← Всички статии

Проектиране на избирателна система, при която принуждаването просто не може да работи

В Северна Македония през 2025 г. някой водеше списък на тези, които дойдоха да гласуват — и този списък беше цялата смисъл.

Вторник е в края на 2025 г., и един служител на публичния сектор някъде в Северна Македония прави тиха сметка. Неговият работодател — общински офис, държавно предприятие, няма особено значение — иска да гласува. Не просто да гласува: да гласува правилно и това да бъде видимо. Знае, че други са били попитани, неофициално, дали се явили. Знае, че някой е отбелязал неща.

Не знае, че международни наблюдатели също наблюдават.

ОБСЕ-овото избирателно наблюдавано тяло, ОДДХР, развърта мисия за местните избори на Северна Македония през 2025 г. Нейният заключителен доклад, публикуван на 7 април 2026 г., документира какво намериха наблюдателите: твърдения за куповане на гласове, натиск на служителите от публичния сектор и избирателите, и — детайлът, който е най-важен за този текст — документирани случаи на наблюдение на избиратели в и около изборния ден. Не слухове. Не жалба на опозицията. Документирано наблюдение от един от най-опитните независими органи за наблюдение на избори в света.

Фразата „наблюдение на избиратели" звучи почти бюрократично. Не е. Това е оперативният гръбнак на принуждаването.

Електронната таблица, която превръща заплахата в реалност

Ето как наблюдението на избиратели работи на практика. Преди изборите някой съставя списък: служители на държавна компания, жители на село, членове на общност, свързана с патрон. На изборния ден, наблюдател — официален или неофициален — записва кой идва и отива от избирателната секция. След като секциите затворят врати, списъкът на тези, които гласуваха, се сравнява със списъка на работодателя на тези, които трябваше да гласуват.

Сравнението е заплахата. Не е нужно да знаеш как е гласувал някой, за да го накажеш, че не е гласувал „правилно" — просто трябва да знаеш, че той не се явил. И ако някой действително дошъл, молчаливото предположение е, че се подчинил.

Това е принуждаването направено систематично. Не се изисква отделна конфронтация. Нямаше пари да се разменят при избирателната кабина. Просто списък, отметка и добре разбраната социална реалност, че неподчинението има последствия.

ОДДХР намериха същия основен модел, документиран в множество страни в последните години. В Грузия — държавата в Кавказ — наблюдателите записаха нещо още по-детайлно по време на парламентарните избори през октомври 2024 г. Техният окончателен доклад отбелязва, че проблеми с тайната на гласа бяха наблюдавани в над 30 процента от наблюденията в избирателните секции: избирателите отбелязват бюлетини на места, където други могат да ги видят, бюлетини се държат по начин, който разкрива избора преди да влязат в урната, оформления на секциите, които не предоставяхат реално частно пространство. Това не е грешка при закръгляване. В почти един от три наблюдавани секции някой друг освен избирателят може вероятно да види гласа.

Тези два констатации — наблюдението на Северна Македония и прекъснатата тайна на Грузия — сочат към един провал в дизайна. И решението не е по-добро обучение на служителите в секциите.

Защо „бюлетината е тайна" е недостатъчно

Тайната бюлетина е измислена специално, за да победи това, което Северна Македония все още преживява. Австралийската избирателна комисия записва, че „австралийската бюлетина" — государствено печатана, частно отбелязана бюлетина, приета през 1850-те години — е внедрена именно защото публичното гласуване „оставяше избирателите уязвими към запугване и принуждаване." Британския парламент последва с Закона за тайното гласуване от 1872 г., завършвайки ерата, когато земевладелец можеше да наблюдава своите наемници докато файлват покрай урната и отбелязва как всеки един гласува.

Прозрението беше структурно, не сентиментално. Глас, който никой не може да наблюдава, е глас, който никой не може да купи или принуди — не защото хората станаха честни, а защото транзакцията стана неосъществима. Можеш да натиска някой колкото искаш, но ако не можеш да проверишкакто наистина е гласувал зад завесата, заплахата няма острие.

Това структурно прозрение има следствие, което демокрациите бавно усвояват: тайната бюлетина е свойство на сигурност, и както всички свойства на сигурност, може да бъде победена от неправилния дизайн на системата.

Апелативният съд на САЩ за Първи окръг изясни механизма ясно в Rideout v. Gardner (2016). Делото беше за селфи на бюлетини — дали избирателите могат да снимат своите отбелязани бюлетини. Държавата твърди, че забраната защитава от куповане на гласове, защото снимка позволява на избирателя да докаже как е гласувал на всеки, който го е платил. Съдът признаде историята директно: реформите на тайната бюлетина бяха приети, за да се „борят срещу разпространено куповане на гласове и запугване на избирателите," практики, които зависят от способността на купувача или принудителя да проверят гласа. Логиката е безупречна. Тайната побеждава принуждаването чрез унищожаване на доказателството за доставка. Всичко, което възстановява това доказателство — камера, куверт, видима отметка — отваря пазара отново.

И наблюдението на избиратели експлоатира по-груба версия на същата уязвимост. Ако можеш да установиш, че някой е влязъл в избирателна секция на изборния ден, и молчаливото социално договарчване е, че влизането означава подчинение, имаш половина доказателство. То е размито, вероятностно доказателство — но в среда на устойчив натиск върху служителите, размито е достатъчно.

Въпросът за проектантите на системи е: как правиш дори това размито доказателство невъзможно за конструиране?

Пропастта, която наблюдението експлоатира

Модерните избирателни системи — дори добре проектирани — имат тенденция да решават различен проблем от тези, които Северна Македония и Грузия илюстрират. Те се фокусират върху това дали броят е точен: записа ли машината това, което избирателят отбеляза? Събра ли талонната софтуер правилно? Това са важни въпроси, и харчим много място в този блог за тяхното изследване.

Но принуждаването не атакува преди всичко броя. То атакува избирателя преди бюлетината да достигне урната.

Повърхнината на атака е връзката между самоличност на лице и неговото избирателното поведение. В случая на Северна Македония, тази връзка беше частично установена само чрез наблюдение на физическото присъствие. В Грузия, тя беше установена чрез наблюдатели — официални или неофициални — наблюдаващи момента на отбелязване. В България, ОБСЕ/ОДДХР документира, че тайната на бюлетинатама беше компрометирана в 7 процента от наблюденията и намериха индикации за куповане на гласове извън избирателните секции — напомняне, че екосистемата на принуждаването се простира отвъд кабината.

Избориите в Албания през 2021 г. видяха ОДДХР документира „широко разпространени" твърдения за куповане на гласове от политически партии, с препоръка на наблюдателите държавата да гарантира „правото на свободен и тайно гласуване и предотвратяване на каквато и да е форма на натиск върху избирателите да разкрият дали и как са гласували." Президентските избори на Киргизстан през 2017 г. произведоха паралелна препоръка от същото тяло: „гарантира правото на свободен и тайно избор и предотвратяване на каквато и да е форма на натиск върху избирателите да разкрият как са гласували."

Страна след страна. Континент след континент. Моделът не е аномалия. Където гласът може да бъде свързан с избирател — колкото и несъвършено, колкото и вероятностно — отваря се пазар за принуждаване.

Съвременният набор от инструменти — завесени кабини, сгънати бюлетини, инструкции да не снимаш своя избор — е проектиран за свят, където основната заплаха е земевладелец, наблюдаващ те да идеш към урната. Не е проектиран за систематични електронни таблици за проследяване на служители, мобилни камери или социалната инфраструктура на организиран работен натиск.

Анонимност по дизайн: изискване на сигурност, не предпочитание

Ето целта на дизайна изречена ясно: избирателният избор трябва да бъде доказано неразривен от самоличността на избирателя. Не просто неразривен в политика. Не просто неразривен при липса на корумпиран служител, готов да преровава записи. Неразривен чрез конструкция — така че никой, включително органът на власт на изборите, да не може да направи връзката дори ако искат.

Това е същия език, който софтуерните инженери използват, когато говорят за „приватност чрез дизайн" в системи за данни. Означава архитектурата прави прекъсването невъзможно, не просто срещу правилата.

Какво това изисква?

Първо, физическа анонимизация в момента на депозит. Актът на полагане на бюлетина в урна трябва да бъде отделена от самоличността на лицето, което я полага. Оформления на избирателните секции, които дават на наблюдателите видимост към момента на отбелязване, не отговаряют на това изискване. Прозрачни или етикетирани пликове за бюлетини не го отговаряют. Кабина, обърната към стена от стъкло, го не отговаря. Това е проблем на физическото инженерство, и има известни, евтини решения — непрозрачни кабини, последователно сгъване, универсално пътешествието плик — които секциите на Грузия, в над 30 процента на наблюдавани случаи, не внедряваха.

Второ, без проследяващ куверт, който избирателят да може да бъде принуден да произведе. Един от по-контраинтуитивните резултати в дизайна на избирателната система е, че куверти, проверяваща от избирателя — видовете, които избирателят взема си, за да потвърди, че неговата бюлетина е преброена — могат, ако криптографски доказват как е гласувал избирателят, да се превърнат в инструменти за принуждаване. Съдът Rideout видя по-простата версия на това със мобилни камери. Криптографската версия е по-фина, но реална: куверт, които избирателят може да използва, за да докаже неговия избор на трета страна, отваря пазара на куповане на гласове. Правилният дизайн дава на избирателя увереност, че неговата бюлетина беше включена в талона, без да му дават — или на някого друг — проследяемо доказателство как е гласувал.

Трето, и най-важно: органът на власт на изборите сам не трябва да може да възстанови връзката. Това е където традиционните системи, дори добре управлявани, остават далеч от целта. Ако органът на власт има картирането между номера на бюлетина и самоличност на избирател, корумпиран или принуден служител может да я възстанови. Архитектурното решение е да се гарантира, че картирането никога не е държано — че процесът на анонимизация е необратим и се случва преди бюлетинататай да влезе във всяка система, която знае кой я е отлял.

Това не е теоретично стремление. Криптографската избирателна研究 произвела протоколи — миксови мрежи, хомоморфно тероваме, схеми за слепи подписи — специално проектирани да отрежат тази връзка, докато все още произвеждат проверяем съвкупен брой. Инструментите съществуват. Въпросът е дали избирателните системи се изграждат, за да ги използват.

Какво „проверяемо" трябва да означава на двете страни на уравнението

Повечето от покритието на този блог за проверяемост се фокусира върху края на броене: могат ли обществото да потвърди, че съвкупният брой отразява отделните бюлетини? Това е критичен въпрос, и случаите са мрачни — от Кения, която Върховния съд анулира президентски избор защото образци на резултати не можаха да бъдат проследени до избирателни секции, до Малави, чиито съдилища анулиран президентски избор над коригиране на течност за корекция до талони, до Грузия (САЩ) провеждаща пълен преброй на пет милиона бюлетини, за да потвърди преброй на машина, които, в своя честност, се провеждаше.

Но проверяемостта има втори размер, който е по-малко обсъждан: могат ли избирателят да потвърди, че неговата бюлетина беше включена без да разкрие на никого — включително на себе си, за криминалистически цели — как е гласувал?

Това два изисквания са в напрежение. Пълна прозрачност на отделните бюлетини щеше да направи броене перфектно проверяемо, но щеше да унищожи анонимност и даде на принудителите перфектен одитен път. Нулева връзка между бюлетини и избиратели защитава анонимност, но, в наивни внедрения, премахва способност да хвата попълвация на бюлетини или потискане.

Цялата точка на модерния криптографски дизайн на избирателната система е да разреши това напрежение. Система, изградена на проверяема анонимизация — където разбъркване на бюлетини чрез процес на смесване може да бъде математически проверено без никого да може да обърне смесването — дава ти и двете: публично доверие в съвкупния резултат и никакъв проследяем доказателство за някой принудител да демонстрира.

Случай на Швейцарския пощи от 2019 г. е поучителен тук, макар за предупредителна причина: изследователи Сара Джейми Луис, Оливие Перейра и Ванеса Теаг открихa, че доказателството на смесване на миксът зависеше от криптографска врата, означавайки орган на власт с правилните стойности щеше да може да генерира доказателство, което е появилось валидно, докато имаше променени гласове. Учението не е, че криптографските подходи фалят — то е, че те трябва да са отворени за независим преглед. Дефектът бе открит точно защото Швейцарския пощи публикува кода. Затворена, сертифицирана система щеше да плува глътнала необщо.

Немския федерален конституционен съд достигна допълнителния вывод относно непрозрачност през 2009: използването на избирателни машини изисква ессенциални стъпки на гласуване и броене „могат да бъдат разгледани от гражданина надежно и без никакви специалист познания." Затворена софтуер фаля това. Миксът, чието математическо доказателство всеки обучен може да проверят, не.

Проблемът с успокоението

Когато наблюдателите на ОДДХР сигнализират наблюдение на избиратели в Северна Македония, официалният отговор имет тенденция да следва предвидим облик: разследвания ще бъдат проведени, препоръки ще бъдат разглеждани, следващите избори ще бъдат по-добри. Когда проблемите със тайната на Грузия бяха документирани, служители можаха да сочат на правни разпоредби, които технически изискват частно отбелязване.

Това отговори не са лъжи. Но те са успокоения, и успокоения не е архитектура.

Избирателна система, която се опира на служители да избират да не изграждат електронна таблица за наблюдение, е не система, която побеждава принуждаване. То е система, която се надява служители не щат.

Единственото траен отговор е дизайн, в който електронната таблица е безполезна — където дори перфектно наблюдение на кой е влязъл в избирателна секция произвежда никакво действително разузнаване за принудител, защото връзката между присъствие и избор е отрязана от процеса сам. Анонимно полагане на бюлетина. Никакъв проследяем куверт. Орган на власт, който не може, дори ако е позован, да произведе запис на как е гласувал някой отделен избирател.

Това не е системата, която повечето демокрации в момента пускат. Това е система, към която трябва да изграждат.

Успокоенията в Северна Македония и Грузия струват точно толкова, колкото всяко официално успокоение в това пространство струва: твърдение, направено от хората, които контролират системата, относно системата, която контролират, без механизъм за всеки друг да го независимо проверят.

И в надпревара — местна, парламентарна, президентска — решена чрез маржа по-малък от池 на хората, чийто работодател водеше списък, това разлика между успокоение и архитектура е не теоретична. Това е резултата.

Какво щеше да го направи проверяемо — от всеки

Ето какво щеше да позволи на обикновен наблюдател да потвърди коеррци-устойчива, независимо проверяема система, без специален достъп:

Че всяка гласала бюлетина влезе процес на анонимизация — криптографско смесване или еквивалент — преди да бъде свързана с талон. Това стъпка трябва да бъде публично отбелязано и неговата интегралност да бъде проверяема от всеки със математическото доказателство.

Че никакъв куверт не съществува, който избирателят може да бъде принуден да произведе да докаже как е гласувал. Това означава верификационния жетон, който избирателят получава трябва да потвърди включвание в брой без кодиране тяхното конкретния избор в формулар проследяем към тях.

Че съвкупният брой може да бъде проверен срещу анонимната бюлетин-пулкс от всяка независима страна, която свали публикуваните данни — не чрез доверие на органите на власти на обявлението, но чрез повторно-пускане на криптографския тест себе си.

Нищо от това не съществува в мащаб в нито един голям национален избирателна система днес. Повечето системи предоставляват един или две от това свойства, частично. Разликата между частично и пълно е където наблюдение на избирателите, работен натиск и цялата икономика на принуждаване живее.

Случаите са документирани. Инструментите съществуват. Целта на дизайна е ясна: избор доказано неразривен от самоличност на избирател не е приватност приятност — то е единствена архитектура, която прави принуждаване икономически безполезно.

Какво все още не е независимо проверяемо, в Северна Македония, в Грузия, в повечето на света: дали бюлетина гласала от работник, който е наблюдаван входящ в избирателна секция е същата бюлетина, която влезе броя, свързана на никое име, проверяема чрез никакъв работодател, доказуема на никакъв патрон.

Докато то е проверяемо — чрез математика, не чрез обещание — електронната таблица остава полезна.

Вижте как това разлика се появи по различните страни и системи →

Прочетете двуминутната версия на проблема на принуждаване и анонимност →

Прегледайте документирани случаи на куповане на гласове и разбита тайна на бюлетина →

Источники

Вижте всички статииРазгледай пропуските