À quelques jours du scrutin municipal du 26 octobre, des millions d’Ontariens peuvent voter de leur cuisine, par Internet ou par téléphone. Mais aucune norme de cybersécurité obligatoire n’encadre ces systèmes, gérés par des entreprises privées et choisis par chaque conseil municipal, déplorent des chercheurs.

L’Ontario est, selon Aleksander Essex, professeur agrégé de génie du logiciel à l’Université Western, un cas unique au monde : de nombreuses municipalités y ont complètement abandonné le bulletin papier.

 Ça place les électeurs dans une position difficile. Quiconque a des réserves sur le plan de la cybersécurité fait face à un choix difficile. Ou bien on l’accepte, ou bien on ne vote pas, affirme-t-il.

Le vote en ligne gagne du terrain depuis son apparition en Ontario en 2003. En 2022, 217 des 417 municipalités qui tenaient une élection l’offraient, selon une étude dont M. Essex est coauteur (nouvelle fenêtre). Cette année encore, plusieurs municipalités de l’est de l’Ontario et du Grand Sudbury y ont recours.

Une norme qui n’oblige personne

Le professeur en génie du logiciel de l’Université Western, Aleksander Essex, étudie le vote électronique depuis plusieurs années. (Photo d'archives)

Photo : Université Western

Pendant des années, il n’existait aucune norme encadrant le vote en ligne au Canada, explique M. Essex. Lui et sa collègue Nicole Goodman, de l’Université Brock, ont lancé eux-mêmes le processus auprès du Conseil de normalisation de la gouvernance numérique, un organisme accrédité au fédéral.

La norme publiée en 2024 est toutefois volontaire.

Elle établit un seuil minimal de cybersécurité, mais n’aborde pas les questions démocratiques de fond, souligne le chercheur : la transparence du dépouillement, le secret du vote et la capacité de prouver aux candidats défaits qu’ils ont bel et bien perdu.

 Lors d’un vote sur papier, les représentants des candidats peuvent regarder le dépouillement. Il y a un registre papier et on peut faire un recomptage. En ligne, on ne voit pas les votes être recueillis ni ce qui se passe du côté du serveur, illustre-t-il.

En Ontario, chaque conseil municipal doit autoriser par règlement le recours à un mode de scrutin alternatif. Pour une petite municipalité de 10 000 habitants dont les élus ne siègent même pas à temps plein, évaluer les promesses d’un fournisseur relève du défi, estime M. Essex, puisque les conseillers n’ont souvent que l’avis de l’entreprise pour se faire une idée.

On roule sur la 401 à toute vitesse, mais si on fait une sortie de route, personne ne viendra nous tirer de l’épave.

Quant à la province, elle adopte, selon M. Essex, une position de  propriétaire absent. Ses démarches pour faire modifier la Loi de 1996 sur les élections municipales n’ont rien donné depuis 10 ans, dit-il.

Le ministère des Affaires municipales n’a pas répondu à la demande de commentaire de Radio-Canada.

Des failles déjà documentées

Le chercheur insiste : rien n’indique que des résultats aient été faussés.  Nous ne contestons pas les résultats des élections. Nous contestons le processus et la technologie, précise-t-il.

L’équipe de M. Essex a relevé plusieurs vulnérabilités par le passé. Après les élections de 2022, elle a démontré qu’un grand nombre de lettres contenant les NIP de vote finissent au recyclage.

Les ratés ne sont pas que théoriques : en 2018, des pannes avaient forcé 51 municipalités ontariennes à prolonger le vote.

Ce que disent les fournisseurs

Intelivote, une entreprise néo-écossaise, gère cette année le scrutin de 97 municipalités ontariennes. Son président, Dean Smith, explique que chaque électeur doit fournir le NIP reçu par la poste et sa date de naissance, et qu’un même NIP ne peut servir deux fois. Les données sont stockées à Mississauga et à Kelowna.

 La sécurité est l’aspect le plus primordial , dit M. Smith, qui affirme que son entreprise applique rapidement les correctifs lorsqu’une alerte de sécurité est émise.

Simply Voting, une entreprise canadienne spécialisée dans le vote en ligne depuis 2003, sert 73 municipalités ontariennes, selon un porte-parole. Par courriel, l’entreprise souligne que les choix des électeurs sont chiffrés et conservés séparément de leur identité. Elle dit avoir participé à l’élaboration de la norme de 2024 et en appliquer les exigences. Simply Voting n’a pas répondu à la question de Radio-Canada sur l'endroit où les données sont conservées.

Voatz, une entreprise américaine dont la filiale canadienne héberge les données à Montréal, reconnaît pour sa part qu’une date de naissance  n’est pas vraiment un secret. Kingston, Burlington et Oshawa ont choisi avec elle un modèle en deux étapes, où un NIP à usage unique est envoyé par courriel ou par texto. Cambridge et Springwater exigent une pièce d’identité avec photo et un égoportrait. Selon l’entreprise, 51 municipalités utilisent Voatz pour leurs élections cette année.

Les autres entreprises contactées par Radio-Canada n’ont pas répondu aux demandes de commentaire.

Toronto s’en tient au papier

Les plus grandes villes, elles, résistent. Toronto compte sur des tabulatrices pour compter les bulletins papier.

Par courriel, une porte-parole de la Ville dit ne pas être convaincue que le vote par Internet ou par téléphone puisse offrir la même sécurité, la même transparence et la même confiance au public que le bulletin papier, pour une ville de sa taille. Ottawa a fait le même choix.

Pour M. Essex, il ne s’agit pas d’opposer risque et absence de risque.  Nous sommes passés du papier au vote en ligne, et cela a changé le profil de risque. Dans l’ensemble, il a augmenté , conclut-il.