← Todos los artículos

Cadena de custodia: el papeleo aburrido que decide si puedes confiar en una elección

Una elección fue anulada en todo un país — no porque alguien hiciera fraude, sino porque nadie podía probar que no lo había hecho. Aquí está el papeleo que marca la diferencia.

Son poco antes de las 9 a.m. del 23 de mayo de 2016, y en una oficina electoral de distrito en algún lugar de Austria, un miembro de la junta electoral está haciendo algo que es estrictamente contra la ley.

Los votos por correo han llegado. Los sobres exteriores sellados — cada uno una pequeña fortaleza de papel alrededor del voto de un ciudadano — están sobre una mesa. La ley dice que esos sobres no pueden ser tocados hasta el día después de la elección. Dice que las únicas personas autorizadas para abrirlos son la autoridad electoral del distrito. Dice que deben estar presentes testigos. Dice que se debe mantener un registro.

Nada de eso sucedió.

El miembro de la junta abre los sobres de todas formas. Quizás hay presión para que avance el escrutinio. Quizás parece un atajo trivial. Quizás nadie espera que importe.

Seis semanas después, la Corte Constitucional de Austria anuló toda la elección de segunda vuelta presidencial.

Qué es realmente una cadena de custodia

Antes de llegar a cortes y consecuencias, seamos precisos sobre lo que estamos hablando — porque "cadena de custodia" suena a jerga legal y es en realidad algo mucho más simple.

Una cadena de custodia es el registro documentado de quién tocó algo, cuándo, bajo qué autoridad, y con qué testigos. Es lo que hace que una prueba física sea utilizable en un tribunal. Es lo que hace que una muestra de sangre sea confiable en un juicio. Es lo que hace que una papeleta, después de haber pasado por una docena de pares de manos durante varios días, siga siendo demostrablemente la misma papeleta que un ciudadano colocó en una urna.

Sin ella, no puedes distinguir "nada sucedió" de "algo sucedió y nadie lo atrapó".

Esa distinción lo es todo. Y es exactamente lo que la Corte Constitucional de Austria estaba decidiendo.

Austria 2016: la cadena de custodia se rompe, y el resultado se rompe con ella

La segunda vuelta presidencial austriaca del 22 de mayo de 2016 fue extraordinariamente cerrada. Alexander Van der Bellen derrotó a Norbert Hofer por aproximadamente 30.000 votos — un margen de menos de un punto porcentual en una elección nacional.

Los votos por correo fueron centrales. Cientos de miles de austriacos votaron por correo. La ley austriaca fue específica sobre cómo esos votos tenían que ser manejados: los sobres exteriores no podían ser abiertos antes de las 9 a.m. del día después de la elección, solo por la autoridad electoral del distrito, solo con los miembros requeridos de la junta presentes, solo con testigos.

La Corte Constitucional, examinando impugnaciones del resultado, encontró en su decisión W I 6/2016-125 que en múltiples distritos, esas reglas habían sido violadas. Los votos se contaron prematuramente. Personas no autorizadas habían manejado los sobres. Testigos requeridos estaban ausentes. No había un registro adecuado.

Aproximadamente 77.000 votos fueron afectados por violaciones procedimentales comprobadas — más del doble del margen ganador.

La Corte no encontró evidencia de fraude real. Déjalo reposar un momento: la elección fue anulada sin que se identificara ni una sola papeleta alterada. El problema era que la cadena de custodia rota hacía imposible descartar que las papeletas habían sido manipuladas. La prueba de inocencia y la prueba de culpabilidad requieren lo mismo: un registro documentado e ininterrumpido de quién tuvo acceso a qué, y cuándo.

Una nueva segunda vuelta se realizó el 4 de diciembre de 2016. Todo el país votó de nuevo por fallos en el mantenimiento de registros en un puñado de oficinas de distrito.

Las dos cosas que una cadena de custodia está haciendo al mismo tiempo

Aquí está lo que hace tan esclarecedor el caso austriaco: la cadena de custodia no fue rota para cometer fraude. Fue rota porque algunos funcionarios trataron las reglas como formalidades burocráticas en lugar de mecanismos de integridad.

Este es el malentendido en el corazón de la mayoría de los fallos de cadena de custodia.

Las reglas existen para servir dos propósitos completamente diferentes simultáneamente, y ambos son esenciales.

Primero: prevenir fraude. Si las papeletas solo pueden ser tocadas por personas autorizadas, en tiempos autorizados, frente a testigos, la ventana para la manipulación es estrecha y presenciada. Siempre hay alguien en la sala. Siempre hay un nombre en el registro.

Segundo: probar que no ocurrió fraude. Esta es la mitad que la gente rutinariamente olvida. Después de una elección, si alguien impugna el resultado, la única forma de demostrar que no ocurrió manipulación es producir el registro completo e ininterrumpido mostrando cada mano que tocó cada papeleta. Sin registro, sin prueba. No prueba de fraude — prueba de la ausencia de fraude.

Rompe la cadena por conveniencia, y has destruido la evidencia que te habría absuelto.

La Corte Constitucional de Austria entendió esto perfectamente. Su sentencia no era sobre lo que sucedió con esos 77.000 votos. Su sentencia era sobre el hecho de que lo que sucedió con ellos ya no podía ser establecido. Esa incertidumbre, en una carrera decidida por 30.000 votos, fue legal y democráticamente fatal.

Tower Hamlets 2014: cuando la cadena se rompe por una razón diferente

Austria nos muestra qué sucede cuando la cadena de custodia se rompe por negligencia. Tower Hamlets nos muestra qué sucede cuando se rompe por diseño.

En mayo de 2014, Lutfur Rahman fue elegido Alcalde Ejecutivo del London Borough of Tower Hamlets. En abril de 2015, un Tribunal Electoral presidido por el Comisionado Richard Mawrey QC anuló esa elección por completo.

El fallo en Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) encontró un catálogo notable de prácticas corruptas e ilegales: suplantación, fraude de votos por correo, soborno, agasajo, declaraciones falsas e influencia espiritual indebida. El tribunal encontró corrupción general tan extensamente prevalente que razonablemente podría suponerse que afectó la elección. Rahman fue removido del cargo.

La votación por correo estaba en el corazón de esto. Y este es el problema estructural que la votación por correo crea en cualquier sistema sin controles robustos de cadena de custodia.

Cuando votas en una estación de votación, hay una cadena de custodia integrada en el ambiente físico. Estás solo en una cabina. Nadie está viendo tu mano. Nadie recolecta tu papeleta antes de que vaya a la urna sellada. Nadie la toma a casa y la devuelve más tarde.

Cuando votas por correo, la papeleta sale del ambiente controlado. Viaja por el correo. Puede estar en la casa de alguien. Puede ser completada con otras personas presentes. Puede haber alguien en la sala — un miembro de la familia, un organizador comunitario, alguien que llevó al votante a su cita — que pueda ver qué está marcado, o que complete la papeleta ellos mismos.

La integridad completa de la papeleta por correo depende de lo que sucede antes de que llegue nunca a la mesa de escrutinio. Y ese es precisamente el segmento de la cadena de custodia que es más difícil de presenciar, registrar y verificar.

El 9º Distrito Congresional de Carolina del Norte en 2018 encontró la misma vulnerabilidad. Un esquema coordinado de papeletas ausentes — recolectando papeletas, a veces completándolas, a veces simplemente descartando las desfavorables — llevó a la Junta Estatal de Elecciones a ordenar una nueva elección completamente. El método que los defraudadores explotaron fue la brecha entre una papeleta saliendo de las manos del votante y llegando a la custodia oficial.

La lección en ambos casos es idéntica. La cadena de custodia debe cubrir el viaje completo de la papeleta — no solo la parte que sucede en la sala de escrutinio.

Qué significa "quién puede tocarlo, cuándo, y cómo se prueba" en la práctica

La cadena de custodia en una elección no es una regla. Es un sistema de requisitos entrelazados, cada uno de los cuales cierra una brecha diferente.

Autorización: Solo individuos específicos con nombres específicos y roles específicos pueden manejar papeletas en cada etapa. "La oficina electoral" no es una persona. Debe haber un nombre, un rol, y un registro.

Temporización: Las acciones solo pueden suceder en horarios especificados. Las reglas de Austria no eran sobre desconfianza de funcionarios particulares — eran sobre asegurar que el escrutinio no pudiera comenzar hasta que se abriera la ventana legal, de modo que la secuencia de eventos fuera demostrable después.

Presencia de testigos: La mayoría de los pasos de manejo requieren al menos un observador de fuera del equipo inmediato — un representante de un partido diferente, un testigo independiente, un miembro del público. Las violaciones austriacas incluyeron escrutinios realizados sin testigos requeridos. Ese testigo no está allí para ser útil en el momento. Está allí para ser útil seis semanas después, cuando alguien pregunta qué sucedió.

Contenedores sellados: Evidencia de alteración física. Una urna electoral sellada antes de que deje la estación de votación y que llegue a la sala de escrutinio con el sello intacto es una declaración en el registro de custodia. Una urna que llega con el sello roto necesita una explicación en el registro. La explicación es parte de la cadena.

Registro: Un registro contemporáneo de cada paso. No un recuerdo. No una aproximación. Una firma, una hora, una descripción de qué fue hecho y por quién. El registro es la cadena de custodia hecha física.

Rompe cualquier eslabón en este sistema y tienes una brecha. Una brecha significa que el período cubierto por la ruptura es inverificable. Y un período inverificable, en una elección cerrada, es legalmente indistinguible de una oportunidad para fraude, sin importar si se aprovechó.

La matemática incómoda de los escrutinios manuales y la custodia

Hay una versión de esta historia que termina con: "y luego los funcionarios contaron todo manualmente y confirmaron el resultado." Las cortes lo dicen. Los Secretarios de Estado lo dicen. Y vale la pena ser preciso sobre lo que esa afirmación establece y qué no.

El escrutinio manual estatal de aproximadamente 5 millones de papeletas en Georgia en 2020 fue una hazaña extraordinaria — 159 condados, 41.881 lotes, completado en menos de seis días. El escrutinio manual confirmó el resultado tabulado por máquina en aproximadamente una décima de uno por ciento. Eso es genuinamente significativo. Una papeleta de papel físico, contada de forma independiente, es la columna vertebral de cualquier régimen de verificación serio.

Pero un escrutinio manual es tan bueno como la cadena de custodia detrás de él. Si no sabes que cada papeleta en esos 41.881 lotes es la misma papeleta que fue emitida — si hay alguna brecha no registrada, no presenciada entre la mano de un votante y la mesa de escrutinio — entonces el escrutinio manual está confirmando la integridad de lo que hay en las urnas, no necesariamente la integridad de lo que los votantes presentaron.

Esto no es hipotético. En Antrim County, Michigan en 2020, una auditoría manual de papeletas presidenciales produjo un recuento final que aún difería de la tabulación de máquina en aproximadamente una docena de votos de aproximadamente 15.700 emitidos. Doce votos. En un condado pequeño, en una carrera no decidida localmente. Pero doce votos es un recordatorio de que el escrutinio manual — el estándar de oro — lleva su propio error humano irreducible: una papeleta mal leída, un lote mal contado, una marca ambigua adjudicada diferentemente por dos personas diferentes.

En una carrera decidida por un puñado de votos, un método de verificación que es en sí mismo inexacto por un puñado de votos no puede resolver la pregunta. "El escrutinio manual lo confirmó" y "el Secretario de Estado dice que está bien" son garantías. No son prueba. La cosa que convierte una garantía en prueba es un registro independiente, ininterrumpido que cualquier observador puede verificar — no porque confíen en el funcionario que lo produjo, sino porque el registro está estructurado de modo que la manipulación dejaría una huella detectable.

El marco de auditoría de riesgo limitado de Colorado apunta en la dirección correcta: muestreo estadísticamente riguroso, dimensionado al margen de la carrera, realizado contra un registro de papel duradero. Pero incluso un RLA requiere que el registro de papel en sí viajó una cadena ininterrumpida de la mano del votante a la mesa del auditor.

La cadena de custodia no es la alternativa a la auditoría. Es la precondición de la auditoría.

Qué hace una brecha de custodia verificable — y qué no

El caso austriaco produjo algo raro y esclarecedor: una corte constitucional que articuló, por escrito, exactamente por qué el cumplimiento procedimentario no es una formalidad.

El razonamiento de la Corte no fue "encontramos fraude." Fue: los salvaguardias requeridos no fueron seguidos de maneras que afectaron a un número de votos mayor que el margen ganador, y por lo tanto el resultado no puede ser verificado. El resultado no puede ser verificado no porque la Corte sospechara manipulación — expresamente encontró ninguna — sino porque la verificación es solo posible cuando el registro es completo. Un registro parcial produce confianza parcial como mucho.

Esta es la misma lógica que la Corte Constitucional Federal Alemana aplicó en 2009 cuando sostuvo que las máquinas de votación electrónicas eran inconstitucionales porque los ciudadanos ordinarios no podían verificar independientemente los pasos esenciales del voto — no porque alguna máquina hubiera funcionado mal, sino porque la arquitectura hacía imposible la verificación. La Corte Suprema de Kenia llegó a la misma conclusión en 2017 cuando anuló una elección presidencial porque la cadena digital desde la estación de votación hasta el recuento nacional no podía ser verificada independientemente.

La línea continua a través de Viena, Nairobi y Karlsruhe es idéntica: un resultado que no puede ser verificado independientemente no es un resultado en el que una democracia puede actuar.

La solución también es la misma en cada caso. No es "confía en nosotros — verificamos." Es un sistema diseñado de modo que la verificación es posible sin confiar en nadie en particular. Resultados instantáneos a nivel de distrito publicados en forma legible por máquina. Manejo de papeletas con evidencia de alteración con registros contemporáneos que cualquiera puede solicitar. Pistas de auditoría estructuradas de modo que cualquier brecha en el registro es tan visible como cualquier brecha en el recuento.

La cadena de custodia es papeleo aburrido hasta que es la única cosa parada entre una elección legítima y una que nadie puede defender.

Qué todavía no es verificable — y qué cambiaría eso

Aquí está lo que la sentencia de la Corte Constitucional de Austria no hizo: no creó un sistema en el que la próxima cadena de custodia de la elección austriaca sea verificable independientemente por cualquiera que quiera verificar.

Produjo una nueva elección. No produjo una nueva arquitectura.

En la mayoría de las jurisdicciones que ejecutan papeletas por correo, el registro de quién manejó una papeleta, cuándo, y con qué testigos es un documento administrativo interno. Puede o no ser consistentemente mantenido. Puede o no ser públicamente solicitado. No hay una publicación estandarizada, en tiempo real, legible por máquina de eventos de custodia que cualquier observador pudiera descargar y verificar.

Eso es lo que aún falta. La brecha entre "seguimos las reglas" y "aquí está el registro inalterable, verificable públicamente que prueba que seguimos las reglas" es la brecha que produjo Viena 2016, Tower Hamlets 2014 y Carolina del Norte 2018 — y que producirá la próxima.

Las herramientas para cerrar esa brecha existen. Registro criptográfico de eventos de custodia. Registros en tiempo real, firmados, de qué persona autorizada tocó qué contenedor sellado en qué momento. Pistas de auditoría legibles por máquina publicadas en el momento en que cada paso de custodia ocurre, no reconstruidas después. No porque algún funcionario específico no sea confiable — sino porque un sistema en el que se requiere confianza es un sistema en el que la confianza puede ser mal colocada, y en el que los errores y la mala conducta son indistinguibles hasta que es demasiado tarde.

Una cadena de custodia que cualquiera puede verificar no es una cadena de custodia que cualquiera pueda romper silenciosamente.

Mira qué tan común es esta brecha en todo el mundo →

Lee la versión de 2 minutos del problema de verificabilidad →

Explora la brecha completa de cadena de custodia →

Fuentes

Ver todos los artículosExplora las brechas