← Todos os artigos

Como um pedaço de papel numa caixa pôs fim a um século de suborno aberto

Um pedaço de papel numa caixa selada pôs fim a um século de suborno aberto — e agora uma câmara de telemóvel está silenciosamente a desfazer tudo aquilo que esse papel foi desenhado para prevenir.

É o verão de 1871 numa vila de mercado inglesa, e um proprietário está a ver os seus inquilinos passar pela votação. Sabe como votaram. Sempre soube. O voto é anunciado em voz alta, escrito num livro, e o livro é publicado. Se um inquilino vota de forma incorreta, o proprietário descobre no intervalo do chá. A renovação do contrato de arrendamento corre mal. O contrato de colheita desaparece. Não há segredo a proteger — e portanto não há proteção alguma.

O Parlamento observava isto há décadas. Uma série de projetos de lei de reforma tinha alargado quem podia votar. Nenhum deles tinha abordado o problema mais óbvio: um voto que tem de ser declarado em público é um voto que pode ser comprado ou coagido.

Um Ato mudou tudo.

O mecanismo do Ballot Act 1872

Em 18 de julho de 1872, o Ballot Act 1872 (35 & 36 Vict. c. 33) recebeu Sanção Real. O seu título longo é burocrático — An Act to amend the Law relating to Procedure at Parliamentary and Municipal Elections — mas a sua mecânica foi revolucionária.

Os eleitores recebiam agora um boletim de voto oficial, impresso pelo Estado. Entravam numa cabina privada. Marcavam a sua escolha sem ninguém a observar. O papel entrava numa caixa de votos selada. A caixa abria-se apenas por funcionários autorizados na contagem.

O livro de votos — esse registro publicado de quem votou em quem — desapareceu.

O que o Ato compreendeu, em termos mecânicos que nenhuma quantidade de advertências morais tinha conseguido alcançar, é isto: suborno e coação são transações, e toda a transação requer um recibo. Um proprietário que paga a um inquilino alguns tostões por um voto precisa saber que o voto foi entregue. Um empregador que ameaça despedimento precisa conseguir verificar a conformidade do empregado. Retire a prova de entrega e o mercado desaba. Pode dar a um eleitor alguns tostões, mas não pode verificar o que ele fez dentro dessa cabina privada. A aposta é inexequível.

Esta não era uma cortesia concedida aos eleitores. Era uma decisão arquitetónica — uma característica de segurança incorporada no processo físico para tornar toda uma categoria de ataque estruturalmente impossível.

O modelo alastrou. O que se tornou conhecido como o voto australiano — um papel uniforme, impresso pelo Estado, marcado em privado — tinha sido pioneiro na Vitória em 1856 pela mesma razão: votar em público deixava as pessoas "vulneráveis a intimidação e coação". Até ao final do século dezanove, a maioria das democracias tinha adotado alguma versão disso. Não estavam a copiar uma cortesia. Estavam a copiar uma arma contra coação.

O boletim de voto na sua caixa selada era essa arma. Durante cerca de 150 anos, funcionou.

Por que a caixa funcionava — e o que a caixa não podia fazer

Compreenda o que o voto secreto realmente garante, porque isto é importante para tudo o que se segue.

Garante impossibilidade de ligação. A sua identidade fica no registro — assinou, recebeu um boletim, o seu nome foi riscado — mas a partir do momento em que entrou naquela cabina, ninguém podia ligar você ao seu voto. O papel marcado e a pessoa que o marcou foram formalmente separados. Essa separação era o ponto inteiro.

A caixa de votos selada também fornecia outra coisa: um registro durável e físico. Após a contagem, os boletins eram retidos. Se um resultado era contestado, a prova existia. Podia-se abrir as caixas e contar novamente. O papel era o trilho de auditoria.

Estas são duas propriedades de segurança diferentes — e puxam em direções diferentes.

Sigilo significa que ninguém pode provar como votou.

Verificabilidade significa que alguém pode verificar que a contagem estava correta.

O boletim de voto selado entrega ambos, mas apenas sob condições físicas específicas: que a cabina era verdadeiramente privada, que a caixa era verdadeiramente selada, que a cadeia de custódia era verdadeiramente ininterrupta da cabina até à contagem.

Quebre qualquer uma dessas condições e uma ou ambas as propriedades desabam. A anulação do Tribunal Constitucional Austríaco em 2016 de uma segunda volta presidencial ilustra o lado da verificabilidade: cerca de 77.000 envelopes de votos postais foram abertos prematuramente e por pessoas não autorizadas, um número excedendo a margem vencedora de 30.000 votos. O tribunal não encontrou fraude. Anulou a eleição de qualquer forma — porque uma cadeia de custódia quebrada em números que podia ter afetado o resultado é uma cadeia de custódia que destruiu a verificabilidade. A prova de como esses votos chegaram não podia ser confiável.

O caso austríaco era sobre o lado da verificabilidade da caixa a falhar. A ameaça moderna com telemóveis é sobre o lado do sigilo a falhar. E uma vez que o sigilo falha, o mercado de votos reabre.

Albânia, Geórgia, e a prova viva de que isto não é história

Se o proprietário a observar inquilinos na votação parece um romance de Dickens, considere o que observadores internacionais registaram em 2021.

O organismo de monitorização de eleições da OSCE — um dos mais cuidadosos e menos partidários do mundo — publicou o seu relatório final sobre as eleições parlamentares de 25 de abril de 2021 na Albânia. Documentou que "alegações de compra de votos por partidos políticos foram generalizadas durante a campanha, levando a várias investigações". Encontrou "abuso de recursos do Estado e pressão sobre eleitores". Entre as suas recomendações: garantir o direito a um voto livre e secreto e "prevenir qualquer forma de pressão sobre eleitores para divulgarem se e como votaram".

Prevenir eleitores de divulgarem como votaram. Essa é uma solução do século dezanove a ser prescrita numa democracia do século vinte e um.

Três anos depois, o mesmo organismo analisou as eleições parlamentares de 26 de outubro de 2024 na Geórgia e encontrou algo pior. Observadores registaram "compromissos potenciais" do sigilo do voto em 24 por cento das suas observações devido a como os boletins eram inseridos nas caixas, em 12 por cento devido a como os eleitores marcavam os boletins, e em 7 por cento devido a layouts de postos de votação inadequados. A manchete: questões com o sigilo do voto foram assinaladas em mais de 30 por cento das observações. A missão concluiu que estas questões "impactaram negativamente a integridade das eleições e erosionaram a confiança pública".

Trinta por cento. Não trinta por cento de fraude. Trinta por cento dos momentos observados em que a escolha de um eleitor era, ou plausivamente podia ter sido, observada por outra pessoa. A arquitetura que era suposta tornar coação estruturalmente impossível estava estruturalmente a falhar — não porque a lei fosse má mas porque o processo físico não podia impor o que a lei requeria.

Isto não está confinado a países fora da Europa Ocidental. O relatório de 2023 da OSCE sobre a Bulgária — um membro pleno da União Europeia — registou "preocupações persistentes sobre compra de votos e votação controlada", encontrou sigilo comprometido em 7 por cento das suas observações no dia da eleição, e notou que agências de aplicação da lei disseram à missão que "obter prova de compra de votos continua desafiador e que a maioria dos casos não progride além da fase pré-julgamento".

A transação continua a existir. Os recibos apenas são mais difíceis de recolher.

A câmara do telemóvel é o novo livro de votos

Agora adicione um smartphone.

Em 2016, um tribunal de apelação federal dos EUA foi convidado a decidir se os eleitores podiam fotografar os seus próprios boletins marcados. New Hampshire tinha banido selfies de boletins. A defesa do Estado, revista em Rideout v. Gardner, 838 F.3d 65 (1st Cir. 2016), era precisa: reformas do voto secreto foram adotadas para "combater compra de votos generalizada e intimidação de eleitores", práticas que dependem de um comprador ou coator conseguir verificar o voto. Uma fotografia de um boletim marcado permite a um eleitor provar — a um terceiro, sob demanda, com precisão — exatamente como votou.

O tribunal anulou a proibição com base no Primeiro Emenda, não encontrando evidência recente de que fotos de boletins tivessem realmente promovido compra de votos naquele Estado.

Mas repare no que o tribunal não contestou. Aceitou o mecanismo inteiramente. Uma fotografia do seu boletim marcado é funcionalmente um recibo do seu voto. O desacordo do tribunal com New Hampshire era sobre se, nos fatos atuais, esse recibo estava a ser resgatado — não sobre se o recibo podia ser usado dessa forma se alguém quisesse usá-lo.

Essa é a porta teórica que uma câmara de telemóvel tem aberta. E é uma porta que já está a ser empurrada na prática.

O relatório de 2017 da OSCE sobre o Quirguistão recomendou que as autoridades "prevenham qualquer forma de pressão sobre eleitores para divulgarem como votaram". O relatório de 2025 sobre a Macedónia do Norte assinalou "rastreamento de eleitores no e ao redor do dia da eleição" — organizações a registarem quem votou e a acompanharem para verificar conformidade. Num ambiente onde um eleitor pode ser pedido para enviar uma foto do seu boletim marcado para confirmar entrega, a câmara do telemóvel não é uma novidade inofensiva. É o livro de votos do proprietário, em miniatura.

Penas criminais ajudam nas margens. Os tribunais podem anular proibições de selfies ou mantê-las. Mas a perseguição requer prova, prova é difícil de recolher, e — como a aplicação da lei da Bulgária disse à OSCE — a maioria dos casos nunca passa da fase pré-julgamento. Lei penal é um balde lento e com furos para um problema que é arquitetónico por natureza.

O Ballot Act 1872 não resolveu a compra de votos tornando-a mais ilegal. Suborno aberto era já ilegal. Resolveu-o tornando verificação impossível. Retire o mecanismo de verificação e a ilegalidade torna-se inexequível. Restaure o mecanismo de verificação — através de uma câmara, através de design de boletim que permite a um eleitor provar a sua escolha, através de screening inadequado da cabina — e o mercado reabre.

O problema mais difícil: votação postal, remota e ativada por telemóvel

Toda a expansão do boletim fora da cabina privada reintroduz o risco de verificação. A cabina não era uma inconveniência. Era o perímetro de segurança.

A eleição do tribunal de Tower Hamlets em 2015 anulou a eleição do presidente da câmara de Londres parcialmente por fraude e suborno de votos postais — práticas que prosperam precisamente quando o boletim sai do ambiente controlado do posto de votação. A votação postal move o boletim para uma mesa de cozinha, um local de trabalho, uma antessala de proprietário, qualquer sítio onde o eleitor pode ser observado, ajudado, ou coagido. A cabina selada desaparece. A garantia de sigilo é agora processual e legal em vez de física.

O 9º Distrito da Carolina do Norte em 2018 produziu o resultado raro de uma eleição da Câmara dos EUA ser anulada por fraude — construída sobre um esquema envolvendo boletins de ausência recolhidos e manipulados por um operário da campanha. A cadeia de custódia entre eleitor e caixa de votos tinha sido quebrada. A solução, após investigação e acusações, foi uma nova eleição.

Novas eleições são caras. São disruptivas. São o último recurso de um sistema cuja arquitetura preventiva falhou.

Votação pela Internet remove a cabina inteiramente e deixa o eleitor no seu telemóvel ou portátil, que podem ser monitorados, capturados em imagem, e usados para produzir prova de um voto que um comprador ou coator pode depois verificar. Os testes de votação pela Internet noruegueses — executados em 2011 e 2013 — foram descontinuados em 2014. A conclusão do ministério: confiança que votos não seriam alterados não podia ser segura, e a conveniência não entregava o benefício de participação prometido. A Noruega silenciosamente afastou-se de um sistema que não podia garantir o que a caixa de votos de 1872 garantiu por design físico.

Nada disto é um argumento contra conveniência na votação. É um argumento para ser preciso sobre o que a cabina realmente faz e o que deve ser preservado, em qualquer sistema, para a substituir.

O que "boletim não verdadeiramente secreto" realmente significa — e quem paga o preço

Quando um observador internacional escreve que o sigilo do boletim foi comprometido em 24 por cento de visitas a postos de votação, não estão a descrever uma tecnicidade legal. Estão a descrever um mercado em que um comprador ou coator pode, com fiabilidade razoável, verificar entrega de um voto comprado ou coagido. Estão a descrever uma eleição cuja margem pode ter sido produzida não por escolhas livres mas por transações verificadas.

E aqui está a conclusão incómoda que nenhuma declaração oficial alcança: não pode verificar a integridade de uma eleição que não pode garantir o sigilo de votos individuais, porque coação e compra de votos operam precisamente na margem de eleições próximas.

A solução não pode estar limitada a treinar funcionários de votação para posicionar ecrãs melhor, embora isso ajude. Não pode estar limitada a processar aqueles que são apanhados, embora seja importante. A solução que é durável é a mesma solução que o Ballot Act 1872 atingiu: desenhe o processo para que verificação seja estruturalmente impossível.

Isto significa cabinas físicas com verdadeiro isolamento visual. Significa manipulação de boletins que quebra a ligação entre a pessoa e o papel antes de qualquer outra pessoa ver o papel. Significa marcos de votação postal e remota que são honestos sobre a sua exposição e que constroem controlos técnicos compensatórios — incluindo, onde o risco o justifica, rejeitar conveniência em favor de segurança.

E — o ponto que conecta isto a todos os outros problemas em tecnologia eleitoral — significa resultados legíveis por máquina ao nível do recinto publicados no momento em que são finais, para que qualquer um possa verificar a contagem agregada mesmo quando o boletim individual deve manter-se secreto. Sigilo e verificabilidade não são opostos. São duas garantias separadas que um sistema bem desenha entrega simultaneamente. Sacrifique qualquer uma e está de volta em 1871, esperando que o proprietário não esteja a observar.

O que ainda não é verificável, por si ou por ninguém, na maioria das jurisdições:

  • Se a cabina em que votou estava visualmente isolada do ângulo de todas as outras pessoas na sala.
  • Se o papel de voto que marcou podia ter sido visto enquanto o dobrava.
  • Se as pessoas a gerir esse posto de votação tinham uma lista completa e documentada de verificação para sigilo físico, verificada e assinada por um observador independente.
  • Se algum eleitor naquele recinto foi fotografado votando por alguém posicionado fora da área protegida.

Nada disso está no relatório de resultados oficial. Nada disso pode ser reconstruído depois do facto. O momento físico na cabina é, por design, não registado — o que é exatamente como deve ser. Mas não registado também significa não verificável. E não verificável significa que está, mais uma vez, a estender confiança.

O proprietário em 1871 sabia como os seus inquilinos votaram porque o processo permitia-lhe descobrir. A caixa de votos tirou isso. A pergunta que vale a pena fazer sobre cada arranjo de votação hoje é simples: este design torna possível para alguém descobrir como votei? Se a resposta é sim — se uma câmara, um arranjo postal, uma cabina inadequadamente protegida, ou um sistema online entrega essa possibilidade a qualquer um — então não estamos a construir sobre 1872. Estamos a demolir.

Leia a versão de dois minutos deste argumento em /simple. Veja onde a lacuna de "boletim não verdadeiramente secreto" aparece em diferentes países no nosso mapeamento global em /atlas. O índice completo de lacunas está em /gaps.

Fontes

Ver todos os artigosExplorar as lacunas