← Tous les articles

Le vote par correspondance : la commodité et les contrôles qui doivent l'accompagner

Un juge a constaté que des bulletins de vote émis par des personnes vivantes avaient été soumis au nom de décédés — et le recours a été d'annuler entièrement une élection.

Nous sommes le matin du 23 avril 2015, et dans une salle d'audience à Londres, le commissaire Richard Mawrey QC lit un verdict qui ne s'est pas produit dans la démocratie britannique depuis la mémoire vivante. Lutfur Rahman, maire exécutif du London Borough of Tower Hamlets, élu en mai 2014 avec plus de 3 000 voix d'avance, est destitué de ses fonctions.

Non suspendu. Non enquêté. Destitué.

La décision du tribunal électoral — Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) — compte 217 pages et constate que l'élection a été entachée de pratiques corrompues et illégales commises personnellement par le maire et par ses agents. Parmi ces pratiques : usurpation d'identité, fraude au vote par correspondance, corruption, traitement inégal, fausses déclarations et influence spirituelle indue.

Les conclusions concernant le vote par correspondance sont celles qui devraient tenir les administrateurs électoraux éveillés la nuit.

Un bulletin de vote déposé à un kilomètre du bureau de vote

Lorsque vous votez en personne, il y a une chaîne d'événements contrôlée. Un agent de polling vérifie votre nom. Vous recevez un bulletin. Vous entrez dans un isoloir. Personne ne vous regarde le marquer. Vous le déposez vous-même dans une urne scellée. À aucun moment quelqu'un d'autre ne manipule votre bulletin non marqué, ne le remplit à côté de vous, ou ne l'emporte quelque part pour vous.

Le vote par correspondance casse chacune de ces étapes.

Votre bulletin voyage par la poste vers une adresse. Il est rempli — quelque part, par quelqu'un — loin de tout témoin officiel. Il retourne dans une enveloppe, puis dans une autre enveloppe, puis dans une boîte aux lettres. Au moment où il arrive au dépouillement, il est passé par des mains que personne n'a enregistrées.

Ce n'est pas un risque hypothétique. Le tribunal de Tower Hamlets a trouvé des preuves que les formulaires de vote par correspondance étaient remplis lors de rassemblements organisés — plusieurs bulletins complétés ensemble, loin des domiciles des électeurs, parfois par des personnes qui n'étaient pas l'électeur inscrit du tout. Il a trouvé de l'usurpation d'identité : des votes émis au nom de personnes qui ne les avaient pas émis.

Le tribunal n'a pas constaté qu'il s'agissait d'incidents isolés. Il a trouvé un schéma assez étendu pour affecter le résultat d'une élection municipale dans l'un des arrondissements les plus peuplés de Londres.

Le recours n'a pas été un recomptage. Il n'y avait rien à recompter. L'élection a été déclarée nulle.

Le problème n'est pas l'enveloppe — c'est ce qui se passe à l'intérieur

Soyons précis sur ce qui s'est mal passé à Tower Hamlets, car la leçon compte.

La vulnérabilité n'était pas que le vote par correspondance existe. C'était que les contrôles autour du vote par correspondance — les vérifications d'identité, la garde des bulletins vierges, l'obligation qu'un électeur remplisse personnellement son propre formulaire en privé — étaient soit inadéquats, soit contournés.

Le vote par correspondance a une propriété de sécurité fondamentale que le vote en personne n'a pas : dès qu'un bulletin quitte la garde officielle, sa chaîne de garde est brisée. Le bulletin va à une adresse privée. Il est rempli sans témoin. Il revient scellé dans une enveloppe extérieure portant une signature et une vérification de date de naissance qui, en 2014, en Angleterre, pouvait être falsifiées ou influencées par quiconque se tenait à côté de l'électeur.

Un bulletin envoyé par la poste est un bulletin qui a été, pendant une certaine période, non observé. Cet écart — entre le moment où un formulaire vierge atteint un ménage et celui où un formulaire complété réintègre la garde officielle — est la surface d'attaque.

Et c'est une surface d'attaque avec un long historique d'exploitation. Dans le 9e district du Congrès de la Caroline du Nord en 2018, un plan coordonné a collecté des bulletins de vote par correspondance auprès des électeurs — parfois en les complétant, parfois simplement en les prenant — et le Conseil d'État des élections a finalement ordonné une nouvelle élection entièrement. L'agent au cœur de l'affaire, McCrae Dowless, a été ultérieurement inculpé de chefs d'accusation pour crimes. Un candidat différent a remporté la réélection.

Le mécanisme dans les deux cas est identique : intercepter le bulletin alors qu'il est hors de la garde officielle.

Autriche 2016 : aucune fraude trouvée, élection annulée malgré tout

Tower Hamlets est le cas où quelque chose de mauvais a clairement eu lieu. L'Autriche 2016 est le cas où les procédures ont échoué — et personne ne pouvait prouver que ce n'était pas le cas.

Le 1er juillet 2016, la Cour constitutionnelle autrichienne a annulé le deuxième tour de l'élection présidentielle fédérale — un scrutin qu'Alexander Van der Bellen avait remporté avec environ 30 000 voix d'avance sur 4,6 millions de suffrages exprimés. Le raisonnement de la cour était méthodique et, d'une certaine manière, radical.

La loi autrichienne est précise sur les bulletins de correspondance : l'autorité électorale du district, et seulement l'autorité électorale du district, peut les manipuler. Les enveloppes ne peuvent pas être ouvertes, les votes ne peuvent pas être dépouillés, avant 9 h 00 le jour suivant l'élection. Les membres de la commission électorale et les témoins doivent être présents.

La cour a constaté des violations dans plusieurs districts. Les enveloppes avaient été ouvertes prématurément. Les votes avaient été dépouillés par des personnes non autorisées. Les témoins requis étaient absents. Environ 77 000 votes ont été affectés par des violations procédurales prouvées.

La marge de victoire était de 30 000 votes.

La cour a expressément constaté aucune preuve de fraude réelle. Elle n'a pas dit que les votes avaient été modifiés. Elle a dit que, parce que les protections contre la manipulation avaient été violées à une échelle qui dépassait la marge de victoire, il était impossible de confirmer que le résultat était ce que les électeurs avaient réellement décidé. L'élection a été annulée. Un scrutin de remplacement s'est tenu en décembre 2016.

C'est l'argument plus difficile, et il mérite d'être entendu clairement : la vérifiabilité ne concerne pas seulement la détection de la fraude qui s'est produite — elle concerne les procédures assez rigoureuses pour prouver que la fraude n'aurait pas pu se produire. Lorsque ces procédures sont violées, le résultat n'est pas vérifiable, indépendamment de qui a réellement remporté.

Ce que « chaîne de garde » signifie réellement pour un bulletin de correspondance

Pensez à la chaîne de garde comme un registre sans lacunes. Chaque personne qui a touché un bulletin, quand, et sous quelle autorité.

Pour un bulletin en personne : la chaîne commence lorsque le bulletin est émis, se poursuit alors que votre bulletin marqué entre dans l'urne, s'étend au moment où l'urne scellée est ouverte au dépouillement sous observation, et se termine lorsque le lot est comptabilisé et scellé à nouveau. Chaque lien est témoigné, enregistré et recoupé.

Pour un bulletin de correspondance, la chaîne a une lacune structurelle — la période où le formulaire est à une adresse privée. Le droit procédural tente de compenser cette lacune avec :

  1. Vérification de l'identité avant l'émission d'un vote par correspondance (cette personne est-elle réellement inscrite et éligible ?)
  2. Vérification de l'identité à la réception de l'enveloppe de retour (la signature correspond-elle ? La date de naissance indiquée correspond-elle ?)
  3. Ouverture en temps utile et témoin des enveloppes retournées sous supervision officielle
  4. Stockage sécurisé et enregistré des enveloppes reçues avant le jour du dépouillement

Les conclusions de Tower Hamlets suggèrent que les étapes 1 et 2 ont été contournées — par la completion organisée de formulaires et, dans certains cas, par usurpation d'identité. L'annulation en Autriche a constaté que l'étape 3 a été violée. Les deux défaillances pointent vers la même vérité sous-jacente : la chaîne de garde du bulletin de correspondance n'est aussi solide que son maillon le plus faible, et actuellement certains de ces maillons sont des règles procédurales écrites sur papier, non appliquées par un mécanisme indépendamment auditable.

Une règle qui dit « seules les personnes autorisées peuvent ouvrir les enveloppes » n'est pas un sceau inviolable. C'est une promesse. Et une promesse, dans un environnement antagoniste, ce n'est pas la même chose qu'une preuve.

Le scrutin secret a été inventé précisément pour cette sorte de menace

Il y a une raison pour laquelle le scrutin australien — le bulletin imprimé par l'État, marqué en privé — est devenu la norme mondiale au dix-neuvième siècle. Auparavant, le vote était public. Vous déclariez votre préférence à haute voix ou dans un registre visible. Les propriétaires surveillaient les locataires. Les employeurs surveillaient les travailleurs. La Loi de 1872 sur le scrutin secret a mis fin au vote ouvert au Royaume-Uni précisément pour casser la corruption et l'intimidation que le vote public permettait.

La logique est simple : si personne ne peut voir comment vous avez voté, personne ne peut acheter ou contraindre votre vote. Le secret est une propriété de sécurité, pas une courtoisie.

Le vote par correspondance met la pression exactement sur cette propriété. Le bulletin est marqué à la maison, où un membre de la famille, un propriétaire, un employeur, ou un représentant communautaire peut se tenir à proximité. À Tower Hamlets, le tribunal a trouvé des preuves que les bulletins étaient complétés lors de rassemblements organisés plutôt que dans l'intimité du moment propre de l'électeur.

C'est la même pression que le scrutin secret a été conçu pour prévenir — simplement déplacée du bureau de vote à la table de la cuisine.

La Cour d'appel des États-Unis pour le premier circuit a articulé le mécanisme précisément dans Rideout v. Gardner (2016) : les réformes du scrutin secret ont été adoptées pour « combattre l'achat massif de votes et l'intimidation des électeurs », des pratiques qui dépendent de la capacité d'un acheteur ou d'un intimidateur à vérifier le vote. Tout ce qui permet à un électeur de prouver comment il a voté — une photographie du bulletin, un formulaire complété témoigné par quelqu'un ayant un intérêt au résultat — réouvre le marché.

Un bulletin de correspondance marqué sous observation est, structurellement, un bulletin voté en public. Le dix-neuvième siècle a résolu ce problème pour les bureaux de vote. Nous ne l'avons pas encore résolu pour le seuil de la porte.

La réponse n'est pas d'interdire le vote par correspondance

Le vote par correspondance répond à des besoins réels. Les électeurs handicapés. Les électeurs qui voyagent pour le travail. Les électeurs à l'hôpital. Les électeurs dans les zones reculées. Les autorités électorales dans de nombreux pays — et dans la plupart des cinquante États américains — ont élargi le vote par courrier précisément parce que rendre le vote accessible augmente la légitimité du résultat. La participation compte.

La question n'est pas de savoir s'il faut autoriser le vote par correspondance. La question est de savoir si nous avons conçu sa chaîne de garde pour être aussi inviolable et indépendamment auditable que la chaîne de garde des bulletins votés en personne.

À l'heure actuelle, la réponse honnête est : pas de manière fiable.

Voici ce que la véritable inviolabilité pour les bulletins de correspondance exigerait :

Des identifiants de bulletin traçables et uniques. Chaque bulletin de correspondance devrait porter un identifiant cryptographiquement unique qui permet aux autorités électorales — et, de manière cruciale, à l'électeur lui-même — de confirmer que le bulletin spécifique qui lui a été émis est celui qui a été reçu et comptabilisé, sans révéler comment il a voté. C'est techniquement réalisable ; plusieurs pays expérimentent des codes de vérification visibles par l'électeur.

Manipulation des enveloppes photographiée et enregistrée. Chaque enveloppe de retour reçue devrait être enregistrée et horodatée à la réception, dans un format publiquement auditable et lisible par machine. Le cas autrichien s'articulait sur l'absence de registres prouvant qui avait ouvert quoi, quand. Si l'arrivée et l'ouverture de chaque enveloppe étaient photographiées et le hash de ces photographies publié dans un registre public, le type de violation procédérale que la cour autrichienne a constatée serait immédiatement détectable — non pas reconstruit des mois plus tard par un témoignage.

Vérification de signature indépendamment auditable. Les processus actuels de correspondance des signatures sont en grande partie du jugement humain appliqué au papier. Une enveloppe rejetée ou acceptée devrait générer un registre examinable que toute partie peut inspecter. Dans les élections serrées, l'adjudication des signatures limite est un processus invisible et non vérifiable. Ce ne devrait pas être le cas.

Registres de garde en temps réel. À chaque étape de l'impression à l'envoi en passant par la réception et l'ouverture, l'emplacement et le manipulateur d'un bulletin de correspondance devraient être enregistrés dans un système qui produit une piste inviolable. Pas un formulaire papier enfermé dans un bureau. Un registre d'audit lisible par machine que tout observateur accrédité — agent candidat, journaliste, chercheur indépendant — peut vérifier par rapport au dépouillement final.

Ce que « l'audit a confirmé » ne signifie pas

Les responsables, après les élections serrées, nous disent fréquemment que le processus a été vérifié et que tout allait bien. C'est généralement sincère. Ce n'est pas la même chose qu'une preuve.

Le recomptage manuel à l'échelle de l'État en Géorgie en 2020 a confirmé le résultat tabulé par machine à environ un dixième de un pour cent sur environ cinq millions de bulletins — un accomplissement significatif. Le cadre d'audit à limite de risque du Colorado fournit une confiance statistique calibrée sur la marge de chaque course. Ce sont de véritables améliorations.

Mais ils auditent le dépouillement des bulletins qui sont déjà dans l'urne. Ils ne peuvent pas auditer si les bulletins dans l'urne sont les bulletins que les électeurs avaient l'intention de soumettre. Si un bulletin de correspondance a été complété sous la contrainte, ou rempli par quelqu'un d'autre que l'électeur inscrit, il entre dans le dépouillement indistinct d'un vote légitime. Un recomptage manuel le comptabilisera à nouveau, fidèlement. Un audit à limite de risque l'échantillonnera. Aucune des deux méthodes ne le signalera.

Le problème de Tower Hamlets n'était pas dans le dépouillement. C'était dans les bulletins. Et le problème autrichien n'était pas dans le résultat — c'était dans l'incapacité à prouver que le résultat n'avait pas été manipulé, une fois que les règles de garde ont été violées.

Ce sont des modes de défaillance différents de tout ce qu'un audit post-dépouillement attrape. Ils exigent des contrôles à un stade différent du processus : avant et pendant la manipulation du bulletin, pas après qu'il a été comptabilisé.

Une déclaration officielle selon laquelle « le dépouillement était exact » ne parle pas de la question de savoir si les intrants du dépouillement étaient légitimes. C'est cet écart qui doit se fermer.

Ce qui rendrait cela vérifiable par n'importe qui

La norme à laquelle nous devrions tenir le vote par correspondance est la même norme que la Cour constitutionnelle allemande a établie pour le vote électronique en 2009 : les étapes essentielles doivent être examinables par le citoyen, de manière fiable, sans connaissances spécialisées. (Bundesverfassungsgericht, 2 BvC 3/07.)

Pour les bulletins de correspondance, ces étapes essentielles sont : Mon bulletin a-t-il été émis seulement pour moi ? A-t-il atteint l'autorité électorale scellé et intact ? A-t-il été ouvert seulement par des personnes autorisées, à l'heure légale, avec des témoins ? Le vote à l'intérieur a-t-il été attribué à mon bulletin et seulement à mon bulletin ?

Aujourd'hui, un électeur qui a utilisé un bulletin de correspondance dans la plupart des juridictions ne peut pas indépendamment vérifier aucune de ces étapes. Il lance son bulletin dans ce qui est, de son point de vue, un processus fermé et fait confiance au fait que les responsables ont suivi les règles.

La confiance n'est pas une vérification.

Un résultat que personne ne peut indépendamment vérifier est une assurance. Un résultat que n'importe qui peut indépendamment vérifier est une preuve.

La technologie pour rendre la garde du bulletin de correspondance inviolable et publiquement auditable existe. Journalisation cryptographique, codes de confirmation visibles par l'électeur, registres publics lisibles par machine de la réception des bulletins — rien de cela ne nécessite de remplacer le vote par correspondance. Cela nécessite de traiter la chaîne de garde du bulletin de correspondance avec la même rigueur d'ingénierie que nous exigerions de tout autre système critique pour la sécurité.

L'élection de Tower Hamlets a été annulée. Une nouvelle élection a été tenue. Lutfur Rahman n'était pas sur le bulletin. Les électeurs de Tower Hamlets ont voté à nouveau, et le résultat a été différent.

C'est ce qui se passe quand un système échoue et qu'un tribunal l'attrape. Mais les tribunaux sont rétrospectifs, lents et antagonistes. Ils sont un dernier recours, pas un principe de conception.

La bonne question n'est pas « que faisons-nous après la découverte d'une fraude ou d'une défaillance procédérale ? » La bonne question est : qu'est-ce qui rendrait la fraude ou la défaillance procédérale impossible à cacher en premier lieu ?

Cette question n'a pas de réponse satisfaisante dans la plupart des systèmes de vote par correspondance en vigueur aujourd'hui. Elle devrait en avoir une.

L'écart de chaîne de garde dans le vote par correspondance est une instance d'un problème plus large que nous suivons dans les systèmes de vote dans le monde entier. Voir comment cet écart se manifeste dans différents types d'élections et juridictions ou lisez la version de 2 minutes du problème de vérifiabilité. Pour une image complète de l'endroit où les chaînes de garde se brisent — et à quoi ressemblent les alternatives indépendamment auditables — explorez l'Atlas TrustVoting.

Sources

Voir tous les articlesExplorer les lacunes