← Tous les articles

Un maire révoqué de ses fonctions : l'affaire du vote par correspondance qui a secoué Londres

Un juge anglais a révoqué un maire en fonction pour fraude électorale par correspondance, corruption et usurpation d'identité — et cette affaire révèle exactement pourquoi voter en dehors d'un bureau de vote est le problème le plus difficile en matière de sécurité électorale.

C'est la matinée du 23 avril 2015, et dans une salle d'audience à Londres, un juge lit un verdict qui ne s'est pas produit en Grande-Bretagne depuis des générations. Lutfur Rahman — le maire exécutif du Londres Borough of Tower Hamlets, élu en mai 2014 par plus de 18 000 électeurs — est révoqué de ses fonctions. Non par une élection. Non par un vote parlementaire. Par un tribunal.

Le jugement dans Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) compte des centaines de paragraphes. Le commissaire Richard Mawrey QC, siégeant en tant que Cour électorale en vertu de la Representation of the People Act 1983, a jugé que l'élection avait été entachée par des pratiques corrompues et illégales commises par le maire personnellement et par ses agents. La liste est remarquable : usurpation d'identité, fraude électorale par correspondance, corruption, traitement, fausses déclarations, et influence spirituelle indue — accompagnées d'une corruption générale si largement répandue qu'on pouvait raisonnablement supposer qu'elle avait affecté le résultat.

Rahman a été révoqué. L'élection a été annulée. Un nouveau scrutin a eu lieu.

Et enfoui dans le jugement, si on le lit attentivement, se trouve une leçon qui n'a rien à voir avec un arrondissement du centre-est de Londres — et tout à voir avec la façon dont toute démocratie gère les bulletins qui transitent par la poste.

Le bureau de vote a été construit pour résoudre exactement ce problème

Il est utile de commencer par les principes fondamentaux.

Le scrutin secret — l'enveloppe, l'isoloir, le papier sans marques — n'a pas été inventé comme une simple commodité. C'était un système de sécurité. À l'époque où Victoria monta sur le trône, le vote en Grande-Bretagne était public : votre choix était appelé à voix haute, écrit dans un livre, et le livre était publié. Les propriétaires regardaient. Les employeurs regardaient. Les créanciers regardaient. Si vous votiez mal, vous saviez ce qui s'ensuivrait. Le Ballot Act 1872 a mis fin à cela. Il a remplacé le vote public par une urne scellée et un compartiment privé — non pas pour protéger vos sentiments, mais pour détruire la capacité du coerciteur à vérifier la transaction.

Le mécanisme est précis. Un vote qui ne peut pas être observé ou prouvé ne peut pas être acheté ou extorqué, car l'acheteur ne peut pas confirmer la livraison. Tout le marché s'effondre quand la vérification échoue.

Le vote en personne à un bureau de vote supervisé préserve cette garantie. Un étranger ne peut pas se tenir à vos côtés pendant que vous marquez votre bulletin. Un militant du parti ne peut pas récupérer votre papier et le vérifier avant qu'il n'aille dans l'urne. La chaîne de responsabilité — bulletin vierge entrant, urne scellée sortant, ouverture en public au dépouillement — rend l'usurpation d'identité difficile et la manipulation vérifiable.

Maintenant, sortez le bulletin de cet environnement contrôlé. Envoyez-le par la poste à une adresse résidentielle. Laissez-le sur une table de cuisine. Et immédiatement la garantie se fracture en deux endroits distincts : qui l'a réellement marqué, et qui l'a manipulé avant son arrivée.

Ce ne sont pas des préoccupations hypothétiques. Tower Hamlets en est l'étude de cas.

Ce que la cour électorale a réellement découvert

Le jugement de Tower Hamlets mérite une lecture complète — non pas pour le drame politique, mais pour la spécificité opérationnelle. La cour n'a pas constaté qu'un ordinateur avait été piraté ou que le dépouillement avait été mal calculé. Elle a constaté que l'élection avait été corrompue pendant la période avant et pendant le scrutin, par les mécanismes que le vote à distance rend uniquement possibles.

L'usurpation d'identité — caster le vote de quelqu'un d'autre — est extrêmement difficile à un bureau de vote supervisé. Elle est considérablement plus facile quand un bulletin a été livré à une adresse par la poste et que l'identité de la personne qui l'a marqué n'est vérifiée que par une signature et une date de naissance sur une enveloppe.

La fraude électorale par correspondance, telle que trouvée dans l'affaire Tower Hamlets, est l'exploitation de cette faille. L'environnement scellé du bureau de vote est remplacé par une résidence privée (ou n'importe où ailleurs où un bulletin pourrait circuler), et la chaîne de responsabilité que le Ballot Act avait construite — papier vierge, isoloir privé, urne scellée, dépouillement public — est remplacée par une piste de papier qui passe par des mains que la cour ne peut pas voir et n'était pas conçue pour surveiller.

La surface d'attaque du vote à distance n'est pas le dépouillement. C'est la responsabilité.

La Caroline du Nord : le même mécanisme, un continent différent

Tower Hamlets n'est pas une curiosité isolée. Considérez ce qui s'est passé dans le 9e district du Congrès de la Caroline du Nord en 2018.

Après l'élection, la Commission électorale de l'État a refusé de certifier le résultat apparent. Elle a enquêté sur des irrégularités concernant les bulletins d'absence par courrier. Le 21 février 2019, la Commission a à l'unanimité ordonné une nouvelle élection, constatant ce qu'elle a appelé un « programme coordonné, illégal et considérablement doté de scrutin absent » dans les comtés de Bladen et Robeson. L'opérateur au centre, McCrae Dowless, a été par la suite inculpé de chefs d'accusation criminels.

Le mécanisme était le même qu'à Tower Hamlets, traduit de l'autre côté d'un océan et dans un système juridique différent : des tiers recueillant, manipulant et dans certains cas altérant les bulletins par courrier d'autres personnes. Le bulletin avait quitté l'environnement contrôlé du lieu de vote, et sans contrôles robustes de la chaîne de responsabilité, il est devenu possible d'y interférer entre la main de l'électeur et l'urne scellée.

Dans les deux cas, le seul recours était d'annuler l'élection et de la tenir à nouveau. Il n'y a aucun moyen d'annuler la corruption d'un bulletin qui a déjà été manipulé et dépouillé. Vous ne pouvez pas soustraire la fraude d'un résultat ; vous pouvez seulement recommencer.

L'Autriche : ce que la chaîne de responsabilité signifie en pratique

Voici une version du même problème où aucune fraude n'a été découverte — et l'élection a quand même été annulée.

Au printemps 2016, l'Autriche a tenu un second tour présidentiel entre Alexander Van der Bellen et Norbert Hofer. Van der Bellen a gagné par environ 30 000 voix sur près de 4,6 millions de bulletins exprimés. Le parti de Hofer a contesté le résultat. Le 1er juillet 2016, la Cour constitutionnelle autrichienne a annulé l'ensemble de l'élection — non pas parce que la fraude a été prouvée, mais parce que les règles de manipulation des bulletins d'absent avaient été violées.

La loi exigeait que les bulletins d'absent ne soient ouverts et dépouillés qu'après 9 heures le jour suivant l'élection, par l'autorité électorale du district, avec les membres du conseil requis et les témoins présents. Dans plusieurs districts, cela ne s'est pas produit. Les enveloppes ont été ouvertes tôt, par des personnes non autorisées, sans témoins. Environ 77 000 votes ont été affectés — un nombre dépassant la marge de victoire d'environ 30 000.

La logique de la cour était exacte : les règles sur qui peut manipuler les bulletins et quand ne sont pas des formalités bureaucratiques. Elles sont le mécanisme qui rend le résultat indépendamment vérifiable. Quand elles sont violées, même honnêtement, la chaîne de responsabilité est rompue. Vous ne pouvez pas prouver que la manipulation n'a pas eu lieu au moment et au lieu où les protections étaient absentes. Un second tour a été tenu en décembre 2016.

La leçon est inconfortable car elle s'applique même quand tout le monde agit de bonne foi. Les responsables autrichiens n'ont pas été accusés de fraude. Ils ont été accusés de rendre le résultat impossible à vérifier. Dans une élection serrée, c'est suffisant.

Pourquoi le vote par correspondance est structurellement différent

Pensez concrètement à ce qui se passe à un bureau de vote. Vous entrez. Votre nom est vérifié sur un registre. Vous recevez un bulletin — un bulletin, pour vous. Vous le prenez pour aller à un isoloir privé. Vous le marquez, vous le pliez, et vous le laissez tomber dans une urne scellée. Personne n'a vu ce que vous avez écrit. Personne ne vous a donné un papier pré-marqué. Personne ne vous a regardé partir.

Maintenant, pensez à ce qui se passe avec un bulletin envoyé par correspondance. Un papier arrive par la poste, adressé à un nom. N'importe qui dans le ménage peut ouvrir l'enveloppe. Il n'y a aucune supervision sur qui la marque. Un agent du parti peut s'asseoir à la table. Un membre de la famille peut se tenir aux côtés de l'épaule. Un leader communautaire peut récupérer le formulaire. La vérification d'identité — généralement une signature et une date de naissance — n'est vérifiée que plus tard, après le retour de l'enveloppe, et est vérifiée par rapport à un registre qui a été compilé avant l'élection.

La vérification d'identité est rétrospective. L'opportunité d'influence est contemporaine.

Ce n'est pas un argument contre le vote par correspondance en tant que tel. C'est un argument pour comprendre exactement ce que le vote par correspondance exige que le vote au bureau de vote ne fasse pas : une vérification d'identité robuste au moment de la demande, une responsabilité scellée avec preuve de tamper-evident à partir du moment où le bulletin quitte la main de l'électeur, et un registre auditable de chaque étape intermédiaire.

Sans ces choses, la protection du Ballot Act s'évapore. Le vote peut être observé. Le vote peut être extorqué. Le vote peut être remplacé.

Le problème plus profond : quand la vérification devient impossible

Les affaires de Tower Hamlets et de Caroline du Nord ont été découvertes. Une cour a enquêté, entendu des preuves, et annulé les résultats. C'est le système qui fonctionne — lentement, coûteusement, et seulement après que les dégâts aient été causés.

Mais le mécanisme de détection dépendait de la fraude étant suffisamment importante pour générer des preuves : témoins, modèles dans les données, témoignages de personnes qui ont vu ce qui s'est passé. La fraude électorale par correspondance à petite échelle, menée attentivement sur un grand nombre de bulletins, pourrait ne laisser aucune signature.

C'est la lacune qui compte pour l'intégrité électorale en général. Non pas le cas dramatique qui se termine dans une salle d'audience, mais la manipulation tranquille qui ne s'y rend jamais.

Considérez à nouveau l'affaire autrichienne. La cour a trouvé des violations de procédure et a annulé l'élection. Mais la cour a également trouvé aucune preuve de fraude réelle. Le problème était qu'elle ne pouvait pas réfuter la fraude, car les conditions qui rendraient la fraude détectable — une chaîne de responsabilité complète, témoin, horodatée — avaient été rompues. Une chaîne de responsabilité rigoureuse ne fait pas que détecter la manipulation. Elle rend la manipulation impossible à cacher, c'est pourquoi la chaîne existe.

La même logique s'applique à tout système de vote à distance. La question n'est pas simplement « la fraude a-t-elle été commise ? » La question est « le système est-il conçu pour que la fraude, si elle était commise, laisserait une trace détectable et indépendamment vérifiable ? »

Si la réponse est non — si les seules personnes qui peuvent confirmer l'intégrité du bulletin d'absent sont les responsables manipulant les bulletins eux-mêmes — alors « aucune fraude n'a été trouvée » est une assurance, pas une preuve. Et dans un système fondé sur la confiance plutôt que sur la vérifiabilité, l'incitation à manipuler n'est jamais vraiment supprimée. Elle est seulement espérée ne pas être agit.

Ce que la « responsabilité vérifiable » ressemblerait réellement

C'est là que l'argument passe du diagnostic à l'architecture.

Le problème de la chaîne de responsabilité du bulletin d'absent a une forme connue. La solution a aussi une forme connue — il suffit de la construire délibérément, plutôt que de supposer qu'elle existe.

La responsabilité vérifiable d'un bulletin à distance exige trois choses qui n'existent actuellement qu'en fragments :

Premièrement, la vérification d'identité au moment de la réception du bulletin, non seulement au moment de la demande. Vérifier une signature rétrospectivement par rapport à une base de données est un contrôle faible. Une vérification cryptographique liée à une référence unique détenue par l'électeur — délivrée avant l'élection et utilisable une seule fois — rendrait l'usurpation d'identité structurellement difficile plutôt que simplement illégale.

Deuxièmement, une chaîne de responsabilité avec preuve de tamper-evident à partir du moment où l'électeur marque le papier jusqu'au moment où il est dépouillé. Cela signifie une responsabilité scellée et consignée à chaque point de transfert, avec un registre auditable que n'importe quelle partie indépendante pourrait vérifier par rapport au dépouillement — non pas un registre auquel seuls les responsables peuvent accéder.

Troisièmement, un résultat que n'importe qui peut vérifier sans faire confiance au responsable qui le déclare. La Cour constitutionnelle allemande a énoncé le principe en termes constitutionnels quand elle a annulé les ordinateurs de vote électronique en 2009 : les étapes essentielles du scrutin et de la détermination du résultat doivent être examinables par le citoyen de manière fiable et sans connaissances spécialisées. Cette norme s'applique tout aussi clairement au vote par correspondance. Un résultat dont la chaîne de responsabilité ne peut être reconstituée que par les responsables ne l'atteint pas.

Rien de cela ne nécessite d'abandonner le vote à distance. Cela nécessite de construire l'infrastructure qui manque au vote à distance par défaut — la même infrastructure que le bureau de vote fournit physiquement et procéduralement.

La question que les responsables ne peuvent pas vous répondre

Le 23 avril 2015, après le jugement de Tower Hamlets, un maire a été révoqué. Une nouvelle élection a été ordonnée. Les observateurs ont dit que le système avait fonctionné.

Et dans un sens étroit, c'était le cas. La fraude a été découverte. Le résultat a été annulé. La démocratie s'est corrigée elle-même.

Mais voici ce que le compte officiel ne peut pas vous dire : combien de fraudes électorales par correspondance n'ont pas été découvertes ? La cour a trouvé ce que les preuves devant elle soutenaient. Elle a constaté que la corruption était assez étendue pour annuler l'élection. Elle n'a pas — et ne pouvait pas — reconstruire chaque bulletin manipulé, chaque vote usurpé, chaque enveloppe récupérée. Les cours fonctionnent avec ce qui leur parvient.

Les affaires qui arrivent aux cours sont celles qui génèrent assez de preuves pour porter plainte. Les affaires qui ne parviennent jamais aux cours sont invisibles par définition.

C'est l'argument pour construire la vérifiabilité dans le système avant l'élection, plutôt que de compter sur le contentieux pour la reconstruire après. Un bulletin d'absent dont la responsabilité est consignée cryptographiquement, dont la vérification d'identité est indépendamment auditable, et dont la place dans le dépouillement n'importe quel citoyen peut vérifier sans appeler un avocat — ce bulletin ne nécessite pas que vous fassiez confiance au responsable électoral qui l'a manipulé, ou à la cour qui a rétrospectivement examiné le processus, ou au Secrétaire d'État qui dit que tout s'est bien déroulé.

Il vous faut vérifier le registre. Et le registre est là.

C'est ce que nous construisons. Voyez combien la lacune de responsabilité est courante dans le monde — ou lisez la version de deux minutes de ce problème.

Sources

Voir tous les articlesExplorer les lacunes