Circolare del Consiglio federale ai Governi cantonali concernente la revisione parziale dell'ordinanza sui diritti politici (condizioni di autorizzazione per lo svolgimento di prove pilota cantonali del voto elettronico) del 20 settembre 2002

Onorevoli presidenti e consiglieri di Stato, Il 21 giugno 2002 le Camere federali hanno adottato una revisione parziale della legislazione sui diritti politici contro la quale può essere chiesto il referendum entro il 10 ottobre 2002 (FF 2002 3905­3910). In esecuzione del nuovo articolo 8a della legge federale sui diritti politici (LDP), nell'ordinanza del 24 maggio 1978 sui diritti politici sono state iscritte il 20 settembre 2002 le condizioni che devono essere soddisfatte affinché il Consiglio federale autorizzi lo svolgimento di prove pilota del voto elettronico (RU 2002 3200). La presente circolare è volta a informarvi in merito allo scopo e alla portata di tali disposizioni.

Procedura di autorizzazione Con l'ammissione di prove pilota in occasione di votazioni o elezioni federali, il Consiglio federale riconosce implicitamente la validità dei risultati ottenuti nell'ambito di tali prove ed è quindi garante dell'attendibilità dell'intero scrutinio.

Per questo motivo l'autorizzazione delle prove pilota è di competenza esclusiva del Consiglio federale (art. 27b lett. b e 27c frase introduttiva ODP), incaricato per legge di convalidare i risultati delle votazioni (art. 15 cpv. 1 LDP).

In virtù della legge, la sperimentazione del voto elettronico deve essere limitata sotto il profilo territoriale, temporale e materiale (art. 8a cpv. 1 LDP). Nell'ordinanza questo principio è concretato in modo da consentire al Consiglio federale di calcolare i possibili rischi: su domanda del Cantone interessato, il Consiglio federale stabilisce in quali Comuni i risultati ottenuti nell'ambito della prova pilota avranno effetto giuridico vincolante ai fini della determinazione del risultato a livello federale (art. 27c lett. c ODP) e per quali elezioni od oggetti è ammesso il voto elettronico (art. 27c lett. a ODP). In tal modo sarà possibile stabilire a titolo esplorativo dove si svolgeranno le prove pilota e su quali oggetti verteranno: il Consiglio federale potrà dapprima scegliere votazioni popolari concernenti temi meno controversi e riservare a una fase ulteriore gli scrutini politicamente più delicati e più complessi (p. es. iniziative popolari con controprogetto ed elezioni svolte con il sistema proporzionale).

Il voto elettronico dovrà essere autorizzato per tutti gli scrutini che si svolgono la stessa domenica nei Comuni designati; in caso contrario aumenterebbe il pericolo di manipolazioni, poiché gli aventi diritto di voto disporrebbero di due legittimazioni e potrebbero pertanto votare due volte. La determinazione dei Comuni in cui si svol-

2002-1970

5891

Revisione parziale dell'ordinanza sui diritti politici

geranno le prove pilota del voto elettronico consente al Consiglio federale di evitare che, in caso di difficoltà, i risultati ottenuti possano avere un influsso decisivo sull'esito dello scrutinio a livello federale.

Il Consiglio federale può inoltre stabilire in quale periodo sono consentite le prove pilota del voto elettronico (art. 27c lett. b ODP). Questo vale sia per una singola votazione popolare sia per una serie di più scrutini che si svolgono durante un determinato lasso di tempo. Nel primo caso, lo scaglionamento di voto elettronico e voto nell'urna consentirà di ridurre in modo decisivo il rischio di doppi voti. Nel secondo caso, il Consiglio federale potrà evitare un incremento incontrollato dei rischi, per esempio escludendo il voto elettronico ­ o limitandolo a un numero più ridotto di Comuni ­ in occasione di elezioni, votazioni popolari complesse o scrutini su temi controversi.

I Cantoni che intendono svolgere prove pilota del voto elettronico devono poter derogare a talune disposizioni della legge federale sui diritti politici concernenti il voto per corrispondenza e il voto nell'urna (segnatamente quelle relative all'obbligo di utilizzare schede ufficiali e di riempire o modificare a mano tali schede; cfr. art. 5, 12, 38 e 49 LDP) (art. 27c frase introduttiva ODP). Tutte le disposizioni derogatorie cantonali devono essere sottoposte al Consiglio federale unitamente alla domanda di autorizzazione della prova pilota (art. 27b lett. b ODP). La loro validità è infatti subordinata all'approvazione del Consiglio federale (art. 27d ODP; art. 91 cpv. 2 LDP). Nell'ambito delle prove pilota non è ammesso il voto per rappresentanza (art. 27a cpv. 4 ODP), poiché il voto via e-mail tramite terzi non consente di garantire né il segreto del voto né l'assenza di manipolazioni. Una siffatta norma è stata espressamente discussa e richiesta in occasione dell'esame preliminare del disegno di revisione della LDP da parte della Commissione delle istituzioni politiche del Consiglio nazionale.

L'autorizzazione del Consiglio federale è subordinata a severe condizioni che devono essere adempiute cumulativamente, sempreché l'ordinanza non disponga espressamente altrimenti. A tal proposito è determinante il confronto con i rischi cui sono esposti i metodi di voto classici. I rischi accettati per quanto concerne tali metodi devono esserlo anche in materia di voto elettronico.

Di conseguenza, l'ordinanza precisa ripetutamente che devono poter essere esclusi gli abusi e le manipolazioni «sistematici», «mirati» e/o «efficaci» (cfr. art. 27d cpv. 1 lett. c e 2 lett. a­c, 27e cpv. 4, 27f cpv. 3 e 27q cpv. 1 ODP). Con queste espressioni si intende quanto segue: Talune irregolarità (p. es. furto di un sacco postale, distruzione di voti, incendio appiccato a un locale in cui si trovano le urne) non possono essere totalmente escluse neppure nell'ambito del voto per corrispondenza o del voto nell'urna. Sono considerate tra i rischi prevedibili: il Governo cantonale che accerta (su ricorso o d'ufficio) irregolarità prende, se possibile prima della chiusura della procedura di elezione o di votazione, le misure necessarie per porvi rimedio (art. 79 cpv. 2 LDP). Contrariamente ai ricorsi (individuali) sul diritto di voto, i ricorsi sulla votazione o sull'elezione hanno inoltre probabilità di essere accolti soltanto se il genere e/o l'entità delle irregolarità contestate sono in grado di influire essenzialmente sull'esito dello scrutinio, ovverosia di modificare, in caso di elezione, l'ordine dei

5892

Revisione parziale dell'ordinanza sui diritti politici

candidati eletti e non eletti o perlomeno di ribaltare, in caso di votazione popolare, il voto del Cantone (art. 79 cpv. 2bis LDP).

Per quanto concerne il voto elettronico, non sarà mai possibile escludere totalmente che una password sia accidentalmente scoperta e che un voto espresso per via elettronica sia intercettato e modificato o deviato durante la sua trasmissione (analogamente a quanto può avvenire in caso di furto di un sacco postale). Questo non basta però a compromettere l'esito di una votazione o di un'elezione. Deve invece poter essere esclusa qualsiasi azione sistematica o mirata. Per esempio, in occasione di una votazione concernente l'AVS occorre evitare di attribuire agli aventi diritto di voto una password in cui sia ripresa parte del loro numero AVS, al fine di ridurre considerevolmente il rischio che voti di persone anziane possano essere intercettati in modo mirato. In materia di voto elettronico, le precisazioni «in modo sistematico», «mirato» e/o «efficace» si prefiggono lo stesso obiettivo già perseguito sinora dall'obbligo di rendere verosimile, nei ricorsi sopraccitati, che il genere e l'entità delle irregolarità contestate sono in grado di influire in maniera determinante sull'esito dello scrutinio.

Garanzia dell'espressione fedele e sicura della volontà popolare La Costituzione federale (art. 34 cpv. 2) e la giurisprudenza costante del Tribunale federale (cfr. p. es. DTF 121 I 187) proteggono la libera formazione della volontà e l'espressione fedele del voto. Da questa garanzia costituzionale deriva la facoltà di ciascun avente diritto di voto di esigere che il risultato di un'elezione o di una votazione sia riconosciuto soltanto se è l'espressione fedele e sicura della libera volontà dei cittadini.

Questo principio dovrà essere rispettato anche durante le prove pilota del voto elettronico (art. 27d cpv. 1 lett. c ODP). Tali prove saranno infatti autorizzate soltanto in quanto sia garantito che: terzi non possano intercettare, modificare o deviare in modo sistematico (a tal proposito, cfr. n. 1 in fine) voti espressi per via elettronica (art. 27d cpv. 1 lett. c ODP); gli aventi diritto di voto siano informati, in modo comprensibile ad ognuno, sull'organizzazione, la tecnica e le procedure previste per il voto elettronico (art. 27d cpv. 3 ODP); nelle istruzioni fornite al votante siano comprese misure volte a impedire che quest'ultimo voti in modo precipitoso (art. 27e cpv. 1­3 ODP); gli aventi diritto di voto possano correggere le loro scelte o interrompere la procedura sino all'invio del proprio voto (art. 27e cpv. 5 ODP); possa essere escluso che messaggi di carattere manipolatorio e sistematico appaiano in sovrimpressione durante lo svolgimento del voto elettronico (art. 27e cpv. 4 ODP) e l'apparecchio utilizzato dal votante gli segnali che il suo voto è giunto a destinazione (art. 27e cpv. 6 ODP). Il crittaggio deve inoltre impedire che i voti siano modificati durante la loro trasmissione all'insaputa di chichessia (art. 27e cpv. 7 ODP).

5893

Revisione parziale dell'ordinanza sui diritti politici

Tutela del segreto del voto Le misure volte a tutelare il segreto del voto (art. 27d cpv. 1 lett. d ODP) sono disciplinate negli articoli 27f­27h ODP. Comprendono segnatamente il crittaggio dei voti. Questi ultimi devono essere crittati dall'inizio della procedura di trasmissione sino al momento in cui pervengono in forma anonima alle autorità competenti senza che sia possibile stabilirne la provenienza (art. 27f cpv. 1 e 3­5 ODP). Il crittaggio deve essere concepito in modo da garantire che non sia mai possibile identificare chi ha espresso un determinato voto (art. 27f cpv. 2 ODP). Le misure organizzative, quali i controlli (art. 27g cpv. 3 e 4 ODP), la separazione dalle altre applicazioni (art. 27g cpv. 2 ODP) e l'esclusione, durante lo svolgimento del voto, di qualsiasi intervento estraneo allo stesso sul server di votazione e di elezione e sull'urna elettronica (art. 27h cpv. 1 ODP) sono volte a impedire che possa essere stabilito un nesso tra un voto conservato nell'urna elettronica e la persona che lo ha espresso (art. 27g cpv. 1 ODP).

Per questo motivo, nell'urna elettronica non dev'essere possibile ricostruire l'ordine in cui sono pervenuti i voti (art. 27h cpv. 2 ODP) e gli aventi diritto di voto devono poter cancellare il loro voto da tutte le memorie dell'apparecchio (personal computer, telefono cellulare o simili) utilizzato per votare (art. 27h cpv. 3 ODP); una volta inviato, il voto deve inoltre scomparire immediatamente dallo schermo di tale apparecchio e non deve poter essere stampato (art. 27h cpv. 4 ODP). A quest'ultima condizione corrisponde, in caso di voto nell'urna o di voto per corrispondenza, la nullità delle schede contenenti contrassegni manifesti (art. 12 cpv. 1 lett. d, 38 cpv. 1 lett. d e 49 cpv. 1 lett. d LDP).

Controllo della legittimazione al voto Per quanto concerne il controllo della legittimazione al voto (art. 27d cpv. 1 lett. a ODP), l'articolo 27i ODP esige che, prima di votare per via elettronica, il votante provi all'autorità competente di avere diritto di voto. In caso di voto nell'urna o di voto per corrispondenza, questa prova è fornita inviando o presentando la relativa legittimazione. Chi vota per via elettronica deve invece digitare una password. Il diritto cantonale può fissare ulteriori esigenze (p. es. indicazione della data di nascita o del luogo di origine del votante) al fine di contrastare i tentativi di falsificazione.

Unicità del voto L'osservanza del principio democratico «un cittadino ­ un voto» (art. 27d cpv. 1 lett. b ODP) è pure una condizione imprescindibile per il rilascio dell'autorizzazione di svolgere prove pilota del voto elettronico. Va garantito che una persona non sia ammessa a votare per via elettronica finché non è possibile escludere che abbia già votato (art. 27j ODP). Questo principio assume particolare rilevanza, poiché il Consiglio federale intende ammettere il voto elettronico soltanto quale complemento alle forme di voto tradizionali (cfr. il Rapporto sul voto elettronico, n. 3.1 lett. a, FF 2002 575). Le ampie agevolazioni offerte dal voto anticipato e dal voto per corri-

5894

Revisione parziale dell'ordinanza sui diritti politici

spondenza (possibile 3­4 settimane prima del giorno della votazione) accrescono considerevolmente il rischio di voti plurimi: taluni votanti potrebbero infatti esprimere il loro voto per via elettronica e tentare subito dopo di votare per corrispondenza (o inversamente), oppure cercare di votare più volte di seguito per via elettronica. Per impedire simili abusi occorrono misure mirate. Per esempio, il Cantone di Ginevra ha elaborato una carta che funge da legittimazione sia per il voto nell'urna sia per il voto elettronico; la password necessaria per votare elettronicamente vi è stampata sotto una patina da grattare. Chi si reca alle urne deve presentare tale carta.

Se la password è già scoperta, il votante è autorizzato a deporre la propria scheda nell'urna soltanto una volta accertato che non abbia già votato per via elettronica.

Determinazione fededegna dei risultati All'atto della determinazione del risultato della votazione o dell'elezione deve essere tenuto conto di tutti i voti (art. 27d cpv. 1 lett. e ODP). Gli articoli 27k­27m ODP sono volti ad assicurare che questo sia possibile: le misure tecniche adottate devono garantire che anche in caso di guasto o di disturbo del sistema nessun voto sia irrimediabilmente perso. Tutte le legittimazioni pervenute e tutti i voti espressi devono poter essere computati e lo svolgimento della procedura deve poter essere verificato (art. 27k ODP). È vietato rilevare risultati intermedi dello scrutinio prima della chiusura dell'urna elettronica (art. 27m cpv. 1 ODP). Considerata la rapidità con cui si svolge lo spoglio dei voti elettronici (ma non la decrittazione!), va infatti esclusa qualsiasi possibilità di influire sull'esito dello scrutinio.

La decrittazione e lo spoglio dei voti elettronici devono avvenire subito dopo la chiusura dello scrutinio via Internet; devono potervi assistere rappresentanti degli aventi diritto di voto (art. 27m cpv. 2 ODP). La decrittazione può richiedere moltissimo tempo e durare ore. Non deve pertanto iniziare alla chiusura definitiva delle urne bensì alla fine della «parte elettronica» dell'elezione o della votazione. Per esempio, a Ginevra l'urna elettronica è chiusa circa un giorno prima di quelle convenzionali.

Va tenuto un registro contenente informazioni circostanziate sullo spoglio dei voti elettronici (art. 27m cpv. 4 ODP).

Le eventuali irregolarità devono poter essere individuate ed eliminate come nell'ambito degli scrutini convenzionali. A tal fine dovrà essere possibile determinare il numero dei voti elettronici irregolari e procedere a un nuovo conteggio volto a stabilire il risultato corretto (art. 27n ODP).

Scrutinio conforme alle norme Tutto lo scrutinio, comprese le operazioni elettroniche, deve svolgersi in modo ineccepibile: ciò deve poter essere provato. Il Consiglio federale autorizza le prove pilota soltanto se è garantita la conformità dello scrutinio alle norme, ovverosia se può essere escluso qualsiasi abuso sistematico (cfr. n. 1 in fine) (art. 27d cpv. 1 lett. f ODP). A tal fine le installazioni tecniche, i software e l'organizzazione e lo svolgi-

5895

Revisione parziale dell'ordinanza sui diritti politici

mento della procedura devono essere verificati in funzione dello stato attuale della tecnica (art. 27l cpv. 1 ODP). All'inizio delle prove elettroniche e a ogni modifica del sistema di voto elettronico impiegato, un ente esterno riconosciuto dalla Cancelleria federale (art. 27l cpv. 2 ODP) deve confermare che i requisiti in materia di sicurezza sono soddisfatti e che il sistema funziona (cfr. art. 27e­27k ODP).

L'urna elettronica e il server di votazione e di elezione devono essere protetti da qualsiasi attacco (attacchi provenienti dalla rete, furti ecc.); l'accesso ai dati concernenti il voto deve essere concesso esclusivamente a persone autorizzate e soltanto al fine di garantire il corretto svolgimento dello scrutinio elettronico (ossia per controllare la legittimazione al voto dei votanti, verificare che nessuno eserciti più volte il proprio diritto di voto, registrare l'avvenuto esercizio del diritto di voto e memorizzare i voti espressi in modo corretto; art. 27l cpv. 3 lett. a­d ODP).

Prove pilota della firma per via elettronica di domande di referendum e iniziative popolari federali Nel progetto pilota del Cantone di Neuchâtel si intende lasciare la porta aperta alla possibilità di firmare per via elettronica domande di referendum e iniziative popolari federali. Oggi questa prospettiva sembra ancor più difficile da realizzare che non il voto elettronico nell'ambito di votazioni popolari semplici; occorreva tuttavia tenerne conto nella modifica dell'ordinanza sui diritti politici (art. 27q ODP). In linea di massima, le norme concernenti il voto elettronico si applicano per analogia anche alla firma per via elettronica di domande di referendum e iniziative popolari federali (art. 27q cpv. 2 ODP); le relative prove pilota sono autorizzate se sono garantiti il controllo della legittimazione al voto e la corretta attribuzione di tutte le firme, è tutelato il segreto del voto e sono esclusi gli abusi sistematici (art. 27q cpv. 1 ODP).

Studi collaterali e valutazione Nell'ambito dell'ultima modifica della legge federale sui diritti politici, il Parlamento ha completato l'articolo 8a con un capoverso (cpv. 3) in cui si esige che le prove pilota siano sorrette da una consulenza scientifica e oggetto di un rilevamento concernente in particolare sesso, età e formazione delle persone che vi partecipano (FF 2002 3905). La definizione delle condizioni quadro (costi e obiettivi dei rilevamenti) compete alla Cancelleria federale (art. 27o ODP). Per il momento non si è ancora deciso in che misura effettuare tali rilevamenti nel quadro delle prove pilota del voto elettronico e in che misura utilizzare invece ­ forse con spese inferiori ­ i sondaggi svolti nell'ambito delle analisi VOX concernenti le votazioni popolari federali.

I risultati delle prove pilota rivestono grande importanza; in base a tali risultati si deciderà infatti se e come introdurre il voto elettronico. Occorre pertanto verificare l'efficacia delle prove pilota, segnatamente per quanto concerne l'evoluzione della partecipazione al voto e l'incidenza sulle abitudini di voto (art. 27p cpv. 1 ODP).

Tali prove saranno svolte da più Cantoni con obiettivi e presupposti diversi. Affinché possano essere prese ulteriori decisioni, è tuttavia indispensabile che la valuta5896

Revisione parziale dell'ordinanza sui diritti politici

zione consenta di ottenere dati comparabili; la Cancelleria federale è quindi incaricata di garantire la coerenza delle verifiche (art. 27p cpv. 2 ODP).

L'obiettivo supremo e imprescindibile di ogni prova pilota sarà l'affidabilità di tutti i risultati dello scrutinio. Il Consiglio federale avrà la facoltà di autorizzare soltanto le prove pilota i cui risultati potranno essere presi in considerazione per la determinazione del risultato finale (vincolante) a livello federale.

Gradite, onorevoli presidenti e consiglieri di Stato, l'espressione della nostra alta considerazione.

20 settembre 2002

In nome del Consiglio federale svizzero: Il presidente della Confederazione, Kaspar Villiger La cancelliera della Confederazione, Annemarie Huber-Hotz

5897