← Todos os artigos

Cadeia de custódia: a documentação aborrecida que decide se pode confiar numa eleição

Uma eleição foi anulada num país inteiro — não porque alguém tivesse cometido fraude, mas porque ninguém conseguia provar que não tinha. Eis a documentação que faz a diferença.

É pouco antes das 9 da manhã de 23 de maio de 2016, e num escritório eleitoral distrital algures na Áustria, um membro da mesa eleitoral está a fazer algo que é estritamente proibido pela lei.

Os votos por correio chegaram. Os envelopes externos selados — cada um uma pequena fortaleza de papel em redor do voto de um cidadão — estão sobre uma mesa. A lei diz que esses envelopes não podem ser tocados até ao dia seguinte da eleição. Diz que as únicas pessoas autorizadas a abri-los são a autoridade eleitoral distrital. Diz que testemunhas têm de estar presentes. Diz que tem de ser feito um registo.

Nada disso aconteceu.

O membro da mesa abre os envelopes de qualquer forma. Talvez haja pressão para acelerar a contagem. Talvez pareça um atalho trivial. Talvez ninguém espere que importe.

Seis semanas depois, o Tribunal Constitucional da Áustria anulou toda a eleição de segundo turno presidencial.

O que uma cadeia de custódia realmente é

Antes de chegarmos aos tribunais e consequências, sejamos precisos sobre aquilo de que estamos a falar — porque "cadeia de custódia" soa a jargão legal e é na verdade algo muito mais simples.

Uma cadeia de custódia é o registo documentado de quem tocou em algo, quando, sob que autoridade, e com que testemunhas. É o que torna uma prova física utilizável em tribunal. É o que torna uma amostra de sangue fiável num julgamento. É o que torna um boletim de voto, depois de ter passado por uma dúzia de pares de mãos ao longo de vários dias, ainda comprovadamente o mesmo boletim que um cidadão colocou numa urna.

Sem ela, não consegue distinguir "nada aconteceu" de "algo aconteceu e ninguém descobriu".

Essa distinção é tudo. E é exatamente aquilo sobre o qual o Tribunal Constitucional da Áustria estava a deliberar.

Áustria 2016: a cadeia de custódia quebra-se, e o resultado quebra-se com ela

O segundo turno presidencial austríaco de 22 de maio de 2016 foi extraordinariamente apertado. Alexander Van der Bellen derrotou Norbert Hofer por aproximadamente 30 mil votos — uma margem inferior a um ponto percentual numa eleição nacional.

Os votos por correio foram centrais. Centenas de milhares de austríacos votaram por correspondência. A lei austríaca era específica sobre como esses votos tinham de ser manuseados: os envelopes externos não podiam ser abertos antes das 9 da manhã do dia a seguir à eleição, apenas pela autoridade eleitoral distrital, apenas com os membros obrigatórios da mesa presentes, apenas com testemunhas.

O Tribunal Constitucional, examinando contestações ao resultado, encontrou na sua decisão W I 6/2016-125 que em múltiplos distritos, essas regras tinham sido quebradas. Votos foram contados prematuramente. Pessoas não autorizadas manusearam os envelopes. Testemunhas obrigatórias estavam ausentes. Não havia registo adequado.

Aproximadamente 77 mil votos foram afetados por violações processuais comprovadas — mais do que o dobro da margem vencedora.

O Tribunal não encontrou evidência de fraude real. Deixe isso assentar por um momento: a eleição foi anulada sem um único boletim alterado ser identificado. O problema era que a cadeia de custódia quebrada tornava impossível descartar que os boletins tivessem sido manipulados. Prova de inocência e prova de culpa requerem a mesma coisa: um registo documentado, ininterrupto, de quem teve acesso a quê, e quando.

Um novo segundo turno foi realizado em 4 de dezembro de 2016. Todo o país votou novamente por causa de falhas de manutenção de registos em algumas secretarias distritais.

As duas coisas que uma cadeia de custódia está a fazer ao mesmo tempo

Eis o que torna o caso austríaco tão esclarecedor: a cadeia de custódia não foi quebrada para cometer fraude. Foi quebrada porque alguns funcionários trataram as regras como formalidades burocráticas e não como mecanismos de integridade.

Este é o mal-entendido no coração da maioria das falhas na cadeia de custódia.

As regras existem para servir dois propósitos completamente diferentes simultaneamente, e ambos são essenciais.

Primeiro: prevenir fraude. Se os boletins só podem ser tocados por pessoas autorizadas, em tempos autorizados, perante testemunhas, a janela para manipulação é estreita e testemunhada. Há sempre alguém na sala. Há sempre um nome no registo.

Segundo: provar que fraude não ocorreu. Esta é a metade que as pessoas rotineiramente esquecem. Depois de uma eleição, se alguém contestar o resultado, a única forma de demonstrar que nenhuma manipulação aconteceu é produzir o registo completo, ininterrupto, mostrando cada mão que tocou cada boletim. Sem registo, sem prova. Não prova de fraude — prova da ausência de fraude.

Quebre a cadeia por conveniência, e destruiu a evidência que o teria inocentado.

O Tribunal Constitucional da Áustria compreendeu isto perfeitamente. A sua decisão não foi sobre o que aconteceu aos 77 mil boletins. A sua decisão foi sobre o facto de o que lhes aconteceu já não poder ser estabelecido. Essa incerteza, numa corrida decidida por 30 mil votos, foi legal e democraticamente fatal.

Tower Hamlets 2014: quando a cadeia quebra por uma razão diferente

A Áustria mostra-nos o que acontece quando a cadeia de custódia se quebra por negligência. Tower Hamlets mostra-nos o que acontece quando se quebra por intenção.

Em maio de 2014, Lutfur Rahman foi eleito Presidente Executivo do Município de Tower Hamlets em Londres. Em abril de 2015, um Tribunal Eleitoral presidido pelo Comissário Richard Mawrey QC anulou essa eleição completamente.

O julgamento em Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) encontrou um catálogo notável de práticas corruptas e ilegais: usurpação de identidade, fraude em votos por correspondência, suborno, tratamento eleitoral, declarações falsas, e influência espiritual indevida. O tribunal encontrou corrupção geral tão extensamente prevalecente que era razoável supor que afetou a eleição. Rahman foi removido de cargo.

A votação por correspondência estava no coração disso. E este é o problema estrutural que a votação por correspondência cria em qualquer sistema sem controlos robustos da cadeia de custódia.

Quando vota numa secção de voto, há uma cadeia de custódia construída no ambiente físico. Está sozinho numa cabine. Ninguém está a ver a sua mão. Ninguém recolhe o seu boletim antes de ir para a urna selada. Ninguém a leva para casa e traz de volta mais tarde.

Quando vota por correspondência, o boletim sai do ambiente controlado. Viaja pelo correio. Pode estar na casa de alguém. Pode ser preenchido com outras pessoas presentes. Pode haver alguém na sala — um membro da família, um organizador comunitário, alguém que levou o eleitor à sua votação — que pode ver o que está marcado, ou que o preenche ele próprio.

A integridade completa do boletim por correspondência depende do que acontece antes de chegar à mesa de contagem. E esse é precisamente o segmento da cadeia de custódia que é mais difícil de testemunhar, registar, e verificar.

O 9º Distrito Eleitoral da Carolina do Norte em 2018 encontrou a mesma vulnerabilidade. Um esquema coordenado de votos ausentes — recolhendo boletins, às vezes preenchendo-os, às vezes simplesmente descartando os desfavoráveis — levou a Junta Estadual de Eleições a ordenar uma nova eleição completamente. O método que os fraudadores exploraram foi a lacuna entre um boletim sair das mãos do eleitor e chegar à custódia oficial.

A lição em ambos os casos é idêntica. A cadeia de custódia tem de cobrir toda a jornada do boletim — não apenas a parte que acontece na sala de contagem.

O que "quem pode tocá-lo, quando, e como é provado" realmente significa na prática

A cadeia de custódia numa eleição não é uma regra. É um sistema de requisitos interligados, cada um dos quais fecha uma lacuna diferente.

Autorização: Apenas indivíduos específicos, nomeados, com funções específicas podem manusear boletins em cada etapa. "O escritório eleitoral" não é uma pessoa. Tem de haver um nome, uma função, e um registo.

Tempestividade: As ações só podem acontecer em tempos especificados. As regras da Áustria não foram sobre desconfiança de funcionários particulares — foram sobre garantir que a contagem não podia começar até a janela legal abrir, para que a sequência de eventos fosse comprovável depois.

Testemunho: A maioria dos passos de manuseamento requerem pelo menos um observador de fora da equipa imediata — um representante de um partido diferente, uma testemunha independente, um membro do público. As violações austríacas incluíram contagens realizadas sem testemunhas obrigatórias. Essa testemunha não está lá para ser útil no momento. Está lá para ser útil seis semanas depois, quando alguém pergunta o que aconteceu.

Recipientes selados: Evidência física de manipulação. Uma urna selada antes de sair da secção de voto e chegando à sala de contagem com o selo ininterrupto é uma declaração no registo de custódia. Uma urna chegando com o selo quebrado precisa de uma explicação no registo. A explicação faz parte da cadeia.

Registos: Um registo contemporâneo de cada passo. Não uma memória. Não uma aproximação. Uma assinatura, uma hora, uma descrição do que foi feito e por quem. O registo é a cadeia de custódia feita física.

Quebre qualquer ligação neste sistema e tem uma lacuna. Uma lacuna significa que o período coberto pela quebra é inverificável. E um período inverificável, numa eleição apertada, é legalmente indistinguível de uma oportunidade para fraude quer uma tenha sido ou não aproveitada.

A matemática desconfortável das contagens manuais e custódia

Há uma versão desta história que termina com: "e depois funcionários contaram tudo manualmente e confirmaram o resultado." Os tribunais dizem-no. Os Secretários de Estado dizem-no. E vale a pena ser preciso sobre o que essa alegação estabelece e não estabelece.

A contagem manual em todo o estado da Geórgia de aproximadamente 5 milhões de boletins em 2020 foi um empreendimento extraordinário — 159 condados, 41.881 lotes, completado em menos de seis dias. A contagem manual confirmou o resultado tabulado por máquina dentro de aproximadamente um décimo de um ponto percentual. Isso é genuinamente significativo. Um boletim de papel físico, contado independentemente, é a espinha dorsal de qualquer regime de verificação sério.

Mas uma contagem manual é apenas tão boa quanto a cadeia de custódia por trás dela. Se não sabe que cada boletim nesses 41.881 lotes é o mesmo boletim que foi votado — se há alguma lacuna não registada, não testemunhada entre a mão de um eleitor e a mesa de contagem — então a contagem manual está a confirmar a integridade do que quer que esteja nas urnas, não necessariamente a integridade do que os eleitores apresentaram.

Isto não é uma hipótese. No Condado de Antrim, Michigan em 2020, uma auditoria manual de boletins presidenciais produziu uma contagem final que ainda diferiu da tabulação por máquina por aproximadamente uma dúzia de votos de aproximadamente 15.700 votados. Doze votos. Num condado pequeno, numa corrida não decidida localmente. Mas doze votos é um lembrete de que a contagem manual — o padrão de ouro — tem o seu próprio erro humano irredutível: um boletim mal lido, uma pilha mal contada, uma marca ambígua adjudicada diferentemente por duas pessoas diferentes.

Numa corrida decidida por um punhado de votos, um método de verificação que é ele próprio desligado por um punhado de votos não consegue resolver a questão. "A contagem manual confirmou-o" e "o Secretário de Estado diz que está tudo bem" são reassegurações. Não são prova. A coisa que transforma uma reasseguração em prova é um registo independente, ininterrupto, que qualquer observador pode verificar — não porque confia no funcionário que o produziu, mas porque o registo é estruturado de forma que a manipulação deixaria um rastro detectável.

A estrutura de auditoria com limite de risco do Colorado aponta na direção correta: amostragem estatisticamente rigorosa, dimensionada para a margem da corrida, conduzida contra um registo de papel durável. Mas mesmo um RLA requer que o próprio registo de papel tenha viajado uma cadeia ininterrupta da mão do eleitor até à mesa do auditor.

A cadeia de custódia não é a alternativa à auditoria. É o pré-requisito da auditoria.

O que torna uma lacuna de custódia verificável — e o que não faz

O caso austríaco produziu algo raro e esclarecedor: um tribunal constitucional que articulou, por escrito, exatamente por que razão a conformidade processual não é uma formalidade.

O raciocínio do Tribunal não foi "encontrámos fraude." Foi: as salvaguardas obrigatórias não foram seguidas de formas que afetaram um número de votos maior do que a margem vencedora, e portanto o resultado não pode ser verificado. O resultado não pode ser verificado não porque o Tribunal suspeitasse de manipulação — expressamente encontrou nenhuma — mas porque a verificação só é possível quando o registo é completo. Um registo parcial produz confiança parcial no máximo.

Esta é a mesma lógica que o Tribunal Constitucional Federal Alemão aplicou em 2009 quando decidiu que as máquinas de votação eletrónica eram inconstitucionais porque os cidadãos ordinários não conseguiam verificar independentemente os passos essenciais do voto — não porque alguma máquina tivesse avariado, mas porque a arquitetura tornava a verificação impossível. O Tribunal Supremo do Quénia chegou à mesma conclusão em 2017 quando anulou uma eleição presidencial porque a cadeia digital da secção de voto até à contagem nacional não conseguia ser verificada independentemente.

A linha contínua através de Viena, Nairobi, e Karlsruhe é idêntica: um resultado que não pode ser verificado independentemente não é um resultado sobre o qual uma democracia pode agir.

A correção é também a mesma em cada caso. Não é "confie em nós — verificámos." É um sistema concebido para que a verificação seja possível sem confiar em ninguém em particular. Resultados imediatos ao nível da secção publicados em formato legível por máquina. Manuseamento de boletins com evidência de manipulação com registos contemporâneos que qualquer pessoa pode solicitar. Rastros de auditoria estruturados de forma que qualquer lacuna no registo seja tão visível quanto qualquer lacuna na contagem.

A cadeia de custódia é documentação aborrecida até que é a única coisa a estar entre uma eleição legítima e uma que ninguém consegue defender.

O que ainda não é verificável — e o que mudaria isso

Eis o que a decisão do Tribunal Constitucional da Áustria não fez: não criou um sistema no qual a cadeia de custódia da próxima eleição austríaca seja independentemente verificável por qualquer pessoa que queira verificar.

Produziu uma nova eleição. Não produziu uma nova arquitetura.

Na maioria das jurisdições que realizam votação por correspondência, o registo de quem manuseou um boletim, quando, e com que testemunhas é um documento administrativo interno. Pode ou não ser consistentemente mantido. Pode ou não ser publicamente solicitável. Não há publicação padronizada, em tempo real, legível por máquina de eventos de custódia que qualquer observador pudesse descarregar e verificar.

Isso é o que ainda está em falta. A lacuna entre "seguimos as regras" e "eis o registo inviolável, verificável publicamente provando que seguimos as regras" é a lacuna que produziu Viena 2016, Tower Hamlets 2014, e Carolina do Norte 2018 — e que produzirá a próxima.

As ferramentas para fechar essa lacuna existem. Registo criptográfico de eventos de custódia. Registos assinados em tempo real de qual pessoa autorizada tocou qual recipiente selado em que hora. Rastros de auditoria legíveis por máquina publicados no momento em que cada passo de custódia ocorre, não reconstruídos depois. Não porque qualquer funcionário específico não seja fidedigno — mas porque um sistema no qual confiança é necessária é um sistema no qual confiança pode ser mal colocada, e no qual erros e má conduta são indistinguíveis até que é demasiado tarde.

Uma cadeia de custódia que qualquer pessoa pode verificar é uma cadeia de custódia que qualquer pessoa não consegue quebrar silenciosamente.

Veja como esta lacuna é comum em todo o mundo →

Leia a versão de 2 minutos do problema de verificabilidade →

Explore a lacuna completa da cadeia de custódia →

Fontes

Ver todos os artigosExplorar as lacunas