FR3120464A1 - Procédé et dispositif de vote par correspondance - Google Patents

Abstract

TITRE DE L’INVENTION : PROCÉDÉ ET DISPOSITIF DE VOTE PAR CORRESPONDANCE Le procédé (30) de vote par correspondance comporte :- une étape (31) de connexion d’un terminal utilisateur à un premier serveur,- une étape (32) d’authentification de l’utilisateur du terminal utilisateur par le premier serveur, et d’association d’un seul numéro de vote à l’utilisateur,- une étape (33) de mémorisation par un deuxième serveur, du numéro de vote de l’utilisateur,- une étape (34) de transmission, par le deuxième serveur au terminal utilisateur, d’un code de validation de bulletin,- une étape (36) d’inscription, par le terminal utilisateur dans une étiquette électronique, d’une information représentative du code de validation de bulletin,- une étape (38) de transmission, par le deuxième serveur à un système de comptage de votes, d’un élément de validation de bulletin,- par le système de comptage de votes, pour chaque bulletin de vote associé à une étiquette électronique, une étape (39) de lecture de l’information représentative du code de validation dans ladite étiquette électronique et - une étape (40) de vérification de correspondance entre l’information représentative du code de validation lu et l’élément de validation reçu par le système de comptage et, seulement si cette vérification est positive, une étape de prise en compte du bulletin associé à ladite étiquette électronique. Figure de l’abrégé : Figure 2.

Description

PROCÉDÉ ET DISPOSITIF DE VOTE PAR CORRESPONDANCE

Domaine technique de l’invention

La présente invention vise un procédé et un dispositif de vote par correspondance. Elle s’applique, notamment au vote par anticipation.

État de la technique

Le vote par correspondance pose de nombreux problèmes techniques liés à la sécurité, notamment garantie d’intégrité du bulletin choisi,garantie d’anonymat, émargement, nécessité d’éviter un double vote, voire de permettre à l’électeur de changer de choix après avoir adressé son bulletin de vote par correspondance.

La présente invention vise à remédier à tout ou partie de ces inconvénients.

À cet effet, selon un premier aspect, la présente invention vise un procédé de vote par correspondance, qui comporte :
- une étape de connexion d’un terminal utilisateur à un premier serveur,
- une étape d’authentification de l’utilisateur du terminal utilisateur par le premier serveur, et d’association d’un seul numéro de vote à l’utilisateur,
- une étape de mémorisation par un deuxième serveur, du numéro de vote de l’utilisateur,
- une étape de transmission, par le deuxième serveur au terminal utilisateur, d’un code de validation de bulletin,
- une étape d’inscription, par le terminal utilisateur dans une étiquette électronique, d’une information représentative du code de validation de bulletin,
- une étape de transmission, par le deuxième serveur à un système de comptage de votes, d’un élément de validation de bulletin,
- par le système de comptage de votes, pour chaque bulletin de vote associé à une étiquette électronique, une étape de lecture de l’information représentative du code de validation dans ladite étiquette électronique et
- une étape de vérification de correspondance entre l’information représentative du code de validation lu et l’élément de validation reçu par le système de comptage et, seulement si cette vérification est positive, une étape de prise en compte du bulletin associé à ladite étiquette électronique.

Ainsi, le bulletin physique associé par l’utilisateur au code de validation de bulletin est inconnu des différents serveurs, ce qui garantit la confidentialité du vote. De plus, le numéro de vote ne permet pas de retrouver l’identité de l’utilisateur, ce qui garantit l’anonymat du vote. Enfin, l’invention interdit qu’un même électeur vote deux fois en n’associant qu’un seul numéro de vote à l’utilisateur et en mémorisant que le terminal utilisateur a déjà reçu un code de validation de bulletin.

On note que les premier et le deuxième serveur peuvent constituer un serveur unique assurant les fonctions de serveurs présentées ci-dessus.

On note aussi que l’association d’une étiquette électronique à un bulletin de vote peut se faire en intégrant l’étiquette électronique dans le bulletin de vote portant un choix possible de l’électeur, en collant cette étiquette sur un tel bulletin, en intégrant l’étiquette dans une enveloppe contenant le bulletin de vote de l’utilisateur ou en collant cette étiquette sur une telle enveloppe. La présente invention est donc compatible aussi bien avec les dépouillements manuels par lecture visuelle du choix fait par l’électeur qu’avec des dépouillements électroniques avec lecture électronique du choix fait par l’électeur.

Dans des modes de réalisation, au cours de l’étape de transmission, par le deuxième serveur au terminal utilisateur, d’un code de validation de bulletin, le terminal utilisateur transmet au deuxième serveur un numéro de lot de bulletins et/ou un numéro aléatoire, le deuxième serveur chiffre chaque numéro reçu du terminal utilisateur et le retourne chiffrée au terminal utilisateur.

Dans des modes de réalisation, au cours de l’étape de transmission, par le deuxième serveur au terminal utilisateur, d’un code de validation de bulletin, le terminal utilisateur chiffre une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection, avec, comme clé de chiffrement, un numéro de lot de bulletins et/ou un numéro aléatoire, et transmet l’identification de choix chiffrée au deuxième serveur, le deuxième serveur chiffrant cette identification de choix chiffré et la retournant chiffrée au terminal utilisateur.

Dans des modes de réalisation, le procédé comporte, après l’étape d’authentification de l’utilisateur du terminal utilisateur par le premier serveur, une étape de transmission à l’utilisateur d’une pluralité de bulletins de vote, portant, de manière visible et lisible à l’œil, un choix possible au cours de l’élection, chaque bulletin de vote étant physiquement lié à une étiquette électronique conservant, en mémoire, l’identification du choix porté par le bulletin.

Dans des modes de réalisation, l’identification du choix porté par le bulletin est conservée chiffrée en mémoire de l’étiquette électronique.

Dans des modes de réalisation, le procédé comporte une étape de transmission, à l’utilisateur, d’un premier code d’accès au contenu d’une première partie de la mémoire de chaque étiquette électronique reçue par l’utilisateur, cette première partie conservant un identifiant du vote et/ou une identification du choix effectué par l’utilisateur au cours de l’élection.

Dans des modes de réalisation, le procédé comporte une étape de modification, par le terminal utilisateur, du premier code conjointement à l’étape d’inscription, par le terminal utilisateur dans une étiquette électronique, d’une information représentative du code de validation de bulletin.

Dans des modes de réalisation, le procédé comporte une étape de transmission, par le deuxième serveur au terminal utilisateur, d’un deuxième code d’accès au contenu d’une deuxième partie de la mémoire de chaque étiquette électronique reçue par l’utilisateur, cette deuxième partie conservant l’information représentative du code de validation de bulletin.

Dans des modes de réalisation, le procédé comporte une étape d’inscription, en mémoire de chaque étiquette électronique reçue par l’utilisateur, d’un numéro de lot de bulletins commun aux étiquettes électroniques de plusieurs utilisateurs.

Dans des modes de réalisation, le procédé comporte une étape de collage d’une étiquette électronique sur un bulletin portant une identification visible et lisible à l’œil du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection, une étape de capture d’une image du bulletin portant l’étiquette électronique collée, une étape de chiffrement de cette image et une étape de mise en mémoire de l’étiquette électronique de cette image chiffrée conjointement à l’étape d’inscription, par le terminal utilisateur dans une étiquette électronique, d’une information représentative du code de validation de bulletin.

Dans des modes de réalisation, le procédé comporte une étape de reconnaissance optique de caractères de l’identification du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection portée par le bulletin sur lequel est collé l’étiquette électronique et une étape d’inscription, par le terminal utilisateur dans la mémoire de l’étiquette électronique, d’une information représentative de l’identification lue par reconnaissance optique de caractères.

Dans des modes de réalisation, le procédé comporte une étape de collage d’une étiquette électronique sur une enveloppe contenant le bulletin portant une identification visible et lisible à l’œil du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection.

Dans des modes de réalisation, le procédé comporte une étape de transmission, par l’utilisateur à un bureau de vote, d’un bulletin de vote associé à une étiquette électronique, dans une enveloppe formant cage de Faraday.

Selon un deuxième aspect, la présente invention vise une étiquette électronique pour vote par correspondance par association avec un bulletin de vote, qui comporte une mémoire comportant une information représentative d’un code de validation de bulletin.

Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée, un numéro de lot de bulletins et/ou un numéro aléatoire.

Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée par un numéro de lot de bulletins et/ou un numéro aléatoire puis par un serveur distant, une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection.

Dans des modes de réalisation, la mémoire comporte, de plus, une image d’un bulletin de vote sur lequel est collée cette étiquette électronique.

Dans des modes de réalisation, la mémoire comporte, de plus, une information représentative de la comptabilisation, par une urne, du vote porté par le bulletin.

Selon un troisième aspect, la présente invention vise un système de comptage de votes par correspondance par lecture d’une étiquette électronique associée avec un bulletin de vote, qui comporte un moyen de lecture d’une information représentative d’un code de validation de bulletin dans une mémoire de l’étiquette électronique.

Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée, un numéro de lot de bulletins et/ou un numéro aléatoire, le système de comptage de vote comportant, de plus, un moyen de réception d’une clé de chiffrement ou de déchiffrement correspondant au chiffrement mis en œuvre pour chiffrer le numéro de lot de bulletins et/ou le numéro aléatoire.

Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée par un numéro de lot de bulletins et/ou un numéro aléatoire puis par un serveur distant, une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection, le système de comptage de vote comportant, de plus, un moyen de réception de clés de chiffrement ou de déchiffrement correspondant aux chiffrements mis en œuvre pour chiffrer le numéro de lot de bulletins et/ou le numéro aléatoire.

Dans des modes de réalisation, le système de comptage de votes comporte un moyen d’écriture dans la mémoire de l’étiquette électronique associée au bulletin de vote, d’une information représentative de la comptabilisation, par le système de comptage de vote, du vote porté par le bulletin.

Les avantages, buts et caractéristiques particulières de cette étiquette électronique et de ce système de comptage de votes étant similaires à ceux du procédé objet de l’invention, ils ne sont pas rappelés ici.

Brève description des figures

D’autres avantages, buts et caractéristiques particulières de l’invention ressortiront de la description non limitative qui suit d’au moins un mode de réalisation particulier du dispositif et du procédé objets de la présente invention, en regard des dessins annexés, dans lesquels :

représente, schématiquement, un premier mode de réalisation du dispositif de vote par correspondance objet de l’invention,

représente, sous forme d’étapes réalisées par différents moyens physiques, dans un premier mode de réalisation du procédé objet de l’invention,

représente, sous forme de transmissions de données, un deuxième mode de réalisation du procédé objet de l’invention,

représente différentes zones d’une mémoire d’étiquette électronique mise en œuvre dans le deuxième mode de réalisation du procédé objet de l’invention,

représente une urne de vote automatique,

représente une production de bulletins de vote et

représente des moyens de vote avec une urne classique munie d’un déverrouillage mécanique du levier de la trappe de l’urne.

La présente description est donnée à titre non limitatif, chaque caractéristique d’un mode de réalisation pouvant être combinée à toute autre caractéristique de tout autre mode de réalisation de manière avantageuse.

On note, dès à présent, que les figures ne sont pas à l’échelle.

Dans la suite de la description, chaque choix possible que peut réaliser un électeur est appelé « candidat », par analogie avec les élections de personnes, même si la présente invention s’applique indifféremment à ce type d’élection, au référendum ou aux votations.

Premier mode de réalisation

On observe, en , un dispositif de vote par correspondance 10, qui comporte un serveur d’authentification 11, un serveur de validation 12 et un système de comptage de vote 20 associé à une urne 21. Un terminal utilisateur communicant 13 comportant un lecteur 14 d’étiquette électronique 15 permet à l’utilisateur de se connecter avec les serveurs 11 et 12. L’étiquette électronique 15 est de type connu, par exemple à champ proche, fonctionnant selon le protocole RFID (acronyme de Radiofréquence IDentification pour identification en radiofréquences) ou NFC (acronyme de Near Field Communication pour communication en champ proche).

Au moins un bulletin 16 portant un choix 17 que peut réaliser l’utilisateur lors de l’élection, une enveloppe de vote 18 et une enveloppe de transport 19 sont à disposition de l’utilisateur.

Les serveurs 11 et 12 sont accessibles en ligne, sur la toile (en anglais « web »). Ils communiquent avec le terminal utilisateur 13 par internet. Le serveur de validation 12 communique avec le système de comptage 20 soit par internet, soit par transfert de fichier sur un support physique, par exemple transporté par un service postal. Les serveurs 11 et 12 peuvent constituer un unique serveur mais, préférentiellement, ils sont séparés pour mieux garantir la confidentialité et l’anonymat du vote.

Le terminal utilisateur 13 est, par exemple, un ordinateur, un téléphone mobile ou une tablette, où a été installé un logiciel ou une application de vote par correspondance.

Le système de comptage de vote 20 peut servir à l’émargement et/ou à l’introduction des bulletins de vote dans l’urne 21.

L’enveloppe 18 est anonyme et configurée pour contenir, à l’abri du regard, un bulletin de vote 16. L’enveloppe 19 permet le transport postal de l’enveloppe 18 jusqu’au bureau de vote.

Dans des modes de réalisation, l’étiquette électronique 15 est solidarisée à un bulletin de vote 16 avant d’être remise à l’utilisateur. Dans ce cas, l’utilisateur reçoit au moins deux bulletins de vote portant, chacun, une étiquette électronique 15 et un nom de candidat 17 différent.

Dans des modes de réalisation, l’étiquette électronique 15 est indépendante de tout bulletin de vote 16 lorsqu’elle est remise à l’utilisateur avec, au moins deux bulletins de vote 16 portant, chacun, un nom de candidat 17 différent. L’utilisateur doit alors coller l’étiquette électronique sur un bulletin de vote 16, sur l’enveloppe 18 ou sur l’enveloppe 19, selon les instructions qu’on lui donne.

On observe, en , une séquence 30 d’étapes réalisées par le terminal communicant 13, à gauche, par les serveurs 11 et 12, au centre, et par le système de comptage de vote 20, à droite. Lorsqu’une étape est réalisée par échange entre deux entités, l’étape est à cheval sur les colonnes correspondant à ces deux entités, à l’exception de l’étape 37 qui ne concerne pas les serveurs.

Au cours d’une étape 31, l’utilisateur se connecte au serveur d’authentification 11 pour demander de réaliser un vote par correspondance. On note que, au cours de l’étape 31, il n’est pas nécessaire que le logiciel ou l’application de vote soit installé sur le terminal utilisateur 13. Eventuellement, c’est au cours de l’une des étapes 31 à 34 que ce logiciel ou cette application est installé sur le terminal utilisateur 13.

Au cours d’une étape 32, le serveur d’authentification 11 réalise l’authentification de l’utilisateur, par exemple par téléchargement d’une photo (ou « scan ») d’au moins une pièce d’identité et/ou d’une preuve de domiciliation ou par reconnaissance biométrique. Si l’authentification est positive, le serveur d’authentification génère un seul numéro de vote IDV pour l’utilisateur. En d’autres termes, si l’utilisateur se connecte et s’authentifie une deuxième fois, aucun nouveau numéro de vote ne lui est attribué. Le numéro de vote IDV est anonyme. Par exemple, le numéro de vote est un numéro incrémental.

Au cours d’une étape 33, le serveur de validation 12 effectue une mémorisation du numéro de vote IDV anonyme.

Au cours d’une étape 34, le serveur de validation 12 transmet au terminal utilisateur un code de validation de bulletin. Ce code de validation peut être unique pour tous les terminaux utilisateurs ou pour tous les utilisateurs ayant le même bureau de vote, auquel cas une procédure d’émargement est nécessaire puisqu’il faut interdire qu’un même utilisateur puisse valider deux bulletins de vote. Par exemple, l’enveloppe 19 identifie l’utilisateur ayant voté et, avant de placer l’enveloppe de vote 18 dans l’urne, le bureau de vote vérifie qu’aucun vote n’a été précédemment effectué (en présentiel ou par correspondance) par l’utilisateur identifié. Préférentiellement, le code de validation est différent pour tous les utilisateurs. Par exemple, il s’agit d’un chiffrement, avec une clé attribuée au serveur de validation 12, d’un numéro de lot de bulletins, d’un numéro aléatoire, du numéro de vote IDV et/ou de l’heure de la transmission du code de validation de bulletin au terminal utilisateur.

Au cours d’une étape optionnelle 35, qui correspond au cas où l’utilisateur ne dispose que d’une seule étiquette électronique 15, et qui peut être effectuée avant ou après l’étape 34 ou l’étape 36, l’utilisateur réalise l’association physique de l’étiquette électronique 15 avec le bulletin 16, avec l’enveloppe 18 ou avec l’enveloppe 19, selon les instructions qu’on lui adresse.

Au cours d’une étape 36, le terminal utilisateur 13 met en œuvre le lecteur 14 d’étiquette électronique 15 pour écrire dans l’étiquette électronique 15 une information représentative du code de validation de bulletin. Cette information peut être le code de validation de bulletin reçu du serveur de validation 12 ou un codage/chiffrement de ce code de validation de bulletin auquel cas, le système de comptage 20 doit disposer de la clé de codage/chiffrement ou de décodage/déchiffrement pour vérifier la validité du bulletin de vote. Eventuellement, dans le cas où une étiquette électronique 15 est intégrée à un bulletin de vote, la mémoire de l’étiquette électronique peut conserver le nom de candidat porté par le bulletin de vote. Dans le cas où l’utilisateur ne dispose que d’une seule étiquette électronique 15 pour plusieurs bulletins, le terminal utilisateur 13 peut mettre en œuvre le lecteur 14 d’étiquettes électroniques 15 pour inscrire dans la mémoire de l’étiquette électronique 15 le nom du candidat porté par le bulletin de vote 16. Une procédure de vérification de correspondance entre le nom du candidat lisible à l’œil et le nom du candidat inscrit en mémoire de l’étiquette électronique 15 est alors préférentielle. Une telle procédure est décrite plus loin.

Au cours d’une étape 37, l’utilisateur adresse au bureau de vote l’enveloppe 19 contenant l’enveloppe 18 qui contient le bulletin de vote 16, par exemple par voie postale.

Au cours d’une étape 38, préférentiellement le dernier jour du vote, le serveur de validation 12 transmet au système de comptage de votes 20 un élément de validation de bulletin, par exemple une clé de codage/chiffrement ou de décodage/déchiffrement d’une information représentative d’un code de validation inscrit dans une étiquette électronique 15. L’élément de validation de bulletin peut aussi comporter le code de validation de bulletin, un horodatage ou une séquence aléatoire qui a été utilisé pour générer l’information représentative du code de validation écrite dans la mémoire de l’étiquette électronique 15.

Au cours d’une étape 39, le système de comptage de votes 20 lit l’information représentative du code de validation de bulletin dans la mémoire de l’étiquette électronique 15.

Au cours d’une étape 40, le système de comptage de votes 20 vérifie, pour chaque bulletin de vote reçu la correspondance entre l’information représentative du code de validation de bulletin et l’élément de validation ou l’un des éléments de validation. En cas de correspondance, l’enveloppe 18 comportant le bulletin de vote 16 est validé et introduit dans l’urne 21.

Le dépouillement des bulletins de votes 16 est ensuite réalisé de manière classique, par lecture visuelle des noms de candidats portés par les bulletins de vote et/ou par lecture électronique des noms de candidats conservés dans les mémoires des étiquettes électroniques 15 portées par les bulletins de vote. Par exemple, le dépouillement met en œuvre la description de l’un des documents FR20100000868 et FR2977698.

Comme on le comprend à la lecture de la description du premier mode de réalisation, le procédé de vote par correspondance 30 comporte :
- une étape 31 de connexion d’un terminal utilisateur 13 à un premier serveur 11,
- une étape 32 d’authentification de l’utilisateur du terminal utilisateur 13 par le premier serveur 11, et d’association d’un seul numéro de vote à l’utilisateur,
- une étape 33 de mémorisation par un deuxième serveur 12, du numéro de vote de l’utilisateur,
- une étape 34 de transmission, par le deuxième serveur 12 au terminal utilisateur 13, d’un code de validation de bulletin 16,
- une étape 36 d’inscription, par le terminal utilisateur 13 dans une étiquette électronique 15, d’une information représentative du code de validation de bulletin 16,
- une étape 38 de transmission, par le deuxième serveur 12 à un système de comptage de votes 20, d’un élément de validation de bulletin 16,
- par le système de comptage de votes 20, pour chaque bulletin de vote 16 associé à une étiquette électronique 15, une étape 39 de lecture de l’information représentative du code de validation dans l’étiquette électronique 15 et
- une étape 40 de vérification de correspondance entre l’information représentative du code de validation lu et l’élément de validation reçu par le système de comptage 20 et, seulement si cette vérification est positive, une étape de prise en compte du bulletin 16 associé à l’étiquette électronique 15.

On note que la vérification de correspondance peut se faire par déchiffrement de données, en disposant d’au moins une clé de déchiffrement ou par chiffrement, en reproduisant chaque chiffrement réalisé sur les données et en comparant le résultat avec les données chiffrées lues en mémoire de l’étiquette électronique 15.

Plus particulièrement, comme on le présente ci-dessous en regard du deuxième mode de réalisation :
- Dans des modes de réalisation, au cours de l’étape 34 de transmission, par le deuxième serveur 12 au terminal utilisateur 13, d’un code de validation de bulletin, le terminal utilisateur transmet au deuxième serveur 12 un numéro de lot de bulletins et/ou un numéro aléatoire, le deuxième serveur chiffre chaque numéro reçu du terminal utilisateur et le retourne chiffrée au terminal utilisateur.
- Dans des modes de réalisation, au cours de l’étape 34 de transmission, par le deuxième serveur 12 au terminal utilisateur 13, d’un code de validation de bulletin, le terminal utilisateur chiffre une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection, avec, comme clé de chiffrement, un numéro de lot de bulletins et/ou un numéro aléatoire, et transmet l’identification de choix chiffrée au deuxième serveur 12, le deuxième serveur chiffrant cette identification de choix chiffré et la retournant chiffrée au terminal utilisateur.
- Dans des modes de réalisation, le procédé comporte, après l’étape 32 d’authentification de l’utilisateur du terminal utilisateur 13 par le premier serveur 11, une étape de transmission à l’utilisateur d’une pluralité de bulletins de vote 16, portant, de manière visible et lisible à l’œil, un choix 17 possible au cours de l’élection, chaque bulletin de vote étant physiquement lié à une étiquette électronique 15 conservant, en mémoire, l’identification du choix porté par le bulletin.
- Dans des modes de réalisation, l’identification du choix 17 porté par le bulletin 13 est conservée chiffrée en mémoire de l’étiquette électronique 15.
- Dans des modes de réalisation, le procédé comporte une étape de transmission, à l’utilisateur, d’un premier code PIN1 d’accès au contenu d’une première partie de la mémoire de chaque étiquette électronique 15 reçue par l’utilisateur, cette première partie conservant un identifiant du vote et/ou une identification du choix 17 effectué par l’utilisateur au cours de l’élection.
- Dans des modes de réalisation, le procédé comporte une étape de modification, par le terminal utilisateur, du premier code PIN1 conjointement à l’étape 36 d’inscription, par le terminal utilisateur dans une étiquette électronique 15, d’une information représentative du code de validation de bulletin.
- Dans des modes de réalisation, le procédé comporte une étape de transmission, par le deuxième serveur 12 au terminal utilisateur 13, d’un deuxième code PIN2 d’accès au contenu d’une deuxième partie de la mémoire de chaque étiquette électronique 15 reçue par l’utilisateur, cette deuxième partie conservant l’information représentative du code de validation de bulletin.
- Dans des modes de réalisation, le procédé comporte une étape d’inscription, en mémoire de chaque étiquette électronique 15 reçue par l’utilisateur, d’un numéro de lot de bulletins 16 commun aux étiquettes électroniques de plusieurs utilisateurs.
- Dans des modes de réalisation, le procédé comporte une étape de collage d’une étiquette électronique 15 sur un bulletin 16 portant une identification 17 visible et lisible à l’œil du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection, une étape de capture d’une image du bulletin portant l’étiquette électronique collée, une étape de chiffrement de cette image et une étape de mise en mémoire de l’étiquette électronique de cette image chiffrée conjointement à l’étape 36 d’inscription, par le terminal utilisateur dans une étiquette électronique 15, d’une information représentative du code de validation de bulletin.
- Dans des modes de réalisation, le procédé comporte une étape de reconnaissance optique de caractères de l’identification du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection portée par le bulletin 16 sur lequel est collé l’étiquette électronique 15 et une étape d’inscription, par le terminal utilisateur dans la mémoire de l’étiquette électronique 15, d’une information représentative de l’identification lue par reconnaissance optique de caractères.
- Dans des modes de réalisation, le procédé comporte une étape de collage d’une étiquette électronique 15 sur une enveloppe 18, 19 contenant le bulletin 16 portant une identification 17 visible et lisible à l’œil du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection.
- Dans des modes de réalisation, le procédé comporte une étape 37 de transmission, par l’utilisateur à un bureau de vote, d’un bulletin de vote associé à une étiquette électronique, dans une enveloppe formant cage de Faraday.

Deuxième mode de réalisation :

Pour plus de sécurité, par rapport au premier mode de réalisation, on prévoit un code de lecture personnel (en anglais « PIN » pour personal identification number) pour accéder au contenu d’au moins une partie de la mémoire de l’étiquette électronique 15.

Préférentiellement, on met aussi en œuvre un numéro non unique, c’est-à-dire mis en œuvre par plusieurs utilisateurs comme un numéro de lot de bulletins IDBL (numéro non unique généré à la fabrication du bulletin) et un numéro généré par le logiciel ou l’application de vote, par exemple de manière aléatoire.

On marque le bulletin comme validé en inscrivant un code de validation transmis par le serveur de validation 12 en réponse à la transmission, par le terminal utilisateur 13 de ce numéro ou de sa signature.

Lors du dépouillement, pour vérifier la validité du bulletin de vote, le système de comptage de votes 20 lit, dans l’étiquette électronique 15, le numéro non unique IDBL et le numéro IDB1 généré par le logiciel ou l’application de vote pour en déduire le code de validation DIS donné par le serveur.

Le numéro non unique permet de garantir l’anonymat lors de l’envoi des bulletins car on ne peut pas les rattacher à un électeur.

On décrit, ci-après, le deuxième mode de réalisation.

L’utilisateur, aussi appelé électeur, reçoit ou retire les bulletins « papier numérique » 16 d’une pluralité de choix possibles pour le scrutin concerné, chaque bulletin 16 ayant une étiquette électronique 15 intégrée et portant une mention visible 17 d’un seul candidat.

Chaque étiquette électronique 15 conserve en mémoire le nom du candidat chiffré correspondant au nom du candidat lisible 17 inscrit sur le bulletin papier 13.

Dans le deuxième mode de réalisation, le dispositif comporte principalement :
- le serveur 11 auquel sont adressées des requêtes et qui génère de manière aléatoire des codes d’identification (« PIN code ») et un numéro de vote personnel IDV pour l’électeur. Chaque électeur doit requérir, par l’intermédiaire d’un terminal utilisateur, au moins deux bulletins de vote, le serveur 11 mémorisant sa demande et lui faisant adresser, par exemple par courrier postal, les bulletins de vote demandés non activés.
- le serveur 12 sur lequel les données de chiffrement (clés, code PIN2 et numéro de vote IDV) sont stockées pour chaque élection (chaque commune, par exemple, et/ou chaque bureau de vote).
- le lecteur 14 d’étiquette électronique 15 relié ou intégré au terminal utilisateur 13 de l’électeur.
- le logiciel de vote ou l’application de vote, installé sur ce terminal utilisateur 13.
- de bulletins de vote 16 munis, chacun d’une étiquette électronique 15 disposant de zones mémoire à accès sécurisés et/ou à écriture unique.
- d’une enveloppe 19 d’envoi sécurisée avec cage de Faraday pour éviter toute tentative de destruction de l’étiquette électronique 15 du bulletin activé 16 portant le nom du candidat choisi par l’électeur lors de son vote.
- du système de comptage de vote 20 comportant un système d’identification d’électeurs et d’émargement sécurisé répertoriant les noms et prénoms de tous les électeurs ayant voté, système qui garantit le secret du vote et
- le système de dépouillement automatique des enveloppes, aussi appelé « urne » 21.

Dans ce deuxième mode de réalisation, l’électeur s’identifie et, éventuellement, identifie son bureau de vote, auprès du serveur 11 et lui adresse une demande pour un vote par correspondance. Après vérification de l’identité de l’électeur, un numéro de vote personnel unique IDV est généré, par exemple de manière aléatoire, par le serveur 11 et envoyé au serveur de chiffrement 12.

L’électeur reçoit, ou retire auprès d’une autorité, les bulletins 16 déjà imprimés aux noms des candidats, chaque bulletin conservant, dans la mémoire de son étiquette électronique 15, un identifiant du candidat correspondant au nom lisible 17 du candidat imprimé sur le bulletin 16. Chaque bulletin 16 est alors inactivé, c’est-à-dire que, s’il était lu par le système de dépouillement 21, celui-ci le considérerait comme invalide et ne prendrait pas en compte.

L’électeur reçoit, par exemple par courriel, message court (« SMS ») et/ou par courrier postal, son numéro de vote IDV ou une partie de celui-ci, l’autre partie lui étant adressé par un autre moyen de transmission, par exemple avec les bulletins 16 s’ils lui sont adressés par courrier postal. Ce numéro de vote IDV permet à l’électeur d’activer, via le serveur de chiffrement 12, un et seul bulletin 16 et de sécuriser son vote.

L’étiquette électronique 15 de chaque bulletin 16 conserve aussi en mémoire un numéro non unique, par exemple un numéro de lot IDBL, le code de la commune où l’électeur est autorisé à voter et/ou le numéro national du bureau de vote de l’électeur.

L’étiquette électronique 15 comporte aussi un espace mémoire pour un numéro IDB1 généré par le terminal utilisateur 13, par exemple aléatoirement, numéro qui sera envoyés au serveur 12 qui conserve les clés de chiffrement par bureau de vote par exemple. Ces clés sont générées par l’organisateur de l’élection avant l’ouverture du vote par correspondance pour chaque bureau de vote par exemple KIE uniquement (mode simple) et KDE pour élection avec candidat identifié dans l’étiquette électronique.

Ces clés de chiffrements seront envoyées vers les systèmes de comptage de votes 20 après la fermeture du vote par correspondance.

Les bulletins de vote 16 sont produits avec en mémoire, dans le cas d’un bulletin 16 avec uniquement une zone de validation, le numéro de lot IDBL et, éventuellement, le numéro de bureau de vote et un identifiant de l’élection et, pour accéder à une zone d’identification, le numéro de lot IDBL et, pour accéder à une zone d’dentification de candidat, le code personnel d’accès PIN1.

Les bulletins de vote 16 sont produits avec en mémoire, dans le cas d’un bulletin 16 avec la zone de validation et une zone de comptabilisation candidat, le numéro de lot IDBL et, éventuellement, le numéro de bureau de vote et un identifiant de l’élection et, pour accéder à la zone d’identification et à la zone de comptabilisation candidat, le numéro de lot IDBL et le code d’accès personnel PIN1.

Les bulletins de vote 16 sont produits avec en mémoire, dans le cas d’un bulletin avec la zone de validation, la zone comptabilisation candidat et une zone relecture par le terminal 13, le numéro de lot IDBL et, éventuellement, le numéro de bureau de vote et un identifiant de l’élection et, pour accéder à la zone d’identification et à la zone de comptabilisation candidat, le numéro de lot IDBL et le code d’accès personnel PIN1 et, pour accéder à la zone de relecture, le numéro de lot IDBL et un code d’accès personnel PIN2.

Une fois encodés et envoyés, le numéro IDV est supprimé du serveur de demande 11.

Les données de l’étiquette électronique 15 des bulletins 16 envoyés sont chiffrées et/ou accessible par code personnel PIN1. Ce code personnel PIN1 est, avant remplacement lors de la validation, identique pour tous les bulletins 16 d’un même électeur. Le code PIN2 n’est pas lié à l’électeur il est lié à l’élection et numéro de bureau.

Au niveau du serveur 12 sont conservés en mémoire, le numéro de vote IDV et un attribut indiquant qu’un bulletin de vote a été validé par cet électeur, ainsi que le code PIN1, le numéro d’élection, le numéro de bureau de vote et, pour le vote, le numéro de vote, le numéro de bureau de vote, des clés de chiffrement KIE et KDE et le code PIN2 qui sera envoyé au système de comptage de vote 20. PIN2 est envoyé vers le terminal 13 pour accéder à la zone vote de l’étiquette électronique 15.

Les données conservées en mémoire de l’étiquette électronique 15 des bulletins de vote 16 permettant de contrôler et de comptabiliser le vote sont, par exemple, identiques à celles des bulletins « papier numérique » produits lors du vote en présentiel sur une borne de vote, par exemple objet de l’un des documents FR20100000868 et FR2977698.

La mémoire de l’étiquette électronique 15 de chaque bulletin de vote 16 activé conserve au moins les deux premiers ensembles de données suivantes :
- un ensemble de données permettant de contrôler la validité du bulletin, qui est calculée et chiffrée par le serveur de chiffrement,
- un ensemble de données représentatives du vote effectué par l’électeur, c’est-à-dire du choix d’un candidat, qui sert à la comptabilisation du vote lors du dépouillement. Ces données qui servent à la comptabilisation du vote sont chiffrées avec la clé KDE stockée sur le serveur 12 et envoyée comme la clé KIE et PIN2 vers le système de comptage de vote 20 concerné.

Les clés KIE, KDE et PIN2 sont générées par l’organisateur de l’élection avant l’ouverture du vote par correspondance. PIN1 est généré lors de la demande de l’électeur pour un IDV associé.

Dans ce deuxième mode de réalisation, après avoir reçu ou retiré les bulletins de vote et le numéro de vote IDV :
- l’électeur lance le logiciel ou l’application de vote sur son terminal utilisateur 13 et accède au serveur de chiffrement 12.
- l’électeur saisit le numéro de vote IDV qui lui a été envoyé. Comme exposé ci-dessus, le numéro de vote IDV valide peut être à reconstituer à partir de deux parties reçues séparément.
- l’électeur pose le bulletin 16 portant, de manière lisible, le nom du candidat 17 de son choix sur le lecteur 14 d’étiquettes électroniques 15 du terminal utilisateur 13.
- le logiciel ou l’application de vote détecte la présence de l’étiquette électronique 15 sur le lecteur 14 d’étiquettes électroniques.
- le logiciel ou l’application de vote adresse une demande d’identification avec le numéro de vote personnel IDV au serveur de chiffrement 12.

Une fois le choix de l’électeur réalisé et le bulletin 16 du candidat placé sur le lecteur 14 d’étiquettes électroniques 15, le logiciel ou l’application de vote demande au serveur de chiffrement 12 une activation de bulletin 16, demande qui ne comporte pas d’identification du candidat choisi. Cette activation comporte les étapes suivantes :
- le logiciel ou l’application de vote lit dans l’étiquette électronique, le numéro de lot IDBL.
- le logiciel ou l’application de vote génère un nouveau numéro aléatoire IDB1.
- le logiciel ou l’application de vote envoie IDBL et IDB1 au serveur de chiffrement 12. Le numéro de lot permet au serveur de chiffrement 12 de connaître le code d’élection.

Puis IDBL et IDB1 (ou leur signature CRC par exemple) sont chiffrés avec la clé KIE du serveur de chiffrement 12 correspondant au code d’élection. Le résultat de ce chiffrement est DIS. Le code PIN2 (PIN de vote) correspondant à cette l’élection est lu sur le serveur de chiffrement 12. DIS et le code PIN2 sont envoyés au logiciel ou à l’application de vote. Le code PIN2 permet à ce logiciel ou cette application d’accéder à la zone de validation/identification du vote et y stocke IDB1 et le numéro de validation du vote DIS.

Le bulletin est alors validé.

Le serveur de chiffrement 12 marque, dans sa mémoire, le numéro de vote IDV comme correspondant à un « bulletin activé ». Plus aucun autre bulletin 16 de cet électeur ne pourra être activé pour cette élection.

L’électeur met le bulletin 16 dans une enveloppe de vote 18 et l’enveloppe de vote 18 dans l’enveloppe 19 d’envoi sécurisée (suivi courrier par exemple) et la retourne vers un centre de vote par correspondance ou vers sa commune (par exemple) et son bureau de vote. On note que l’enveloppe 19 d’envoi sécurisé identifie l’électeur, c’est-à-dire porte son nom.

Le jour de l’élection en présentiel, l’émargement correspondant au nom de l’électeur porté sur l’enveloppe 19 d’envoi sécurisée est réalisé par le président du bureau de vote à la vue de tous. Puis, le président ouvre cette enveloppe 19 d’envoi sécurisée, en extrait l’enveloppe 18 de vote et l’insère dans l’urne 21 à la vue de tous.

L’enveloppe 18 de vote est identique aux enveloppes de vote en présentiel du bureau de vote.

Le jour de l’élection, le système de comptage de votes 20, par exemple l’urne, reçoit de la part du serveur 12, la clé KIE (correspondant au bureau de vote, par exemple) et lit en mémoire de l’étiquette électronique 15 de chaque bulletin 16, les valeurs IDBL et IDB1. Puis, le système de comptage de votes 20 effectue le chiffrement de « IDBL+IDB1 » avec la clé KIE, ce qui donne DIS (urne). Enfin, le système de comptage de votes 20 lit, en mémoire de l’étiquette électronique 15, la valeur de DIS qui y a été inscrite par le terminal utilisateur 13 et le compare avec DIS (urne).

Si ces valeurs sont égales, le vote est comptabilisé (avec les données chiffrées et les clé KIE et KDE correspondant au bureau de vote par exemple).

Cette opération avec les enveloppes 19 reçues peut se faire à tout moment de la journée de vote. En particulier, elle peut être effectuée en fin du vote en présentiel, ce qui permet à un électeur qui a voté par correspondance de voter en présentiel s’il a changé d’avis et/ou de choix de candidat. Dans ce cas, avant d’introduire une enveloppe 18 de vote par correspondance, le Président et un accesseur doivent s’assurer que le registre d’émargement n’a pas déjà été signé pour le nom de l’électeur portée sur l’enveloppe 19 d’envoi sécurisée. Si un émargement a déjà été fait, l’enveloppe 19 est détruite.

En fin de scrutin, l’urne électronique 21 affiche les résultats comprenant les votes en présentiels et les votes par correspondances. Il est impossible de les différencier ce qui permet de garantir le secret du vote.

Variante du deuxième mode de réalisation - Dépouillement de masse :

Les enveloppes de vote par correspondance peuvent aussi être envoyé vers un centre de dépouillement national ou régional afin d’y être dépouillées. La comptabilisation des voix pourra être faite de manière automatique en insérant les piles d’enveloppes dans le lecteur de masse LEC1. Ce lecteur contient les clés des KIE et KDE des communes et/ou des bureaux de vote des bulletins à dépouiller.

Variante du deuxième mode de réalisation - Vérification des votes par correspondances :

À tout moment l’électeur peut vérifier, grâce au numéro de suivi, l’acheminement de son enveloppe 19 d’envoi sécurisée.

Des statistiques pourront être faite par numéro national de bureau vote, du nombre de bulletins « validés » avec le nombre de bulletins (enveloppe) reçus et comptabilisés dans les bureaux de vote.

À tout moment, un électeur peut se rendre dans un bureau de vote et demander à vérifier le contenu de l’enveloppe 19 d’envoi sécurisée scellées par ses soins.

Il peut faire une vérification visuelle en ouvrant son enveloppe 19 d’envoi sécurisée. Il peut aussi faire une relecture du contenu de l’étiquette électronique 15 uniquement avec le terminal utilisateur qui y a fait une inscription grâce à sa clé unique qui y est stocké.

Chiffrements et serveurs :

Tous les chiffrements sont faits à l’aide d’algorithmes garantis par l’ANSSI (Agence nationale de la sécurité des systèmes d'information) par exemple, comme AES128, par exemple, et sont tous signés en SHA-256, par exemple.

Le serveur de demandes 11 vérifie et génère les code IDV et PIN1, les envoie vers le serveur 12 tout en déclenchant l’envoi des bulletins 16 demandés par l’électeur. Le serveur 11 ne conserve pas ces numéros.

Optionnellement, un serveur de candidats SV (non représenté) qui conserve la liste des choix possibles pour l’élection en cours, est accessible sans numéro de vote IDV. Il est en lecture uniquement et est isolé des serveurs 11 et 12.

Le serveur de chiffrements 12 ne stocke aucune donnée du candidat. Il ne peut pas émettre de données vers le serveur 11.

Les données à dépouiller sont sur le bulletin de vote 16 validé par l’électeur.

La reconstitution du vote se fait avec les données lues en mémoire de l’étiquette électronique 15 de chaque bulletin 16 dans le bureau de vote ou dans un centre de comptabilisation des votes par correspondance. Une fois que les données de chiffrements ainsi que les demandes de vote par correspondance y sont mémorisées, le serveur 12 passe en lecture seule. Seule la zone de mise à jour correspondant au numéro de vote peut être modifiée et uniquement pour le remplacement de l’attribut « bulletin inactivé » par l’attribut « bulletin activé ». La mémoire du serveur 12 peut être calibrée par rapport au nombre de bureaux de vote, de clés et de votes, ceci afin de s’assurer qu’aucune donnée de vote et/ou de validation du vote ne pourra y être stockée. Ce calibrage peut être électronique (limitation de la capacité de la mémoire par exemple). A la clôture du vote par correspondance, les données correspondantes aux demandes de vote sont détruites : aucun vote par correspondance n’est alors possible. Seules les clés de chiffrements restent stockées. Des données statistiques comme le nombre de votants et/ou demandes de vote par correspondance par bureau peuvent être calculées et stockées avant la suppression des demandes. Le jour du vote, une fois les clés transmises vers les bureaux de votes ou vers un centre de dépouillement, ces clés peuvent être détruites.

Signatures avant chiffrements :

Toutes les données chiffrées comme DIS, DCS et DMS peuvent être chiffrées avec la signature des zones qui permettent de les chiffrer comme IDA1 et IDBL pour DIS. Préférentiellement, le résultat de la signature, CRC polynomiale par exemple, est envoyé vers le serveur pour le chiffrement, plutôt que IDA1 et IDBL. Cette méthode permet d’avoir plusieurs chiffrements identiques et, ainsi, de rendre impossible d’identifier un électeur pour un vote.

Plus la méthode de calcul du CRC permet d’obtenir des signatures identiques, plus l’anonymat est sécurisé. Cette sécurité supplémentaire permet de répondre aux détracteurs du vote par correspondance qui pensent que les serveurs mémorisent les données permettant de remonter jusqu’à un électeur.

Cas d’utilisation d’une seule étiquette électronique 15 par électeur :

L’électeur s’identifie sur le serveur 11 et fait une demande pour un vote par correspondance. Après vérification de son identité, un numéro de vote IDV et un code PIN1 sont générés de manière aléatoire par le serveur 11 et envoyés vers le serveur de chiffrement 12. L’électeur reçoit une seule étiquette électronique 15 vierge autocollante et des bulletins papier 16 identiques à ceux utilisés en présentiel le jour du vote, avec les données candidat 17 imprimées en clair. L’électeur peut aussi imprimer le bulletin 16 du candidat qu’il veut choisir. L’étiquette électronique vierge 15 de données de vote contient seulement un numéro non unique IDBL (n° de lot par exemple), le code commune (par exemple) et/ou un numéro national de bureau de vote. Ces numéros sont encodés dans l’étiquette électronique vierge 15 par la commune (par exemple) avant l’envoi de cette étiquette électronique 15 et des bulletins papier 16 si l’électeur ne peut pas les imprimer et qu’il en a fait la demande.

Pour voter, l’électeur choisi le bulletin papier 16 de son candidat puis colle l’étiquette électronique vierge 15 sur le bulletin 16 choisi. L’étiquette électronique vierge 15 et le bulletin papier 16 choisi ne peuvent plus être dissociés sans destruction.

L’électeur utilise son terminal utilisateur 13 muni d’un lecteur d’étiquette électronique 14. L’électeur lance le logiciel de vote ou l’application de vote. L’électeur saisit ou scanne et/ou photographie directement dans l’application les informations du candidat choisi et inscrites sur le bulletin papier collé à l’étiquette électronique vierge. Les informations graphiques sont transformées en données alphanumériques (par l’intermédiaire d’une reconnaissance optique de caractères « OCR » et une signature de l’image « IMG »). A l’aide du code élection, de la commune (par exemple) et/ou du numéro de bureau de vote, l’application se connecte au serveur candidats SV et demande la liste de tous candidats.

Le terminal utilisateur 13 peut vérifier localement dans cette liste, la présence du candidat choisi par l’électeur et valider son choix.

Les données alphanumériques et les informations graphiques et/ou leur signature peuvent être stockées dans une zone dédiée de l’étiquette électronique 15.

L’électeur pose son bulletin 16 sur le lecteur 14 d’étiquette électronique 15.

L’application détecte la présence de l’étiquette électronique 15 sur le lecteur 14.

L’application lit le code commune et/ou le numéro de bureau de vote de l’électeur (sur six digits par exemple) de l’étiquette électronique 15 et/ou directement sur le serveur avec le numéro de vote IDV.

L’application lit le numéro de lot IDBL et génère trois numéros aléatoires IDBT, IDB1 et IDB2.

L’application chiffre directement sur le terminal 13, les données candidats avec la clé KBT constituée de IDBL et IDTA ce qui donne DCT. Ces données peuvent aussi être chiffrées directement dans l’étiquette électronique 15 du bulletin 16 (en 3DES par exemple). A l’aide du code PIN1, ces données chiffrées DCT sont stockées dans la zone mémoire candidat « relecture » de l’étiquette électronique.

L’application effectue un premier chiffrement sur le terminal 13 des données candidat saisies ou scannées avec la clé KB2 constituée de IDBL et IDB2, chiffrement qui donne DC0. Ces données peuvent aussi être chiffrées par l’étiquette électronique 15 (en 3DES par exemple).

L’application génère un code PIN1. A l’aide du code PIN1, les données chiffrées DCT sont stockées dans la zone mémoire candidat « relecture » de l’étiquette électronique 15.

L’application envoie IDBL, IDB1, IMG et DC0 préalablement chiffré au serveur de chiffrement 12. Le code élection (le code commun, par exemple, et/ou numéro de bureau de vote) est aussi envoyé et/ou lu directement sur le serveur.

Puis, IDB1 et IDBL sont chiffrés avec la clé KIE du serveur 12 qui correspond à l’élection (la commune et/ou le numéro de bureau de vote). Le résultat de ce chiffrement est DIS.

Les données DC0 sont chiffrés avec la clé KDE du serveur 12 qui correspond à l’élection. Le résultat de ce chiffrement est DCS.

Les données IMG sont chiffrés avec la clé KDE du serveur 12. Le résultat de ce chiffrement est DMS.

Le code PIN2 correspondant à cette l’élection est lu sur le serveur. DIS, DCS et le code PIN2 sont envoyé vers le terminal utilisateur 13. Le code PIN2 permet d’accéder à la zone vote de l’étiquette électronique 15 et y stocke DIS, IDB1 et IDB2, DCS. Le bulletin 16 est alors validé avec le numéro de validation du vote DIS et conserve les données candidat chiffrées DCS. Le serveur de chiffrement 12 mémorise le numéro de la vote IDV comme correspondant à un « bulletin activé ».

Architecture de la mémoire d’une étiquette électronique :

Comme illustré en , une mémoire 50 d’une étiquette électronique 15, par exemple de type RFSID (acronyme de « Radio Frequency Same IDentification ») mise en œuvre dans le deuxième mode de réalisation comporte :
- une zone 51 de conservation du numéro de lot, numéro qui est commun avec d’autres bulletins 16 pour favoriser l’anonymat,
- une zone 52 de conservation de données d’élection,
- une zone 53 de relecture du nom du candidat, uniquement accessible à l’électeur,
- une zone 54 de conservation d’une information représentative d’un code de validation, signifiant que le bulletin est activé, servant à la vérification avant comptabilisation, d’un nom de candidat correspondant au nom du candidat imprimé sur le bulletin, pour comptabilisation par l’urne, et de conservation d’une information signifiant que le bulletin a été comptabilisé, inscrite par urne et
- une zone 55 de conservation d’une image du bulletin ou d’une signature de l’image.

Ainsi, selon un deuxième aspect, la présente invention vise une étiquette électronique pour vote par correspondance par association avec un bulletin de vote, qui comporte une mémoire comportant une information représentative d’un code de validation de bulletin.

Plus particulièrement :
- Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée, un numéro de lot de bulletins et/ou un numéro aléatoire.
- Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée par un numéro de lot de bulletins et/ou un numéro aléatoire puis par un serveur distant, une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection.
- Dans des modes de réalisation, la mémoire comporte, de plus, une image d’un bulletin de vote sur lequel est collée cette étiquette électronique.
- Dans des modes de réalisation, la mémoire comporte, de plus, une information représentative de la comptabilisation, par une urne, du vote porté par le bulletin.

Architecture du bulletin :

Zone N° de lot qui correspond au numéro de série identique (Rappel brevet « numéro non unique »). Cette zone est initialisée lors de la fabrication du bulletin avec un numéro non unique. Ce numéro est identique pour un lot de bulletins (par exemple identique pour un rouleau de 1000 bulletins).

1 : Marquage uniquement

Zone « données élection » Initialisée lors de l’impression du bulletin avec le n° élection, n° de bureau de vote (accessible ou pas par code PIN1) et/ou avec lors de la validation du bulletin. Ces données permettent de contrôler le bulletin avant sa validation.

Zone « bulletin validé » pour vérification avant comptabilisation (accessible par PIN1).

Zone « bulletin comptabilisé » (qui (pourrait être la zone « bulletin validé » mise à jour en « bulletin comptabilisé ») marquage par urne comme comptabilisé (accessible par PIN2).

2 : Avec relecture sécurisée sur terminal utilisateur 13

Zone « candidat relecture » possible uniquement par l’électeur (accessible par PIN1). En variante, cette zone permet de vérifier que le bulletin a été validé par le terminal utilisateur 13 de l’électeur, seul ce terminal pouvant la lire.

3 : Avec nom et/ou code candidat pour dépouillement automatique

Zone « candidat vote » pour comptabilisation par urne ou autre (accessible par PIN2).

4 : Zone « image bulletin » image ou signature image (accessible par PIN2).

Le code PIN1 est lié à l’électeur et est identique pour tous les bulletins d’un électeur. Il sera modifié par l’application est stocké dans la mémoire du terminal utilisateur.

Le code PIN1 est relié à l’électeur et le code PIN2 est lié à l’élection et/ou un numéro de bureau de vote.

Une redondance, par exemple un code de redondance cyclique (« CRC »), permet de vérifier l’intégrité de données.

Toutes ces zones 51 à 55 peuvent être accessibles par PIN et/ou sont chiffrées.

Système d’identification et d’émargement (Figures 5 à 7)

Afin de faciliter l’identification et l’émargement d’un électeur lors du vote, préférentiellement on utilise un système d’identification électronique comme une carte à mémoire (avec ou sans contact), un code PIN ou autre. L’inconvénient de tels systèmes est que le secret du vote peut ne pas être respecté. En effet si on peut relier un électeur au candidat qu’il a choisi, le secret du vote ne serait pas respecté. L’invention permet d’identifier un électeur indépendamment du système de vote (électronique et/ou papier numérique et/ou papier) tout en permettant d’activer le vote. Un système électronique d’identification ID1 relié à une base de données pour identifier l’électeur et d’un système électromécanique RD1 commandé par ID1 pour activer le système de vote de manière mécanique (aucun liaison électronique et/ou informatique). Le système RD1, après validation par ID1, active un bouton poussoir par exemple qui vient autorise ainsi le vote. Le dispositif est aussi activé de manière électromécanique par le système de vote VT1 afin de valider le vote en actionnant pour acquittement un second bouton poussoir par exemple, relié au système d’identification ID1. Le système RD1 est encapsulé dans une boite sécurisée et totalement transparente afin que l’électeur puisse voir les actions mécaniques. Deux voyants liés à chaque action mécanique permettent de visualiser le sens (« Demande de Vote » et « A Voté »). Le dispositif peut être connecté à un système de vote électronique, à l’urne et/ou la borne du système de « vote papier numérique » et/ou à une urne papier. Dans tous les cas, le dispositif vient les activer de manière mécanique.

Les éléments du système électronique d’émargement comportent :
-une unité électronique permettant d’identifier un électeur,
- une carte d’identification de l’électeur (carte à puce par exemple),
- un boitier transparent sécurisé (par exemple en Plexiglass, marque déposée),
- un actionneur A1 électromécanique à commande électronique codée pour activer un vote,
- un contact électrique C1 permettant d’envoyer à la borne ou à l’urne un signal électrique codé pour actionner le vote,
- un actionneur A2 électromécanique à commande électronique codée pour acquitter le vote,
- un contact électrique C2 permettant d’envoyer au système d’identification un signal électrique codé pour acquitter le vote,
- un voyant permettant de visualiser l’activation d’un vote V1,
- un voyant permettant de visualiser la validation d’un vote V2.

Cet actionneur A1 permet d’activer un bouton à contact électrique C1 permettant d’envoyer à la borne ou à l’urne un signal électrique codé. Cet actionneur A2 commande un actionneur électromécanique à commande électronique codée pour acquitter un vote en activant le contact électrique C2 qui envoie un signal électrique codé au système d’identification électronique.

Dans le cas de l’urne papier traditionnelle, l’actionneur codé A1 permet de libérer le levier d’ouverture de la trappe.

Le contact électrique C2 est intégré au levier mécanique de l’urne et relié au système d’identification électronique qui reçoit le signal codé pour acquitter le vote.

On observe, en , une unité électronique ID1 permettant d’identifier un électeur et d’activer un actionneur codé A1, qui actionne un contact électrique codé C1 relié à et décodé par une urne VT1 et allume le voyant V1. Après introduction d’une enveloppe dans l’urne VT1, VT1 active un actionneur codé A2, qui actionne le contact électrique codé C2 relié et décodé par le système d’identification ID1, et ainsi acquitte le vote. Le voyant V2, signifiant « a voté » est alors allumé pendant quelques secondes. Toutes les actions mécaniques d’activations ou de validations sont visibles mais sont inaccessibles.

On observe, en , une production de bulletins papier avec étiquettes électroniques. Une unité électronique ID1 permettant d’identifier un électeur et d’activer l’actionneur codé A1, qui actionne le contact électrique codé C1 relié et décodé par borne BP1. Le voyant V1 est alors allumé. Après production du bulletin, la borne BP1 active l’actionneur codé A2, qui actionne le contact électrique codé C2 relié et décodé par le système d’identification ID1, et ainsi acquitte la demande de production du bulletin. Le voyant V2, signifiant « a voté » est alors allumé pendant quelques secondes. Toutes les actions mécaniques d’activations ou de validations sont visibles mais sont inaccessibles.

On observe, en , un vote avec une urne pour bulletins papiers classiques et avec déverrouillage mécanique d’un levier d’une trappe de l’urne.

Une unité électronique ID1 permettant d’identifier un électeur et d’activer l’actionneur codé A3, qui libère le levier d’ouverture de l’urne VTP1 le voyant V1 est allumé. Le levier L1 peut être actionné par le responsable de l’urne, la trappe s’ouvre et le contact codé C3 intégré au levier est ouvert. Après introduction de l’enveloppe dans VTP1, le levier L1 est ramené en position initiale et ferme le contact électrique codé C3 intégré au levier L1 et relié et décodé par le système d’identification ID1, et ainsi acquitte le vote. Le voyant V2, signifiant « a voté » est alors allumé pendant quelques secondes. Toutes les actions mécaniques d’activations ou de validations sont visibles mais sont inaccessibles.

Ainsi, selon un troisième aspect, la présente invention vise un système de comptage de votes par correspondance par lecture d’une étiquette électronique associée avec un bulletin de vote, qui comporte un moyen de lecture d’une information représentative d’un code de validation de bulletin dans une mémoire de l’étiquette électronique.

Plus particulièrement :
- Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée, un numéro de lot de bulletins et/ou un numéro aléatoire, le système de comptage de vote comportant, de plus, un moyen de réception d’une clé de chiffrement ou de déchiffrement correspondant au chiffrement mis en œuvre pour chiffrer le numéro de lot de bulletins et/ou le numéro aléatoire.
- Dans des modes de réalisation, l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée par un numéro de lot de bulletins et/ou un numéro aléatoire puis par un serveur distant, une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection, le système de comptage de vote comportant, de plus, un moyen de réception de clés de chiffrement ou de déchiffrement correspondant aux chiffrements mis en œuvre pour chiffrer le numéro de lot de bulletins et/ou le numéro aléatoire.
- Dans des modes de réalisation, le système de comptage de votes comporte un moyen d’écriture dans la mémoire de l’étiquette électronique associée au bulletin de vote, d’une information représentative de la comptabilisation, par le système de comptage de vote, du vote porté par le bulletin.

Claims (22)

1. Procédé (30) de vote par correspondance, caractérisé en ce qu’il comporte :
   - une étape (31) de connexion d’un terminal utilisateur (13) à un premier serveur (11),
   - une étape (32) d’authentification de l’utilisateur du terminal utilisateur par le premier serveur, et d’association d’un seul numéro de vote à l’utilisateur,
   - une étape (33) de mémorisation par un deuxième serveur (12), du numéro de vote de l’utilisateur,
   - une étape (34) de transmission, par le deuxième serveur au terminal utilisateur, d’un code de validation de bulletin,
   - une étape (36) d’inscription, par le terminal utilisateur dans une étiquette électronique (15), d’une information représentative du code de validation de bulletin,
   - une étape (38) de transmission, par le deuxième serveur à un système de comptage de votes (20), d’un élément de validation de bulletin (16),
   - par le système de comptage de votes, pour chaque bulletin de vote associé à une étiquette électronique, une étape (39) de lecture de l’information représentative du code de validation dans ladite étiquette électronique et
   - une étape (40) de vérification de correspondance entre l’information représentative du code de validation lu et l’élément de validation reçu par le système de comptage et, seulement si cette vérification est positive, une étape de prise en compte du bulletin associé à ladite étiquette électronique.
2. Procédé selon la revendication 1, dans lequel, au cours de l’étape (34) de transmission, par le deuxième serveur (12) au terminal utilisateur (13), d’un code de validation de bulletin, le terminal utilisateur transmet au deuxième serveur (12) un numéro de lot de bulletins et/ou un numéro aléatoire, le deuxième serveur chiffre chaque numéro reçu du terminal utilisateur et le retourne chiffrée au terminal utilisateur.
3. Procédé selon la revendication 1, dans lequel, au cours de l’étape (34) de transmission, par le deuxième serveur (12) au terminal utilisateur (13), d’un code de validation de bulletin, le terminal utilisateur chiffre une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection, avec, comme clé de chiffrement, un numéro de lot de bulletins et/ou un numéro aléatoire, et transmet l’identification de choix chiffrée au deuxième serveur (12), le deuxième serveur chiffrant cette identification de choix chiffré et la retournant chiffrée au terminal utilisateur.
4. Procédé selon l’une des revendications 1 à 3, qui comporte, après l’étape (32) d’authentification de l’utilisateur du terminal utilisateur (13) par le premier serveur (11), une étape de transmission à l’utilisateur d’une pluralité de bulletins de vote (16), portant, de manière visible et lisible à l’œil, un choix (17) possible au cours de l’élection, chaque bulletin de vote étant physiquement lié à une étiquette électronique (15) conservant, en mémoire, l’identification du choix porté par le bulletin.
5. Procédé selon la revendication 4, dans lequel l’identification du choix (17) porté par le bulletin (13) est conservée chiffrée en mémoire de l’étiquette électronique (15).
6. Procédé selon l’une des revendications 1 à 5, qui comporte une étape de transmission, à l’utilisateur, d’un premier code (PIN1) d’accès au contenu d’une première partie de la mémoire de chaque étiquette électronique (15) reçue par l’utilisateur, cette première partie conservant un identifiant du vote et/ou une identification du choix (17) effectué par l’utilisateur au cours de l’élection.
7. Procédé selon la revendication 6, qui comporte une étape de modification, par le terminal utilisateur, du premier code (PIN1) conjointement à l’étape (36) d’inscription, par le terminal utilisateur dans une étiquette électronique (15), d’une information représentative du code de validation de bulletin.
8. Procédé selon l’une des revendications 1 à 7, qui comporte une étape de transmission, par le deuxième serveur (12) au terminal utilisateur (13), d’un deuxième code (PIN2) d’accès au contenu d’une deuxième partie de la mémoire de chaque étiquette électronique (15) reçue par l’utilisateur, cette deuxième partie conservant l’information représentative du code de validation de bulletin.
9. Procédé selon l’une des revendications 1 à 8, qui comporte une étape d’inscription, en mémoire de chaque étiquette électronique (15) reçue par l’utilisateur, d’un numéro de lot de bulletins (16) commun aux étiquettes électroniques de plusieurs utilisateurs.
10. Procédé selon l’une des revendications 1 à 9, qui comporte une étape de collage d’une étiquette électronique (15) sur un bulletin (16) portant une identification (17) visible et lisible à l’œil du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection, une étape de capture d’une image du bulletin portant l’étiquette électronique collée, une étape de chiffrement de cette image et une étape de mise en mémoire de l’étiquette électronique de cette image chiffrée conjointement à l’étape (36) d’inscription, par le terminal utilisateur dans une étiquette électronique (15), d’une information représentative du code de validation de bulletin.
11. Procédé selon la revendication 10, qui comporte une étape de reconnaissance optique de caractères de l’identification du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection portée par le bulletin (16) sur lequel est collé l’étiquette électronique (15) et une étape d’inscription, par le terminal utilisateur dans la mémoire de l’étiquette électronique (15), d’une information représentative de l’identification lue par reconnaissance optique de caractères.
12. Procédé selon l’une des revendications 1 à 9, qui comporte une étape de collage d’une étiquette électronique (15) sur une enveloppe (18, 19) contenant le bulletin (16) portant une identification (17) visible et lisible à l’œil du choix effectué par l’utilisateur parmi les choix possibles au cours de l’élection.
13. Procédé selon l’une des revendications 1 à 12, qui comporte une étape (37) de transmission, par l’utilisateur à un bureau de vote, d’un bulletin de vote associé à une étiquette électronique, dans une enveloppe formant cage de Faraday.
14. Etiquette électronique pour la mise en œuvre du procédé de vote par correspondance selon l’une des revendications 1 à 13 par association avec un bulletin de vote, qui comporte une mémoire comportant une information représentative d’un code de validation de bulletin.
15. Etiquette électronique selon la revendication 14, dans laquelle l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée, un numéro de lot de bulletins et/ou un numéro aléatoire.
16. Etiquette électronique selon la revendication 14, dans laquelle l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée par un numéro de lot de bulletins et/ou un numéro aléatoire puis par un serveur distant, une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection.
17. Etiquette électronique selon l’une des revendications 14 à 16, dans laquelle la mémoire comporte, de plus, une image d’un bulletin de vote sur lequel est collée cette étiquette électronique.
18. Etiquette électronique selon l’une des revendications 14 à 17, dans laquelle la mémoire comporte, de plus, une information représentative de la comptabilisation, par une urne, du vote porté par le bulletin.
19. Système de comptage de votes pour la mise en œuvre du procédé de vote par correspondance selon l’une des revendications 1 à 13 par lecture d’une étiquette électronique associée avec un bulletin de vote, qui comporte un moyen de lecture d’une information représentative d’un code de validation de bulletin dans une mémoire de l’étiquette électronique.
20. Système de comptage de votes selon la revendication 19, dans lequel l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée, un numéro de lot de bulletins et/ou un numéro aléatoire, le système de comptage de vote comportant, de plus, un moyen de réception d’une clé de chiffrement ou de déchiffrement correspondant au chiffrement mis en œuvre pour chiffrer le numéro de lot de bulletins et/ou le numéro aléatoire.
21. Système de comptage de votes selon la revendication 19, dans lequel l’information représentative d’un code de validation de bulletin comporte, de manière chiffrée par un numéro de lot de bulletins et/ou un numéro aléatoire puis par un serveur distant, une identification du choix de l’utilisateur parmi les choix possible au cours de l’élection, le système de comptage de vote comportant, de plus, un moyen de réception de clés de chiffrement ou de déchiffrement correspondant aux chiffrements mis en œuvre pour chiffrer le numéro de lot de bulletins et/ou le numéro aléatoire.
22. Système de comptage de votes selon l’une des revendications 19 à 21, qui comporte un moyen d’écriture dans la mémoire de l’étiquette électronique associée au bulletin de vote, d’une information représentative de la comptabilisation, par le système de comptage de vote, du vote porté par le bulletin.