⚠ En cours d'élaboration — réflexion ouverte

Cette page n'est pas une doctrine arrêtée. Les mécanismes y sont encore discutés et les points de droit ne sont pas tranchés. Elle est publiée pour être critiquée, et pour que les mairies sachent ce que nous préparons avant que nous le fassions.

Une personne, une voix : comment le prouver sans ficher personne

Le problème, en une phrase

Nous voulons expérimenter le référendum d'initiative citoyenne à l'échelle nationale. Un vote dont on ignore s'il contient des doublons ne mesure rien : il faut pouvoir affirmer que chaque votant est une personne, et une seule.

Or seul l'État peut établir cette unicité. Une pièce d'identité se falsifie ; une adresse électronique se multiplie à volonté. L'objet qui désigne une personne et une seule, à l'échelle du pays, et que chacun peut aller chercher lui-même, c'est celui que la République a créé en 2019 : le numéro national d'électeur.

Le numéro national d'électeur (NNE). Huit à neuf chiffres, porté par la carte électorale, inchangé toute la vie — y compris en changeant de commune. Chacun peut retrouver le sien en trente secondes sur le téléservice public « ma situation électorale ». C'est une clé de dédoublonnage, pas un mot de passe : il prouve qu'on est une personne unique, il ne prouve pas qu'on est cette personne-là.

Et il ne concerne que les électeurs. Qui n'est pas inscrit sur une liste électorale n'a pas de numéro — un mineur, un étranger résidant en France, quelqu'un qui a quitté les listes. Notre réseau, lui, ne demande ni la nationalité française ni l'âge de la majorité pour y entrer. Il faudra donc une autre porte pour eux, et nous ne l'avons pas encore ouverte. Nous préférons le dire que le découvrir devant la première personne à qui nous devrons répondre « vous ne pouvez pas voter chez nous ».

Les quatre niveaux de sécurité, et ce que chacun coûte

Vérifier qu'un votant est une personne, et une seule, peut se faire de quatre façons. Elles n'offrent pas la même sécurité, et elles ne coûtent pas la même chose — ni à nous, ni aux personnes concernées. Il serait facile de ne montrer que la meilleure. Nous les décrivons toutes les quatre, y compris celles que nous ne voulons pas employer, avec pour chacune sa limite exacte : ce qu'elle empêche, et ce qu'elle n'empêche pas.

C'est précisément l'objet de notre demande aux maires : sans eux, nous sommes contraints au niveau le plus faible. Voici d'abord le plus sûr, celui que nous visons :

Le trajet d'un jeton d'unicité La personne engendre ses clés chez elle et masque sa clé publique. La mairie vérifie son identité sur sa propre liste et signe le masque sans le voir. La personne démasque et obtient un jeton valide. Le réseau reçoit un vote signé, sans jamais recevoir de nom. 🧍 La personne 🏛️ Sa mairie 🌐 Le réseau 1 · Elle engendre ses clés sur son propre appareil. La clé privée ne sort jamais. 2 · Elle masque sa clé avec un hasard qu'elle seule a. la clé masquée + sa pièce d'identité 3 · Elle vérifie, puis signe sur SA liste électorale, celle qu'elle détient déjà. Elle signe sans voir. le masque signé 4 · Elle démasque et détient un jeton valide, que nul ne peut lui relier. 5 · Elle vote un jeton = une voix. un bulletin + un jeton valide Ce que nous recevons la preuve que le votant est une personne unique — et rien sur laquelle. ⛔ Ce qui ne traverse jamais cette ligne · le nom, l'état civil · la liste électorale · le lien entre une   personne et son vote la ligne
Le trajet d'un jeton. La mairie sait qui elle a servi, sans savoir quoi ; nous savons quoi, sans savoir qui. Personne ne détient les deux.
Niveau 4 — sécurité maximale · ce que nous visons

🏛️ Le scellé communal : nous ne détenons rien

La personne engendre ses clés sur son propre appareil et se présente en mairie avec sa pièce d'identité. La mairie vérifie son unicité sur la liste qu'elle détient déjà — celle qui est son métier, et dont nous ne voyons pas une ligne — puis certifie un jeton en aveugle : elle signe sans voir ce qu'elle signe.

Ce que nous obtenons : la certitude qu'une personne est unique.
Ce que nous détenons de son identité : rien. Aucun nom, aucun numéro, aucune liste.
Précision honnête : le réseau sait bien sûr qu'un compte existe, et la commune que cette personne a déclarée — c'est ce qui la range dans son assemblée. Mais rien de tout cela ne vient de la mairie, et rien ne relie ce compte à son bulletin.

Niveau 1 — sécurité minimale · ce que nous faisons faute de mieux

🔢 La déclaration simple : une empreinte, et c'est tout

La personne va chercher son numéro d'électeur sur le téléservice public et nous le confie. Nous n'en conservons qu'une empreinte cryptographique — de quoi reconnaître un doublon, et rien d'autre : ni adresse, ni moyen d'écrire à quiconque.

Soyons exacts sur ce que vaut cette empreinte. Ce n'est pas de l'anonymat, c'est un nom remplacé par un code. Qui détiendrait à la fois nos empreintes et la clé secrète qui sert à les fabriquer pourrait remonter aux numéros. Toute la protection tient à cette clé — et c'est bien pourquoi nous préférons le palier au-dessus, où il n'y a aucune clé à protéger.

Ce que ça ferme : le doublon, l'inscription en double.
Ce que ça ne ferme pas : un numéro inventé, ou emprunté à quelqu'un dont on connaît l'état civil. Suffisant pour une consultation interne, insuffisant pour un scrutin national.

Niveau 2 — sécurité moyenne · ce que la loi nous permet déjà

📄 La vérification, commune par commune

L'article L37 du code électoral donne à tout électeur le droit d'obtenir la liste électorale de sa commune. Nos membres peuvent donc demander la leur, et nous la confier pour vérifier que les numéros déclarés existent réellement.

Le fichier reçu est haché puis détruit sous procès-verbal : il n'en reste que des empreintes.
Mais soyons exacts : à partir de là, nous détenons une empreinte des électeurs de cette commune. C'est déjà quelque chose que nous préférerions ne pas avoir.

Niveau 3 — sécurité forte, coût inacceptable · ce que nous refusons

🗄️ La couverture nationale, et ce qu'elle produit

Ce droit est communal. Pour couvrir la France, il faudrait le répéter 34 950 fois. Et au bout de ces 34 950 démarches — chacune parfaitement légale, chacune exercée par un citoyen dans son droit — nous détiendrions l'équivalent d'un fichier national des électeurs.

Nous ne voulons pas de cet objet. Non parce qu'il serait illégal, mais parce qu'un mouvement qui réclame la souveraineté des citoyens n'a rien à faire avec le fichier de tous les citoyens. Un tel fichier ne se protège pas : il se subit. C'est exactement ce que la coopération des mairies permet d'éviter — et c'est pour cela que nous vous écrivons avant, plutôt que de nous rabattre en silence sur le niveau le plus faible.

Ce que nous ne saurons jamais

Le point le plus important de cette page. Une fois qu'une personne est membre unique du réseau, il n'existe aucun lien, chez nous, entre elle et ce qu'elle fait. Ce n'est pas une promesse de bonne conduite : c'est une conséquence mathématique de la manière dont les jetons sont signés — en aveugle, sans que le signataire voie ce qu'il signe.

Le secretQui le détientCe que nous en savons
L'identité et sa clé secrète la personne et sa mairie RIEN
Le code secret de vote la personne, seule — pas même la mairie RIEN
Le lien pseudonyme ↔ état civil la mairie, sous scellé, ouvrable sur la seule réquisition du procureur RIEN
Nous ne détenons aucun des trois. Ni aujourd'hui, ni plus tard, ni « seulement en cas de besoin ». Un vote arrive chez nous avec la preuve qu'il vient d'une personne unique — et sans rien qui permette de savoir laquelle.

Et demain : le pseudonyme de proximité

Le même dispositif prépare une seconde chose. Avec son identité secrète, la personne choisira un pseudonyme — celui sous lequel elle interviendra sur les réseaux citoyens de proximité, ceux où l'on parle de sa rue, de son école, de son quartier.

Ce pseudonyme n'est pas un masque : la mairie sera en mesure de savoir quel pseudonyme correspond à quel état civil, parce qu'on ne discute pas de la vie d'une commune sous une identité que personne ne peut établir. Mais cette correspondance vit sous scellé, et ne s'ouvre que sur réquisition du procureur.

Deux jetons, deux régimes — et il ne faut jamais les confondre.
Le jeton de parole porte le pseudonyme : il est levable par la justice, parce que la calomnie et la menace doivent pouvoir être poursuivies.
Le jeton de vote, lui, n'est levable par personne — ni par un juge, ni par un maire, ni par nous. C'est ce que signifie le secret du vote, et c'est le seul endroit du dispositif où nous ne prévoyons aucune porte.

Ce que nous demandons aux maires, concrètement

  1. Recevoir vos administrés qui viennent faire certifier leur unicité, comme vous recevez déjà ceux qui viennent s'inscrire sur les listes.
  2. Vérifier sur votre propre liste — sans nous en transmettre copie, sans nous en communiquer une ligne.
  3. Signer un jeton en aveugle. Le logiciel est libre, déployé chez vous, sur votre propre base ; vous ne signez jamais quelque chose dont vous ignorez la nature, seulement quelque chose dont vous ignorez le contenu — la différence est technique, et elle est tout.
  4. Conserver sous scellé la correspondance pseudonyme ↔ état civil, ouvrable sur la seule réquisition du procureur.

En échange, vous obtenez ce que nous vous devons : que ce fichier national n'existe jamais, et que la vérification reste là où elle a toujours été — dans la commune.

Les dix-sept questions de droit que nous n'avons pas tranchées

Nous les posons publiquement, numérotées, avant d'agir plutôt qu'après. Elles seront soumises à des juristes et les réponses publiées ici — y compris celles qui nous contrarient.

Obtenir les listes

  1. LOI#1Un électeur qui obtient la liste de sa commune au titre de L37 peut-il la transmettre à un mouvement ? L'engagement de non-usage commercial le suit-il ? La transmission est-elle elle-même une communication soumise à condition ?
  2. LOI#2Le dédoublonnage d'un corps électoral privé est-il un usage « non commercial » au sens de L37 ? Le texte oppose commercial et non commercial ; notre usage est civique, ce qui n'est pas exactement la même chose.
  3. LOI#3Existe-t-il une limite de finalité au-delà du non-commercial ? La CADA ou la CNIL ont-elles déjà qualifié un usage « vérification d'unicité » ?
  4. LOI#4La voie parti ou candidat (toutes les communes d'un département, en préfecture) exige-t-elle une candidature effective à un scrutin en cours, ou la qualité de parti suffit-elle ?
  5. LOI#5Constituer, à partir de 34 950 listes obtenues une par une et légalement, un ensemble national : est-ce encore l'exercice du droit de L37, ou la création d'un traitement nouveau qui appelle sa propre base légale ? C'est la question qui décide si le palier 4 existe.

Traiter les données

  1. LOI#6Base légale RGPD du traitement — intérêt légitime ou consentement ? Et l'analyse d'impact est-elle obligatoire compte tenu de l'échelle ?
  2. LOI#7Le numéro national d'électeur est-il une donnée personnelle ordinaire, ou relève-t-il d'un régime particulier en tant qu'identifiant attribué par l'État ?
  3. LOI#8Une empreinte à poivre secret d'un numéro d'électeur : pseudonymisation (donnée toujours personnelle) ou anonymisation (hors RGPD) ? Notre lecture technique : pseudonymisation — c'est réversible par force brute pour qui détient le poivre. Nous ne prétendrons pas le contraire.
  4. LOI#9Durée de conservation de l'ensemble de vérification, et procédure d'effacement pour une personne qui ne nous a jamais rien demandé.
  5. LOI#10Information des personnes : peut-on traiter l'empreinte de quelqu'un qui ignore notre existence ? Quelle information collective, sous quelle forme, et par quel canal ?

Le scellé communal

  1. LOI#11Une mairie peut-elle certifier l'unicité d'un administré pour un dispositif citoyen privé ? Sur quel fondement, et le maire agit-il comme autorité d'état civil ou à titre volontaire ?
  2. LOI#12La commune devient-elle responsable de traitement ? Faut-il une convention, une délibération du conseil municipal, une analyse d'impact propre ?
  3. LOI#13Le dépôt sous scellé d'une clé chiffrée en mairie relève-t-il d'un régime existant — dépôt, séquestre — ou faut-il l'établir par convention ?
  4. LOI#14Ouverture du coffre sur réquisition judiciaire : quelle procédure, quelle traçabilité, et qui détient les parts de la clé ?

Le pseudonyme et le vote

  1. LOI#15Une expérimentation RIC nationale privée relève-t-elle d'un régime particulier — sondage, consultation ? Les recommandations de la CNIL sur le vote par internet s'y appliquent-elles ?
  2. LOI#16Un pseudonyme dont la mairie détient la correspondance à l'état civil : quel régime ? La commune devient-elle responsable d'un service de réseau social de proximité ?
  3. LOI#17Un jeton de vote techniquement non levable, même sur réquisition judiciaire, est-il opposable en droit français — ou faut-il prévoir une porte que nous refusons par principe ? Nous préférons connaître la réponse maintenant que la découvrir devant un juge.

Références : article L37 du code électoral (communication des listes électorales) · Répertoire électoral unique et numéro national d'électeur (INSEE, 2019) · D. Chaum, Blind signatures for untraceable payments, 1983.