← Todos os artigos

232 votos desapareceram num computador, e um tribunal ordenou eleições completamente novas

Um tribunal ordenou eleições completamente novas — não porque alguém tivesse provado fraude, mas porque 232 eleitores pressionaram "confirmar" e os seus votos simplesmente nunca chegaram.

É a manhã de 9 de abril de 2009, e um juiz em Helsinquia acabou de fazer algo que a Finlândia nunca tinha feito antes: ordenar que três municípios realizassem as suas eleições novamente, do zero.

Nenhuma cédula foi queimada. Nenhuma urna foi encharcada. Nenhuma conspiração. Apenas 232 pessoas que entraram numa assembleia de voto, fizeram a sua escolha num ecrã tátil, e saíram acreditando que tinham votado — quando na verdade a máquina tinha descartado o que fizeram.

Os seus votos desapareceram, e nunca o souberam.

O Supremo Tribunal Administrativo da Finlândia, na decisão KHO:2009:39, foi inequívoco: o teste de votação eletrónica realizado em Karkkila, Kauniainen e Vihti durante as eleições municipais de 2008 era fatalmente defeituoso. Os eleitores que escolhiam usar a opção eletrónica tinham de esperar por um passo final de confirmação depois de fazer a sua escolha. Muitos não esperaram. As instruções eram deficientes. O design da máquina era confuso. Assim, alguns removeram o seu cartão inteligente antes de o voto ser guardado — e a cédula desapareceu silenciosamente no nada.

O sistema não lhes deu recibo. Nenhum "o seu voto foi registado." Nenhuma forma de saber se a máquina tinha guardado o que lhes deram.

É esse silêncio que este artigo pretende abordar.

A máquina levou o seu voto e não disse nada

Pense no que "votação" significa, na verdade, a um nível mecânico. Você faz uma escolha. Regista essa escolha de forma duradoura. Alguém — ou algo — conta o registo duradouro. A contagem torna-se o resultado.

Cada um desses passos tem de funcionar. Quebra qualquer ligação dessa cadeia, e a contagem deixa de ser uma contagem do que os eleitores decidiram. É uma contagem do que a máquina conseguiu preservar.

No teste da Finlândia, a quebra aconteceu entre o primeiro e o segundo passo. Os eleitores fizeram a sua escolha. Mas 232 deles saíram antes de a máquina confirmar que tinha sido guardada — porque nada no design lhes disse que precisavam de esperar, e nada lhes disse depois que tinha falhado.

Duzentos e trinta e dois votos, desaparecidos. Silenciosamente. Contra a vontade dos eleitores.

O tribunal concluiu que isto não era um pequeno falha administrativa. Era um defeito estrutural no próprio método de votação. Anulou as eleições. A Finlândia não realizou o teste eletrónico novamente.

Esta decisão deve ser lida com cuidado. O tribunal não precisava de provas de fraude. Não precisava de provar que os votos desaparecidos teriam mudado o resultado. O padrão que aplicou era mais simples e mais rigoroso: um método de votação só é legítimo se cada voto emitido é verificavelmente registado. Se os eleitores não conseguem confirmar que a sua cédula foi capturada, o método falha — fim de história.

"Confirmação" não é um problema de UX. É um problema constitucional.

O enquadramento fácil é que a Finlândia tinha um erro de software. Corrigir as instruções, adicionar um ecrã de confirmação mais claro, realizar um teste melhor da próxima vez. Problema resolvido.

Mas este enquadramento ignora o que o tribunal realmente disse.

A questão não era se a interface podia ser melhorada. A questão era: o que é que um eleitor consegue verificar, e quando? No sistema finlandês, a resposta era: nada, e nunca. O eleitor pressionava um botão e confiava na máquina. Não havia artefato independente e duradouro — nenhum papel, nenhum recibo criptográfico, nenhum registo ao nível do local de votação — que o eleitor pudesse inspecionar para confirmar que a máquina tinha feito o que pediu.

Isto não é um problema de UX que possa ser corrigido. É um erro de categoria em como o sistema foi desenhado.

Compare com o padrão que o Tribunal Constitucional Federal Alemão articulou no mesmo ano — 3 de março de 2009, apenas algumas semanas antes da decisão finlandesa — quando anulou o uso de máquinas de votação eletrónica Nedap nas eleições do Bundestag de 2005. O tribunal alemão sustentou que os passos essenciais da votação e contagem "podem ser examinados pelo cidadão de forma confiável e sem qualquer conhecimento especializado." Não examinados por auditores. Não examinados pelo fornecedor. Pelos cidadãos comuns. Porque qualquer coisa menos do que isto torna a legitimidade democrática contingente em confiar nos peritos certos — o que não é democracia, é delegação.

Os 232 votos desaparecidos da Finlândia são exatamente o que o tribunal alemão estava a descrever de forma abstrata. Quando o passo de registo é invisível e não confirmável, o eleitor não tem recurso. Não conseguem saber se o seu voto foi um dos 232 que desapareceram. Ninguém mais consegue, até alguém fazer os totais e descobrir que 232 pessoas são registadas como tendo iniciado o processo mas não o terminado.

Note-se: o erro foi apenas descoberto porque o sistema registava sessões incompletas. E se não tivesse? E se a máquina simplesmente não tivesse contado sem deixar nenhum rasto? Como é que alguém teria sabido?

O número que o deveria deixar desconfortável

Duzentos e trinta e dois votos. Em três pequenos municípios. Isto soa gerível.

Agora faça as contas de forma diferente.

O teste da Finlândia envolveu um número modesto de eleitores numa eleição local. Os 232 votos perdidos representavam aproximadamente 2% dos votos eletrónicos emitidos. Dois por cento não é um erro de arredondamento. Numa corrida apertada — e muitas corridas são decididas por menos de 2% — a perda silenciosa nessa taxa muda os resultados.

Mais importante: esta era a taxa de falha de um sistema que foi descoberto. A única razão pela qual sabemos dos 232 votos é que o sistema guardava metadados suficientes para reconstruir o que aconteceu. O tribunal tinha algo para examinar.

Agora considere os casos onde não há nada para examinar.

No Condado de Sarasota, Flórida em 2006, aproximadamente 18.000 votos não foram registados numa única corrida do Congresso decidida por 369 votos. As máquinas eram ecrãs táteis sem papel — nenhum registo independente, nenhum rasto. O GAO testou os sistemas e não conseguiu identificar um mau funcionamento, em parte porque não havia nada independente para testar. Os votos em branco poderiam ter sido escolha do eleitor. Poderiam ter sido falha da máquina. Ninguém conseguia dizer.

O erro da Finlândia foi descoberto. O de Sarasota nunca foi. A diferença não era a qualidade dos funcionários. Era o que o sistema deixou para trás.

O que "verificável pelo eleitor" tem de significar realmente

É aqui que fica preciso — e onde a maioria das discussões sobre eleições erra.

"Verificável pelo eleitor" tornou-se uma frase que funcionários e fornecedores anexam a praticamente tudo o que tem um componente de papel. Mas nem todo o papel é igual.

Um dispositivo de marcação de boletins que imprime as suas escolhas e depois as codifica num código QR dá-lhe um pedaço de papel. Mas em 2020, um tribunal federal que analisava o sistema da Geórgia concluiu que o sistema "não fornece um registo de boletim verificável e auditável porque depende do código QR para a contagem de votos e esse código em si não pode ser lido e verificado pelo eleitor." A máquina tabula a partir do código de barras. O eleitor lê o texto humano. Se essas duas coisas divergem, o eleitor não tem forma de saber. Uma recontagem manual do papel audita o resultado do código de barras, não a intenção do eleitor.

Isto é um rasto de papel. Não é verificação pelo eleitor.

A verificação genuína pelo eleitor significa que o artefato que é contado é o mesmo artefato que o eleitor pode inspeccionar e confirmar independentemente. Um boletim marcado manualmente satisfaz isto. Uma impressão legível em texto humano que é tabulada a partir de um registo legível em texto humano satisfaz isto. Um código QR que o eleitor não consegue ler não. Um ecrã tátil sem papel — como o de Sarasota — não.

O governo holandês, a Comissão Korthals Altes de 2007, colocou isto claramente no seu relatório "Stemmen met vertrouwen" (Votação com confiança): "Não há segredos no processo eleitoral." Qualquer método eletrónico é aceitável apenas se produz um voto em papel que o eleitor possa verificar. Os Países Baixos abandonaram completamente as suas máquinas de votação e regressaram aos boletins marcados manualmente. Não porque de fraude. Porque o padrão de verificabilidade não tinha sido atingido.

Os finlandeses chegaram ao mesmo destino dois anos depois, por um caminho diferente. Os seus ecrãs táteis não produziam nenhum registo verificável. O padrão teórico da comissão tornou-se a decisão concreta de um tribunal real: refaça as eleições.

O problema que não se anuncia a si próprio

É aqui que a parte genuinamente perturbadora do caso finlandês reside: o sistema falhou silenciosamente.

Nenhum alarme soou. Nenhuma mensagem de erro apareceu. Nenhum funcionário da assembleia de voto notou. Os 232 eleitores saíram da assembleia de voto tendo feito tudo o que acreditavam ser necessário. A falha era invisível para as pessoas que prejudicou, invisível para os funcionários que dirigiam a eleição, e invisível para todos os outros até alguém examinar os registos depois.

A falha silenciosa é o pior tipo de falha num sistema de votação, porque no momento em que a descobre, a eleição já acabou e o dano está feito.

Compare isto a um cenário em que uma pilha de boletins em papel é soprada para fora de uma assembleia de voto por uma rajada de vento. Óbvio. Recuperável. Testemunhas. Uma cadeia de custódia que pode ser reconstruída ou, na pior das hipóteses, documentada como quebrada. Um tribunal pode examinar o registo físico. Os observadores podem contar o que resta.

A falha eletrónica silenciosa não deixa nada disto. Deixa um número que parece completo, produzido por um processo que parece ter funcionado, num sistema que não dá nenhum sinal externo de que algo correu mal.

É por isto que o caso para confirmação verificável pelo eleitor não é uma preferência de design. É um requisito mínimo para saber se uma eleição aconteceu sequer.

Quando investigadores independentes examinaram o sistema de votação eletrónica pela internet da Estónia durante as eleições municipais de 2013, descobriram que um atacante bem-financiado ou um funcionário desonesto podia plausivealmente comprometer votos ou privacidade do eleitor sem detecção. O artigo publicado recomendava que a Estónia descontinuasse o sistema. As autoridades estónias contestaram as conclusões — mas a palavra crítica nessa troca é sem detecção. Um ataque silencioso numa eleição nacional viva. Nenhum alarme. Nenhum registo de erro. Nenhuns 232 eleitores identificados depois.

Os investigadores conseguiram levantar a preocupação precisamente porque pelo menos algum do código do sistema e procedimentos estavam disponíveis para exame independente. A inspeccionalidade é o que tornou a preocupação expressável. Sem isto, a pergunta "isto funcionou corretamente?" tem apenas uma resposta disponível: confiem em nós.

"A auditoria confirmou" é uma afirmação, não uma prova

Há uma versão desta história que termina confortavelmente. Funcionários descobrem o problema. O tribunal age. Eleições novas são realizadas. O sistema é melhorado. Confirmado.

Mas essa versão pede-lhe que trate a detecção e resposta como a lição, quando a lição mais difícil é o que não era detectável.

No Condado de Antrim, Michigan em 2020, resultados errados foram publicados e apanhados — mas foram apanhados porque eram implausivealmente errados para um condado cuja política toda a gente conhecia. Um erro mais subtil, que mudasse uma corrida apertada por algumas centenas de votos sem fazer o condado parecer que tinha mudado de partido, podia ter passado despercebido. E a subsequente recontagem manual — o método "padrão ouro" — ainda diferiu da tabulação da máquina por cerca de meia dúzia de votos de aproximadamente 15.700 emitidos. Uma diferença de doze votos, produzida pelo método manual mais confiável disponível.

Numa corrida decidida por uma dúzia de votos, um método que ele próprio está errado por uma dúzia de votos não consegue resolver a questão. "A auditoria confirmou" e "o Secretário de Estado diz que está tudo bem" são tranquilizadores. Não são prova. A prova requer que o processo subjacente seja verificável independentemente por qualquer pessoa — não apenas pelos funcionários cujo trabalho é dizer-vos que tudo está bem.

O tribunal finlandês compreendeu isto. Não esperou por prova de fraude. Não aceitou tranquilizadores oficiais de que o sistema tinha funcionado em geral. Perguntou: consegue um eleitor confirmar independentemente que a sua cédula foi capturada? A resposta foi não. Isso foi suficiente.

A Geórgia em 2020 realizou uma contagem manual completa de aproximadamente cinco milhões de boletins — o maior exercício deste tipo na história dos EUA — e a variação entre a contagem da máquina e a contagem manual foi cerca de um décimo de um por cento. Isto é uma prova de que papel mais auditoria permite que qualquer pessoa verifique um resultado próximo. É o modelo: um registo duradouro legível em texto humano, contado independentemente, por observadores que conseguem ver cada boletim. Funciona porque o artefato sendo contado é o mesmo artefato que qualquer pessoa consegue inspecionar.

A pergunta depois da Finlândia, depois de Sarasota, depois do Condado de Antrim, é sempre a mesma: o que é que o sistema deixa para trás, e quem consegue verificar?

O que realmente tornaria isto verificável

O caso finlandês é limpo num aspecto: uma vez que o tribunal ordenou novas eleições, o erro foi corrigido. Os 232 eleitores tiveram um recurso.

Mas um recurso depois do facto não é a mesma coisa que um sistema que não consegue falhar silenciosamente em primeiro lugar. Isto é o que "não conseguir falhar silenciosamente" requer:

Primeiro: o eleitor deve conseguir verificar, antes de sair da assembleia de voto, que a sua cédula foi registada. Não um ecrã que diga "obrigado por votar." Uma confirmação que está ligada a um artefato verificável independentemente — um papel físico que o eleitor consegue inspecionar, um compromisso criptográfico que o eleitor consegue verificar depois contra um registo publicado, ou ambos.

Segundo: o artefato sendo contado deve ser o mesmo artefato que o eleitor confirmou. Um código QR que o eleitor não consegue ler falha este teste. Um boletim marcado manualmente que o eleitor marcou a si próprio passa.

Terceiro: auditores independentes — não funcionários, não fornecedores, não representantes de partidos, mas partes genuinamente independentes do lado de fora — devem conseguir verificar a cadeia completa desde confirmação do eleitor até tabulação final. Não verificação parcial. Não confiar numa certificação. Verificar realmente, com acesso aos registos brutos, em qualquer altura.

Quarto: os resultados devem ser publicados ao nível granular — local de votação por local de votação, em formato legível por máquina — no momento em que a contagem de cada local de votação fica completa. Não depois da verificação. Não agrupados em totais estaduais. Resultados ao nível do local de votação que qualquer pessoa consegue descarregar, somar, e comparar cruzadamente contra totais oficiais são a unidade mínima de verificabilidade pública.

Nada disto é teórico. As auditorias de risco limitado em todo o estado do Colorado fornecem confiança estatística que está ligada ao quão próxima a corrida realmente é — mais verificação em corridas mais apertadas, menos em vitórias esmagadoras, tudo baseado num registo de papel. O enquadramento existe. O que falta, em praticamente todo o lado, é a vontade política de o aplicar universalmente e a infraestrutura para publicar resultados suficientemente rápido para que auditorias aconteçam antes de o ciclo de notícias se mover.

O resumo para partilhar

Um voto só é confiável se é verificavelmente registado — verificado pelo eleitor, confirmado num artefato duradouro, e verificável por qualquer pessoa contra um registo público.

O tribunal finlandês não precisou de provar fraude. Provou algo mais fundamental: uma eleição onde os eleitores não conseguem confirmar que as suas cédulas foram capturadas não é uma eleição verificável. É uma contagem de tudo aquilo que a máquina conseguiu preservar.

232 votos. Três municípios. Uma decisão. Mas o princípio que estabeleceu aplica-se a cada jurisdição que executa qualquer sistema — eletrónico ou papel — onde o eleitor não tem forma independente de confirmar que a sua escolha passou por tudo.

A pergunta que deve fazer sobre o seu próprio sistema eleitoral não é "foi provada fraude?" É: "o que é que eu teria de ver agora que me mostrasse que o meu voto foi registado como o emiti?"

Se a resposta é "nada" — ou "confiem em nós" — é essa a lacuna que precisa ser fechada.

Veja o quão comum esta lacuna é em todo o mundo | Leia a versão de 2 minutos | Explore falhas de verificação específicas

Fontes

Ver todos os artigosExplorar as lacunas