← Todos los artículos

Voto postal: la comodidad y los controles que deben acompañarla

Un juez descubrió que papeletas emitidas por personas vivas fueron presentadas a nombre de difuntos — y el remedio fue anular toda una elección.

Es la mañana del 23 de abril de 2015, y en una sala de tribunal en Londres, el Comisionado Richard Mawrey QC está leyendo un veredicto que no ha ocurrido en la democracia británica en memoria viva. Lutfur Rahman, el Alcalde Ejecutivo del Municipio de Tower Hamlets en Londres, elegido en mayo de 2014 por más de 3.000 votos, está siendo destituido de su cargo.

No suspendido. No investigado. Destituido.

La sentencia del tribunal electoral — Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) — tiene 217 páginas y descubre que la elección estuvo viciada por prácticas corruptas e ilegales cometidas por el Alcalde personalmente y a través de sus agentes. Entre esas prácticas: suplantación de identidad, fraude de voto postal, soborno, coacción, declaraciones falsas e influencia espiritual indebida.

Los hallazgos sobre voto postal son los que deberían mantener despierto a cualquier administrador electoral.

Una papeleta emitida a una milla de la casilla de votación

Cuando votas en persona, hay una cadena de eventos controlada. Un funcionario de mesa verifica tu nombre. Recibes una papeleta. Entras en una cabina. Nadie te ve marcarla. La depositas tú mismo en una urna sellada. En ningún momento otra persona maneja tu papeleta sin marcar, la completa junto a ti, o la lleva a otro lugar.

El voto postal rompe cada uno de esos pasos.

Tu papeleta viaja por correo a una dirección. Se completa — en algún lugar, por alguien — lejos de cualquier testigo oficial. Vuelve a meterse en un sobre, luego en otro sobre, luego en un buzón. Cuando llega al escrutinio, ha pasado por manos de las que nadie ha llevado registro.

Esto no es un riesgo hipotético. El tribunal de Tower Hamlets encontró evidencia de que formularios de papeletas postales estaban siendo completados en eventos organizados — múltiples papeletas completadas juntas, lejos de los hogares de los votantes, a veces por personas que no eran el votante registrado en absoluto. Encontró suplantación: votos emitidos a nombre de personas que no los habían emitido.

El tribunal no encontró que se trataba de incidentes aislados. Encontró un patrón lo suficientemente extenso como para afectar el resultado de una elección municipal en uno de los municipios más poblados de Londres.

El remedio no fue un recuento. No había nada que recontar. La elección fue anulada.

El problema no es el sobre — es lo que ocurre dentro de él

Seamos precisos sobre qué salió mal en Tower Hamlets, porque la lección importa.

La vulnerabilidad no era que el voto postal exista. Era que los controles alrededor del voto postal — las verificaciones de identidad, la custodia de papeletas en blanco, el requisito de que un votante complete personalmente su propio formulario en privado — eran inadecuados o fueron eludidos.

El voto postal tiene una propiedad fundamental de seguridad que el voto en persona no tiene: en el momento en que una papeleta sale de la custodia oficial, su cadena de custodia se rompe. La papeleta va a una dirección privada. Se completa sin testigos. Vuelve sellada en un sobre exterior que lleva una firma y verificación de fecha de nacimiento que, en 2014, en Inglaterra, podía ser falsificada o manipulada por cualquiera que estuviera de pie junto al votante.

Una papeleta enviada por correo es una papeleta que ha estado, durante algún período, sin ser observada. Ese intervalo — entre el momento en que un formulario en blanco llega a un hogar y el momento en que un formulario completado vuelve a entrar en custodia oficial — es la superficie de ataque.

Y es una superficie de ataque con un largo historial de explotación. En el 9º Distrito Congresional de Carolina del Norte en 2018, un esquema coordinado recogió papeletas de votación por ausencia de votantes — a veces completándolas, a veces simplemente llevándoselas — y la Junta Estatal de Elecciones finalmente ordenó una nueva elección completamente. El operario en el centro, McCrae Dowless, fue posteriormente acusado de delitos graves. Un candidato diferente ganó la nueva votación.

El mecanismo en ambos casos es idéntico: interceptar la papeleta mientras está fuera de la custodia oficial.

Austria 2016: no se encontró fraude, elección anulada de todas formas

Tower Hamlets es el caso donde algo malo demostrablemente ocurrió. Austria 2016 es el caso donde los procedimientos se derrumbaron — y nadie pudo probar que no hubiera ocurrido nada malo.

El 1 de julio de 2016, la Corte Constitucional Austriaca anuló la segunda ronda de la elección presidencial federal — una votación que Alexander Van der Bellen había ganado por aproximadamente 30.000 votos de 4,6 millones emitidos. El razonamiento de la corte fue metódico y, en su modo, radical.

La ley austriaca es precisa sobre papeletas postales: la autoridad electoral de distrito, y solo la autoridad electoral de distrito, puede manejarlas. Los sobres no pueden ser abiertos, los votos no pueden ser contados, antes de las 9:00 a.m. del día después de la elección. Los miembros de la junta electoral y testigos deben estar presentes.

La corte encontró violaciones en múltiples distritos. Los sobres habían sido abiertos temprano. Los votos habían sido contados por personas no autorizadas. Testigos requeridos estaban ausentes. Aproximadamente 77.000 votos fueron afectados por violaciones procedimentales probadas.

El margen ganador fue de 30.000 votos.

La corte expresamente no encontró evidencia de fraude real. No dijo que votos hubieran sido cambiados. Dijo que porque las salvaguardas contra la manipulación habían sido violadas a una escala que superaba el margen ganador, era imposible confirmar que el resultado fuera lo que los votantes realmente habían decidido. La elección fue anulada. Una nueva votación se llevó a cabo en diciembre de 2016.

Este es el argumento más difícil, y merece ser escuchado claramente: la verificabilidad no es solo sobre atrapar el fraude que ocurrió — es sobre procedimientos lo suficientemente rigurosos para probar que el fraude no pudo haber ocurrido. Cuando esos procedimientos se violan, el resultado es inverificable, sin importar quién realmente ganó.

Qué significa realmente "cadena de custodia" para una papeleta postal

Piensa en la cadena de custodia como un registro sin brechas. Cada persona que tocó una papeleta, cuándo, y bajo qué autoridad.

Para una papeleta en persona: la cadena comienza cuando se emite la papeleta de votación, continúa a través de tu papeleta marcada entrando en la urna, corre hasta el momento en que la urna sellada es abierta en el escrutinio bajo observación, y termina cuando el lote es tallado y sellado de nuevo. Cada eslabón es presenciado, registrado y verificado cruzadamente.

Para una papeleta postal, la cadena tiene una brecha estructural — el período cuando el formulario está en una dirección privada. La ley procesal intenta compensar esta brecha con:

  1. Verificación de identidad antes de emitir un voto postal (¿es esta persona realmente registrada y elegible?)
  2. Verificación de identidad cuando se recibe el sobre de devolución (¿coincide la firma? ¿coincide la fecha de nacimiento indicada?)
  3. Apertura oportuna y presenciada de sobres devueltos bajo supervisión oficial
  4. Almacenamiento seguro y registrado de sobres recibidos antes del día de apertura

Los hallazgos de Tower Hamlets sugieren que los pasos 1 y 2 fueron manipulados — a través de la completación organizada de formularios y, en algunos casos, suplantación de identidad. La anulación de Austria encontró que el paso 3 fue violado. Ambas fallas apuntan a la misma verdad subyacente: la cadena de custodia de papeletas postales es tan fuerte como su eslabón más débil, y ahora mismo algunos de esos eslabones son reglas procedimentales escritas en papel, no reforzadas por ningún mecanismo que sea auditable de forma independiente.

Una regla que dice "solo personas autorizadas pueden abrir sobres" no es un sello a prueba de manipulaciones. Es una promesa. Y una promesa, en un ambiente adversarial, no es lo mismo que una prueba.

El voto secreto fue inventado exactamente para este tipo de amenaza

Hay una razón por la que la papeleta australiana — la papeleta impresa por el estado, marcada en privado — se convirtió en el estándar global en el siglo diecinueve. Antes de eso, la votación era pública. Declarabas tu preferencia en voz alta o en un libro visible. Los terratenientes vigilaban a los inquilinos. Los empleadores vigilaban a los trabajadores. La Ley de Voto Secreto de 1872 terminó con la votación abierta en el Reino Unido precisamente para romper el soborno y la intimidación que la votación pública permitía.

La lógica es simple: si nadie puede ver cómo votaste, nadie puede comprar o coaccionar tu voto. El secreto es una propiedad de seguridad, no una cortesía.

El voto postal presiona exactamente esta propiedad. La papeleta se marca en casa, donde un miembro de la familia, terrateniente, empleador, o figura comunitaria puede estar cerca. En Tower Hamlets, el tribunal encontró evidencia de que las papeletas estaban siendo completadas en reuniones organizadas en lugar de en la privacidad del momento personal del votante.

Esta es la misma presión que el voto secreto fue diseñado para prevenir — simplemente reubicada de la casilla de votación a la mesa de la cocina.

La Corte de Apelaciones de los EE.UU. para el Primer Circuito articuló el mecanismo precisamente en Rideout v. Gardner (2016): las reformas de voto secreto fueron adoptadas para "combatir la compra de votos generalizada y la intimidación de votantes," prácticas que dependen de que un comprador o intimidador pueda verificar el voto. Cualquier cosa que permita a un votante probar cómo votó — una fotografía de papeleta, un formulario completado presenciado por alguien con un interés en el resultado — reabre el mercado.

Una papeleta postal marcada bajo observación es, estructuralmente, una papeleta emitida en público. El siglo diecinueve resolvió este problema para las casillas de votación. Todavía no lo hemos resuelto para la puerta.

La respuesta no es prohibir el voto postal

El voto postal satisface necesidades reales. Votantes con discapacidades. Votantes que viajan por trabajo. Votantes en hospitales. Votantes en áreas remotas. Las autoridades electorales en muchos países — y en la mayoría de los cincuenta estados de EE.UU. — han expandido la votación por correo precisamente porque hacer que la votación sea accesible aumenta la legitimidad del resultado. La participación importa.

La pregunta no es si permitir el voto postal. La pregunta es si hemos diseñado su cadena de custodia para que sea tan a prueba de manipulaciones e independientemente auditable como la cadena de custodia para papeletas emitidas en persona.

Ahora mismo, la respuesta honesta es: no de forma confiable.

Aquí está lo que la verdadera a prueba de manipulaciones para papeletas postales requeriría:

Identificadores de papeleta únicos y rastreables. Cada papeleta postal debe llevar un identificador criptográficamente único que permita a las autoridades electorales — y, crucialmente, al votante mismo — confirmar que la papeleta específica emitida para ellos fue la recibida y contada, sin revelar cómo votaron. Esto es técnicamente viable; varios países están experimentando con códigos de verificación visibles para el votante.

Manejo de sobres fotografiado y registrado. Cada sobre de devolución recibido debe ser registrado y marcado con la hora en la llegada, en un formato que sea públicamente auditable y legible por máquina. El caso de Austria se basó en la ausencia de registros que probaran quién abrió qué, cuándo. Si todos los sobres tuvieran su recepción y apertura fotografiadas y el hash de esas fotografías publicadas en un libro mayor público, el tipo de violación procesal que la corte austriaca encontró sería inmediatamente detectable — no reconstruida meses después a través del testimonio de testigos.

Verificación de firma que es auditable de forma independiente. Los procesos actuales de verificación de firma son principalmente juicio humano aplicado a papel. Un sobre rechazado o aceptado debe generar un registro revisable que cualquier parte pueda inspeccionar. En elecciones cerradas, la adjudicación de firmas dudosas es un proceso invisible, inverificable. No debería serlo.

Registros de custodia en tiempo real. En cada etapa desde la impresión hasta el envío hasta la recepción hasta la apertura, la ubicación y el manejador de una papeleta postal deben ser registrados en un sistema que produzca un rastro a prueba de manipulaciones. No un formulario de papel encerrado en una oficina. Un registro de auditoría legible por máquina que cualquier observador acreditado — agente de candidato, periodista, investigador independiente — pueda verificar contra el conteo final.

Lo que "la auditoría lo confirmó" no significa

Los funcionarios, después de elecciones cerradas, frecuentemente nos dicen que el proceso fue verificado y todo estuvo bien. Esto es usualmente sincero. No es lo mismo que prueba.

El recuento manual estatal de Georgia en 2020 confirmó el resultado tabulado por máquina dentro de aproximadamente una décima de uno por ciento en aproximadamente cinco millones de papeletas — un logro significativo. El marco de auditoría de límite de riesgo de Colorado proporciona confianza estadística calibrada al margen de cada carrera. Estas son mejoras reales.

Pero auditan el conteo de papeletas que ya están en la urna. No pueden auditar si las papeletas en la urna son las papeletas que los votantes pretendían enviar. Si una papeleta postal fue completada bajo coacción, o completada por alguien que no es el votante registrado, entra en el conteo indistinguible de un voto legítimo. Un recuento manual la contará de nuevo, fielmente. Una auditoría de límite de riesgo la muestreará. Ninguno de los dos métodos la señalará.

El problema de Tower Hamlets no estaba en el conteo. Estaba en las papeletas. Y el problema austriaco no estaba en el resultado — estaba en la incapacidad de probar que el resultado estuviera sin manipular, una vez que las reglas de custodia fueron rotas.

Estos son modos de falla diferentes de cualquier cosa que una auditoría posterior al conteo detecte. Requieren controles en una etapa diferente del proceso: antes y durante el manejo de la papeleta, no después de que haya sido tallada.

Una declaración oficial que "el conteo fue preciso" no se refiere a si los insumos para el conteo fueron legítimos. Esa brecha es la que debe cerrarse.

Lo que haría esto verificable por cualquiera

El estándar al que deberíamos sostener el voto postal es el mismo estándar que la Corte Constitucional Alemana estableció para la votación electrónica en 2009: los pasos esenciales deben ser examinables por el ciudadano, de forma confiable, sin conocimiento especializado. (Bundesverfassungsgericht, 2 BvC 3/07.)

Para papeletas postales, esos pasos esenciales son: ¿Mi papeleta fue emitida solo para mí? ¿Llegó a la autoridad electoral sellada e intacta? ¿Fue abierta solo por personas autorizadas, en el tiempo legal, con testigos? ¿El voto adentro fue atribuido a mi papeleta y solo a mi papeleta?

Hoy, un votante que utilizó una papeleta postal en la mayoría de jurisdicciones no puede verificar independientemente ninguno de estos pasos. Emite su papeleta en lo que es, desde su perspectiva, un proceso cerrado y confía en que los funcionarios siguieron las reglas.

La confianza no es verificación.

Un resultado que nadie puede verificar independientemente es una tranquilidad. Un resultado que cualquiera puede verificar independientemente es una prueba.

La tecnología para hacer que la custodia de papeletas postales sea a prueba de manipulaciones y públicamente auditable existe. Registro criptográfico, códigos de confirmación visibles para el votante, registros públicos legibles por máquina del recibo de papeletas — nada de esto requiere reemplazar el voto postal. Requiere tratar la cadena de custodia de papeletas postales con la misma disciplina de ingeniería que demandaríamos de cualquier otro sistema crítico para la seguridad.

La elección de Tower Hamlets fue anulada. Se llevó a cabo una nueva elección. Lutfur Rahman no estaba en la papeleta. Los votantes de Tower Hamlets votaron nuevamente, y el resultado fue diferente.

Eso es lo que sucede cuando un sistema falla y una corte lo detecta. Pero las cortes son retrospectivas, lentas y adversariales. Son un último recurso, no un principio de diseño.

La pregunta correcta no es "¿qué hacemos después de que se descubre fraude o falla procesal?" La pregunta correcta es: ¿qué haría el fraude o la falla procesal imposible de ocultar en primer lugar?

Esa pregunta no tiene una respuesta satisfactoria en la mayoría de sistemas de voto postal operando hoy. Debería haberla.

La brecha de cadena de custodia en el voto postal es un caso de un problema más amplio que rastreamos en sistemas de votación en todo el mundo. Mira cómo esta brecha aparece en diferentes tipos de elecciones y jurisdicciones o lee la versión de 2 minutos del problema de verificabilidad. Para una imagen completa de dónde las cadenas de custodia se rompen — y qué alternativas independientemente auditables se ven como — explora el Atlas de TrustVoting.

Fuentes

Ver todos los artículosExplora las brechas