← Todos os artigos

O tribunal supremo alemão: se apenas um especialista consegue verificar a contagem, não é uma eleição real

O tribunal supremo alemão decidiu em 2009 que se compreender um resultado eleitoral requer um doutoramento em informática, então não é uma eleição democrática — e as implicações atingem todos os sistemas de votação do planeta.

É a manhã de 3 de março de 2009, e oito juízes em Karlsruhe traçaram agora a linha entre uma eleição democrática e uma representação de confiança nela.

O Tribunal Constitucional Federal Alemão — o Bundesverfassungsgericht, o que se aproxima mais de um árbitro supremo do que a Lei Fundamental realmente significa — acabou de proferir a sua decisão sobre se os computadores de votação Nedap utilizados na eleição federal de 2005 eram constitucionais. Os juízes não estão a escrever sobre um ataque informático, uma eleição roubada ou uma máquina avariada. Estão a escrever sobre algo mais silencioso e fundamental.

Estão a escrever sobre se os cidadãos comuns conseguiam verificar o que havia acontecido.

A resposta que o Tribunal deu foi não. E por isso as máquinas tiveram que desaparecer.

"Sem qualquer conhecimento especializado da matéria"

O raciocínio do Tribunal é suficientemente conciso para citar diretamente. Considerou que a utilização de máquinas de votação eletrónica exige que "os passos essenciais da votação e da apuração do resultado possam ser examinados pelo cidadão de forma fiável e sem qualquer conhecimento especializado da matéria".

Leia novamente devagar.

Não examinado por auditores. Não examinado pelo fornecedor. Não examinado por um laboratório certificado pelo governo. Examinado pelo cidadão, de forma fiável, sem conhecimento especializado.

Este requisito, explicou o Tribunal, decorre do Öffentlichkeit der Wahl — o princípio da natureza pública das eleições — consagrado no Artigo 38 da Grundgesetz em conjunto com os Artigos 20.1 e 20.2. O princípio não é um pormenor técnico. É uma declaração sobre a quem as eleições pertencem.

As máquinas Nedap falharam este teste porque armazenavam votos apenas em memória eletrónica. Não havia qualquer registo verificável independentemente que um eleitor pudesse inspecionar. Quando a eleição terminava, o que se tinha era um número num ecrã, produzido por um processo que vivia inteiramente dentro de uma caixa negra. Podia confiar nele. Não podia verificá-lo.

Na perspetiva do Tribunal Constitucional Alemão, essas duas coisas não são a mesma coisa.

Por que esta decisão é mais profunda do que parece

As reações oficiais ao julgamento tendiam a focar-se no resultado: a Alemanha voltou aos boletins de papel e à contagem manual, caso encerrado, problema resolvido.

Esta é a parte menos interessante.

O argumento mais profundo que o Tribunal estava a fazer é que a verificabilidade não é uma característica opcional de uma eleição legítima — é um requisito definitório. Uma eleição cujo resultado apenas um especialista consegue inspecionar não é uma eleição em qualquer sentido democrático significativo. É um ritual realizado com equipamento caro, e convidam-no a aplaudir o resultado.

Repare no que o Tribunal não disse. Não disse que as máquinas Nedap produziram resultados errados. Não encontrou prova de manipulação, fraude ou avaria na eleição do Bundestag de 2005. De facto, precisamente porque não se podia demonstrar qualquer dano concreto, o Tribunal recusou invalidar os próprios resultados de 2005.

Mas a ausência de prova de má conduta não era o ponto. O ponto era que a estrutura do sistema tornava a verificação independente impossível, e um sistema que torna a verificação impossível falha o padrão constitucional independentemente de algo ter corrido mal ou não.

Essa distinção importa enormemente. Significa que o Tribunal não estava a arbitrar entre uma alegação de fraude e uma negação de fraude. Estava a estabelecer um limite mínimo. Abaixo desse limite, a questão de saber se ocorreu fraude é uma que simplesmente não consegue responder — porque construiu um sistema que não consegue ser verificado.

O problema é a opacidade, não apenas a máquina

Para compreender por que isto importa além da Alemanha, pense no que "verificar a contagem" realmente exige com um sistema de boletim de papel. Vê os votos a serem dados. Vê a caixa a ser selada. Vê-a aberta na contagem. Vê um ser humano apanhar um pedaço de papel, lê-lo e chamar um nome. Se discordar do que chamam, consegue olhar para o papel você próprio.

Nada disto requer um diploma universitário. Nada disto requer confiar num organismo de certificação ou num fornecedor ou num secretário de estado. A cadeia completa do eleitor ao resultado declarado é de escala humana e observável.

Agora pense no que acontece quando um computador de votação substitui essa cadeia. O voto entra no software. O software executa no hardware. O hardware é certificado — por um processo que não observou, realizado por especialistas que não escolheu, contra um padrão que provavelmente não leu. A "contagem" é a saída do software. Convidam-no a confiar nela.

É isto para que o tribunal alemão apontava. A opacidade não é incidental à tecnologia; na maioria das implementações, é intrínseca a ela.

Os Países Baixos chegaram à mesma conclusão por uma rota diferente. Em 2007, a Comissão Consultiva do Processo Eleitoral do governo holandês publicou o seu relatório, Stemmen met vertrouwen — "Votação com confiança." A sua posição central: não há "segredos no processo eleitoral" e as questões devem ser respondíveis com respostas verificáveis e controláveis. A Comissão concluiu que os boletins de papel contados à mão são preferíveis precisamente por causa da sua transparência e verificabilidade, e que qualquer método eletrónico é aceitável apenas se produzir um registo de papel que o eleitor consiga inspecionar fisicamente. Os Países Baixos retiraram a aprovação das suas máquinas de votação e voltaram ao papel.

Duas democracias europeias vizinhas. Duas revisões independentes. Uma conclusão.

O que vive dentro da caixa negra

Vale a pena ser preciso sobre o que torna um sistema de votação opaco perigoso — não porque as máquinas estejam necessariamente comprometidas, mas porque não há forma de dizer qualquer maneira.

Em 2006, investigadores de Princeton Ariel Feldman, J. Alex Halderman e Edward Felten obtiveram uma verdadeira máquina de votação Diebold AccuVote-TS — uma das mais amplamente implementadas nos Estados Unidos na altura — e passaram alguns meses com ela. O que encontraram foi que um atacante com aproximadamente sessenta segundos de acesso físico conseguia instalar código que roubaria votos mantendo todos os registos, contadores e dados internos internamente consistentes. As máquinas não mostrariam nada errado. Uma segunda descoberta foi pior: o código conseguia espalhar-se de máquina para máquina através de cartões de memória durante a atividade ordinária da noite eleitoral.

A frase crítica é "internamente consistente." Uma máquina consegue mentir sem se contradizer. O que significa que uma auditoria que apenas verifica os próprios registos da máquina pode confirmar a mentira.

Na Geórgia em 2020, um tribunal federal examinando o sistema de marcação de boletins Dominion do estado encontrou algo estruturalmente semelhante. O sistema tabula votos a partir de um código QR impresso em cada boletim. O código QR não consegue ser lido pelo eleitor. Um juiz federal considerou o sistema "não fornece um registo de boletim verificável e auditável porque depende do código QR para a tabulação de votos e esse código em si não consegue ser lido e verificado pelo eleitor." Uma recontagem manual na Geórgia audita a saída do código de barras. Não audita a intenção do eleitor.

O princípio do tribunal alemão, aplicado: se não conseguir ler o que está a ser contado, não está a verificar a contagem.

"Votação com confiança" é um slogan. Verificabilidade é um mecanismo.

A experiência da Irlanda acrescenta um terceiro ponto de dados. O governo irlandês comprou 7.500 máquinas de votação Nedap — da mesma família que o tribunal alemão mais tarde consideraria inconstitucional — e pediu a uma comissão independente que as avaliasse antes da sua primeira implementação nacional. A Comissão concluiu que não conseguia recomendar o sistema com "o grau de confiança requerido." Não porque encontrou as máquinas avariadas. Porque não conseguia satisfazer-se que funcionariam corretamente. A distinção importa: a ausência de problemas conhecidos não é a mesma coisa que fiabilidade demonstrada independentemente. As máquinas ficaram num armazém durante cinco anos e foram sucatadas em 2009.

Três países — Alemanha, Países Baixos, Irlanda — chegaram essencialmente à mesma conclusão através de revisão constitucional, comissão governamental e avaliação independente respetivamente. O fio condutor comum não é sentimento anti-tecnologia. É a exigência de que o público consiga verificar, não apenas confiar.

Agora considere o que acontece quando essa exigência não é satisfeita.

A eleição da Assembleia Nacional Constituinte da Venezuela em 2017 foi executada no sistema de votação automatizado da Smartmatic. Em 2 de agosto de 2017, o executivo-chefe da Smartmatic emitiu uma declaração pública anunciando que a figura de participação declarada pelo governo havia sido manipulada — por pelo menos um milhão de votos, na estimativa da empresa. A Smartmatic disse que "sabia sem qualquer dúvida" que os números tinham sido alterados.

O fornecedor desaprovou o resultado executado no seu próprio equipamento. E porque a auditoria independente era indisponível — porque o sistema era uma caixa negra para todos fora da autoridade governante — cidadãos e observadores internacionais não tinham mecanismo para confirmar a figura verdadeira. Ficavam com uma autoridade oficial a reivindicar um número, uma empresa a repudiá-lo, e nenhum terceiro caminho para a verdade.

É isto o que a opacidade parece em escala completa.

"A auditoria confirmou" — o que essa frase realmente significa

Há uma versão do reforço oficial que soa mais forte do que o cenário da Venezuela: "realizámos uma auditoria, e tudo correspondeu." Vale a pena perguntar o que isto garante.

Na Geórgia em 2020, após uma eleição presidencial decidida por menos de doze mil votos num estado de 10 milhões, os funcionários eleitorais realizaram uma contagem manual completa de aproximadamente cinco milhões de boletins presidenciais. A variação entre a contagem da máquina e a contagem manual foi cerca de um décimo de um por cento — uma realização genuína de escala e velocidade, realizada sob pressão enorme.

Mas mesmo aqui, a história não é precisamente "o padrão de ouro confirmou a máquina." A contagem manual confirmou o resultado. Se confirmou todos os votos individuais é uma questão mais difícil. No Condado de Antrim, Michigan — um caso de teste menor esse mesmo ano — uma auditoria manual de aproximadamente 15.700 boletins presidenciais ainda diferiu da tabulação da máquina por cerca de uma dúzia de votos. Doze votos parecem trivialmente pequenos. Numa corrida decidida por doze votos, é toda a margem.

A auditoria forense de Windham, New Hampshire de 2021 documentou como uma contagem errada da máquina nas centenas — não causada por fraude, não causada por malware, causada por uma dobra em boletins ausentes que os leitores óticos leram como óvalos marcados — apenas foi descoberta porque boletins de papel duráveis existiam e uma contagem manual física conseguia recuperar a intenção do eleitor.

O padrão do tribunal alemão não é que uma recontagem manual seja perfeita. É que os passos essenciais devem ser verificáveis por qualquer cidadão sem conhecimento especializado. Uma contagem manual satisfaz esse teste imperfeitamente mas genuinamente — que é exatamente por que apanhou Windham e confirmou a Geórgia. Uma contagem de máquina sem papel, ou uma contagem auditada apenas contra um código QR que nenhum eleitor consegue ler, não satisfaz o teste de todo.

O princípio, tomado a sério, aponta para algum lugar específico

A decisão do tribunal alemão não proíbe tecnologia de votação eletrónica. Proíbe tecnologia de votação eletrónica não verificável. A distinção é importante, porque aponta para o que um sistema em conformidade parecia.

O sistema VSAP de Los Angeles County — o primeiro sistema de tabulação de votos de código aberto de propriedade pública certificado na Califórnia, formalmente certificado em agosto de 2018 — representa uma direção: propriedade pública do código, inspeção aberta por especialistas independentes, em vez de software proprietário escondido como segredo comercial.

O tribunal eleitoral do Brasil executa um Teste Público de Segurança anual no qual investigadores qualificados externos são convidados a sondar as suas máquinas de votação eletrónicas quanto a fraquezas, com reparações implementadas e re-testadas antes da eleição. A lógica é o inverso de "confie na nossa certificação": é "tente quebrá-la, publicamente, e mostrar-vos-emos o que reparámos."

A Suíça publicou o seu código de votação pela internet em 2019 precisamente para convidar revisão independente — e dentro de semanas, criptógrafos Sarah Jamie Lewis, Olivier Pereira e Vanessa Teague encontraram uma porta dos fundos na prova shuffle que teria permitido a um insider alterar votos enquanto produzindo uma prova que parecia passar verificação. O sistema foi suspenso. A falha apenas era encontrável porque o código era público.

O padrão é consistente: verificabilidade não é uma propriedade que os funcionários conseguem afirmar — é uma propriedade que deve ser demostrável por externos. Uma declaração oficial de que um sistema é seguro é uma afirmação. Testes independentes e adversários que confirmam ou refutam é evidência.

O que ainda não é verificável — e o que o corrigiria

Eis o que o princípio do tribunal alemão, aplicado rigorosamente, exigiria que conseguisse fazer após qualquer eleição: rastrear o seu voto — anonimamente mas verificavelmente — do momento em que foi dado até à contagem final, utilizando apenas o registo público e os seus próprios olhos. Nenhum doutoramento especializado. Nenhuma confiança em qualquer funcionário. Nenhuma certeza do fornecedor.

A maioria dos sistemas eleitorais em uso hoje não conseguem passar este teste. Muitos ainda contam com software cujo código fonte é um segredo comercial do fornecedor. Muitos produzem registos de papel, mas registos de papel que o software de contagem não lê realmente. Muitos publicam totais agregados mas não os dados nível da circunscrição, boletim por boletim que permitiria a qualquer cidadão reconciliar os números de baixo para cima.

A Comissão de Assistência Eleitoral dos EUA nota que os resultados da noite eleitoral são sempre não oficiais e incompletos — o que é fino, desde que os resultados finais certificados sejam depois publicados em forma legível por máquina, nível de circunscrição que qualquer um consegue descarregar e verificar. Os registos NCSL mostram que a maioria dos estados relatam nível de circunscrição. Mas "publicado em algum lugar" e "independentemente, verificável criptograficamente" não são a mesma coisa.

O Tribunal Constitucional Alemão deu ao mundo uma declaração legal clara do que uma eleição deve ser. Se apenas um especialista consegue verificar a contagem, não é uma eleição real. Quinze anos depois, esse padrão é ainda mais aspiração do que prática na maioria das democracias que dizem compartilhá-lo.

A questão não é se a sua autoridade eleitoral é digna de confiança. A questão é se a sua confiabilidade é algo que tem que aceitar sob fé — ou algo que o sistema permite verificar por si próprio.

Estas são questões diferentes. E apenas uma delas tem uma resposta democrática.

Veja onde o seu país se encontra na lacuna de verificabilidade — e o que um sistema verificável parecia — em /atlas. Para a versão de dois minutos de por que a verificabilidade bate confiança, comece em /simple. E para um mapa mais profundo de lacunas específicas na tecnologia eleitoral em todo o mundo, veja /gaps.

Fontes

Ver todos os artigosExplorar as lacunas