← Todos os artigos

Não encontraram fraude. Fizeram a eleição novamente mesmo assim.

O tribunal supremo da Áustria anulou uma eleição presidencial em 2016 — não porque alguém tivesse cometido fraude, mas porque ninguém conseguiu provar que não havia.

Imagine uma sala fechada. Dentro estão os boletins de voto que decidirão quem se torna presidente da Áustria. A sala não tem registo de quem entrou. Nenhuma testemunha assinou a entrada. Alguns dos boletins dentro foram contados antes do tempo permitido pela lei, por pessoas que não tinham autorização para os tocar. Quando o Tribunal Constitucional austríaco examinou o que aconteceu, encontrou algo notável: não conseguiu dizer que tinha ocorrido fraude. Mas também não conseguiu dizer que não tinha ocorrido. Essa distinção — subtil, processual, quase burocrática — foi suficiente para anular uma eleição presidencial nacional.

Esta é a história de que este artigo trata.

Um tribunal anula uma eleição que não conseguiu provar ter sido roubada

A 22 de maio de 2016, os austríacos votaram na segunda volta da sua eleição presidencial. Alexander Van der Bellen derrotou Norbert Hofer por aproximadamente 30 mil votos em mais de 4,5 milhões de votos expressos — uma margem inferior a um por cento. O lado de Hofer contestou o resultado.

A 1 de julho de 2016, o Verfassungsgerichtshof — o Tribunal Constitucional da Áustria — entregou a Decisão W I 6/2016-125. Tinha 38 mil palavras. A sua conclusão foi inequívoca.

A lei austríaca exige que todo o tratamento dos votos por correspondência — a abertura dos envelopes exteriores, a remoção dos envelopes interiores, a contagem propriamente dita — seja conduzido exclusivamente pela autoridade eleitoral do distrito, com os membros da junta eleitoral e testemunhas necessários presentes, e não pode começar antes das 9:00 da manhã do dia após a eleição.

Em distrito após distrito, essas regras tinham sido violadas. Os envelopes de votos por correspondência foram abertos antecipadamente. Foram abertos por pessoas não autorizadas. Foram processados sem as testemunhas necessárias presentes. O Tribunal constatou que aproximadamente 77 mil votos foram afetados por violações processuais comprovadas — mais do que o dobro da margem vencedora de 30 mil.

Aqui está a parte que importa mais: o Tribunal encontrou expressamente nenhuma evidência de que um único voto tivesse sido alterado, adicionado ou destruído. Ninguém foi encontrado a ter cometido fraude. As irregularidades pareciam ser uma mistura de funcionários demasiado zelosos e hábitos administrativos descuidados. E no entanto a eleição foi anulada.

A segunda volta repetida realizou-se a 4 de dezembro de 2016. Van der Bellen venceu novamente.

Por que anular uma eleição que não consegue provar ter sido manipulada?

A lógica do Tribunal austríaco vale a pena considerar, porque contraria como a maioria de nós instintivamente pensa o problema.

A maioria das pessoas assume que a pergunta é: alguém enganou? Se a resposta é não, então o resultado mantém-se. O tribunal disse algo mais exigente: a pergunta é se os procedimentos foram suficientemente rigorosos para que possamos afirmativamente provar que enganação não poderia ter acontecido. Quando abre 77 mil envelopes de voto sem testemunhas, antes do tempo permitido, destrói as condições sob as quais essa prova é possível. A cadeia de custódia foi quebrada. O resultado não é "provavelmente bem". É não verificável.

"Não verificável" não é um problema menor do que "fraudulento". Na lei eleitoral, muitas vezes é o mesmo problema.

Pense no que essas regras de voto por correspondência realmente fazem. A exigência de que a contagem comece apenas após as 9:00 da manhã do dia seguinte, apenas por funcionários autorizados, apenas com testemunhas presentes — cada uma dessas condições não é uma formalidade. Cada uma é uma ligação numa corrente que, se intacta, permite a qualquer observador reconstruir e confirmar o tratamento de cada voto. Remova uma ligação, e a corrente já não prova nada. As testemunhas não estão lá para observar fraude; estão lá para que a ausência de fraude seja observável e documentada. Quando as testemunhas não estão lá, a documentação não existe — e uma contagem sem documentação é, legal e democraticamente, uma afirmação, não uma prova.

O tribunal austríaco compreendeu algo que se perde em debates sobre segurança eleitoral: procedimento não é sobrecarga burocrática. Procedimento é o mecanismo de verificação.

O problema da cadeia de custódia não é unicamente austríaco

O caso da Áustria é o mais claro porque o Tribunal explicou o seu raciocínio com tal precisão. Mas a mesma falha subjacente aparece em formas diferentes em todo o mundo.

Em Tower Hamlets em Inglaterra em 2014, um Tribunal Eleitoral encontrou fraude de voto por correspondência real — suplantação de identidade, manipulação de boletins e suborno — e anulou a eleição municipal. Ali, ao contrário da Áustria, a fraude foi provada. Mas o ataque apenas foi possível porque a cadeia de custódia do voto por correspondência tinha lacunas: boletins a mover-se fora do ambiente controlado de uma assembleia de voto são boletins que podem ser intercetados, coagidos ou falsificados.

No 9.º Distrito Congresso da Carolina do Norte em 2018, um esquema coordenado de voto por correspondência — descrito pela Junta Eleitoral do Estado como ilegal e substancialmente recursos — levou a uma nova eleição. Novamente: a superfície de ataque era votos por correspondência em trânsito, fora da custódia de funcionários autorizados.

No Malavi em 2020, folhas de tabulação de resultados foram alteradas com líquido corretor antes de entrarem na contagem oficial. A sentença do Tribunal Supremo de Recurso anulou a eleição presidencial porque a cadeia documental — os registos de origem do que os eleitores decidiram — tinha sido visivelmente comprometida. Nenhuma custódia contínua e à prova de falsificação do registo. Nenhum resultado verificável.

O padrão é consistente em jurisdições, sistemas legais e continentes: quando a cadeia física de custódia se quebra, o resultado perde a sua pretensão de ser confiável — mesmo se, como na Áustria, a quebra pareça ser negligência em vez de má-fé.

O princípio mais profundo: verificação não é sobre apanhar fraude após os facto

Aqui está a implicação desconfortável que o caso austríaco força à vista.

Tendemos a pensar em segurança eleitoral como um problema de detecção. Alguém engana, alguém descobre, o sistema corrige-se. Sob este modelo, a pergunta a fazer após uma eleição é: as auditorias encontraram algo suspeito?

Mas o tribunal austríaco estava a aplicar um padrão mais rigoroso. A pergunta que fez foi: poderia a integridade desta contagem ser independentemente verificada por um observador neutro, utilizando o registo documental e processual que existe? Quando a resposta é não — não porque fraude foi encontrada, mas porque os procedimentos não foram seguidos — o resultado não pode ser certificado como limpo.

Um resultado que ninguém consegue independentemente verificar não é um resultado "provavelmente limpo". É uma questão não resolvida.

Este princípio aparece de forma diferente na decisão do Tribunal Supremo do Quénia de 2017 (Odinga v. IEBC), que anulou uma eleição presidencial porque formulários de resultados não tinham sido transmitidos conforme exigido por lei e careciam de características de segurança consistentes. Novamente: nenhuma prova de fraude. Anulação mesmo assim, porque a cadeia da assembleia de voto para a contagem nacional não conseguia ser independentemente verificada.

E é o mesmo princípio que o Tribunal Constitucional Federal Alemão articulou na sua sentença de 2009 proibindo máquinas de votação que não produzissem um registo independentemente verificável: contagem de votos eletrónica é apenas legítima quando cidadãos ordinários, não apenas peritos, conseguem verificar cada passo essencial. Não "provavelmente bem". Verificável por desenho.

O voto por correspondência é a ligação mais difícil da corrente de proteger

Vale a pena ser preciso sobre por que os votos por correspondência criam um desafio de verificação estruturalmente diferente.

Quando vota numa assembleia de voto, está num ambiente controlado. Funcionários estão presentes. Observadores são permitidos. A urna é selada à frente de testemunhas. A cadeia de custódia começa no momento em que o seu voto deixa a sua mão.

Um voto por correspondência começa a sua jornada à sua mesa de cozinha, ou onde quer que esteja. Não há observador. Não há selo aplicado à frente de testemunhas. O voto viaja através de um sistema postal, chega a um escritório eleitoral, e deve ser processado por funcionários antes de se juntar à contagem. Cada um desses passos é uma oportunidade para a corrente se quebrar — não necessariamente através de fraude, mas através do mesmo tipo de negligência administrativa que o tribunal austríaco documentou.

As regras que os funcionários da Áustria violaram — as restrições de tempo, os requisitos de testemunhas, os controlos de autorização — existem precisamente porque a jornada do voto por correspondência introduz lacunas de custódia que a votação presencial elimina por desenho. Essas regras não são formalidades processuais. São o substituto do ambiente controlado da assembleia de voto.

Quando são seguidas, a corrente está intacta. Quando são ignoradas — mesmo por funcionários bem intencionados que estão atrasados num dia longo — a corrente é quebrada. E uma corrente quebrada não pode ser reparada retrospetivamente. O tribunal austríaco não tinha mecanismo para voltar atrás e reconstruir, com confiança, o que tinha acontecido aos 77 mil votos. Então anulou.

O que "a auditoria confirmou" realmente significa — e não significa

Neste ponto, um leitor razoável pode dizer: mas e se uma auditoria for conduzida posteriormente? Isso não restaura confiança?

Vamos ser precisos sobre o que uma auditoria consegue e não consegue fazer.

A recontagem total por mão da Geórgia em 2020 de aproximadamente 5 milhões de boletins — documentada pela Georgia Public Broadcasting e NPR — confirmou a contagem da máquina dentro de aproximadamente uma décima de um por cento. Esse é um resultado notável e uma demonstração genuína de que um registo físico marcado por votante permite verificação independente de uma contagem de máquina. Funciona porque os boletins de papel em si constituem uma corrente ininterrupta da mão do eleitor à mesa de recontagem.

Mas repare no que essa auditoria está realmente a auditar: o registo de papel. O registo de papel é apenas digno de confiança se a sua própria cadeia de custódia está intacta — se sabemos que esses boletins são os mesmos que os eleitores marcaram, no mesmo estado, inalterados entre a contagem e a recontagem.

Uma auditoria não consegue reconstruir lacunas de cadeia de custódia que ocorreram a montante do próprio registo de papel. Se 77 mil envelopes de voto por correspondência foram abertos por pessoas não autorizadas sem testemunhas, uma contagem por mão subsequente dos mesmos boletins não consegue dizer-lhe se esses boletins eram os originais, ou se foram tratados de forma que permitisse substituição ou remoção. A auditoria conta o que está lá. Não consegue contar o que poderia ter sido removido, ou verificar o que não consegue ver.

É também por isso que uma contagem por mão não é a última palavra numa eleição cerrada. A auditoria por mão do Condado de Antrim, Michigan em dezembro de 2020 — uma revisão meticulosa e ordenada de aproximadamente 15.700 boletins — produziu mesmo assim uma contagem que diferiu da contagem da máquina em cerca de uma dúzia de votos. Isso não é uma condenação da contagem por mão; erros de contagem humanos, marcas ambíguas e julgamentos em adjudicação são reais e irredutíveis. Mas numa eleição decidida por uma margem dentro desse intervalo de erro, "a contagem por mão confirmou" é uma garantia — não uma prova. Um método que é em si próprio impreciso por uma dúzia de votos não consegue resolver uma questão decidida por uma dúzia de votos.

A resposta não é abandonar auditorias. A resposta é construir sistemas onde a cadeia de custódia é tão documentada, transparente e à prova de falsificação que nenhuma lacuna precisa nunca ser reconstruída após os facto.

Procedimentos suficientemente rigorosos para provar que fraude não poderia ter acontecido

O padrão que o tribunal austríaco estava a aplicar tem um nome na literatura mais ampla de integridade eleitoral: verificabilidade de ponta a ponta. A ideia é que cada passo no processo eleitoral — desde o momento em que um eleitor marca um boletim até ao momento em que um resultado é certificado — deve ser documentado de forma que qualquer observador independente consegua reconstruir e verificar.

Isso não é sobre se confia nos funcionários. Os funcionários austríacos que abriram esses envelopes antecipadamente eram, até onde o tribunal conseguiu determinar, não a cometer fraude. O problema era que o desvio do procedimento fez o resultado não verificável — e não verificável por ninguém, incluindo os próprios funcionários. Eles tinham inadvertidamente impossibilitado dar ao público, ou a um tribunal, a prova de que precisava.

A Comissão Consultiva sobre Processo Eleitoral do governo holandês chegou à mesma conclusão no seu relatório de 2007 "Stemmen met vertrouwen" (Votação com Confiança): não há segredos no processo eleitoral, e perguntas devem ser respondíveis e as respostas verificáveis e controláveis. Os Países Baixos subsequentemente abandonaram a votação eletrónica e regressaram a boletins marcados manualmente contados manualmente — não porque máquinas tivessem sido encontradas a enganar, mas porque a sua operação não conseguia ser verificada ao padrão da comissão.

A lição da Áustria, Países Baixos, Quénia e Malavi é a mesma lição, dita de formas diferentes: não é suficiente que o processo provavelmente tenha funcionado corretamente. O processo deve funcionar de forma que qualquer pessoa consegua independentemente confirmar que funcionou corretamente.

O que tornaria qualquer isto verificável?

Aqui está o que o caso austríaco deixa por resolver — e o que exige.

O Tribunal Constitucional anulou 77 mil votos e ordenou uma nova eleição. Esse é o remédio legal. Mas é um remédio de último recurso, caro e desestabilizador, exigindo que toda uma eleição seja realizada duas vezes porque os procedimentos administrativos falharam na primeira vez.

O melhor ajuste é a montante: desenhe procedimentos de voto por correspondência com uma cadeia de custódia tão documentada, registada no tempo e testemunhada que uma lacuna seria imediatamente aparente — não descoberta seis semanas depois num desafio judicial. Cada envelope aberto deve ser registado. Cada testemunha deve assinar. Cada etapa deve produzir um registo independente do funcionário a fazer a contagem.

Para além dos votos por correspondência, o princípio mais amplo aplica-se a cada parte do processo: resultados devem ser publicados ao nível da assembleia de voto, instantaneamente, em formatos legíveis por máquina que qualquer um consegue descarregar e reconciliar. Não porque funcionários são indignos de confiança, mas porque confiança em qualquer indivíduo ou instituição é frágil, e verificabilidade é durável. Veja com que frequência este vazio de cadeia de custódia é comum em todo o mundo.

O que ainda não é verificável após a Áustria 2016, ou qualquer um dos casos acima, é o tratamento de boletins que se movem fora da custódia oficial antes da contagem — votos por correspondência em trânsito, envelopes de ausência antes do tempo de abertura autorizado. Nenhum tribunal, nenhuma auditoria, nenhuma declaração oficial consegue reconstruir o que aconteceu aos boletins que foram tratados sem testemunhas. Essa lacuna pode apenas ser fechada prospetivamente, por procedimentos suficientemente rigorosos para que a lacuna nunca se abra.

O objetivo não é uma eleição onde funcionários confirmem que tudo correu bem. O objetivo é uma eleição onde qualquer um consegue independentemente verificar que correu bem.

Leia a versão de 2 minutos deste problema | Veja o rastreador completo de lacunas

Fontes

Ver todos os artigosExplorar as lacunas