← Todos os artigos9 de agosto de 2026

A Índia manteve as suas máquinas de votação — mas reforçou a verificação em papel. Porquê?

O Supremo Tribunal da Índia recusou-se a desativar as suas máquinas de votação — e imediatamente ordenou selos de papel mais fortes e verificações aleatórias independentes. Essa tensão diz-lhe tudo sobre o que a "confiança" realmente exige.

É a manhã de 26 de abril de 2024, e em algum lugar de Nova Deli, um tribunal de dois juízes do Supremo Tribunal da Índia acabou de terminar a leitura de 102 páginas de petições pedindo-lhe algo dramático: desativar todo o sistema eletrónico de votação do país, ou, no mínimo, exigir que cada um dos boletins de papel gerados por cada máquina de votação seja contado à mão.

Os peticionários — a Associação para as Reformas Democráticas e outros — não eram teóricos da conspiração. Estavam a apontar para uma questão estrutural genuína: numa eleição envolvendo aproximadamente 970 milhões de eleitores elegíveis num país de dimensão continental, quanto da contagem eletrónica é que qualquer cidadão pode verificar de forma independente?

O tribunal disse não a ambas as exigências.

E depois ordenou imediatamente selos de papel mais fortes, armazenamento seguro obrigatório e um novo mecanismo de resolução de disputas ligado ao rasto de papel.

Essa combinação — manter as máquinas, reforçar a verificação em papel — é digna de reflexão. Porque contém um argumento que percorre todas as democracias que alguma vez tentaram executar uma eleição num computador.

O que as máquinas da Índia realmente fazem, e o que o tribunal realmente disse

As Máquinas de Votação Eletrónica (EVMs) da Índia são dispositivos autónomos e não ligados em rede. Não estão ligadas à internet. Não executam software comercial. A Comissão Eleitoral da Índia descreve-as como unidades de propósito específico, resistentes à manipulação. Desde 2013, o sistema foi combinado com um Rasto de Auditoria de Papel Verificável pelo Eleitor — um VVPAT — uma pequena impressora atrás de uma janela de vidro que mostra, durante sete segundos, um boletim de papel com o símbolo do partido e o nome do candidato que a máquina registou. O boletim cai numa caixa selada que o eleitor não pode tocar.

Em Association for Democratic Reforms v. Election Commission of India (2024 INSC 341, sentença de 26 de abril de 2024), o Supremo Tribunal da Índia recusou-se a ordenar um retorno aos boletins de papel ou uma contagem manual a 100% dos boletins VVPAT. O regime existente — verificação manual obrigatória dos boletins VVPAT em cinco estações de votação aleatoriamente selecionadas por círculo — sobreviveu.

Mas o tribunal não simplesmente disse "confiamos na Comissão Eleitoral". Emitiu direções concretas:

As Unidades de Carregamento de Símbolos (SLUs) — os dispositivos utilizados para carregar símbolos de candidatos e partidos nas EVMs antes de uma eleição — devem ser seladas e asseguradas após o processo de carregamento de símbolos e armazenadas por um mínimo de 45 dias após a declaração de resultados.
Os candidatos podem, mediante pagamento de uma taxa, solicitar verificação do microcontrolador de memória apagada em 5% das EVMs num círculo, em caso de disputa.

Leia essas duas diretivas cuidadosamente. O tribunal não estava a dizer que as máquinas estão bem, confiem em nós. Estava a dizer: seleem os dispositivos que tocam as máquinas antes da votação, mantenham-nos disponíveis para verificação depois, e deem aos candidatos perdedores um mecanismo para contestar a contagem com base em evidência física de hardware.

Mesmo uma sentença que manteve o sistema eletrónico apoiou-se, em cada momento ansioso, na lógica da verificabilidade independente, baseada em papel e hardware.

Esse é o argumento. Não é o argumento da Índia — é o argumento de todos.

A pergunta a que todo tribunal em todo o país acaba por chegar

Em março de 2009, oito juízes em Karlsruhe, Alemanha chegaram ao que é agora a declaração judicial mais clara do princípio essencial. O Tribunal Federal Constitucional da Alemanha, analisando o uso de computadores de votação Nedap na eleição de 2005 para o Bundestag, decidiu que a votação eletrónica é apenas legítima quando "os passos essenciais da votação e da determinação do resultado podem ser examinados pelo cidadão de forma fiável e sem qualquer conhecimento especializado."

Não por um perito certificado. Não pela autoridade eleitoral. Por um cidadão.

As máquinas armazenavam votos apenas em memória eletrónica, sem qualquer registo independentemente verificável que um eleitor pudesse verificar. Falharam no teste. A Ordenança de Máquinas de Votação Federal foi declarada inconstitucional.

O Supremo Tribunal da Índia em 2024 estava a lidar com a mesma pergunta em escala muito maior, com uma arquitetura de máquina diferente, e chegou a uma conclusão diferente — mas note o que preservou em ambas as direções: o boletim de papel que o eleitor vê cair na caixa, e o registo de hardware que um círculo contestado agora pode solicitar examinar. O tribunal traçou uma linha entre confiar numa máquina e ter algo contra o qual verificar a máquina.

Essa linha não é uma invenção da Índia. É o mínimo irredutível que todo tribunal nacional sério acabou por exigir.

O que acontece quando não há nada para verificar

O caso do Condado de Sarasota, Flórida de 2006 permanece como o exemplo mais claro do que a ausência de um rasto de papel realmente lhe custa. Aproximadamente 18 000 boletins na Flórida 13.º Distrito do Congresso não mostraram nenhuma opção registada na eleição — uma taxa de voto em branco de 13% em máquinas de ecrã tátil ES&S iVotronic sem papel. A eleição foi decidida por 369 votos. A GAO testou os sistemas e não conseguiu identificar uma avaria da máquina, mas notou que um rasto de papel verificável pelo eleitor poderia ter fornecido confirmação independente de que os ecrãs táteis registaram os votos corretamente.

Não havia nada para recontar. Nenhum boletim numa caixa. Nenhum artefato físico que o eleitor tivesse visto produzir. As máquinas disseram o que disseram, e não havia camada independente para interrogar.

Uma máquina que não deixa rasto verificável não é um sistema de contagem. É uma declaração.

O regime VVPAT da Índia, sejam quais forem as suas limitações, é uma rejeição estrutural desse resultado. O boletim de papel existe. A pergunta que o Supremo Tribunal estava a adjudicar não era se ter um rasto de papel, mas quanto desse rasto deve ser verificado à mão, e em que condições o hardware subjacente pode ser examinado.

Esse é um argumento real digno de ser tido. Não é o mesmo argumento que se ter alguma verificação em tudo.

Porquê a amostra de cinco estações de votação é uma tensão genuína, não uma resposta confortável

O tribunal manteve o requisito de que os boletins VVPAT sejam contados à mão em cinco estações de votação aleatoriamente selecionadas por círculo. A Índia tem milhares de círculos. A amostra é pequena.

Os críticos da sentença — e os peticionários perante o tribunal — argumentaram que uma amostra aleatória pequena não pode fornecer a confiança estatística necessária para certificar um resultado próximo. Essa é uma objeção técnica legítima, não uma marginal.

Compare a abordagem do Colorado: em 2017, o Colorado tornou-se o primeiro estado dos EUA a completar uma auditoria de limitação de risco em todo o estado, um método que dimensiona a sua amostra de verificação manual à proximidade da eleição. Uma vitória esmagadora precisa de uma amostra pequena para confirmar. Um resultado muito próximo exige muitos mais boletins examinados à mão. A RLA oferece confiança estatística definida; uma amostra fixa de cinco estações não oferece, e numa eleição próxima, a matemática interessa.

A resposta do tribunal indiano não é que cinco estações é ideal. A sua resposta é que a arquitetura de resolução de disputas — SLUs seladas, armazenadas por 45 dias, com verificação de microcontrolador disponível sob solicitação — fornece uma camada diferente de verificação que a amostra de cinco estações sozinha não oferece.

Se essa camada é suficiente é uma pergunta técnica que a sentença não resolve completamente. Essa pergunta não resolvida não é um defeito neste argumento — é precisamente a pergunta que dá à sentença a sua tensão.

O tribunal manteve as máquinas. Adicionou verificações de disputas ao nível de hardware. Não forneceu uma garantia matemática de confiança estatística em eleições próximas. Essas três coisas são simultaneamente verdadeiras, e qualquer pessoa que lhe diga que apenas uma delas está a contar-lhe uma história confortável.

O problema mais profundo: o que "verificado" realmente significa numa janela de sete segundos

Aqui está a parte que a sentença do tribunal deixa genuinamente aberta, e que vale a pena nomear claramente.

O boletim VVPAT aparece atrás de uma janela de vidro durante sete segundos. O eleitor vê-o. Depois cai numa caixa selada.

O que o eleitor verificou é que o boletim imprimiu corretamente. Eles não verificaram que a máquina contabilizou esse boletim corretamente. O boletim vai para uma caixa selada que é contada à mão apenas nas estações amostradas.

Nos Estados Unidos, um tribunal federal em Atlanta fez uma observação estruturalmente similar em 2020. Em Curling v. Raffensperger, analisando os dispositivos de marcação de boletim Dominion da Geórgia, o tribunal descobriu que o sistema "não fornece um registo de boletim verificável e auditável porque depende do código QR para a contabilização de votos e esse código em si não pode ser lido e verificado pelo eleitor". O registo de papel existia. O artefato de contabilização — o código QR — não era legível para humanos.

A situação da Índia é diferente em arquitetura: o boletim VVPAT é legível para humanos, e a contabilização acontece na própria EVM em vez de ser codificada num código de barras. Mas a pergunta estrutural é a mesma: o artefato que o eleitor verifica e o artefato que determina a contagem devem ser o mesmo artefato, e a ligação entre eles deve ser independentemente verificável.

O novo mecanismo de verificação de microcontrolador do tribunal indiano é um passo no sentido de tornar essa ligação verificável em casos contestados. Não é um mecanismo de verificação pública geral disponível a qualquer cidadão como questão de direito.

Essa lacuna — entre o que um tribunal pode ordenar como remédio e o que um sistema deveria fornecer como padrão — é onde o verdadeiro argumento de design vive.

O que um sistema construído para verificabilidade seria

A sentença indiana, o padrão constitucional alemão, e o relatório da comissão do governo holandês de 2007 (que devolveu os Países Baixos aos boletins de papel nas razões explícitas de que as eleições devem ser transparentes e verificáveis) apontam todos para a mesma especificação.

Uma contagem digna de confiança requer:

Um registo físico verificável pelo eleitor, legível para humanos — não uma janela de sete segundos, mas um artefato durável que o eleitor confirma e o sistema retém.
Um protocolo de auditoria pública que é estatisticamente projetado para detetar resultados errados, dimensionado à margem, não à conveniência.
Cadeias de custódia de hardware e software que são seladas, registadas e independentemente verificáveis — não apenas por candidatos que pagam uma taxa, mas como questão de registo público transparente.
Publicação instantânea de resultados ao nível da assembleia de voto em formatos legíveis por máquina que qualquer pessoa possa descarregar e reconciliar contra o papel.

Nenhuma dessas quatro coisas exige abandonar a votação eletrónica. O tribunal da Índia não disse abandonar. O tribunal da Alemanha não disse abandonar — disse tornar verificável por cidadãos comuns. A comissão holandesa não disse que a tecnologia está errada — disse que a transparência e verificabilidade são inegociáveis, e o papel atualmente as entrega melhor.

A linha transversal em todas as jurisdições não é uma preferência por papel sobre silício. É uma exigência de que o sistema produza evidência que o público possa examinar independentemente — evidência que não pede a ninguém para confiar na autoridade que declara o vencedor.

O Brasil executa testes de segurança adversariais públicos oficiais nas suas urnas, convidando qualquer pessoa cujo plano de teste seja aprovado a tentar quebrar o sistema. O Condado de Los Angeles construiu um sistema de contagem público de propriedade aberta especificamente para que outsiders pudessem inspecionar o código. O Colorado projetou a sua auditoria para entregar confiança estatística, não apenas aparências.

Nenhum desses é "boletins de papel são mágicos". Todos eles são "aqui está a evidência; venha verificar por si mesmo".

O que ainda não está resolvido — e o que o tornaria verificável

A sentença de abril de 2024 da Índia é um ponto de dados significativo, não uma conclusão resolvida.

Aqui está o que permanece genuinamente aberto:

A amostra de cinco estações VVPAT não foi demonstrada como fornecendo suficiente confiança estatística numa eleição de círculo próximo. Nenhum tribunal ou autoridade eleitoral indiano publicou uma análise matemática demonstrando que risco de resultado falso a amostra atual aceita.
O mecanismo de verificação de microcontrolador está disponível apenas para candidatos, apenas em casos contestados, apenas mediante pagamento, e apenas em 5% das EVMs. É um remédio legal, não uma auditoria pública transparente.
O requisito de selagem SLU é uma melhoria de cadeia de custódia. Se os selos são independentemente registados, quem tem custódia dos registos, e como uma discrepância seria surfacida e adjudicada não é publicamente especificada na sentença.
O software EVM permanece fechado. Nenhum investigador independente publicou uma análise de segurança revista por pares de EVMs atuais indianas comparável à análise da equipa de Princeton de 2006 do Diebold AccuVote-TS, ou a análise de votação eletrónica estoniana que identificou riscos de manipulação indetectável.

O que tornaria tudo isto independentemente verificável?

Publique os cálculos de tamanho de amostra. Publique os registos de custódia de selos. Abra o firmware EVM para análise criptográfica independente. Exija que a contagem de boletim VVPAT de cada círculo seja publicada em relação ao seu total de EVM ao nível da assembleia de voto, num formato legível por máquina que qualquer cidadão possa descarregar e verificar.

O tribunal moveu o indicador. O indicador ainda não está em "qualquer pessoa pode verificar".

Isso não é uma acusação. É uma especificação de design — e é a mesma especificação que a Alemanha articulou em 2009, a mesma que o Supremo Tribunal do Quénia aplicou em 2017 quando anulou uma eleição presidencial porque a cadeia de resultados não podia ser independentemente rastreada, e a mesma que faz a diferença entre uma eleição que pode verificar e uma eleição em que é pedido que confie.

Confiança não é o objetivo. Verificabilidade é. Não são a mesma coisa.

Veja onde essa lacuna aparece em eleições em todo o mundo · Leia a versão de dois minutos · Explore o arquivo completo de casos

Fontes

Ver todos os artigos Explorar as lacunas