← Todos os artigos17 de julho de 2026

A Irlanda comprou um sistema nacional de voto eletrónico e depois não conseguiu provar que funcionava

A Irlanda gastou milhões em máquinas de votação que ficaram armazenadas num armazém durante cinco anos, até serem sucatadas — porque uma comissão independente não conseguiu provar que funcionavam.

É a primavera de 2004, e um armazém algures na Irlanda guarda o futuro da democracia irlandesa — ainda na embalagem original.

O governo irlandês tinha adquirido aproximadamente 7.500 máquinas de votação e contagem eletrónicas Nedap/Powervote. O negócio custou dezenas de milhões de euros. As máquinas tinham passado os testes do próprio fornecedor. As eleições estavam marcadas. O pessoal das mesas de voto tinha sido treinado. O governo estava pronto.

Havia um problema. Uma Comissão Independente sobre Votação Eletrónica tinha sido solicitada para rever o sistema. E quando o examinou de perto, não conseguiu afirmar que as máquinas funcionavam.

Não "as máquinas estão avariadas". Não "encontrámos fraude". Algo mais perturbador do que um ou outro: não conseguimos satisfazer-nos, no grau de confiança exigido, de que funcionam.

Essa frase — medida, técnica, devastadora — foi a que travou um programa nacional inteiro de voto eletrónico. As máquinas foram guardadas. Em 2009 foram formalmente sucatadas. E a questão que a Comissão levantou nunca desapareceu.

"Não provado" não é o mesmo que "adequado"

O Relatório Provisório de 2004 da Comissão sobre Votação Eletrónica não foi uma teoria da conspiração. Não foi um ataque político. Foi um grupo de especialistas independentes encarregues de uma pergunta específica: conseguimos verificar, para nossa satisfação, que este sistema é preciso e secreto?

A resposta deles: não.

A Comissão foi explícita que a sua conclusão não era uma constatação de que o sistema não funcionaria. Era uma constatação de que o sistema não tinha sido provado para a satisfação da Comissão que funcionaria. Esse é um padrão diferente e mais rigoroso — e é o correto.

Precisão significa: cada voto dado torna-se o voto contado? Sigilo significa: ninguém consegue ligar um boletim ao eleitor que o votou? Essas não são exigências técnicas exóticas. São as duas propriedades inegociáveis de uma eleição legítima. E a Comissão, após examinar o sistema Nedap/Powervote conforme apresentado, não conseguiu confirmar nenhuma delas para sua própria satisfação.

O Relatório Provisório da Comissão é um documento curto e vale a pena ler na íntegra. O que não diz é tão importante como o que diz. Não diz que o fornecedor mentiu. Não diz que o governo agiu de má fé. Diz: as provas apresentadas não foram suficientes para permitir verificação independente. E para um dispositivo cujo trabalho inteiro é produzir uma contagem confiável, "não independentemente verificável" é um defeito fatal — não uma lacuna menor a ser resolvida com promessas.

As máquinas foram para armazenamento.

O padrão correto deveria ter sido sempre: não implementar sistemas não comprovados

Eis o que a história da Irlanda torna concreto. O fornecedor disse que as máquinas funcionavam. O governo acreditou no fornecedor. Uma compra foi feita, dinheiro foi gasto, treinamento foi conduzido. O sistema estava à beira de ser usado para determinar resultados de eleições reais para milhões de eleitores irlandeses.

E depois um órgão independente fez uma pergunta simples — conseguem provar? — e a resposta foi não.

Essa sequência está de trás para a frente. A prova deve preceder a implementação, não persegui-la. A Comissão irlandesa, para seu crédito, tratou "ainda não provado" como fundamento suficiente para "não usar". Esse é o padrão correto. O ónus da prova repousa sobre o sistema. Uma autoridade eleitoral que não consegue demonstrar, para revisores independentes, que a sua tecnologia é precisa e secreta não satisfez o critério. Simplesmente escolheu não satisfazê-lo antes de entrar em funcionamento.

As máquinas Nedap/Powervote usadas na Irlanda eram do mesmo fabricante cujas máquinas a Alemanha usou na sua eleição federal de 2005 — o voto do Bundestag mais tarde questionado perante o Tribunal Constitucional Federal. Em março de 2009, o tribunal alemão decidiu que máquinas de votação eletrónica cujo funcionamento não pode ser verificado independentemente por cidadãos ordinários, sem conhecimento especializado, violam o princípio constitucional de eleições públicas. A sentença do Bundesverfassungsgericht é cuidadosa e vale a pena ler: não é uma proibição de computadores nas eleições. É um requisito de que, qualquer que seja a tecnologia usada, os cidadãos devem conseguir verificar os passos essenciais da cédula ao resultado por si mesmos. As máquinas Nedap falharam esse teste no tribunal constitucional alemão cinco anos depois que a comissão independente da Irlanda tinha já chegado à mesma conclusão por meios diferentes.

Dois países. Mesmas máquinas. Mesmo veredicto. Nenhum necessitou de provas de uma fraude específica. Ambos chegaram ao mesmo resultado: não verificável é inaceitável.

"Certificado" é uma afirmação, não uma prova

As máquinas tinham passado pelo teste do fornecedor. Alguma versão de um processo de certificação tinha sido executada. O governo irlandês tinha assinado uma procura. Nada disto foi suficiente para a Comissão.

Isto não é uma particularidade do caso irlandês. É a lacuna persistente no cerne da supervisão da tecnologia eleitoral.

Nos Estados Unidos, o GAO reportou em 2005 — na sequência da HAVA, a lei que o Congresso aprovou para modernizar as eleições após o caos de 2000 — que os esforços federais para melhorar a segurança e fiabilidade do voto eletrónico estavam "em andamento mas que atividades-chave permaneciam incompletas". O relatório do GAO constatou que as normas precisavam ser reforçadas, os procedimentos de certificação precisavam ser estabelecidos, os repositórios de software precisavam ser criados. Anos após a crise que motivou a reforma, a maquinaria de garantia ainda estava sendo construída. "Usamos sistemas certificados" era, naquele momento, uma afirmação sobre um processo que ainda não estava completamente operacional.

A certificação, feita adequadamente, é uma verificação significativa. Feita como uma formalidade — um exercício de cumprir caixas por um órgão que não tem o acesso, tempo, ou independência para genuinamente sondar o sistema — torna-se uma responsabilidade. Cria a aparência de garantia sem a substância. E aparências de garantia, nas eleições, são piores do que incerteza admitida: impedem as pessoas de fazer perguntas mais difíceis.

A Comissão irlandesa não tinha o acesso de que precisava. O que lhe foi mostrado não foi suficiente para verificar a precisão ou sigilo do sistema. Essa lacuna — entre o que um fornecedor apresenta e o que um revisor independente consegue realmente verificar — é o que torna as afirmações de certificação dignas de escrutínio em vez de aceitação.

O que "não conseguir verificar o sigilo" realmente significa

Tornemos isto físico por um momento, porque "sigilo" pode soar abstracto.

Uma máquina de votação que não pode ser auditada independentemente para sigilo é aquela em que tem de dar a palavra do fornecedor de que o seu voto não é ligável a si. Na prática, isto significa: se o software registar não apenas qual candidato recebeu um voto mas também um identificador ligando esse voto ao terminal específico, cartão inteligente, ou marca temporal que o produziu, essa informação existe dentro da máquina. Se não conseguir inspecionar o código — e num sistema proprietário, não consegue — não consegue confirmar que não o faz.

Isto não é uma vulnerabilidade hipotética. Em 2006, investigadores de Princeton examinaram uma máquina real Diebold AccuVote-TS e descobriram que código malicioso podia ser instalado em menos de um minuto de acesso físico, e que o código conseguia alterar totalizações de votos enquanto mantinha todos os registos internos consistentes. O seu artigo mostrou um vírus de roubo de votos em funcionamento que se conseguia propagar automaticamente entre máquinas durante a atividade eleitoral normal. Os registos de auditoria pareceriam limpos. Os totais pareceriam plausíveis. Nada de fora conseguiria apanhá-lo.

A Comissão irlandesa não teve de encontrar uma vulnerabilidade específica para chegar à sua conclusão. Teve apenas de não conseguir descartar uma. É assim que a revisão técnica independente é suposta funcionar: o sistema deve demonstrar a sua credibilidade, não meramente afirmá-la. Ausência de um ataque confirmado não é o mesmo que ausência confirmada da possibilidade de ataque.

Os Países Baixos aprenderam a mesma lição, com melhor follow-up

A Irlanda não estava sozinha neste acerto de contas. O governo holandês encomendou a sua própria revisão independente — a Comissão Korthals Altes — que reportou em setembro de 2007 sob o título Stemmen met vertrouwen: "Votação com confiança". As suas conclusões foram inequívocas.

A Comissão estabeleceu que não há segredos no processo eleitoral — significando que a mecânica de como os votos são dados e contados deve ser observável e verificável, não escondida em firmware. Concluiu que cédulas em papel numa assembleia de voto são preferíveis do ponto de vista da transparência e verificabilidade, e que qualquer método eletrónico é aceitável apenas se produzir um registo em papel que o eleitor consegue inspecionar.

O relatório da comissão holandesa chegou à sua conclusão após controvérsia pública, depois que ativistas chamando "Não confiamos em computadores de votação" demonstraram ao vivo como facilmente as máquinas vazavam sinais de rádio que conseguiam revelar como alguém tinha votado. A regulação de 1997 aprovando máquinas de votação foi revogada. Os Países Baixos voltaram para papel e contagem manual.

O que os Países Baixos fizeram que a Irlanda, argumentavelmente, não teve a oportunidade de fazer — porque as máquinas foram paradas antes da implementação — foi tornar o compromisso político explícito e duradouro. O padrão mudou. O ónus da prova mudou de "prove que a máquina está avariada" para "prove que a máquina pode ser verificada independentemente". Quando essa prova não conseguiu ser fornecida, a resposta foi papel.

O problema mais profundo: quem fica a decidir o que "provado" significa?

Eis a questão que o caso da Irlanda deixa aberta, e não é confortável.

A Comissão sobre Votação Eletrónica existia porque alguém decidiu criá-la. Um órgão independente foi habilitado a dizer "ainda não". Na Irlanda em 2004, esse mecanismo existia e foi usado. As máquinas foram paradas.

Mas esse resultado não era estruturalmente garantido. Dependia de um governo disposto a encomendar uma revisão genuinamente independente, uma comissão independente disposta a chegar a uma conclusão inconveniente, e um ambiente político que aceitasse essa conclusão em vez de a anular. Remova qualquer um desses três elementos e as máquinas entram em funcionamento. As eleições são decididas por um sistema que ninguém fora dos escritórios do fornecedor verificou de forma significativa. Os resultados são anunciados. Os funcionários dizem que o sistema é certificado. E a questão de saber se realmente funciona desaparece no arquivo.

Esse é o risco vivo em cada jurisdição que usa tecnologia de votação fechada e proprietária: a infraestrutura de verificação é opcional e episódica, não estrutural e contínua. Uma comissão independente pode ser criada ou não. Uma revisão pode ser financiada generosamente ou dada um fim de semana e uma pilha de PDFs. Uma constatação inconveniente pode ser aceite ou silenciosamente enterrada.

O remédio não é confiar que a comissão certa será criada no momento certo. O remédio é construir sistemas onde a prova não é mantida dentro de uma caixa preta proprietária do fornecedor mas é inspecionável publicamente, verificável matematicamente, e verificável por qualquer um — não apenas pelos especialistas que o governo escolhe contratar este ciclo particular.

O sistema VSAP de Los Angeles County, certificado pelo Secretário de Estado da Califórnia em 2018, é um exemplo concreto de uma direção diferente: código proprietário público, de código aberto que especialistas externos conseguem inspecionar em vez de serem meramente informados. Isso não é uma solução completa — implementação, cadeia de custódia, e auditorias contínuas são todas importantes — mas remove uma camada central de opacidade. O problema da Comissão irlandesa, dito simplesmente, era que o fornecedor controlava o que a Comissão conseguia ver. Código de código aberto não consegue jogar esse jogo.

O que o armazém irlandês realmente nos ensina

As 7.500 máquinas ficaram. Nunca foram usadas. Foram eventualmente vendidas para sucata — relata-se que o estado irlandês recuperou uma fração do que tinha gasto na sua procura.

A leitura otimista dessa história: o sistema funcionou. Uma comissão independente fez o seu trabalho, chegou a uma conclusão honesta, e o governo ouviu. Nenhuma eleição foi jamais executada num sistema não verificado. A democracia foi protegida.

A leitura honesta: a Irlanda teve sorte — sorte em ter criado uma comissão com verdadeira independência, sorte de a comissão ter a coragem de dizer "não", sorte de o custo político de anular esse veredicto ter sido demasiado elevado.

Um sistema que depende de sorte não é um sistema. É uma série de coisas que conseguem correr mal.

A lição real das máquinas Nedap/Powervote sentadas nas suas caixas não abertas não é que a Irlanda fez a chamada correta — embora tenha feito. A lição é que a chamada correta necessitou de uma cadeia de verificações independentes e institucionais que facilmente conseguiam não ter estado lá.

O padrão para um sistema não comprovado deve ser: não implementar. Não "implementar e auditar mais tarde". Não "implementar e confiar no fornecedor". Não "implementar e esperar por um problema surgir". Não implementar. O ónus da prova está na tecnologia, e deve ser descarregado antes dos votos serem dados — por revisores independentes com acesso genuíno, não pela documentação do próprio fornecedor.

E "verificação independente" não consegue significar uma única comissão, convocada uma vez, cuja conclusão consegue ser aceite ou ignorada. Deve significar provas publicadas, legíveis por máquina, verificáveis criptograficamente que qualquer observador qualificado — não apenas os que o governo contratou — consegue inspecionar a qualquer altura.

Até esse critério ser satisfeito, "o sistema é certificado" é uma frase que merece exatamente tanta confiança quanto a Comissão irlandesa lhe deu.

Que é dizer: não muita, de forma alguma.

Quer ver como a lacuna de 'certificação não verificada' se desenrola em todo o mundo? Explore o nosso atlas global de eleições. Ou leia a versão de dois minutos de porque as afirmações de certificação necessitam de escrutínio independente: as lacunas, explicadas. Para uma perspetiva mais profunda do que a votação verificável realmente exige, comece aqui.

Fontes

Ver todos os artigos Explorar as lacunas