← Todos os artigos

O chad pendurado e a norma que ninguém tinha escrito

A Flórida 2000 não falhou por fraude — falhou porque ninguém tinha escrito o que um buraco meio-perfurado num cartão de votação deveria significar.

É a Noite das Eleições, 7 de Novembro de 2000, e algures no Condado de Palm Beach, Flórida, um membro da junta de apuramento está a segurar um pequeno rectângulo de cartão contra a luz.

Ela está a esforçar a vista para um buraco que não é bem um buraco. O chad — o pequeno quadrado de cartão que um estilete deveria perfurar completamente — ainda está preso. Está marcado. Curvado. Grávido, na linguagem que em breve se tornaria infame. E ninguém na sala tinha uma regra para o que fazer com ele.

Esse momento não é uma anomalia da Flórida. É uma janela para um problema que atravessa cada sistema de eleições já construído: um registo físico não significa nada sem uma norma pré-definida e publicamente conhecida para o ler.

Uma tecnologia concebida para falhar silenciosamente

O cartão de votação perfurado já era notícia antiga em 2000. Os cartões de perfuração estilo Votomatic estavam em uso desde os anos 1960, e os administradores eleitorais sabiam há anos que produziam "votos em branco" — boletins que a máquina de contagem simplesmente recusava registar — a uma taxa de aproximadamente 2 por cento. A opinião per curiam do Supremo Tribunal dos EUA em Bush v. Gore notou isto claramente.

Dois por cento parece pequeno. Multiplique pelo número de boletins votados numa eleição presidencial num estado grande e tem dezenas de milhares de votos que a máquina silenciosamente pôs de lado, à espera que alguém os examinasse manualmente.

O problema não era que a Flórida foi para uma recontagem manual. O problema era que ninguém tinha decidido, antes do Dia das Eleições, o que a recontagem manual deveria encontrar.

A regra que não existia

Quando a Flórida ordenou uma recontagem manual dos votos em branco, as juntas de apuramento dos condados espalharam-se pelo estado e começaram a examinar boletins. O que encontraram não foram cartões perfurados limpar e cartões não-perfurados limpar. Encontraram um espectro: chads completamente destacados, chads pendurados por um canto, chads pendurados por dois, chads apenas amassados, chads que mostravam luz através do buraco sob certos ângulos.

Qual destes era um voto?

Diferentes condados responderam diferentemente. Diferentes equipas dentro do mesmo condado responderam diferentemente. E — fatalmente — não havia uma norma estadual que dissesse a qualquer um qual era a resposta correcta.

O Supremo Tribunal centrou-se precisamente nisto. Em Bush v. Gore, a maioria decidiu que aplicar diferentes normas a boletins idênticos violava a Cláusula da Igual Protecção porque efectivamente valorizava as escolhas de alguns eleitores diferentemente de outros. Um chad marcado no Condado de Broward poderia ser contado como um voto. A marca idêntica no Condado de Seminole poderia não ser.

O Tribunal concluiu que uma recontagem consistente com igual protecção e devido processo exigiria, no mínimo, "normas estaduais adequadas para determinar o que é um voto válido". E decidiu que não havia tempo para desenhar e implementar essas normas antes do prazo federal para certificar os eleitores.

A eleição não foi roubada. Era irresolvível — porque o registo era ambíguo e a regra para o ler não existia.

Dois problemas, não um

Este é o ponto que a Flórida 2000 torna mais claro, e que os comentários sobre isto mais frequentemente obscurecem.

As pessoas focam-se no chad pendurado como um problema de hardware: o cartão de perfuração era má tecnologia, por isso substituam-no. Essa conclusão está correcta, mas é incompleta.

A falha mais profunda era epistémica. Precisa de duas coisas para um resultado ser independentemente verificável: um registo físico inequívoco, e uma regra pré-definida e publicamente conhecida para o ler. A Flórida em 2000 tinha nenhuma das duas. O cartão de perfuração produzia impressões ambíguas. E a regra para interpretar essas impressões foi inventada condado a condado, post-hoc, sob enorme pressão política, em tempo real.

Substituir o cartão de perfuração por boletins de leitura óptica resolve parte do problema. Um eleitor preenche um oval; a máquina lê o oval; o boletim de papel sobrevive para uma recontagem. Mas até as marcas de leitura óptica existem num espectro — um traço leve de lápis versus uma marca forte de caneta, uma rabisco errado perto do oval, uma marca que transpõe dois candidatos. Cada jurisdição que conta boletins manualmente deve fazer decisões de adjudicação. E cada decisão de adjudicação é um momento quando a "regra" para ler o registo é aplicada — ou inventada — por quem está a segurar o boletim.

A contagem manual não é o padrão-ouro que frequentemente é chamada. É um processo humano que tem seu próprio erro irredutível. No Condado de Antrim, Michigan, em 2020, uma auditoria manual completa de aproximadamente 15 700 boletins presidenciais ainda diferiu da tabulação da máquina em cerca de uma dúzia de votos. Doze votos. Numa contagem manual destinada a confirmar o total correcto. O Departamento de Estado de Michigan reportou isto abertamente.

Numa corrida decidida por um punhado de votos, um método que é em si incerto por um punhado de votos não pode definitivamente resolver a questão. Isso não é uma razão para abandonar a contagem manual — é uma razão para exigir algo melhor do que "contámos manualmente" como resposta final.

A correcção do Congresso que não foi suficiente

O Congresso compreendeu, após a Flórida 2000, que o problema era parcialmente tecnológico. A Lei de Ajuda para a Melhoria da Votação Americana de 2002 criou a Comissão de Assistência Eleitoral, estabeleceu normas federais mínimas para administração eleitoral, e financiou a substituição de sistemas de votação de cartão perfurado e alavanca em todo o país. Dezenas de milhões de dólares fluíram para novo equipamento.

O que a HAVA não fez — e não podia fazer apenas por legislação — foi garantir que o novo equipamento produziria registos que fossem inequívocos, à prova de falsificação, e publicamente verificáveis contra uma norma pré-definida para interpretação.

Três anos após a HAVA passar, uma auditoria do GAO (GAO-05-956) descobriu que os esforços federais para melhorar a segurança e confiabilidade dos sistemas de votação electrónica estavam em andamento, mas que actividades-chave permaneciam incompletas. A maquinaria para assegurar verificabilidade — as normas, os procedimentos de certificação, a infraestrutura de partilha de vulnerabilidades — ainda estava sendo montada anos após a crise de 2000. Substituir hardware ruim não é o mesmo que construir um sistema verificável.

E o hardware que substituiu o cartão de perfuração em muitos condados era, num sentido, pior: o ecrã tátil DRE sem papel. No Condado de Sarasota, Flórida, em 2006, cerca de 18 000 votos numa corrida Congressual simplesmente desapareceram — uma taxa de votação em branco de aproximadamente 13 por cento em máquinas sem papel numa corrida decidida por 369 votos. O teste do GAO não conseguiu identificar um mau funcionamento da máquina, mas também não conseguiu descartá-lo, porque não havia registo de papel verificado pelo eleitor para verificar. O cartão de perfuração, apesar de todos os seus defeitos, deixou pelo menos um artefacto físico que alguém podia discutir. O DRE não deixou nada.

O problema da norma não desaparece com papel

Aqui está o que torna a lição da Flórida genuinamente difícil: mesmo quando tem papel, ainda precisa da regra.

Na eleição presidencial de 2020 da Geórgia, uma recontagem manual estadual de todos os cinco milhões de boletins confirmou a tabulação da máquina dentro de aproximadamente um décimo de um por cento — um resultado notável dado o volume. Mas esse exercício funcionou em parte porque a margem da Geórgia, embora estreita, era de vários milhares de votos. As decisões de adjudicação tomadas sobre marcas ambíguas — e sempre há algumas — não mudaram o resultado.

E uma corrida decidida por cinquenta votos em cinco milhões de boletins? Então cada decisão de adjudicação tomada por cada mesa de contadores torna-se potencialmente decisiva. E a regra que esses contadores aplicam — que marcas contam, que não, quem decide um empate — precisa de estar escrita, publicamente disponível, e aplicada identicamente em cada mesa, ou está de volta no Condado de Broward 2000 com melhor papel.

Isto não é uma preocupação hipotética. A auditoria forense de Windham, New Hampshire em 2021, ordenada pela legislatura estadual após uma contagem manual produzir totais diferentes das máquinas, descobriu que os vincos de dobra em boletins de voto por correio foram lidos pelos scanners como óvalos preenchidos — a taxas entre aproximadamente 20 e 72 por cento dependendo das condições. Sem fraude. Sem malware. Um artefacto mecânico mal-interpretado como intenção do eleitor. O "registo" que a máquina produziu era ambíguo. A contagem manual resolveu-o — mas apenas porque os auditores tinham uma regra clara (ler a marca real do eleitor, não a interpretação do scanner do vinco) e boletins de papel duráveis com que trabalhar.

O registo precisa de ser inequívoco. A regra para o ler precisa de ser pré-definida. E ambos precisam de ser publicamente conhecidos antes de qualquer um começar a contar.

O que "verificável" realmente exige

Na sua decisão de Outubro de 2020 em Curling v. Raffensperger, o Tribunal Distrital dos EUA para o Distrito Norte da Geórgia descobriu que os dispositivos de marcação de boletins da Geórgia não forneciam um registo de boletim verificável e auditável — porque as máquinas tabulam a partir de códigos QR que os eleitores não conseguem ler. Pode olhar para a sua cópia. Não consegue confirmar que o código de barras codifica o que marcou. A coisa que é contada não é a coisa que consegue verificar.

Uma cópia de papel não é o mesmo que um registo inequívoco e verificável pelo eleitor. É apenas isso se: a porção legível pelo humano é o que é tabulado, as marcas legíveis pelo humano são inequívocas, e a norma para ler marcas ambíguas está escrita e é pública.

O Tribunal Constitucional Federal Alemão compreendeu isto instintivamente. Na sua decisão marcante de 2009, o tribunal decidiu que a legitimidade democrática exige que "os passos essenciais da votação e da determinação do resultado possam ser examinados pelo cidadão de forma fiável e sem qualquer conhecimento especializado". Não por um especialista. Não por um tribunal. Por um cidadão. Sem treino especial.

Isto é uma barra alta. Exclui sistemas onde o "registo verificável" exige perícia criptográfica para descodificar. Exclui sistemas onde as normas de adjudicação existem apenas num manual de treino interno. E exclui a situação em que a Flórida se encontrou, onde a norma para ler um boletim foi improvisada, em público, sob os holofotes de televisão nacional, numa corrida pela presidência.

Os Países Baixos chegaram à mesma conclusão em 2007: o seu relatório da Comissão Consultiva 'Stemmen met vertrouwen' afirmou que transparência e verificabilidade (controleerbaarheid) são fundações inegociáveis, e que qualquer método electrónico é aceitável apenas se produzir um voto de papel que o eleitor possa verificar. Então abandonaram máquinas de votação e regressaram ao papel. Isto não foi tecnofobia. Foi uma norma prática: pode um cidadão verificar independentemente a contagem?

A pergunta que a Flórida deixou aberta

A Lei de Ajuda para a Melhoria da Votação Americana substituiu a maioria dos sistemas de cartão perfurado. Mas não escreveu a regra para ler marcas ambíguas. Não exigiu que as normas de adjudicação fossem publicadas antes de uma eleição, em formato legível por máquina, e aplicadas identicamente por cada junta de apuramento. Não exigiu que qualquer observador — não apenas um representante do partido, mas qualquer cidadão — pudesse descarregar resultados ao nível do colégio eleitoral e verificá-los contra uma norma definida e publicada.

A Comissão de Assistência Eleitoral dos EUA exorta os funcionários a publicar resultados em formatos legíveis por máquina. Algumas jurisdições fazem-no. A maioria não, pelo menos não completamente, pelo menos não em tempo real. O NCSL registou que a maioria dos estados reporta ao nível do colégio eleitoral — mas "maioria" não é "todos", e "reporta" não é "publica instantaneamente numa forma que qualquer um possa reconciliar".

O chad pendurado desapareceu. O problema subjacente não.

Um resultado é apenas verificável quando duas coisas são verdadeiras simultaneamente: o registo da intenção de cada eleitor é inequívoco e à prova de falsificação, e a regra para ler esse registo é pública, pré-definida, e aplicada identicamente em todo o lado. Se alguma metade está em falta, o resultado não é um facto. É uma afirmação.

Neste momento, na maioria das jurisdições, a norma de adjudicação — a regra para que marcas contam — existe num ficheiro de treino, ou numa regra administrativa estadual que a maioria dos eleitores nunca leu, ou no julgamento de uma junta de apuramento reunida sob pressão na noite após uma eleição.

Isto não é verificação. É deferência. E deferência à autoridade — por bem-intencionada que seja — é o que a Flórida 2000 provou que não era suficiente.

O que realmente fecharia a lacuna

A correcção não é complicada de descrever, mesmo que seja difícil de construir.

Primeiro: o registo do boletim em si deve ser inequívoco por concepção. Um oval marcado pelo eleitor, ou uma seleção manuscrita, deveria ser a coisa que é contada — não um código QR, não um registo de memória interna, não a interpretação de uma tabuladora de um vinco de dobra.

Segundo: a norma de adjudicação — cada regra para o que constitui uma marca válida, o que constitui um voto em branco, como uma marca errada é tratada — deve ser publicada antes da eleição começar, em linguagem clara, numa forma que qualquer um possa ler e aplicar. Não depois de facto. Antes.

Terceiro: cada resultado, em cada nível, deve ser publicado em tempo real conforme é certificado — colégio eleitoral por colégio eleitoral, num formato legível por máquina que qualquer um possa descarregar e reconciliar contra a fonte. Não porque os funcionários são desonestos, mas porque honestidade não é o ponto. Verificabilidade é o ponto. Um resultado que ninguém consegue verificar independentemente não é verificado; é afirmado.

Nada disto exige confiar num fornecedor, num Secretário de Estado, ou numa corte. Exige um sistema concebido para que você — lendo isto, sem qualquer perícia especial — pudesse sentar-se com o registo público e confirmar a contagem pessoalmente.

Isto é o que faltava no Condado de Palm Beach na noite de 7 de Novembro de 2000, quando alguém segurou um rectângulo de cartão contra a luz e ninguém conseguia concordar sobre o que estava a ver.

Veja como a lacuna de registo de boletim ambíguo é comum em diferentes países e sistemas — explore o atlas. Ou leia a versão de dois minutos de porque é que a verificabilidade é a norma real aqui. Para uma análise mais profunda das lacunas específicas que este problema cria nos sistemas modernos, comece aqui.

Fontes

Ver todos os artigosExplorar as lacunas