← Todos os artigos

A América gastou milhares de milhões para corrigir a votação após 2000. Comprou verificabilidade?

A América gastou 3 mil milhões de dólares a substituir cartões perfurados após o caos eleitoral de 2000 — mas comprar hardware novo não é o mesmo que comprar uma contagem que qualquer pessoa possa verificar independentemente.

É 29 de outubro de 2002, e uma lei acaba de ser sancionada. Nos dezoito meses desde que um punhado de "hanging chads" quase levou a democracia americana ao colapso, o Congresso fez algo que raramente faz com rapidez: concordou com um problema, passou um cheque, e assinou. A Lei de Ajuda à América para Votar — HAVA — autoriza aproximadamente 3,9 mil milhões de dólares em fundos federais para modernizar as eleições. Cria uma nova agência federal, a Comissão de Assistência Eleitoral dos EUA. Promete padrões mínimos. Ordena aos estados que substituam as suas máquinas de cartão perfurado e de alavanca.

A pergunta que ninguém faz com tempo suficiente: substituída por quê, exatamente — e pode o público verificar se a substituição realmente funciona?

Essa pergunta continua em aberto hoje.

O estatuto e a sua promessa

A HAVA foi, na linguagem dos seus patrocinadores, uma resposta ao caos da Flórida em 2000. A lei em si é explícita: o dinheiro federal flui para substituir os sistemas de votação por cartão perfurado e alavanca. Serão estabelecidos padrões mínimos de administração. A nova Comissão de Assistência Eleitoral testará e certificará equipamento de votação.

Leia essa lista novamente. Cada item é sobre processo — financiamento, administração, padrões, certificação. Nada, no texto, garante que as máquinas que substituem os cartões perfurados produzirão um registo que um eleitor comum possa verificar independentemente.

Isto não é uma leitura cínica. É a arquitetura real do estatuto.

E importa enormemente, porque a crise dos "hanging chads" de 2000 nunca foi realmente sobre cartões perfurados. Foi sobre o que Bush v. Gore realmente expôs: um sistema sem um padrão uniforme e publicamente conhecido para ler o que um eleitor marcou. Diferentes condados aplicaram diferentes regras. Diferentes conselhos de escrutínio seguraram o mesmo chad em diferentes ângulos. A Suprema Corte constatou que cédulas idênticas estavam a ser avaliadas de forma diferente em todo o estado — uma violação da proteção igual porque valorizava o voto de uma pessoa mais do que o de outra.

O problema não era a tecnologia. Era a ausência de um padrão verificável e uniforme para o que uma cédula marcada significa.

A HAVA abordou a tecnologia. O problema mais profundo foi levado, não resolvido, para a era digital.

A GAO analisou, três anos depois, e encontrou o trabalho incompleto

Por 2005, as máquinas de substituição estavam a chegar às câmaras de vereadores e ginásios de escolas em todo o país. A votação eletrónica por ecrã sensível ao toque estava a espalhar-se. O aparato federal que a HAVA havia prometido — laboratórios de testes, procedimentos de certificação, repositórios de software, diretrizes de segurança — estava supostamente em vigor.

Não estava.

Num relatório emitido em 21 de setembro de 2005 — GAO-05-956 — auditores federais examinaram a segurança e fiabilidade dos sistemas de votação eletrónica na paisagem pós-HAVA. Os seus achados: problemas documentados com sistemas de votação eletrónica haviam levantado questões sobre a sua segurança e fiabilidade. Os esforços federais estavam em curso, mas atividades-chave permaneciam incompletas. A GAO recomendou que a EAC agisse para melhorar os padrões dos sistemas de votação, estabelecer procedimentos de certificação, criar repositórios para software certificado, partilhar informações sobre vulnerabilidades do sistema e disseminar práticas de segurança recomendadas.

Pense no que essa lista significa. Três anos após a HAVA, a agência criada para certificar que os sistemas de votação são seguros ainda não havia construído completamente o aparato para certificar que os sistemas de votação são seguros.

O dinheiro tinha-se movido. As máquinas haviam sido enviadas. Os padrões ainda estavam a ser escritos.

Esta não é uma conclusão partidária. A GAO é o braço independente de auditoria do Congresso; o seu trabalho é relatar o que encontra, e o que encontrou foi uma lacuna entre a promessa legislativa e a realidade operacional. Substituir hardware não criou automaticamente verificabilidade. Criou uma nova classe de hardware cuja verificabilidade ainda estava a ser estudada.

O que as novas máquinas realmente produziram

Eis o que importava sobre as máquinas que a HAVA financiou em substituição aos cartões perfurados: muitas delas eram sem papel.

Condado de Sarasota, Flórida, 2006. Uma corrida eleitoral termina com uma margem de 369 votos. Aproximadamente 18.000 cédulas votadas nesse condado — cerca de 13 por cento — não mostram qualquer escolha gravada na corrida. O condado utilizou máquinas de ecrã sensível ES&S iVotronic que não produziram qualquer registo de papel verificado independentemente pelo eleitor.

Ninguém podia verificar o que aconteceu. Não havia nada independente para contar. A GAO examinou os sistemas e não conseguiu identificar uma avaria da máquina — enquanto notava que uma trilha de papel verificada pelo eleitor teria fornecido confirmação independente de que os ecrãs sensíveis registaram os votos corretamente.

A HAVA havia financiado a substituição de um registo ambíguo e analógico (um chad) por nenhum registo de todo.

Nesse mesmo ano, investigadores de Princeton Ariel Feldman, J. Alex Halderman e Edward Felten obtiveram uma Diebold AccuVote-TS — uma das máquinas de ecrã sensível mais amplamente implantadas na América pós-HAVA — e demonstraram que um atacante com cerca de um minuto de acesso físico podia instalar código malicioso que roubaria votos enquanto alterava todos os registos, registos de entrada e contadores para manter coerência interna. Construíram um vírus funcional de máquina de votação que podia propagar-se de máquina a máquina durante atividade eleitoral normal.

A máquina era financiada pela HAVA. Tinha passado no processo de certificação que existia na altura.

Certificado não é o mesmo que verificável. São palavras diferentes que fazem trabalho oposto do mesmo tipo.

O que "certificado" realmente certifica

O processo de certificação do sistema de votação federal que a HAVA criou — finalmente administrado através da EAC em parceria com laboratórios de testes acreditados — testa se as máquinas cumprem um conjunto de padrões técnicos. Esses padrões evoluíram ao longo do tempo e tornaram-se mais exigentes. Este é o progresso real.

Mas a certificação testa uma máquina contra um padrão. Não torna o funcionamento interno da máquina visível ao público. Não significa que qualquer eleitor ou investigador independente possa inspecionar o software que conta as cédulas. Não significa que um terceiro fora do processo de certificação possa verificar se a máquina testada é a mesma que a máquina implementada.

A Corte Constitucional Federal da Alemanha compreendeu esta distinção exatamente. Na sua sentença de 2009, sustentou que a votação eletrónica é constitucional apenas se as etapas essenciais da votação e da determinação do resultado podem ser examinadas pelo cidadão de forma fiável e sem qualquer conhecimento especializado. As máquinas alemãs haviam passado nos seus próprios processos de certificação. A corte decidiu que ainda assim violavam a natureza pública das eleições porque um cidadão não conseguia verificar independentemente o que havia acontecido sem confiar em intermediários especializados.

A lógica da corte corta diretamente o quadro da HAVA: certificação por especialistas, para especialistas, revista por especialistas, não é o mesmo que verificabilidade pelo público. Uma eleição democrática deve ser verificável pelo povo que se supõe servir.

A Suprema Corte da Índia chegou a um entroncamento semelhante em 2024, quando apertou as regras em torno das trilhas de auditoria de papel e vedação da cadeia de custódia para máquinas de votação eletrónica — embora se recusasse a abolir. A direção do percurso da corte era clara: a confiança flui da evidência verificável independentemente, não da garantia oficial.

A própria orientação da EAC — a declaração conjunta da CISA emitida após a eleição de 2020 declarando-a "a mais segura da história americana" — realmente prova o ponto por acidente. O raciocínio da própria declaração repousa na existência de registos de papel que permitem recontagens e auditorias independentes. Argumenta pela segurança citando verificabilidade. Isto significa que a alegação é apenas tão forte quanto a trilha de papel por trás, e em jurisdições onde essa trilha é fina, a garantia flutua livre da sua âncora.

A trilha de papel: necessária mas não suficiente por si só

O Congresso reparou no problema das máquinas sem papel. A Lei da Confiança do Eleitor e da Acessibilidade Aumentada, legislação VVPAT, e normas EAC em evolução empurraram a maioria das jurisdições para registos de papel verificados pelo eleitor — cédulas marcadas manualmente pelos eleitores ou dispositivos de marcação de cédulas que produzem um registo impresso.

Isto é progresso. O papel é auditável. A contagem manual de 2020 da Geórgia de aproximadamente cinco milhões de cédulas — a maior auditoria manual da história americana — confirmou a contagem da máquina dentro de aproximadamente um décimo de um por cento. A auditoria de limitação de risco em todo o estado do Colorado em 2017, a primeira do seu tipo, mostrou que a confiança estatística num resultado correto é alcançável quando você tem papel durável para auditar.

Mas uma impressão de papel não é automaticamente um registo verificável pelo eleitor. A Corte de Distrito dos EUA em Curling v. Raffensperger constatou que os dispositivos de marcação de cédulas da Geórgia produzem um código QR que o tabulador lê — mas que o eleitor não consegue ler. Uma recontagem manual audita a saída do código QR. Não audita o que o eleitor pretendia marcar. Se a máquina codificar silenciosamente uma escolha diferente daquela exibida no ecrã, nenhuma quantidade de recontagem de papel a apanha.

E até um optical scan limpo com papel marcado manualmente carrega erro humano irredutível. Windham, Nova Hampshire, 2021: uma auditoria forense ordenada pela legislatura do estado rastreou um erro de contagem até dobras através de objetivos de votos em cédulas de ausência — uma máquina de dobra havia vinco de cédulas no lugar errado, e o scanner leu linhas de vinco como óvalos preenchidos. Sem malware. Sem manipulação. Apenas poeira numa lente e um vinco no lugar errado, contando silenciosamente centenas de cédulas validamente marcadas. A contagem manual recuperou a intenção do eleitor. Mas a contagem manual no reexame presidencial completo do Condado de Antrim, Michigan em 2020 ainda diferiu da contagem total da máquina por aproximadamente uma dúzia de votos em quinze mil votados.

Um método que é em si mesmo impreciso por um punhado de votos não consegue definitivamente resolver uma corrida decidida por um punhado de votos. "A contagem manual o confirmou" é uma garantia. Não é prova no sentido matemático.

A lacuna de auditoria que a HAVA não fechou

A HAVA criou um quadro. A EAC construiu padrões. Laboratórios de testes certificam equipamento. Os estados devem atender aos mínimos para cédulas provisórias, identificação, e bases de dados de registos.

O que a HAVA não criou — e o que o aparato de certificação ainda não garante — é um sistema onde um membro comum do público possa verificar independentemente, sem confiar em qualquer funcionário ou fornecedor único, que a contagem está correta.

Essa lacuna aparece de formas concretas:

O software do sistema de votação permanece proprietário na maioria das jurisdições. Você não consegue ler o código que conta o seu voto. Nem o seu vizinho, o seu jornalista local, ou um investigador de segurança independente que não tenha assinado um acordo de não divulgação.

A certificação testa máquinas antes da implementação, não depois. Não consegue confirmar que a máquina no local de votação no dia das eleições está a executar o mesmo software que o laboratório testou. O Condado de Coffee, Geórgia, mostrou com que facilidade o sistema de votação inteiro de uma jurisdição pode ser copiado e removido por pessoas a quem foi deixado abrir a porta.

As auditorias pós-eleição — auditorias de limitação de risco, contagens manuais, exames forenses — são conduzidas por funcionários eleitorais e depois relatadas. Os seus resultados são autoritários apenas se você confia nos funcionários que as conduzem. Para a maioria das jurisdições, um membro do público não consegue descarregar independentemente resultados de nível de secção de máquina legíveis e reconciliá-los contra um registo público, criptograficamente assinado, no momento em que os resultados são finais.

A própria orientação da EAC exorta os funcionários a publicarem resultados em formatos descarregáveis como .csv e .xml com rotulagem clara dos tipos de cédulas. Esta é uma prática sólida. Alguns estados fazem isto. A maioria não o faz em tempo real, com dados legíveis por máquina, assinados de uma forma que qualquer pessoa possa auditar independentemente.

O sistema VSAP do Condado de Los Angeles, certificado em 2018 como o primeiro sistema de contagem de votos de código aberto propriedade pública certificado da Califórnia, é um passo significativo: a propriedade pública significa que o código que conta os votos pode ser inspecionado por especialistas independentes em vez de ser protegido como segredo comercial. O código aberto não é uma garantia completa — a implementação e a cadeia de custódia ainda importam — mas remove uma camada de opacidade imposta. Essa é a direção do percurso que os arquitetos originais da HAVA poderiam ter insistido e não insistiram.

A verdadeira lição de 3,9 mil milhões de dólares

A HAVA fez coisas reais. Os cartões perfurados desapareceram. As máquinas de alavanca desapareceram. Os direitos de cédula provisória existem. Uma agência federal estabelece padrões de base. Os procedimentos de certificação, incompletos como eram em 2005, são mais desenvolvidos hoje.

Mas a aposta fundamental do estatuto era que substituir hardware resolveria um problema de verificabilidade. Não fez — porque a verificabilidade não é uma propriedade de qualquer máquina particular. É uma propriedade de um sistema: a cadeia da marcação de cédula até à publicação de resultados, com cada ligação verificável independentemente por qualquer pessoa que queira verificar.

Você não consegue comprar verificabilidade. Tem de construi-la na arquitetura.

Os Países Baixos concluíram isto em 2007 — que transparência e um registo verificável por humanos eram fundações não-negociáveis, não melhorias opcionais — e voltou para papel e contagem manual até algo melhor poder ser comprovado. A Corte Constitucional Alemã desenhou a linha na inteligibilidade pública: se apenas um especialista conseguir verificar a contagem, não é uma eleição democrática. O Brasil institucionaliza testes adversariais públicos das suas máquinas; forasteiros são convidados a quebrá-las antes de cada ciclo eleitoral, e as correções são feitas e re-verificadas.

A América gastou milhares de milhões comprando máquinas novas e construindo uma burocracia de certificação. A burocracia de certificação testa máquinas num laboratório. Não lhe dá — ao eleitor, ao jornalista, ao investigador independente — uma forma de confirmar a contagem por si próprio.

Essa é a pergunta que a HAVA respondeu com dinheiro mas não com arquitetura. E permanece, duas décadas depois, a pergunta aberta.

O que realmente a fecharia

A solução não é outro ciclo de substituição de hardware. Não é um laboratório de certificação mais caro. Não é uma agência federal maior com mais funcionários.

É um sistema de votação concebido para que a sua correção seja verificável pelo público, não asseverada por funcionários.

Isto significa: cédulas marcadas manualmente pelos eleitores cujas marcas são inequívocas e legíveis por humanos — não um código QR que apenas um scanner consegue descodificar. Significa auditorias rotineiras e obrigatórias de limitação de risco em cada jurisdição, não pilotos opcionais em estados progressistas. Significa resultados de nível de secção legíveis por máquina publicados no momento em que a contagem de cada secção está completa, em formatos que qualquer folha de cálculo consegue abrir — para que o público conseguir reconciliar resultados à medida que são relatados, não depois de os funcionários os terem explicado. Significa software de contagem de votos de código aberto que qualquer investigador de segurança consegue inspecionar sem assinar um NDA.

E significa tratar "o Secretário de Estado certificou o resultado" e "a auditoria o confirmou" como alegações a escrutinar, não como conclusões. Porque numa corrida decidida por um punhado de votos, um método que é em si mesmo impreciso por um punhado de votos não consegue resolver a questão. Apenas um sistema que o público consegue verificar independentemente consegue fazer isso.

A HAVA foi uma lei. A verificabilidade é um requisito de engenharia. Não são o mesmo documento.

Explore como essa lacuna de verificabilidade parece em diferentes países e sistemas: percorra o atlas global, ou leia o resumo de 2 minutos do que está em falta e por que importa.

Fontes

Ver todos os artigosExplorar as lacunas