← Todos os artigos

A eleição que foi anulada: o que acontece quando ninguém consegue rastrear um boletim de voto

A Áustria cancelou uma eleição presidencial — não porque alguém tenha cometido fraude, mas porque ninguém conseguiu provar que não havia. Essa distinção é todo o argumento.

É a manhã de 1 de julho de 2016, e o Tribunal Constitucional Austríaco acaba de fazer algo que nunca havia acontecido na história do país no período pós-guerra: anulou uma eleição presidencial.

Não porque encontrou fraude. Não porque votos foram roubados ou contados incorretamente. Porque aproximadamente 77.000 boletins de voto por correio foram manipulados por pessoas não autorizadas, abertos na hora errada, contados antes da presença obrigatória de funcionários oficiais e testemunhas — e a margem de vitória era apenas cerca de 30.000 votos.

A matemática era simples e devastadora. O número de boletins processados fora das regras superava a margem de vitória. O Tribunal não conseguia descartar manipulação. E porque não conseguia descartá-la — porque a cadeia de custódia foi quebrada de formas que tornavam a verificação impossível — o resultado teve de ser anulado.

Uma nova eleição foi marcada para 4 de dezembro de 2016. O voto original de maio, no qual Alexander Van der Bellen havia derrotado por pouca margem Norbert Hofer, foi simplesmente apagado do registro.

Nenhuma fraude foi encontrada. Os boletins ainda estavam lá. Os votos eram, em toda a probabilidade, exatamente o que os eleitores pretendiam. Mas "em toda a probabilidade" não é suficiente para uma eleição democrática. O padrão do Tribunal não era 'a manipulação aconteceu?' Era 'podemos provar que não poderia ter acontecido?' Quando a resposta é não, o resultado não pode subsistir.

Essa distinção — entre apanhar fraude e desenhar um sistema que torna fraude independentemente desprovável — é a coisa mais importante que este artigo vai dizer. Retenha isto.

Quando a cadeia de custódia se quebra, "provavelmente tudo bem" não é suficiente

O caso austríaco (VfGH W I 6/2016-125) é notável precisamente porque não tinha nada a ver com uma decisão apertada numa máquina de votação, um erro de software, ou um esquema de operadores partidários. Foi uma falha processual. Boletins passaram pelas mãos de pessoas não autorizadas a tocá-los. Envelopes foram abertos antes da hora permitida. A sequência de custódia — a cadeia de quem segurou os boletins, quando, sob quais testemunhas — foi interrompida.

As regras eleitorais sobre manipulação não são meticulosidade burocrática. São o mecanismo pelo qual um resultado eleitoral se torna independentemente verificável. Quando as regras são seguidas corretamente, um auditor pode reconstruir a jornada do boletim desde o eleitor até à caixa selada até à contagem final e confirmar em cada etapa que nenhuma mão não autorizada interveio. Quando as regras são ignoradas, essa reconstrução torna-se impossível. Fica-se com funcionários a dizer "estava tudo bem" — o que é uma afirmação, não uma prova.

A lógica do tribunal austríaco merece reflexão. Não exigia evidência de manipulação real; exigia a ausência de violações procedimentais grandes o suficiente para ter permitido manipulação. Esse é um padrão mais rigoroso — e o correto.

Carolina do Norte 2018: quando a cadeia se quebra propositadamente

A Áustria envolveu falhas procedimentais acidentais. Agora considere o que acontece quando alguém deliberadamente explora o elo mais fraco na jornada do boletim.

No 9.º Distrito Congressual da Carolina do Norte em 2018, esse elo era o boletim por ausência. A Junta Estadual de Eleições recusou-se a certificar o resultado aparente e lançou uma investigação. O que descobriu, e o que declarou unanimemente em 21 de fevereiro de 2019, foi um "esquema coordenado, ilegal e substancialmente financiado de boletins por ausência" operando nos condados de Bladen e Robeson.

O operário no centro, McCrae Dowless, foi posteriormente indiciado por acusações criminosas graves. O método: trabalhadores alegadamente recolhiam boletins por ausência dos eleitores — boletins que deviam ir diretamente do eleitor para o escritório eleitoral — intercetavam-nos, e depois alteravam, completavam, ou simplesmente descartavam-nos. Uma nova eleição foi ordenada e realizada em 2019. Um candidato diferente ganhou.

Este foi um dos eventos mais raros na história eleitoral americana: uma eleição da Câmara dos Representantes dos EUA anulada por fraude de boletins. E a fraude era quase envergonhantemente simples. Não exigia hackear um servidor ou subornar um funcionário. Exigia explorar a parte do processo de ausência onde o boletim está, por design, fora da custódia oficial — no correio, ou numa casa de eleitor, ou nas mãos de quem quer que tivesse batido à porta.

Boletins por correio viajam. Esse é todo o seu objetivo. Mas viagem é exatamente onde uma cadeia de custódia é mais difícil de manter e mais fácil de quebrar.

A lição aqui não é "proibir votação por ausência". Milhões de pessoas dependem dela. Eleitores idosos, eleitores com deficiência, eleitores no estrangeiro — eles não têm alternativa prática. A lição é: cada segmento da jornada de um boletim precisa ser indetectavelmente violável e independentemente verificável, incluindo — especialmente — o segmento entre a mesa de cozinha do eleitor e a porta do escritório eleitoral.

O que "indetectavelmente violável" realmente significa para um boletim

Pense nisto fisicamente. Um boletim começa como uma folha de papel em branco numa instalação de impressão controlada. Viaja para um eleitor, quer por correio quer através de um balcão. O eleitor marca, sela, assina o envelope. Volta a viajar. Alguém no escritório eleitoral verifica a assinatura, abre o envelope exterior, remove o envelope interior, abre-o, e extrai o boletim para contagem.

Cada um desses passos é uma oportunidade para algo correr mal — ou ser feito correr mal. A verificação de assinatura pode ser dispensada ou falsificada. Os envelopes externos podem ser selados novamente. Os envelopes internos podem ser substituídos. Os boletins em si podem ser intercetados antes de chegarem ao envelope de devolução.

Um sistema indetectavelmente violável é um onde qualquer interferência em qualquer um desses passos deixa uma marca que um observador independente consegue detetar. Uma bolsa de evidência selada que foi aberta parece diferente. Um registo de assinatura que foi alterado mostra a mudança. Um lote de boletins cujos números de série não correspondem ao inventário emitido aciona uma discrepância.

Nada disto exige tecnologia exótica. Parte disto é simplesmente boa segurança física — do tipo que tem governado a manipulação de evidência em investigações criminais por décadas. O que exige é que os procedimentos sejam desenhados com rastreabilidade em mente, seguidos consistentemente, e verificados por alguém que não faça parte da cadeia a ser verificada.

Essa última parte é a que mais frequentemente falta.

Inglaterra 2015: quando a votação por correio se torna uma superfície de ataque

Carolina do Norte em 2018 não foi um caso isolado. Em abril de 2015, um Tribunal Eleitoral inglês presidido pelo Comissário Richard Mawrey QC anulou a eleição de maio de 2014 de Lutfur Rahman como Presidente Executivo do Borough de Tower Hamlets em Londres, sob a Lei de Representação do Povo de 1983.

A sentença em Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) encontrou a eleição manchada por práticas corruptas e ilegais incluindo suplantação, fraude de voto por correio, suborno, e o que o tribunal descreveu como corrupção geral tão extensamente prevalecente que podia ser razoavelmente suposto ter afetado a eleição. Rahman foi removido do cargo.

A descoberta de fraude de voto por correio é particularmente relevante aqui. A votação postal e remota move o boletim fora do único ambiente — a assembleia de voto — que é especificamente desenhado com controlos de segurança física: pessoal oficial, cabines ecrãs, caixas seladas, procedimentos testemunhados. Uma vez que um boletim está no terreno, o eleitor pode ser observado, pressionado, ou ajudado de formas que nenhuma regra impede a menos que a aplicação seja ativa e a evidência sobreviva.

O caso austríaco mostrou que falhas acidentais de cadeia de custódia são suficientes para anular um resultado. Tower Hamlets e Carolina do Norte mostraram como parece a exploração deliberada das mesmas lacunas. Em ambos os casos, o mecanismo era o mesmo: um segmento da jornada do boletim que não era indetectavelmente violável, não era independentemente auditável, e portanto era atacável.

O problema mais profundo: "uma auditoria confirmou" não é o mesmo que verificável

Depois de Carolina do Norte anular o seu resultado, muitos observadores observaram que a fraude foi apanhada — não é o sistema a funcionar? Num sentido restrito, sim. A Junta Estadual investigou, encontrou o esquema, e ordenou uma nova eleição. A democracia reparou-se a si mesma.

Mas olhe para o que levou: denunciantes, uma investigação prolongada, uma Junta disposta a reter certificação sob enorme pressão política, e em última análise a vontade de anular toda a corrida e recomeçar. Esse é um mecanismo muito friccionante e frágil para apanhar fraude. Funcionou uma vez. Pode não funcionar numa jurisdição com menos escrutínio, uma corrida mais apertada, ou funcionários menos dispostos a agir.

Compare isto com o que um sistema de boletim indetectavelmente violável e criptograficamente rastreável proporcionaria: um auditor — qualquer auditor, não apenas um oficial — podia verificar que cada boletim emitido tem um retorno correspondente, que nenhum boletim na contagem carece de uma cadeia de custódia válida, e que a sequência de manipulação corresponde ao registo documentado. Não porque confiam nos funcionários que executaram o processo, mas porque o processo gera evidência independentemente verificável.

O Tribunal Constitucional Austríaco estava essencialmente a exigir este padrão em 2016, na linguagem do direito constitucional. A sua sentença dizia: o resultado deve ser verificável por um padrão mais elevado do que 'os funcionários dizem que estava tudo bem.' As regras de voto por correio existem precisamente para gerar esse registo verificável, e quando são quebradas, o registo desaparece.

Este é o mesmo princípio que corre através de outras falhas de verificabilidade — o caso de Windham, New Hampshire, onde um scanner ótico silenciosamente contou mal centenas de boletins validamente marcados porque as linhas de dobra aconteciam a cruzar os alvos de voto, e o erro era apenas recuperável porque boletins de papel duráveis existiam para uma auditoria manual. Ou a contagem manual estadual de toda a Geórgia em 2020, que confirmou a contagem de máquina dentro de cerca de um décimo de percentual — reconfortante, mas também um lembrete de que o reconforto derivava a sua força do papel físico, não da confiança nos funcionários que executaram as máquinas.

Em cada caso, a verificação era a jusante e reativa. Alguém tinha de notar que algo estava errado, ou mandar fazer um controlo depois do facto. A arquitetura de uma eleição confiável torna a verificação proativa, automática, e independente de quem executou o processo.

Como a cadeia de custódia deveria parecer — e o que ainda falta

Os casos austríaco e de Carolina do Norte juntos descrevem um plano para o que precisa de existir, afirmado na negativa: eis o que quebra quando não está lá.

Responsabilidade de boletim emitido. Cada boletim emitido por uma autoridade eleitoral deveria ter um identificador único e registado. Quando boletins são devolvidos, o conjunto devolvido deveria reconciliar contra o conjunto emitido. Discrepâncias — boletins extra, boletins faltantes, totais de lotes que não correspondem — deviam ser automaticamente sinalizadas, não apenas apanhadas se um investigador procurar.

Documentação contínua de custódia. Cada transferência de boletins entre partes — eleitor para correio, correio para escritório eleitoral, escritório eleitoral para processamento, processamento para tabulador — deveria ser documentada de uma forma que um observador independente consegue verificar. Assinaturas, marcas de tempo, atestações de testemunha, embalagem selada. Não como uma formalidade, mas como evidência que sobrevive investigação.

Verificação independente em cada etapa. A pessoa a verificar que o passo N foi executado corretamente não deveria ser a mesma pessoa que o executou. Isto parece óbvio; na prática, escritórios eleitorais com pessoal insuficiente frequentemente colapsam estes papéis sob pressão de tempo.

Registos legíveis por máquina, publicamente auditáveis. A documentação deveria ser dados estruturados, não relatórios narrativos. Um investigador — ou um eleitor, ou um jornalista — deveria conseguir descarregar um ficheiro e verificar a aritmética eles mesmos, sem precisar de apresentar um pedido de registos e esperar.

Nada disto exige abandonar votação por correio. O sistema austríaco tinha boletins por correio e tinha regras procedimentais detalhadas para os manipular. As regras eram suficientes; a conformidade não era. A correção é conformidade que é verificável, não conformidade que é afirmada.

Eis o que ainda não é verificável na maioria das jurisdições: o segmento entre o eleitor e o envelope de devolução. Um eleitor que é pressionado para entregar o seu boletim não selado a um terceiro — exatamente o que alegadamente aconteceu no Condado de Bladen — não deixa vestígio no registo oficial se as regras procedimentais que governam esse segmento não são aplicadas no ponto de recolha. Essa lacuna é estrutural, e é a mesma lacuna na Áustria, Carolina do Norte, e Tower Hamlets igualmente.

Nenhuma autoridade eleitoral a fechou completamente. A maioria nem sequer tentou seriamente.

A conclusão que deveria captar de imagem

Uma eleição que não pode ser independentemente verificada não é mais confiável porque funcionários dizem que correu bem. O Tribunal Constitucional Austríaco anulou uma eleição presidencial — sem fraude encontrada — porque procedimentos quebrados tornavam a verificação impossível. Carolina do Norte anulou uma corrida congressual porque uma cadeia de custódia quebrada tornou fraude possível. A correção é a mesma em ambos os casos: um sistema onde a jornada de cada boletim gera evidência independentemente verificável, não um onde 'seguimos as regras' é algo que apenas os que seguem as regras conseguem confirmar.

A pergunta a fazer sobre qualquer sistema de votação por ausência ou por correio é não "confiamos nos funcionários eleitorais?" É "consegue um observador independente reconstruir a cadeia de custódia para cada boletim, sem confiar na palavra de ninguém?" Até a resposta ser sim, as lições de Carolina do Norte e Áustria permanecem em aberto.

Veja como essas lacunas de cadeia de custódia são generalizadas globalmente — ou leia a versão de dois minutos de rastreabilidade de boletim.

Fontes

Ver todos os artigosExplorar as lacunas