrôle S.15

4.1. Actions préalables . 4.2. Les logiciels de vote sont conformes aux codes source . 4.3. La piste de la carte magnétique retient le vote émis . 4.4. Contrôle de totalisation . 4.5. Simulation de bureaux de vote et de totalisation 4.6. Lecture de la piste magnétique et recomptage d'urne 5. Constatations 5.1. Interventions de l'organisme d'avis . 5.2. Constatations à l'occasion des élections du 7 juin 5.2.1. Constatations avant les élections 5.2.1.1. Fabrication des disquettes 5.2.1.2. Démonstration, tests et simulation avant les élections 5.2.1.3. Compilation de référence Digivote 5.2.1.4. Compilation de référence Jites . 5.2.1.5. Analyse du code source Digivote . 5.2.1.6. Analyse du code source Jites 5.2.1.7. Diffusion d'informatiques par le SPF Intérieur . 5.2.2. Constatations le jour des élections . 5.2.2.1. Contrôle dans les bureaux de vote 5.2.2.2. Contrôle dans les bureaux de totalisation 5.2.2.3. Respect des procédures 5.2.2.4. Visites des experts dans les bureaux de vote 5.2.3. Contrôles effectués après les élections 5.2.3.1. Vérification des votes de référence 5.2.3.2. Contrôle de la totalisation 5.2.3.3. Recomptage d'urnes 5.2.3.4. Diffusion du code source . 5.2.3.5. Contrôle des disquettes utilisées lors des élections . 5.3. Les incidents avec le système CODI 6. Recommandations 6.1. Vote électronique . 6.1.1. Transparence )

6.1.1.1. Diffusion d'un rapport de prise en compte des recommandations du Collège d'Experts par le SPF Intérieur . 6.1.1.2. Diffusion du code source . 6.1.1.3. Diffusion des rapports des organismes d'avis . 6.1.1.4. Diffusion des PV de totalisation et de dépouillements 6.1.1.5. Diffusion d'un rapport d'évaluation de l'organisation des élections par le SPF 6.1.2. Standardisation des structures de données . 6.1.3. Application CODI 6.2. Organisation et procédure . 6.2.1. Mesures visant à permettre un meilleur déroulement des élections . 6.2.2. Contrôle a posteriori 6.2.3. Le respect des procédures . 6.2.4. Utilisation de supports visuellement différents pour les électeurs européens 6.3. La législation 6.3.1. Information et moyens à la disposition du Collège d'experts . 6.3.2. Contrôle informatique à tous les échelons . 6.3.3. Le Collège d'experts ou un organe permanent 6.4. Informations sur les nouveaux systèmes . 7. Conclusions . 4-7/2 (Senaat) - 2008/2009 52-0015/001 (Kamer)

En application de l'article 5bis, § 1er, de la loi du 11 avril 1994 organisant le vote automatisé, ont été désignés pour contrôler l'utilisation et le bon fonctionnement des systèmes de vote et de totalisation automatisés à l'occasion des élections du Parlement européen et des Parlements des régions et communautés, les experts dont les noms suivent : — effectif : Mme. Sophie Jonckheere, — suppléants :

M. Freddy Tomicki et M. Bruno De Nys. 2. Experts désignés par le Sénat : — effectifs :

M. Emmanuel Willems et M. Gaëtan Deberdt. 3. Experts désignés par le Parlement wallon : — effectif :

M. Jean-Pierre Gilson, — suppléant :

M. Jean-François Damseaux. 4. Experts désignés par le Parlement flamand : — effectif :

M. Kurt De Vriendt, — suppléant :

M. Ronny Ramoudt. 5. Experts désignés par le Parlement de la Région Bruxelles-Capitale : — effectifs :

M. Jean-Marc Paul et M. Alain van Laer. 6. Experts désignés par le Parlement de la Communauté germanophone : — effectif :

M. Daniel Brandt, — suppléant :

M. Kurt Andres. Ces experts forment le Collège d'experts.

En application de l'alinéa 3 du même article 5bis, § 1er, ont été désignés comme président M. Emmanuel Willems et comme secrétaire Mme Sophie Jonckheere. 2. La mission Cette mission est réglée par l'article 5bis de la loi du 11 avril 1994 tel que modifié ultérieurement à plusieurs reprises. « Art. 5bis. § 1er. Lors de l'élection des membres de la Chambre des représentants et du Sénat, Parlement européen et des conseils de région et de communauté ainsi que des conseils provinciaux et communaux, des conseils de district et de l'aide sociale. Conseil de la Région de Bruxelles-Capitale peuvent désigner chacun deux experts effectifs et deux experts suppléants; 2o le Conseil régional wallon, le Conseil flamand et le Conseil de la Communauté germanophone peuvent désigner chacun un expert effectif et un expert suppléant. Ces désignations peuvent être effectuées tant lors du renouvellement complet de chaque assemblée que lors d'une nouvelle élection organisée suite à l'annulation d'un scrutin, ainsi que lors d'une élection suite à une vacance à laquelle il ne peut être pourvu par l'installation d'un suppléant. Les personnes visées au premier alinéa forment le Collège d'experts. § 2. Ces experts contrôlent lors des élections l'utilisation et le bon fonctionnement de l'ensemble de systèmes de vote et de dépouillement automatisés ainsi que les procédures concernant la confection, la distribution et l'utilisation des appareils, des logiciels et des supports d'information électroniques. Les experts reçoivent du ministère de l'Intérieur le matériel ainsi que l'ensemble des données, renseignements et informations utiles pour exercer un contrôle sur les systèmes de vote et de dépouillement automatisés. Ils peuvent notamment vérifier la fiabilité des logiciels des machines à voter, la transcription exacte des votes émis sur la carte magnétique, la transcription exacte pour l'urne électronique des suffrages exprimés sur le support de mémoire du bureau de vote, l'enregistrement exact du support de mémoire provenant du bureau de vote sur le support de mémoire destiné à la totalisation des votes, la totalisation des

suffrages exprimés, la lecture optique des votes exprimés et le système de contrôle du vote automatisé par impression des suffrages émis sur support papier. Ils effectuent ce contrôle à partir du 40e jour précédant l'élection, le jour de l'élection et après celleci, jusqu'au dépôt du rapport visé au § 3. § 3. Au plus tard quinze jours après la clôture des scrutins et en tout état de cause avant la validation des élections pour ce qui concerne la Chambre des représentants et le Sénat, les conseils régionaux et communautaires et le Parlement européen, les experts remettent un rapport au ministre de l'Intérieur ainsi qu'aux assemblées législatives fédérales, régionales et communautaires. Au plus tard dix jours après la clôture des scrutins et en tout état de cause avant la validation des élections pour ce qui concerne les conseils provinciaux, communaux, de district et de l'aide sociale, ils remettent un rapport au ministre de l'Intérieur et aux assemblées législatives fédérales. Leur rapport peut notamment comprendre des recommandations relatives au matériel et aux logiciels utilisés. § 4. Les experts sont tenus au secret. Toute violation de ce secret sera sanctionnée conformément à l'article 458 du Code pénal. » 2.2. Application de la loi Le Collège regrette que, comme à l'occasion des missions précédentes, certaines assemblées n'aient pas désigné la totalité des experts effectifs et/ou suppléants. L'exécution de la mission de contrôle s'en est ressentie. Le Collège regrette que les assemblées n'accordent pas plus d'importance à cette mission de contrôle et au rapport qui en découle. Bien que le Collège d'experts ait soulevé ce point à l'occasion du contrôle effectué lors des précédentes élections, le rôle des membres suppléants prévus par l'article 5bis § 1er, n'est toujours pas clairement défini. La dernière phrase de ce paragraphe dispose que les membres effectifs et les membres suppléants forment ensemble le Collège. Quelle est alors la différence entre ceux-ci ? Le Collège a, à nouveau, opté pour l'interprétation la plus large et considère les membres suppléants comme membres de plein droit du Collège, avec les mêmes pouvoirs de contrôle.

Le Collège tient à mentionner que dans la composition du Collège, la présence d'un ou deux juristes offrirait une aide précieuse. Une fois de plus, le Collège constate que sa mission engendre à la fois de réelles responsabilités et un surplus non négligeable de travail. Considérant que presque tous les experts sont également fonctionnaires de leurs assemblées parlementaires respectives, il est essentiel que celles-ci (et en particulier leurs administrations) prennent conscience de l'importance de leur mission et qu'elles mettent à leur disposition le temps et les moyens nécessaires à son accomplissement. Le Collège met l'accent sur le contrôle du vote automatisé et n'effectue pas de vérifications sur les procédures et infrastructures utilisés spécifiquement pour le vote « papier ». Les contrôles et procédures du Collège sont conçus pour détecter les incidents ou anomalies du vote automatisé dans la période fixée par la loi. Dans l'accomplissement de ses tâches, le Collège ne prend pas position pour ou contre le vote automatisé. Un système de vote automatisé se compose de différents éléments dont la machine à voter dans l'isoloir, qui est la partie la plus visible pour l'électeur, ne constitue qu'un élément. En effet, il y a plusieurs phases dans le processus électoral et à chaque phase correspond un sous-système bien déterminé du système de vote automatisé. Phase 1 Il y a d'abord la préparation pendant les semaines qui précèdent les élections, au cours de laquelle sont notamment arrêtés : les registres d'électeurs, les sigles et numéros de partis, la liste des candidats, la liste des bureaux. C'est également durant cette phase que les programmes utilisés dans les machines à voter et dans les urnes électroniques sont finalisés et que les disquettes spécifiques à chacun des bureaux sont confectionnées.

Phase 2 Le jour des élections, de 8h à 15h, a lieu la procédure de vote proprement dite dans les bureaux de vote. Phase 3 Le jour des élections, après 15h, on assiste à une troisième phase du vote automatisé dans les bureaux principaux de canton où les votes sont totalisés puis transmis et centralisés aux niveaux supérieurs spécifiques à l'élection de chaque assemblée. Jusqu'en 2004, par « vote automatisé », en Belgique, on entendait l'opération de vote proprement dite et la totalisation des résultats. Lors des élections communales de 2006, les exécutifs régionaux nouvellement compétents pour l'organisation des élections communales ont mis en place, chacun dans leur région respective, un système informatique permettant d'une part la récolte des informations nécessaires au vote (phase 1) et, d'autre part, à la récolte des résultats, leur centralisation et la désignation des élus (phase 3). Le SPF Intérieur a décidé, pour les élections législatives 2007 de suivre l'exemple et de mettre en place un système semblable. Pour ces élections 2007, étaient donc en service un système de vote électronique (machines à voter et urnes électroniques) et un système informatique centralisé de gestion de toutes les données électorales (candidats, bureaux, résultats). À l'instar de ces élections législatives, il a été décidé d'utiliser un tel système centralisé pour le scrutin régional et européen de juin 2009. Le logiciel utilisé dans le cadre de la phase finale (confection de PVs et envoi de ceux-ci) a été complètement redéveloppé par la société Stésud. Il s'agit de l'application CODI. royaux Par rapport aux scrutins régional et européen de 2004, les principales modifications apportées par la loi du 14 avril 2009 reprennent celles de la loi du 13 février 2007 publiée au Moniteur belge du 7 mars 2007 concernant les élections législatives fédérales de 2007. Elles n'ont en soi pas d'influence sur la procédure électorale sauf en ce qui concerne la transmission digitale des informations, la signature électronique des PVs avec la carte d'identité électronique et l'affichage, sur les bulletins de vote, des numéros des candidats.

Jusqu'en 2004, les bureaux principaux de canton transmettaient au SPF Intérieur, aux bureaux de niveau supérieur (circonscriptions) et aux Greffes des assemblées concernées, les données et PVs générés par leurs machines de totalisation. Les systèmes de vote Digivote et Jites sont incapables de générer les PVs signés électroniquement. Pour confectionner ces PVs qu'ils doivent signer électroniquement et transmettre de manière digitale, les cantons doivent donc utiliser un autre système informatique, le système CODI. Contrairement aux élections de 2007, les PVs et données officiels ne sont donc plus ceux issus des machines de totalisation mais bien ceux issus de cet autre système. Le Collège d'experts a donc estimé que le contrôle de celui-ci entrait également dans sa sphère de compétences. Le Collège tient toutefois à mentionner que les moyens dont il dispose ne permettent pas un contrôle exhaustif de ce logiciel. Lors des rencontres entre le SPF Intérieur et le Collège, dans les jours qui précédaient les élections, le SPF Intérieur a présenté au Collège le système CODI. Ce système doit être utilisé à trois niveaux : — lors de la préparation des élections pour gérer de manière centralisée toutes les données électorales, — le jour de l'élection pour permettre la transmission des résultats, la confection des PVs signés électroniquement et leur transfert vers le SPF Intérieur, les bureaux de niveau supérieur (circonscriptions) et les Greffes des assemblées concernées, — pour la totalisation finale, la désignation des élus et la publication des résultats. Pour une description complète des systèmes utilisés (d'une part le système Digivote de la firme Steria et, d'autre part, le système Jites de la firme Stésud), nous renvoyons aux rapports du Collège d'experts relatifs aux élections de 1999, 2000, 2003, 2004, 2006 et 2007. Le présent rapport ne s'attache qu'aux différences par rapport aux élections précédentes.

Suite aux recommandations du Collège, une fonction de hashing a été ajoutée dans le programme de comptage de l'urne du logiciel Digivote. Cette fonction était déjà présente dans le logiciel Jites. Toutefois, les recommandations prévoyaient également la transcription au PV de ce code. Ceci n'a pas été repris dans les exigences du SPF Intérieur, ce que le Collège regrette. 3.4. Le système informatique centralisé de gestion de toutes les données électorales Lors de la préparation des élections, les données électorales sont introduites dans l'application CODI qui les gère de manière centralisée. Cet encodage se fait principalement au niveau des bureaux de circonscription et des partis et est validé à l'aide de Registre National. Les divergences de données dues à la multitude des bases de données utilisées lors du scrutin de 2007 ont disparu grâce à l'utilisation d'une source unique d'information. Une fois encodées, ces données sont transférées dans les systèmes Digivote et Jites. Les systèmes de dépouillement automatisés (Digivote et Jites) sont utilisés aussi bien pour le comptage au niveau d'un bureau de vote que pour la totalisation au niveau d'un canton. Les systèmes Digivote et Jites permettent de présenter les résultats des totalisations des cantons dans : — un rapport que l'on peut imprimer et qui permet de contrôler le PV généré par l'application CODI, — un fichier sur une disquette de totalisation. Les résultats des totalisations des bureaux principaux de canton doivent être reproduits dans un PV officiel. Jusqu'en 2004, ce PV officiel était le document papier généré par les systèmes de totalisation Digivote ou Jites, lequel était signé à la main. Les modifications apportées au Code électoral le 14 avril 2009 stipulent que le PV officiel doit désormais être envoyé et signé de façon digitale. À cet effet, le SPF Intérieur met à la disposition des présidents des cantons l'application CODI brièvement

décrite plus haut. Il est à remarquer que ce nouveau système est employé tant pour le vote automatisé que pour le vote papier. Il faut également noter que le logiciel CODI doit recevoir l'agrément du ministre de l'Intérieur sur base d'un avis émis par un organisme de contrôle agréé. En 2009, cet avis a été rendu par la société PricewaterhouseCoopers (cf, « Diffusion des rapports de l'organisme d'avis »). Comme l'application CODI n'est pas intégrée dans les procédures Digivote et Jites, le Collège estime que des contrôles supplémentaires sont nécessaires afin de pouvoir garantir que les résultats figurant au PV officiel d'un bureau principal de canton sont identiques aux résultats des totalisations des systèmes Jites et Digivote. Les documents créés par les systèmes de totalisation Jites et Digivote n'ont donc plus aucune valeur légale. Ces documents n'ont plus qu'une valeur de référence. Les bureaux de totalisation doivent effectuer une comparaison manuelle entre ces derniers et les PVs issus du système CODI. 4.1. Actions préalables Avant les élections, le Collège a fait part au SPF Intérieur de sa volonté de contrôler à nouveau intégralement la totalisation en procédant à une retotalisation de tous les cantons faisant usage du vote automatisé. Les dispositions ont dès lors été prises avec le SPF Intérieur afin d'organiser la collecte des supports magnétiques dans la semaine suivant les élections. En outre, les principes cryptographiques de l'application CODI ont été étudiés. En effet, ce logiciel permet désormais de signer localement une version PDF du PV de totalisation dans les bureaux de cantons à l'aide de la carte d'identité électronique et de l'envoyer au SPF Intérieur de manière sécurisée. En particulier, le Collège tenait à vérifier qu'un logiciel tiers standard était en mesure de visualiser le PV signé et de valider la signature électronique apposée à l'aide du logiciel CODI, l'ensemble de la chaîne d'authentification pouvant dès lors être contrôlée par les utilisateurs de manière indépendante. Enfin, le Collège a également demandé que soient diffusées auprès des présidents de bureaux de vote des copies de leurs photos.

Les différents documents rédigés par le SPF Intérieur sont disponibles sur le site des élections : http://www.ibz.rrn.fgov.be. source Afin de faire preuve de transparence à propos du vote automatisé, il a été convenu avec le SPF Intérieur que les codes source de tous les programmes utilisés dans les systèmes de vote et de totalisation seraient rendus public peu après les élections. Ceci doit permettre au citoyen de vérifier que ces systèmes remplissent correctement leur fonction. Pour pouvoir ensuite garantir que les logiciels exécutables effectivement utilisés le jour des élections proviennent bien des codes source publiés, le Collège a effectué les contrôles suivants : — une compilation de référence — une vérification de la conformité entre les codes source et les logiciels exécutables. émis Le jour des élections, des votes de référence ont été émis dans des bureaux de vote en présence de témoins. Ces votes ont été visualisés sur une autre machine à voter. Quelques jours après les élections, ces votes de référence ont été visualisés au moyen d'un logiciel développé par le Collège. 4.4. Contrôle de totalisation La mission du Collège d'experts consiste à contrôler si le traitement par le système de vote automatisé se passe correctement entre l'émission du vote et l'impression du PV de totalisation. Tous les autres aspects de la procédure peuvent être contrôlés par le citoyen au moyen des informations publiées sur le site web du SPF Intérieur. Le Collège n'a donc pas procédé aux contrôles des niveaux supérieurs de totalisation. Lors des élections 2009, le PV signé à l'aide de la carte d'identité électronique est envoyé au SPF Intérieur de manière digitale par le président de canton. Cette signature est apposée à l'aide du logiciel CODI.

Comme précédemment, à la fin de la totalisation, un rapport est imprimé et les résultats des votes sont écrits sur une disquette d'exportation. Cette disquette est désormais importée par le logiciel CODI. Cette application relit les données, génère un fichier au format F ainsi que le PV de totalisation au format PDF. Après comparaison de ce PV avec le rapport généré par le système de totalisation, le président de canton envoie le PV signé électroniquement au SPF Intérieur. À l'occasion des élections précédentes, le Collège avait déjà développé son propre logiciel pour contrôler les résultats à partir des disquettes des bureaux de Étant donné que le PVofficiel ne provient plus de la machine de totalisation mais est le document signé électroniquement issu de la machine CODI, le Collège a été conforté dans sa décision de procéder à une retotalisation complète des bureaux de vote utilisant le vote électronique. Pour pouvoir effectuer cette opération, le Collège a reçu de la part du SPF Intérieur, le lendemain des élections, les mots de passe des différents bureaux. Comme lors des élections précédentes, le Collège a procédé à un test de vote et de totalisation avec du matériel Digivote et du matériel Jites. Pour ce faire, le Collège a utilisé les logiciels et les listes officiels. Le Collège dispose de lecteurs de cartes magnétiques sur ports USB et a adapté son logiciel de lecture de la piste magnétique développé à l'occasion des élections précédentes. Ce logiciel de lecture est décliné en deux versions : la première permet de lire et d'afficher le contenu d'une carte magnétique de n'importe quel bureau (Digivote ou Jites); la deuxième permet de recompter toutes les cartes d'une urne (Digivote ou Jites) et compare le résultat avec celui contenu dans le fichier résultat du bureau de vote.

5.1. Interventions de l'organisme d'avis L'article 2, § 2, de la loi du 11 avril 1994 organisant le vote automatisé dispose que tous les systèmes de vote et de dépouillement électronique ainsi que tout logiciel utilisé pour le comptage et la totalisation des résultats doivent être agréés par le ministre de l'Intérieur. Conformément à cet article, le 25 septembre 2002, le SPF Intérieur a lancé un appel à candidatures en vue de désigner les organismes chargés de remettre un avis au ministre sur les fournisseurs de systèmes de vote et de dépouillement électronique. L'organisme choisi selon les conditions reprises dans cet appel et chargé de remettre un avis pour les machines et logiciels Digivote (Steria) et Jites (Stésud) est PricewaterhouseCoopers. Le Collège était présent lors de la remise des rapports d'avis au SPF Intérieur et a reçu une copie de ceux-ci. Le ministre de l'Intérieur a agréé tous les systèmes de vote et de dépouillement électronique sur la base des avis émis. La fabrication des supports magnétiques pour les bureaux de vote et de totalisation s'est déroulée dans des locaux sécurisés du SPF Intérieur. Les mesures de sécurité comprenaient notamment : — le regroupement des locaux de fabrication à un seul endroit accessible par une seule porte; — le contrôle des accès à ces locaux de fabrication de disquettes par un garde d'une société de gardiennage posté en permanence en face des locaux concernés entre 7h00 et 19h00; — la tenue d'un journal des accès aux locaux; — la limitation des accès aux agents autorisés; — la surveillance par trois caméras placées dans le couloir d'accès.

Les remarques suivantes peuvent cependant être formulées en relation avec les constatations faites lors de la visite des locaux par le Collège le 27 mai 2009 : — la production des disquettes et l'impression des mots de passe associés ont lieu dans le même local sous le contrôle des mêmes opérateurs. Il eut été préférable de séparer physiquement les deux opérations pour s'assurer que personne ne puisse avoir accès à la fois aux disquettes d'un bureau de vote et à ses mots de passe avant l'ouverture des enveloppes le jour de l'élection. — le garde chargé du contrôle des accès ne voit pas directement la porte d'accès au couloir et n'en contrôle pas l'ouverture. 5.2.1.2. Démonstration, tests et simulation avant les Le Collège a effectué des essais sur chacun des systèmes concernés. Bureaux de vote Des bureaux de vote Jites et Digivote ont été démarrés, des votes ont été émis et la clôture a été effectuée dans chacun des cas. La disquette « résultats » a été conservée pour pouvoir effectuer une totalisation. Bureaux de totalisation Des bureaux de totalisation ont été démarrés pour chaque système. Les disquettes provenant des bureaux de vote clôturés ont été importées et totalisées. Les rapports ont été imprimés et comparés avec les résultats obtenus à partir d'une totalisation manuelle. Les résultats se sont avérés identiques. Les disquettes à insérer dans le système CODI ont ensuite été créées. La procédure complète du système CODI a été suivie jusqu'à production PVs signés. À l'exception du problème décrit ci-dessous, toute la procédure s'est déroulée conformément aux attentes. Problème d'importation CODI Lors de l'importation de la disquette de la totalisation provenant du système Jites, les votes pour les membres bruxellois du Parlement flamand n'ont pu être lus correctement. Après contact avec les responsables de la société Stésud, auteur du logiciel, le problème a pu être identifié et corrigé manuellement. Celui-ci provenait d'une valeur erronée d'un paramètre dans un fichier de configuration. Après correction de

ce paramètre, les opérations de tests ont pu être complétées correctement. Objectifs — génération des codes exécutables de référence par compilation, dans un environnement du SPF Intérieur, de la version définitive des codes source des différents programmes du système de vote; la comparaison binaire entre ces codes exécutables et les codes exécutables utilisés le 7 juin 2009 ne peut afficher la moindre différence; — réception du code source en vue d'une analyse ultérieure. Constatations Lors de la compilation de référence, l'environnement de développement du SPF Intérieur a été utilisé. A été copié dans cet environnement, le contenu du CD-ROM qui a été utilisé par l'organisme d'avis pour réaliser son évaluation. La compilation de référence a consisté en une compilation intégrale en présence du Collège. Celui-ci a pris une copie du disque dur de la machine utilisée ainsi qu'une copie du CD-ROM destiné à être conservé au coffre. Le Collège s'est alors assuré que tant le code source que les programmes générés étaient identiques sur les 2 copies. Ensuite, le CD-ROM a été déposé au coffre en présence de toutes les parties (1). 5.2.1.4. Compilation de référence Jites (1) Des représentants de la firme ayant écrit le logiciel, du SPF Intérieur, de l'organisme d'avis et du Collège

Au moment de procéder à la compilation de référence, le Collège a constaté que celle-ci ne se faisait pas sur l'environnement de développement de SPF Intérieur mais sur un PC préinstallé de la société Stésud. Le Collège a émis des objections par rapport à cette procédure en décalage par rapport aux exigences. La société Stésud la justifiait par des arguments d'ordre technique. Après concertation avec la société Stésud et le SPF Intérieur, il fut convenu que la compilation se fasse sur le PC préinstallé, mais que celle-ci se fasse également sur le PC d'un des experts. Les experts ont pu constater que les mêmes exécutables (c'est-à-dire identiques au niveau binaire) avaient été générés sur les 2 PCs et valident donc cette compilation de référence. 5.2.1.5. Analyse du code source Digivote Lors de l'analyse du logiciel Digivote plusieurs modifications ont été constatées : — amélioration de l'écriture et de l'effacement des données en mémoire et sur disquette; — ajout d'une fonction de « hashing » pour mieux garantir l'intégrité des données; — tests supplémentaires pour vérifier la présence d'une disquette dans la machine du président; — routines sécurisées d'effacement des fichiers temporaires. Le Collège d'experts a surtout examiné la partie concernant la machine à voter et l'urne. Puisqu'il avait décidé de procéder à une retotalisation intégrale, la partie du code concernant la totalisation n'a pas fait l'objet d'un examen aussi approfondi. Les routines et algorithmes de lecture et d'écriture des cartes magnétiques ont été examinés en profondeur dans le cadre du développement par le Collège de son propre logiciel de lecture de carte magnétique. Comme pour les élections de 2007, le décryptage des fichiers « résultats » s'est fait au moyen d'un logiciel écrit par le Collège sur la base des routines de décryptage écrites en C et provenant des modules logiciels du système Digivote. Le Collège doit malheureusement constater que rien n'a été fait quant à la lisibilité du code. Celui-ci n'est que très rarement documenté et dans le cas des parties

écrites en C, de nombreux passages sont mis en commentaire. Aucun réel nettoyage n'a été fait et la lecture n'en est que plus difficile. Le code des logiciels des machines à voter et des urnes a été comparé à celui utilisé lors des scrutins de 2007. Les différences constatées concernent : — le code de cryptage propre à l'élection de 2009, — les dénominations et types de scrutins, — l'affichage des candidats. Puisque le Collège avait décidé de procéder à une retotalisation intégrale, la partie du code concernant la totalisation n'a pas fait l'objet d'un examen approfondi. 5.2.1.7. Diffusion d'informations par le SPF Intérieur Comme en 2007 le SPF Intérieur a mis en service un site particulièrement complet comprenant entre autres la législation, les diverses directives, les différentes notes et recommandations envoyées aux intervenants. Le Collège ne peut que féliciter les responsables de l'organisation des élections pour cette transparence complète et la qualité de l'information à la disposition du citoyen. Nous soulignons en particulier deux initiatives innovantes : — un DVD avec les instructions claires aux présidents des bureaux de vote a été réalisé; — les instructions papier pour les présidents de bureaux de vote ont été revues et simplifiées. 5.2.2. Constatations le jour des élections Le Collège a voulu effectuer un contrôle dans le plus grand nombre possible de cantons. Des copies du logiciel de vote ont été prises dans une partie des bureaux visités. Ces copies ont été emportées pour analyse ultérieure.

Des votes de référence ont été émis. Ces votes ont été visualisés sur des machines à voter différentes de celles utilisées pour l'émission des votes. Ceci s'est fait en présence d'un témoin désigné par le président du bureau de vote contrôlé. Tous les votes de référence ont été revisualisés correctement. Des contrôles ont été effectués dans les bureaux de vote suivants : Commune Canton No Bureau Anderlecht Berchem-Sainte-Agathe Affligem Asse Dilbeek Liedekerke Ternat Aywaille Bruxelles Barvaux Durbuy Eupen Raeren Chaudfontaine Fléron Moustier Frasnes-les-Anvaing Anvaing Frasnes-lez-Anvaing Glabbeek Flémalle Grâce-Hollogne Grâce Holsbeek Haacht Auderghem Ixelles Watermael-Boitsfort Herchies Lens Jurbise Kortenberg Leuven

Liège Lanaken Maasmechelen Molenbeek Molenbeek-St-Jean Ganshoren Aalter Nevele Bellem Poeke Saint-Gilles Woluwe-Saint-Pierre Saint-Josse-ten-Noode Saint-Nicolas Evere Schaerbeek Seraing Sint-Niklaas Forest Uccle Alveringem Veurne De Panne Koksijde Diegem Vilvoorde Zaventem Knesselare Zomergem Geetbets Zoutleeuw Au total 93 bureaux ont été visités.

totalisation suivants le soir des élections : — Zoutleeuw — Glabbeek — Veurne — Dendermonde — Sankt-Vith — Bassenge — Aywaille — Saint-Gilles — Bruxelles — Durbuy À Bruxelles, des experts étaient présents lors du recomptage d'une urne. Malgré les mesures préventives et les rappels envoyés par le SPF Intérieur aux présidents de cantons, il faut à nouveau regretter le manque de respect des procédures constaté dans certains bureaux de vote : — des PCs ont été démarrés avant la formation du bureau, soit par le président, soit par des externes, — des instructions parallèles (parfois erronées) ont été diffusées par les administrations communales, — la loi du 11 avril 1994 organisant le vote automatisé stipule à propos des enveloppes contenant les disquettes avec les résultats de chaque bureau de vote : « Chaque enveloppe est scellée et porte au verso la signature du président, des membres du bureau et, s'ils en formulent le souhait, des témoins. ». Cette procédure est rarement respectée, la plupart des enveloppes n'étant pas signées. Le Collège ne saurait trop insister sur le respect des procédures, garantes du bon déroulement du scrutin. Notons toutefois que le temps imparti aux présidents pour démarrer leur bureau est généralement trop court pour pouvoir appliquer correctement les procédures tout en l'ouvrant à l'heure prévue.

5.2.2.4. Visites des experts dans les bureaux de vote Lors de leurs contrôles, les experts ont pu constater que la plupart des présidents de bureau de vote avaient connaissance de l'éventualité d'un contrôle des experts et qu'ils avaient bien reçu la photo des membres de Collège. Comme les experts sont en général repartis avec quelques cartes pour leurs votes de référence, il eut été utile d'avoir un emplacement réservé à cet effet dans la page du PV réservée au décompte des cartes magnétiques. À l'occasion des élections de 2009, le Collège a développé son propre logiciel de lecture de cartes magnétiques. Au moyen de 2 lecteurs différents fonctionnant sur port USB, le Collège a ainsi pu vérifier le contenu des votes de référence qu'il a émis dans les différents bureaux de vote visités le jour des Tous les votes de référence émis par les membres du Collège ont été visualisés et sont conformes aux votes émis. À l'occasion des contrôles des élections précédentes, le Collège avait recommandé de pouvoir obtenir une copie de tous les supports magnétiques ayant servi dans les bureaux de vote et dans les bureaux de totalisation afin de retotaliser tous les cantons. Comme indiqué plus haut, l'objectif était de pouvoir s'assurer que la totalisation n'avait pas été entachée d'erreur. La recommandation de 2004 n'ayant pas été intégrée à la loi, le SPF Intérieur et le Collège d'experts ont convenu d'une autre approche. Par lettre du 29 mai 2009, accompagnée d'un avis juridique du SPF Intérieur, le Collège d'experts a demandé l'accord des présidents de cantons pour qu'il puisse récupérer tous les supports magnétiques ayant servi dans les bureaux de vote et de totalisation le 7 juin. Les experts se sont donc rendus les 7, 8, 9 et 10 juin dans tous les cantons pour récupérer :

— toutes les disquettes (master et backup(s)) des bureaux de vote; — toutes les disquettes ou disques ZIP des bureaux de totalisation, y compris les disquettes d'export des sous-totalisations le cas échéant; — une copie de disquette d'export des résultats. Tous les cantons ont fourni les éléments demandés, à l'exception du canton de Hasselt qui n'a pas fourni toutes les disquettes de backup. Le Collège a ainsi récolté près de 10 000 disquettes ou disques ZIP. Le Collège d'experts avait prévu un serveur sécurisé sur lequel les fichiers envoyés par l'application CODI au SPF Intérieur pouvaient être copiés. Ces fichiers signés électroniquement contiennent les PVs en PDF des bureaux de totalisation ainsi que les fichiers de données au format F contenant les résultats de totalisation des bureaux. Le Collège a adapté le logiciel qu'il avait développé en 2007 pour : — totaliser toutes les disquettes d'un canton; — comparer ce résultat avec les données reprises dans les fichiers au format F générés par l'application CODI; — comparer ce résultat avec les données disponibles sur le site web des élections du SPF Intérieur (votes nominatifs pour chaque candidat de chaque liste de chaque canton utilisant le vote automatisé). Le Collège n'a découvert aucune différence entre le résultat de ses totalisations, les fichiers de données générés par l'application CODI et les votes nominatifs repris sur le site web du SPF Intérieur. Le Collège ayant développé un logiciel propre pour le contrôle des votes de référence, un logiciel semblable a été mis au point pour le recomptage d'une urne. Le Collège a procédé à titre d'exemple au recomptage d'urnes des cantons de Molenbeek-Saint- Jean et d'Ixelles (système Digivote), et des cantons de Bassenge et de Hasselt (système Jites).

Le Collège a pu constater que les résultats du recomptage au moyen de son logiciel correspondent à ceux repris sur la disquette du bureau de vote. 5.2.3.4. Diffusion du code source Le lendemain des élections, le Collège a pu constater que le code source des logiciels utilisés pour les élections (machine à voter, urne et PC de totalisation) était disponible sur le site web « élections » du SPF Intérieur. Cependant après vérification, il est apparu que le code source de plusieurs exécutables critiques utilisés par le système Jites manquait comme en 2007. Il manquait également certains fichiers pour le système Digivote. Le Collège a donc pris contact avec les responsables du SPF Intérieur afin d'en connaître les raisons. En ce qui concerne le système Digivote, le fournisseur Steria a expliqué que les fichiers manquants étaient obsolètes et n'étaient pas utilisés lors de la compilation. Le Collège d'experts a pu s'en assurer. Pour le système Jites, une copie intégrale du CD déposé au coffre et reprenant l'intégralité des codes source a été mise sur le site web des élections quelques jours plus tard. Le Collège souhaite que cette mesure de transparence bénéficie de toute l'attention qu'elle mérite. Au moyen d'un logiciel qu'il a conçu, le Collège a pu constater que les disquettes utilisées lors des élections du 7 juin 2009 contiennent les exécutables obtenus lors de l'épreuve de recompilation à partir du code source mis au coffre le 8 mai 2009 et publié sur le site du SPF Intérieur. De nombreux incidents relatifs à l'utilisation de l'application CODI ont été rapportés ou constatés par le Collège pendant la collecte des résultats. Comme l'application CODI est généralisée sur tout le territoire notamment pour la confection des PVs des bureaux de totalisation (vote automatisé) et pour les

PVs des bureaux de dépouillement (vote papier), le Collège mentionne les principaux problèmes qui lui ont été rapportés : — erreurs de paramétrage du programme CODI, résolues par l'intervention d'un technicien via le support téléphonique (Uccle, Bruxelles, Saint-Vith, Gand, ...); — problèmes de connectivité avec le réseau GPRS choisi dans certains cantons pour le transfert des résultats au SPF Intérieur avec nécessité de recourir à une procédure de secours faisant appel à une connexion moins sécurisée : Stavelot, Maaseik, Kruishoutem, Bastogne, Lier, Verviers, Virton, Beauraing, Walcourt, Zonnebeke, Eghezée, Lokeren, Malmedy, Nivelles, Circonscription germanophone; — problème de licence provisoire du logiciel de création des PVs en PDF dans certains cantons; — problème d'incompatibilité entre programmes et matériels pour la signature des PVs par la carte d'identité électronique (Gembloux, Assenede). Ces problèmes n'ont pu être résolus que le lendemain par l'installation de nouveaux PCs; — erreurs dans le calcul des élus suppléants pour le Parlement germanophone. La correction a été apportée au programme le mardi et un calcul correct a pu être effectué; — erreurs dans le calcul du « hit parade » pour le Parlement européen (sur le site web des élections); — erreur dans le PV des cantons « vote papier » pour les listes comprenant plus de 25 candidats : le détail des votes obtenus par les candidats au-delà de la vingt-cinquième position n'apparaissait pas; — erreurs dans les fichiers avec les listes préchargées dans les cantons de Beloeil et Frasnes-lez- Anvaing. Les fichiers corrects ont pu être installés à partir des serveurs du SPF Intérieur; — morceaux de PVs en PDF manquants (Saint- Gilles). Toutes ces erreurs ont été corrigées et n'ont pas eu d'incidence sur les résultats des élections.

6.1. Vote électronique 6.1.1.1. Rapport de prise en compte par le SPF Intérieur des recommandations du Collège Bien que plusieurs recommandations du Collège d'experts donnent lieu à une suite de la part du SPF Intérieur, le Collège ne peut que constater que certaines remarques récurrentes ne sont pas prises en compte. Le Collège d'experts demande qu'un rapport de suivi quant aux remarques formulées par le Collège soit rédigé lors de la préparation des élections suivantes. Pour faciliter la rédaction de ce rapport, les recommandations sont numérotées (p.e. [#2009. xxx]).[#2009.1] 6.1.1.2. Diffusion du code source Le Collège approuve la publication intégrale des codes source dans les jours qui ont suivi les élections. Il recommande néanmoins de diffuser le code source avant les élections sans communiquer les paramètres cryptographiques. [#2009.2] Le Collège estime par ailleurs qu'un futur système devrait être développé en tant que « logiciel libre » et que son code source devrait être disponible en permanence. [#2009.3] 6.1.1.3. Diffusion des rapports des organismes d'avis Le Collège estime que les rapports des organismes d'avis doivent être rendus publics afin d'accroître la transparence de l'organisation des élections. [#2009.4] 6.1.1.4. Diffusion des PVs de totalisation et de Le Collège recommande que toutes les informations disponibles soient diffusées dès que possible sur le site du SPF Intérieur afin de rendre maximale la transparence du processus électoral. Cela inclut notamment : — les PVs de tous les bureaux de totalisation;

— tous les résultats sous forme de tableaux de données exploitables pour des calculs et vérifications ultérieures. [#2009.5] 6.1.1.5. Diffusion d'un rapport d'évaluation de l'organisation des élections par le SPF Intérieur À la suite des élections, un rapport d'évaluation du déroulement de celles-ci devrait être rendu public par le SPF Intérieur (et diffusé sur le site Internet), de manière à assurer une complète transparence. [#2009.6] 6.1.2. Standardisation des structures de données Le Collège recommande que, quelque soit le futur système mis en place, il fasse usage de formats de données et structures de fichier communs à tous les logiciels intervenant à quelque niveau que ce soit afin de faciliter le contrôle des données et des calculs et d'éviter des erreurs pouvant apparaître lors des échanges de données entre les différentes applications. [#2009.7] Le nombre et l'importance des problèmes rencontrés le soir de l'élection dans l'utilisation de l'application CODI (voir plus haut) montrent que cette application cruciale et complexe doit faire l'objet de plus de vérifications et de tests en vue d'une prochaine utilisation. Ce constat est valable tant pour le logiciel en tant que tel que pour son installation dans les bureaux principaux concernés, en ce compris le paramétrage et les tests exhaustifs nécessaires. Cette application et ses fichiers de données et paramètres doivent être sécurisés (p.e., contrôles d'intégrité, cryptage). [#2009.8] L'utilisation de matériel standardisé [#2009.9] aurait également évité quelques problèmes de compatibilité. L'utilisation d'un environnement « bootable » intégré (système d'exploitation et application) serait aussi une amélioration. [#2009.10] Enfin, le choix d'un système de communication des résultats au SPF Intérieur plus stable que le GPRS s'impose clairement. [#2009.11]

6.2. Organisation et procédure 6.2.1. Mesures visant à permettre un meilleur déroulement des élections Les membres du Collège d'experts ont constaté que dans certaines communes, les présidents ne disposaient que d'une connaissance et d'une compréhension très imparfaite des systèmes et des procédures. La formation et l'élaboration des modes d'emploi devraient être revues et pourraient par exemple être confiées à des spécialistes en vue de pallier aux nombreuses récriminations dont le Collège a eu vent. [#2009.12] Afin de permettre aux experts de contrôler de manière exhaustive les résultats des votes dans le délai imparti et ainsi de s'assurer du bon déroulement du scrutin et de l'exactitude des résultats, le Collège souhaite que la loi prévoie que tous les supports informatiques utilisés le jour des élections lui parviennent au lendemain de celles-ci. [#2009.13] 6.2.3. Le respect des procédures Vu les libertés prises par certaines communes et/ou présidents avec les procédures, le Collège estime indispensable que cet aspect de l'organisation des scrutins soit revu et recommande que des mesures contraignantes soient mises en place à cet effet. [#2009.14] 6.2.4. Utilisation de supports visuellement différents pour les électeurs « européens » Pour éviter les erreurs de manipulation, les bulletins de vote « papier » destinés à des élections différentes organisées le même jour sont imprimés sur des feuilles de couleurs différentes. Un principe similaire devrait être mis en œuvre pour les supports électroniques (telles que cartes magnétiques), et ce de manière à éviter les erreurs de manipulation ayant permis lors des présentes élections à quelques électeurs européens non-belges de voter pour les élections régionales (et inversement). [#2009.15]

Collège d'experts Le Collège a pu bénéficier de l'excellente collaboration des sociétés Steria et Stésud, et ne peut que les en féliciter et les en remercier. Toutefois, comme la loi sur le vote automatisé prévoit que le Collège reçoive du SPF Intérieur les moyens et les informations nécessaires à sa mission de contrôle, les experts souhaitent à toutes fins utiles que cette disposition soit également étendue à tous les intervenants à quelque niveau que ce soit (constructeurs, organismes d'avis, membres des bureaux de vote, de canton, etc.). [#2009.16] 6.3.2. Contrôle informatique à tous les échelons Le Collège souhaite que sa mission soit étendue à tous les aspects informatiques à tous les niveaux de la préparation du scrutin ainsi qu'à tous les niveaux de la collecte et de la diffusion des résultats. La loi devrait dès lors prévoir que tous les acteurs à tous les niveaux doivent lui apporter leur concours afin de l'aider dans sa mission (présidents de bureaux de vote, fonctionnaires et employés communaux et du pouvoir organisateur, présidents de cantons, de circonscription, etc.). [#2009.17] Le Collège déplore que la désignation d'experts soit optionnelle pour les assemblées. Ceci peut donner l'impression au citoyen que le contrôle des systèmes électroniques n'est pas une obligation mais une possibilité. La suppression de ce caractère optionnel pour les assemblées fédérales peut éliminer cette impression. [#2009.18] Le rôle des experts suppléants n'est pas défini. Le Collège propose de supprimer dans la loi la distinction entre experts effectifs et experts suppléants [#2009.19] et insiste pour que les assemblées désignent à chaque élection tous les experts auxquels elles ont droit. [#2009.20] Le Collège demande d'être associé en permanence à la révision des systèmes en dehors des élections, d'autant que l'étude d'un nouveau système de vote

automatisé est en cours. [#2009.21] Il propose également de donner un caractère permanent au Collège d'experts ou partie de celui-ci. [#2009.22] 6.4. Informations sur les nouveaux systèmes La procédure de réalisation d'un nouveau système de vote automatisé est en cours depuis quelques mois. Le Collège souhaite être tenu informé de l'état d'avancement de ce projet et de tout autre projet informatique qui a une incidence sur les élections. Les experts désignés devraient donc être chargés de suivre les différentes étapes de ce développement et faire rapport à leurs assemblées respectives. Celles-ci ayant des décisions à prendre dans ce domaine, il est impératif qu'elles puissent disposer des meilleures informations. [#2009.23] 7. Conclusions Dans les limites de la mission, des moyens et du temps disponibles, le Collège conclut ce qui suit : Lors des contrôles ponctuels dans les bureaux de vote le jour des élections, le Collège n'a pas constaté de dysfonctionnements au niveau technique dans les systèmes de vote automatisé. De même, lors de leurs analyses des codes source, les experts n'ont relevé aucune anomalie. D'une part, la possibilité pour l'électeur de revisualiser son vote et, d'autre part, la lecture des cartes magnétiques, le recomptage d'urnes et la retotalisation globale au moyen de logiciels développés par le Collège lui permettent de considérer que tous les éléments qui composent les systèmes de vote automatisé ont fonctionné correctement. L'objectif visé, à savoir émettre les votes, les enregistrer, les visualiser et les compter selon les dispositions légales, a été atteint. Le Collège demande avec insistance d'être associé en permanence à la révision des systèmes en dehors des élections, a fortiori lors de la conception et mise en œuvre éventuelles de nouveaux systèmes. Un caractère permanent du Collège (ou d'une partie du Collège) permettrait d'accroître la qualité du contrôle.

Le Collège souhaite insister une fois de plus sur le rôle et l'importance des procédures et des directives, seules garantes du bon déroulement du scrutin, et de leur respect à tous les niveaux par tous les acteurs de l'organisation et de la mise en œuvre des élections. Un système d'évaluation et de contrôle du respect des procédures et directives doit être mis en place par le SPF Intérieur à tous les niveaux afin d'essayer d'anticiper et de remédier aux problèmes qui peuvent découler de leur non-respect. Enfin, le Collège remercie les fonctionnaires du SPF Intérieur pour leur bonne collaboration, ainsi que les représentants des différentes firmes avec qui les experts ont été en contact. Le Collège remercie également les présidents, secrétaires, assesseurs et témoins des bureaux de vote et de totalisation pour leur coopération lors des contrôles pendant les Emmanuel Willems président Sophie Jonckheere secrétaire Gaëtan Deberdt Freddy Tomicki Bruno De Nys Jean-Pierre Gilson Jean-François Damseaux Kurt De Vriendt Ronny Ramoudt Daniel Brandt Kurt Andres Jean-Marc Paul Alain van Laer 92937 - I.P.M.