IT-Politisk Forening vil anbefale Folketingets medlemmer at forkaste dette lovforslag. Som vi vil redegøre for i dette høringssvar, mener vi fordelene ved e-valg er beskedne og nærmest ikke-eksisterende, mens der er en lang række risici. I værste fald kan dette lovforslag spille hasard med vores langvarige demokratiske traditioner og minske befolkningens tillid til valghandlingen.

Når vi i dette høringssvar bruger ordet e-valg, mener vi "digital stemmeafgivning og stemmeoptælling" under de forhold som Økonomi- og Indenrigsministeriet (fremover: ministeriet) har beskrevet i udkastet til lovforslaget (digitale fremmødevalg). Når vi skriver "papir-valg" mener vi det nuværende valgsystem, uanset at et e-valg system kan indeholde et papirspor.

Udover lovforslaget har vi læst Økonomi- og Indenrigsministeriets rapport "Technical dialogue on system for e-voting in Denmark - Summary report", sag.nr. 2012-00363, som i lidt flere detaljer end lovforslaget beskriver hvordan et e-valg i Danmark kunne foregå. Vi har valgt flere steder i vores høringssvar at henvise til denne rapport, og vi undrer os i øvrigt over at lovforslagets beskrivelse ikke indeholder en sammenfatning af denne rapport.

Papir-valg sikrer den folkelige forståelse for valghandlingen

I Danmark har vi krav om almindelige, direkte og hemmelige valg. Papirvalg sikrer, at valget er hemmeligt, idet det er umuligt at overvåge den enkelte borgers stemmeafgivning, og borgeren kan ikke dokumentere sin stemmeafgivning overfor andre. Derudover sikrer papirvalg og manuel optælling af stemmerne, at valghandlingen foregår på en måde som normale borgere og valgtilforordnede kan forstå. Det kræver ikke særlige tekniske kvalifikationer at deltage i stemmeoptællingen som valgtilforordnet, og alle borgere kan overvåge stemmeoptællingen, hvis de ønsker dette. Det er ikke nødvendigt, at have tillid til en række eksperter eller IT-systemer for at forstå den danske valghandling. I Danmark har vi en stor valgdeltagelse, en bred accept af det demokratiske system fra så godt som alle grupper i samfundet, og ingen anklager om valgsvindel.

E-valg ændrer fundamentalt på dette. I stedet for at almindelige mennesker optæller papirbaserede stemmesedler, bliver det en computer som optæller stemmer. I stedet for folkelig kontrol med det fulde valgresultat, må vi nøjes med "forsikringer" fra tekniske eksperter om at alt går rigtigt til. Hvis en borger er bekymret for om hans eller hendes stemmeafgivning bliver registreret korrekt og hemmeligt, kan den valgtilforordnede ikke give andre garantier herfor end at eksperterne siger, at det fungerer. Kort sagt bliver det nødvendigt, at have tillid til systemer og eksperter for at forstå den danske valghandling og acceptere dens resultat. På en række områder bliver vort samfund mere komplekst, og "kravene" om tillid til eksperter og systemer er generelt stigende i samfundet. Men her taler vi om et område hvor en sådan udvikling hverken er nødvendig eller overbevisende fordelagtig. Vi har et velfungerende valgsystem, og vi kan bevare det, hvis vi vil og ikke falder for de "digitale fristelser", fordi det er en tendens i tiden.

Valghemmelighed

Med det eksisterende papirbaserede system kan en vælger være meget sikker på at hans stemme er hemmelig og det er noget han selv kan overbevise sig om. Det er ikke nødvendigt at have tillid til valgsystemet. Man skal bare sikre sig at gardinet er trukket for, at ingen kigger ind, at man husker at folde stemmesedlen inden man putter den helt ned i stemmeurnen.

Med e-valg er det anderledes. En blyant ved ikke hvad vælgeren stemmer. Men med e-valg er blyanten erstattet af en computer og computeren ved hvad, der blev stemt. Computeren ved godt nok ikke umiddelbart hvem vælgeren er, men nu er der altså en ny aktiv deltager i valghandlingen. Det kan f.eks. tænkes, at computeren fører en log over afgivne stemmer, enten fordi dem, der har designet systemet ønsker det, fordi computeren er hacket, eller pga. af sløseri hos udviklerne af systemet. Under alle omstændigheder kan vælgeren ikke kontrollere om hans eller hendes stemme bliver logget. Hvis stemmerne bliver logget, så findes der for hver stemmeboks en oversigt over rækkefølgen af stemmer og tidspunktet for hver stemme. Dvs, hvis nogen har noteret, hvornår en vælger gik ind i en stemmeboks og har adgang til stemmeloggen, så ved de også, hvad den pågældende vælger har stemt. Hvis der bruges elektroniske valglister, vil der være en logning af hvornår vælgeren har fået sin elektroniske stemmeseddel (token) udleveret.

Folketingets beslutningsgrundlag

Lovforslaget indeholder nærmest ingen konkrete oplysninger om, hvordan et e-valg kan foregå. Der er heller ikke information om udenlandske erfaringer eller referater af de undersøgelser, som ministeriet har lavet om e-valg. I stedet giver lovforslaget ministeriet en meget bred bemyndigelse til at definere rammebetingelserne for e-valg i de kommuner, som ønsker at afholde e-valg. Det er yderest betænkeligt, idet kun én repræsentant for ét parti skal være garant for, at systemet giver et korrekt valgresultat. Hvis der skal være e-valg, må de valgtilforordnede fra alle partier fortsat kunne kontrollere valgets afholdelse. Det sikrer man ikke med brede beføjelser til en minister. IT-Politisk Forening gør samtidig opmærksom på, at dette ikke er en lov om e-valg forsøg med tidsbegrænsning og obligatorisk evaluering. Det er en lov om e-valg.

Motivation for e-valg

I bemærkningerne til lovforslaget afsnit 3 anfører ministeriet, at e-valg har en række fordele. Efter vores vurdering er disse argumenter meget svage.

Ugyldige stemmer er meget beskedent problem (afsnit 3.1)

Ministeriet mener, at antallet af ugyldige stemmer vil blive reduceret. Det er sikkert rigtigt, men vi taler om et meget beskedent problem. Ved folketingsvalget i 2011 var antallet af ugyldige stemmer (udover blanke) 0,32% af de afgivne stemmer, og hvis man ser på Danmark Statistiks opgørelse over årsagen til ugyldigheden (tabel 19 i publikationen "Folketingsvalget 15. september 2011") er en del af disse ugyldige på grund af tegninger el.lign. på stemmesedlen, hvilket peger på, at ugyldigheden er en bevidst handling fra vælgerens side. Under alle omstændigheder må dette anses for at være et marginalt problem hvor måske 0,2% af stemmerne er ugyldige på grund af vælgerens fejl.

Tvivlsomt argument om bedre tilgængelighed med e-valg (afsnit 3.2)

Næste argument er at e-valg vil skabe en bedre tilgængelighed for nogle grupper af handicappede. Det vil naturligvis være positivt, hvis handicappede får bedre muligheder for at stemme uden hjælp (hemmelig stemmeafgivning), men en realisering af dette mål vil stille store krav til e-valg udstyret. Det er næppe realistisk, at dette udstyr kan være tilgængeligt på alle valgsteder. Samtidig vil e-valg utvivlsomt gøre valghandlingen mindre tilgængelig for andre grupper, for eksempel "teknologiskræmte" borgere, en gruppe der formentlig vil vokse i de kommende år på grund af tvangsdigitaliseringen i det offentlige (eller "obligatorisk digital selvbetjening", som det officielt hedder). Hvis det kan dokumenteres, at e-valg gør en afgørende forskel for visse grupper af handicappede, kunne man eventuelt overveje at tilbyde disse personer brevafstemning med e-valg. Men at indføre e-valg for alle med denne begrundelse virker stærkt uovervejet.

Vælgerne kan ikke verificere, at deres stemme er korrekt registreret (afsnit 3.3)

Et e-valg system kan indrettes, så der kun kan sættes ét kryds, eventuel som blank stemme, og på den måde kan man sikre, at alle stemmer er "korrekt" afgivet. Eftersom antallet af ugyldige stemmer udover blanke er meget lavt (0,32% ved seneste valg, hvoraf 0,2% måske er ugyldige ved en fejl), er der absolut intet som tyder på, at vælgerne i dag har problemer med at konstatere om deres stemme er korrekt afgivet.

Ministeriet anfører videre, at vælgeren desuden får sikkerhed for, at stemmen er korrekt registreret. Det udsagn er vi meget uenige i. Der kan være alle mulige systemfejlm som fører til en forkert registrering af stemmen, og vælgeren kan umuligt verificere at en række komplekse IT-systemer fungerer 100% korrekt. Vælgeren kan selvfølgelig vælge at stole på statens eksperter, der "lover" at der ikke sker nogen fejl, men det er noget andet end at vælgeren kan verificere at stemmen registreres korrekt.

Maskinoptælling er ikke mere nøjagtig end manuel optælling af stemmerne (afsnit 3.4)

Der er endnu ingen som har lavet det fejlfrie IT-system, og ingen tror, at det nogensinde kommer til at ske. IT-systemer vil altid indeholde fejl, og derfor kan man ikke konkludere ubetinget som ministeriet gør på side 8 i lovforslaget, at maskinoptælling af stemmer er mere nøjagtig. Dertil kommer at systemfejl ofte er skjulte fejl fordi to på hinanden følgende maskinoptællinger giver samme resultat, mens fejl i en manuel optælling af stemmerne så godt som altid vi manifestere sig ved forskellige resultater i to på hinanden følgende optællinger.

Hurtigere optælling af valgresultatet (afsnit 3.5)

Ved et folketingsvalg ved man normalt omkring midnat, hvordan stemmerne bliver fordelt blandt partierne, og hvem der kan (eller ikke kan) danne regering. Det vil have meget begrænset værdi, hvis nogen overhovedet, at rykke dette et par timer frem. Ved kommunal- og regionsrådsvalg går der omkring to måneder fra valgets afholdelse til de nyvalgte medlemmer skal tiltræde. Den hurtigere optælling af valgresultatet forudsætter i øvrigt at teknikken fungerer som den skal uden fejl.

Økonomi i e-valg

Det er bemærkelsesværdigt at "økonomi" ikke anføres blandt fordelene ved e-valg. Økonomiske besparelser synes ellers at være den centrale begrundelse for digitaliseringsstrategien i det offentlige i disse år, men når økonomi ikke anføres blandt de mulige fordele ved e-valg, må det værdi fordi e-valg med sikkerhed bliver dyrere end de nuværende papirbaserede valg. I det sammenfattende skema på side 18-19 i bemærkningerne nævnes en mulig besparelse på lang sigt, hvis der ikke skal ske manual optælling, mens der til gengæld vil være udgifter til e-valg udstyr. Desværre er der ikke gjort nogle forsøg på at kvantificere disse poster.

For så vidt angår den mulige besparelse ved stemmeoptælling, så forudsætter denne, at der kun skal ske manuel optælling af et begrænset antal stemmesedler (papirsporet fra e-valg systemet). Den strategi er risikabel fordi man svækker offentlighedens tillid til valgresultatet når stemmesedlerne ikke optælles af ganske almindelige borgere, som det sker i dag. En tillid til valgresultatet kommer til at forudsætte en tillid til den leverandør, som har leveret e-valg systemet.

Men selv hvis man gør sig de absolut mest optimistiske antagelser om størrelsen af denne besparelse ved stemmeoptællingen, vil merudgifterne ved e-valg antageligt være langt større end besparelsen. Som bekendt afholder vi meget få valg i Danmark, i gennemsnit lidt under et valg om året.

Der skal stadig udsendes valgkort til alle vælgere, og ifølge bemærkningerne til lovforslaget, skal der på valgstederne være papirstemmesedler, således at man har et backupsystem hvis e-valg teknikken svigter. For at afholde e-valg skal der indkøbes e-valg hardware og softwarelicenser. Prisen for dette kendes ikke. Ministeriet anfører, at hardware vil være en engangsudgift (side 17 i bemærkningerne). Andre steder har vi set påstande om levetid på 15-20 år. Det er meget lang levetid for elektronik i dag, og selv om der er tale om elektronik, som ikke bruges særligt ofte, kan levetiden blive drastisk forkortet ved uhensigtsmæssig opbevaring.

Merudgifterne ved e-valg er ikke begrænset til indkøb af hardware. For at afholde et valg skal e-valg udstyret hentes frem fra lageret, og det skal testes grundigt, så man kan konstatere, om det stadig virker. En vis procentdel af udstyret vil have udviklet en defekt siden sidste valg, og der skal fejlfindes. Den opgave kan ikke udføres af almindelige valgtilforordnede der arbejder til "diættakst" eller kommunale betjente. Det vil kræve dyrere teknikere, til en høj timeløn, fordi kommunerne er nødt til at købe denne service fra en ekstern leverandør.

I løbet af valgdagen kan e-valg udstyret fejle, og det vil også kræve assistance fra teknikere. Hvis en pengeautomat i en bank fejler, kan man lukke automaten og bede kunderne gå et andet sted hen. Det er ikke en acceptabel strategi for afholdelse af et valg i Danmark.

Opbevaringen af e-valg udstyret mellem to valg vil også stille en række krav med økonomiske konsekvenser. Der er ingen som gider stjæle valgbokse, så de kan opbevares i et tilfældigt kælderrum. E-valg udstyr skal for det første opbevares under ganske bestemte forhold af hensyn til levetiden for elektronikken. For det andet skal e-valg udstyret opbevares i aflåste og særligt sikrede lokaler af hensyn til risikoen for at hackere får adgang og planter computervirus eller sniffer-software der kan overvåge vælgerne og kompromittere det hemmelige valg.

Udenlandske erfaringer

Vi undrer os meget over, at der i lovforslagets bemærkninger ikke er en redegørelse for udenlandske erfaringer med e-valg.

USA har brugt e-valg i forskellige former i mange år, men der har været mange problemer. Præsidentvalget i Florida i 2000 endte i kaos, hvor den amerikanske højesteret måtte "afgøre" hvem der havde vundet valget. Endvidere har der været en lang række sager om dårlig sikkerhed med e-valg systemer. Nogle af disse problemer beskrives i HBO dokumentarfilmen "Hacking Democracy", der i 2007 fil en Emmy pris for "outstanding investigative journalism".

I Europa er der flere lande, som har eksperimenteret med e-valg for derefter at opgive projektet igen.

Holland har brugt e-valg fra slutningen af 1990'erne indtil 2007, hvor en offentliggørelse af sikkerhedsproblemerne ved de benyttede e-valg maskiner satte en stopper for projektet.

Irland har brugt 55 millioner euro på begrænsede e-valg forsøg (herunder 3 millioner euro på opbevaring af maskinerne), men også her var der sikkerhedsproblemer (hackere kunne manipulere med maskinerne). I oktober 2010 blev projektet opgivet.

I Finland var der e-valg forsøg ved et lokalvalg i oktober 2008. På grund af systemfejl var der et antal stemmer som ikke kunne registreres, og de finske domstole beordrede omvalg i de pågældende kommuner.

E-valg maskinerne i Holland, Irland og Finland har utvivlsomt været "certificeret" af diverse (betalte) eksperter. Det er på ingen måde en garanti for, at de fungerer korrekt.

I Tyskland afsagde forfatningsdomstolen i februar 2007, efter en række retssager om lovligheden af e-valg, en meget interessant kendelse om e-valg. Domstolen krævede, at det ved et e-valg skulle være muligt for almindelige borgere, uden særlige tekniske kundskaber, at verificere udfaldet af valget.

IT-Politisk Forening vil anbefale Folketinget, at dette krav bliver skrevet ind i den danske lovgivning, hvis vi skal have e-valg eller e-valg forsøg i Danmark.

Ubetinget krav om papirspor i e-valg systemer

Hvis vi skal have e-valg i Danmark, bør det efter vores vurdering fremgå direkte af loven, at e-valg systemet skal have et papirspor, som almindelige borgere kan verificere (uden at hemmeligheden ved valget kompromitteres), og almindelige borgere skal kunne foretage en manuel optælling af disse papirspor som med de nuværende papirstemmesedler.

Begrundelserne for dette er, at teknikken kan svigte (det er der mange eksempler på i forbindelse med e-valg), og uden papirspor er man reelt nødt til at erklære valget ugyldigt i sådanne situationer. Et papirspor er også en nødvendig, men på ingen måde tilstrækkelig, forudsætning for at sikre at almindelige borgere uden særlige tekniske forudsætninger kan verificere udfaldet af valget.

Men et papirspor har kun værdi for troværdigheden af valget, hvis det bliver brugt til manuel optælling. Ministeriet lægger op til, at der ved det første e-valg skal ske en 100% manuel optælling af stemmerne (papirsporet), jf. side 11. Ved efterfølgende valg kan kontroloptællingen begrænses til en stikprøve, og det er i øvrigt alene op til ministeriet at fastlægge retningslinjer for hvordan papirsporet skal anvendes.

IT-Politisk Forening mener, at dette spørgsmål er så væsentligt, at Folketinget bør tage stilling til det. Vi vil som udgangspunkt anbefale en manuel optælling af samtlige stemmer (papirsporet) ved hvert valg, ikke bare det første. Kun denne procedure kan efter vores vurdering sikre den fulde tillid til valgresultatet hos hele den danske befolkning. Samtidig undgår man risikoen for at e-valg systemet udvikler nye katastrofale fejl efter et måske succesfuldt begrænset indledende forsøg. En manuel kontroloptælling forringer ikke de fordele som ministeriet fremhæver i afsnit 3.1-3.5 i bemærkningerne. Det vil selvfølgelig blive dyrere sammenlignet med at undlade kontroloptællingen, men e-valg vil under alle omstændigheder blive dyrere sammenlignet med de nuværende papirbaserede valg.

En lovgivning om e-valg bør også forholde sig til den situation, at e-valg systemet og den manuelle kontroloptælling giver forskellige resultater. Ministeriet mener, at dette kan klares med en efterfølgende bekendtgørelse, jf. side 11 i bemærkningerne, men IT-Politisk Forening synes at Folketinget skal tage stilling til spørgsmålet. Vi vil kraftigt anbefale, at den manuelle optælling altid har forrang i sådanne tilfælde.

Vil open source gøre en forskel?

Dette punkt berøres ikke i bemærkningerne til lovforslaget, men det indgår i rapporten "Technical dialogue on system for e-voting in Denmark - Summary report".

Med open source er det nemmere for (helt) uafhængige eksperter at undersøge kildeteksten, men det gør ikke nogen afgørende forskel for kravet til borgernes tillid. Borgerne kan ikke vide om e-valg maskiner nu også afvikler lige præcis den software, som er lagt frem. Der er stadig krav om borgernes tillid på dette punkt. Fordelene ved open source er, at det offentlige kan sikre en større grad af uafhængig af en enkelt leverandør. Med en closed-source løsning er det nemmere for en leverandør at fremsætte krav om prisstigninger efter at leverandørens løsning er blevet certificeret og godkendt.

Deltagelse i e-valg bør være frivilligt for borgerne

Efter lovforslaget kan ministeriet bestemme, at det ikke skal være frivilligt for borgerne om skal stemme per e-valg. Begrundelsen for dette synes at være, at et obligatorisk e-valg vil give det bedste grundlag for at afprøve systemet og lave den efterfølgende evaluering.

Den begrundelse er helt uacceptabel efter vores mening. Vi taler om et demokratisk valg, og vælgerne skal ikke tvangsindlægges som forsøgskaniner for en umoden teknologi. Hvis vælgerne ikke føler sig trygge ved e-valg, for eksempel fordi de ikke har tillid til at deres stemme virkelig er hemmelig, skal de ikke tvinges til at deltage. Med tvangsmæssig deltagelse i e-valg risikerer samfundet en lavere stemmeprocent, hvilket vil være direkte skadeligt for demokratiet.

Vælgeren kan ikke selv bestemme, hvordan stemmesedlen skal læses

Medmindre der er tale om en folkeafstemning med ja/nej, vil det ikke være muligt at præsentere vælgeren for alle valgmuligheder på en gang. Hertil kan man selvfølgelig sige, at vælgeren ikke kan læse hele den nuværende papirbaserede stemmeseddel på en gang, men der er en meget væsentlig forskel. Med den papirbaserede stemmeseddel, er det vælgeren selv som bestemmer om stemmesedlen skal læses fra oven, bunden eller noget helt tredje. Et e-valg system vil derimod tvinge vælgeren til at læse stemmesedlen i en bestemt orden. Hvis en vælger vil stemme på en bestemt person, men ikke kan huske hvilket parti den pågældende kandidat repræsenterer, vil vælgeren komme til at bruge længere tid på stemmeafgivningen, hvis han/hun først skal vælge et parti og derefter en kandidat (over flere skærmbilleder). Konsekvenserne heraf er ikke kendte, og ministeriet skriver selv i bemærkningerne (side 16), at man i evalueringen af e-valgene skal undersøge om e-valg fører til en ændret vælgeradfærd, for eksempel et større antal parti/liste stemmer i stedet for personlige stemmer. Det kunne man let forestille sig hvis partierne står på første skærmbillede, og er nemme at stemme på, mens en personlig stemme kræver at man skal "klikke" videre til 2-3 andre skærmbilleder.

Sikkerhed mod hacking af e-valg systemer og konflikt med kravet om hemmelige valg

Fra udlandet er der eksempler på hacking af e-valg systemer (vi er bekendte med eksempler fra USA, Holland og Irland). Fysisk adgang til en maskine uden opsyn øger generelt risikoen for uautoriseret adgang (derfor er serverrum altid aflåste, og der er meget detaljeret kontrol med hvem der har adgang til serverrum). Det er i sagens natur altafgørende, at e-valg systemer sikres mod hacking, så der ikke på nogen måde kan manipuleres med valgresultatet.

IT-Politisk Forening er skeptisk over for om nogen systemleverandør på troværdig vis kan udstede en sådan garanti. Man skal også være opmærksom på, at de traditionelle forsvarsmetoder mod hacking indebærer logning og en vis grad af overvågning. Hvis man overfører disse metoder til e-valg systemer, kan man risikere at komme i konflikt med kravene om hemmelige valg.

Selvfølgelig er der også i dag mulighed for valgsvindel. Men det er svært få valgsvindel til at "skalere" i et papirbaseret valg, og almindelige borgere kan opdage at det sker. Hvis valgsvindel ved e-valg sker ved at udnytte en sårbarhed i systemerne, kan en valgsvindler langt nemmere skalere angrebet så det omfatter en større del af valget, og det er ikke muligt for almindelige borgere (og valgtilforordnede) at se hvad der foregår.

Sikkerheden ved e-valg systemer trues ikke alene af personer med onde hensigter. Systemfejl, som ikke opdages, kan påvirke valgresultatet ligesom bevidst valgsvindel vil gøre det. Hvis man skal sikre sig mod disse problemer, skal man lave en manuel optælling af papirsporet for alle stemmer. En stikprøvebaseret manuel optælling vil ikke nødvendigvis opdage alle fejl, hvis der er eksempelvis er tale om lokale systemfejl. En overgang til e-valg vil gøre den danske valghandling mere sårbar. Vi kan meget let ende i situationer som det amerikanske præsidentvalg i Florida i 2000, hvor ingen reelt aner om George Bush eller Al Gore fik flest stemmer.

Evaluering

De foreslåede evalueringer kan muligvis belyse forhold omkring økonomi, brugervenlighed, driftstabilitet osv. De kan også et fingerpeg om hvorvidt vælgerne har tillid til e-valg.

Det som evalueringerne ikke kan afklare, er om vælgerne har grund til at have tillid til de elektroniske valg.

En afgørende egenskab ved valgsystemer er i hvor høj grad de fungerer når man ikke ubetinget kan stole på dem der udskrev valget, og dem der afholder det. Det er er derfor, vi sender valgobservatører til andre lande for at kontrollere deres valghandlinger.

IT-Politisk Forening mistænker dog ikke det nuværende indenrigsministerium for at ville manipulere med valghandlingen, men det er netop en grund til at evalueringen ikke kan blive fyldestgørende. Man burde lade f.eks. IT-Politisk Forening implementere et e-valgsystem, der kunne bestå udbudskriterierne og se om det kunne lykkes os at manipulere valget.

I dag har vi et valgsystem, som er så robust, at det kan modstå forsøg på svindel. De foreslåede e-valg systemer er derimod baserede på tillid til både offentlige myndigheder og til leverandørerne af systemerne. Men ikke alle vælgere har nødvendigvis tillid til myndigheder og den leverandør, der vælges til opgaven. Og det burde heller ikke være nødvendig for dem.

Eller sagt på en anden måde: vi bør kun bruge et valgsystem i Danmark hvis vi vil være trygge ved, at det blev brugt i Rusland.

Det fremsatte lovforslag

Link til lovforslaget.

Principielt om E-valg

Linktil baggrunden for IT-Pols holdning.