Comment cette pétition garantit votre anonymat tout en étant vérifiable
Un système où l'organisateur ne voit aucun nom, où personne ne peut savoir qui a signé, mais où le Govern peut compter le nombre de signatures légitimes.
Le problème en deux phrases
Sur change.org, n'importe qui peut signer plusieurs fois ou avec un faux nom. Le Govern a raison de dire que ces signatures ne sont pas vérifiables. Cette plateforme résout le problème.
Une métaphore
Imaginez une urne transparente dans laquelle chaque citoyen dépose une enveloppe scellée portant un sceau personnel unique, dérivé de son NIA mais impossible à inverser. L'organisateur voit le nombre d'enveloppes. Personne ne peut ouvrir une enveloppe. Mais le Govern, qui possède la liste de tous les sceaux possibles (puisqu'il connaît tous les NIA attribués), peut compter combien d'enveloppes portent un sceau valide.
Pourquoi le NIA et non le numéro de passeport ?
Le NIA (Número d'Identificació Administrativa) est l'identifiant persistant des citoyens andorrans. À la différence du numéro de passeport — qui change à chaque renouvellement — le NIA vous accompagne toute votre vie. Cette persistance est essentielle pour que la déduplication fonctionne : si une personne signe le jour 1 et renouvelle son passeport le jour 20, elle doit produire le même sceau. Le NIA, présent sur votre passeport et sur votre DNI, garantit cette stabilité.
Ce que voit l'organisateur
Un compteur, des initiales optionnelles, des commentaires publics. Rien d'autre. Aucun nom. Aucun NIA. Aucune adresse IP en clair.
Ce que voit le Govern
Exactement la même chose que tout le monde sur la page de transparence. En plus, s'il décide de procéder à la vérification : un nombre, et un nombre seulement, indiquant combien de signatures correspondent à des NIA de citoyens andorrans réels.
Ce que le Govern ne voit pas
Qui a signé. Le calcul de vérification produit un nombre, pas une liste de noms.
Pourquoi sept dépositaires : l'Armari de les Set Claus
L'Andorre a une tradition séculaire de gouvernance consensuelle. À la Casa de la Vall, les archives nationales étaient conservées dans l'Armari de les Set Claus (Armoire des Sept Clés) : un coffre à sept serrures distinctes, où chaque Conseiller représentant une paroisse détenait une clé différente. Il fallait la présence simultanée des sept clés pour ouvrir l'armoire. Personne ne pouvait accéder seul aux archives du pays.
Cette pétition applique le même principe au monde numérique. La clé secrète du système cryptographique est partagée en sept fragments, confiés à sept personnes publiques et indépendantes — une par paroisse, en hommage à la tradition. Il faut en réunir cinq sur sept pour reconstituer la clé (ce qui tolère jusqu'à deux absences, afin que la cérémonie reste réalisable même si un ou deux dépositaires ne peuvent pas y assister).
Ce design protège contre les pressions politiques : aucun acteur seul — gouvernement, parti, journaliste, adversaire — ne peut identifier les signataires. Il faut cinq dépositaires coopérants en même temps, et ceux-ci se sont publiquement engagés à ne le faire qu'à la fin de la collecte.
Honnêteté technique
Le code est public. Tout chercheur peut l'auditer. La promesse d'anonymat repose sur trois piliers :
- Cryptographique : la fonction de dérivation (Argon2id) est délibérément lente, ce qui rend coûteuse toute tentative de désanonymisation.
- Cryptographique renforcé (Niveau 2) : la clé secrète partagée entre sept dépositaires rend la désanonymisation impossible pendant la collecte, même pour quelqu'un disposant de la liste des NIA andorrans.
- Politique et juridique : le Govern, qui possède la liste des NIA valides, est le seul acteur capable d'inverser la fonction. Il est tenu par la loi andorrane et par l'APDA de ne pas le faire en dehors de la procédure de vérification consentie.