← Todos os artigos

Um tribunal supremo anulou uma eleição presidencial porque ninguém conseguia verificar os números

O Tribunal Supremo do Quénia não apenas anulou uma eleição — declarou que um resultado que ninguém consegue rastrear independentemente desde a assembleia de voto até à contagem nacional não é um resultado.

É a manhã de 1 de setembro de 2017, e o Tribunal Supremo do Quénia acabou de fazer algo que nenhum tribunal na história africana havia feito antes: anular uma eleição presidencial.

Não por causa de um golpe. Não por causa de violência nas assembleias de voto. Porque os números não conseguiam ser rastreados.

Raila Odinga tinha perdido para o incumbente Uhuru Kenyatta por aproximadamente 1,4 milhões de votos — uma margem suficientemente ampla para, poderia pensar-se, falar por si própria. Mas o tribunal não concordou. Por uma maioria de 4-2, anulou completamente o resultado e ordenou uma nova eleição no prazo de sessenta dias. Os motivos completos, publicados em 20 de setembro de 2017, merecem ser analisados com atenção. O tribunal decidiu que a Comissão Independente de Eleições e Fronteiras tinha falhado no cumprimento do requisito constitucional de que a votação fosse simples, precisa, verificável, segura, responsável e transparente. Não uma dessas palavras — todas elas.

A margem não era o ponto. A cadeia era.

A cadeia que se partiu

O sistema do Quénia era, teoricamente, um modelo de administração eleitoral moderna. Cada uma das aproximadamente 40 000 assembleias de voto do país deveria preencher um Formulário 34A — uma folha de resultados à prova de falsificação capturando a contagem nessa assembleia. Esse formulário deveria ser transmitido eletronicamente e simultaneamente para o centro nacional de contagem, e uma cópia física deveria seguir através dos escalões de circunscrição e condado nos Formulários 34B e 34C.

A ideia era elegante: cada número no topo deveria ser reconstruível a partir dos números na base. Qualquer cidadão com acesso aos formulários brutos poderia, em princípio, somá-los e verificar o total nacional de forma independente.

Mas o tribunal descobriu que nem todos os Formulários 34A tinham sido transmitidos conforme exigido pela lei. Descobriu que os formulários de resultados careciam de características de segurança consistentes. O formulário final de contagem — o documento anunciando quem seria presidente — não tinha marca de água nem número de série. E o presidente da IEBC tinha declarado Kenyatta vencedor antes de todos os formulários subjacentes terem chegado.

Pense no que isso significa fisicamente. Em algum lugar em Nairobi, um funcionário estava em frente às câmaras e anunciou o vencedor de uma eleição presidencial enquanto uma pilha de formulários — as próprias provas em que esse anúncio se baseava — ainda estava em trânsito. O topo da cadeia tinha sido declarado antes de a base dela estar montada.

Isso não é uma contagem. Isso é uma afirmação.

Por que a margem não o salvou

A objeção mais comum que ouvirá ao veredicto do Quénia é: 1,4 milhões de votos. Se a fraude ou erro necessário para virar a eleição teria exigido falsificar mais de um milhão de boletins, não seria o resultado obviamente correto independentemente da documentação?

Esta é a pergunta errada. É a pergunta de quem confia no número. O tribunal estava a fazer uma pergunta diferente: como sabemos qual é o número?

Um resultado eleitoral não é autoverificável. O total anunciado é apenas tão fiável quanto o processo que o produziu. Se os Formulários 34A não foram todos transmitidos, se as características de segurança eram inconsistentes, se o documento final de contagem não tinha número de série — então o total anunciado não é uma soma verificada. É um número que emergiu de um processo opaco e foi declarado correto pela autoridade cujo trabalho é declarar as coisas corretas.

Esta é a distinção que separa uma eleição confiável de uma que pede confiança. Uma eleição confiável permite-lhe verificar. Uma que pede confiança pede-lhe para acreditar.

O tribunal queniano não estava a acusar a IEBC de fraude. Estava a dizer algo mais fundamental: o processo não foi concebido de forma a tornar impossível esconder fraude. E uma eleição que não consegue provar a ausência de fraude não é, em qualquer sentido significativo, provada.

Isto não é apenas uma história africana

Tribunais noutras democracias chegaram à mesma conclusão por uma rota diferente, e vale a pena ser preciso sobre o que as conecta — porque a conexão não é sobre corrupção, ou democracias em desenvolvimento, ou qualquer uma das racionalizações confortáveis a que recorremos quando uma história como a do Quénia nos deixa desconfortáveis.

Em 2009, o Tribunal Constitucional Federal alemão anulou o uso de máquinas de voto eletrónico na eleição de 2005 para o Bundestag. As máquinas armazenavam votos em memória eletrónica sem nenhum registo independente que um eleitor pudesse verificar. O tribunal decidiu que os passos essenciais de votação e de determinação do resultado devem ser examinavelmente pelos cidadãos de forma fiável e sem exigir conhecimento especializado. Não por especialistas. Não pelo governo. Pelo cidadão. As máquinas falharam esse teste, e a ordenança que as permitia foi declarada inconstitucional.

Em 2016, o Tribunal Constitucional austríaco anulou uma segunda volta presidencial — uma com uma margem de aproximadamente 30 000 votos — não porque fraude foi descoberta, mas porque as regras que governavam quem poderia manusear boletins por correio e quando tinham sido quebradas em lugares suficientes para que aproximadamente 77 000 votos fossem afetados. O tribunal explicitou o seu raciocínio: as salvaguardas contra manipulação tinham sido violadas em números capazes de afetar o resultado. Não que manipulação tivesse acontecido. Que não conseguisse ser descartada.

Mesma lógica. Países diferentes. Tecnologias diferentes. O mesmo requisito fundamental: um resultado que ninguém consegue verificar independentemente não é um resultado em que se possa confiar.

No Malawi em 2020, tribunais anularam uma eleição presidencial depois de folhas de contagem oficiais terem sido encontradas alteradas com fluido de correção — corretor aplicado aos números em documentos que se suponha serem à prova de falsificação. Se os documentos fonte podem ser reescritos silenciosamente, não há fonte. O total anunciado torna-se o que a última pessoa com uma garrafa de Tipp-Ex decidiu que deveria ser.

O que "verificável" realmente exige

Estes casos, lidos em conjunto, estabelecem um requisito técnico preciso que é fácil de enunciar e difícil de cumprir.

Verificabilidade significa três coisas simultaneamente:

Primeiro, cada voto deve produzir um registo duradouro e à prova de falsificação no momento em que é lançado — um Formulário 34A, um boletim de papel, uma caixa selada com cadeia de custódia.

Segundo, esse registo deve ser transmitido ou transferido para o próximo nível de agregação de forma independentemente verificável — eletronicamente e simultaneamente, com características de segurança consistentes, não num processo que possa ser interrompido ou alterado entre a assembleia de voto e o centro de contagem.

Terceiro, o total final deve ser reconstruível a partir dos registos fonte por qualquer pessoa — não pela autoridade eleitoral, não por um auditor contratado, mas por qualquer pessoa com tempo e dados.

O sistema do Quénia tinha o conceito correto. Exigia que os Formulários 34A fossem transmitidos eletronicamente e simultaneamente precisamente para que o público pudesse verificar a aritmética. O que lhe faltava era aplicação desse requisito, e — criticamente — uma arquitetura técnica que tornasse o não-cumprimento visível em tempo real em vez de ser descoberto apenas em tribunal semanas depois.

Essa lacuna é a história.

A lacuna entre conceção e verificação

Aqui está a versão mais difícil deste argumento, a que vai além do Quénia.

Um sistema de transmissão de resultados que funciona corretamente produz números que qualquer pessoa consegue verificar. Um sistema de transmissão de resultados que falha silenciosamente — ou que pode ser contornado por um funcionário que declara o vencedor antes de todos os formulários chegarem — produz números que parecem idênticos mas não são verificáveis.

De fora, não consegue dizer qual é qual.

É por isto que "a autoridade eleitoral diz que os resultados estão corretos" não pode ser o fim da análise. A IEBC disse que os resultados estavam corretos. O Tribunal Supremo queniano descobriu que não conseguia verificar essa alegação a partir dos documentos subjacentes. Não porque tenha descoberto fraude — o tribunal não descobriu fraude. Porque os documentos que deveriam ter tornado a alegação verificável estavam em falta, eram inconsistentes, ou chegaram depois do facto.

A mesma lógica aplica-se sempre que um funcionário ou comunicado de imprensa lhe diz que uma auditoria confirmou o resultado. Uma auditoria que audita uma cadeia de transmissão que já estava quebrada não é uma auditoria da eleição — é uma revisão do que quer que tenha chegado ao centro de contagem. Se isso é a totalidade dos votos, a maioria deles, ou uma seleção curada, é exatamente o que a cadeia de custódia se supõe provar.

O Brasil oferece um contrapontos que vale a pena notar: a sua autoridade eleitoral executa um teste público adversarial anual das suas máquinas de voto, convidando qualquer cidadão qualificado a tentar quebrar o sistema antes de boletins reais estarem em risco. Isso não é um comunicado de imprensa. Isso é um compromisso estrutural de escrutínio por outsiders. A lacuna entre essa abordagem e "declaramos os resultados certificados" é a lacuna entre verificabilidade e confiança.

O que teria tornado o resultado do Quénia verificável

A conceção do sistema queniano não estava errada. O requisito constitucional — transmissão eletrónica simultânea dos Formulários 34A de cada assembleia de voto — era exatamente a ideia certa. O que faltava era a aplicabilidade pública desse requisito.

Imagine em vez disso um sistema onde cada Formulário 34A, no momento em que é assinado e digitalizado numa assembleia de voto, é publicado num registo público de apenas-adição — marcado com data/hora, codificado criptograficamente, e disponível para transferência. O agente de qualquer candidato, qualquer jornalista, qualquer eleitor com um portátil consegue somar esses formulários continuamente enquanto chegam. No momento em que o total nacional publicado divergir da soma dos formulários publicados, a discrepância é visível para todos simultaneamente.

Nessa arquitetura, o presidente não consegue declarar um vencedor antes de todos os formulários chegarem — porque a declaração e as provas subjacentes são ambas públicas e uma é provavelmentes inconsistente com a outra. O problema que o tribunal queniano teve de reconstruir após semanas de litígio teria sido visível em tempo real para qualquer pessoa com uma folha de cálculo.

Isto não é uma fantasia. Resultados ao nível de assembleia, em formatos legíveis por máquina, já são publicados em tempo real noutras democracias. A própria orientação da Comissão de Assistência Eleitoral dos EUA insta funcionários a tornar os resultados descarregáveis em formatos comuns para que possam ser reconciliados independentemente. A arquitetura existe. O que varia é se uma determinada jurisdição se comprometeu com ela.

O resultado que nenhum funcionário colocará num comunicado de imprensa

O veredicto do Tribunal Supremo queniano é, no fundo, uma articulação judicial de um princípio que cada sistema eleitoral deveria ser construído desde o primeiro dia: um resultado que ninguém consegue verificar independentemente não é um resultado — é um anúncio.

A diferença entre um anúncio e um resultado é verificabilidade. Não a garantia de verificabilidade. Não a alegada existência de um registo de auditoria. Verificabilidade real, pública, independentemente verificável: documentos fonte que são à prova de falsificação por conceção, transmitidos de forma a tornar a não-transmissão imediatamente visível, e publicados numa forma que qualquer pessoa consegue usar para reconstruir o total sem pedir permissão.

Dois juízes dissentiram no caso queniano, entendendo que o ónus de prova evidentária não tinha sido cumprido. Essa dissensão não é irrelevante — diz-lhe o quão perto o tribunal chegou de aceitar o resultado oficial em confiança em vez de insistir que fosse provado. Num tribunal diferente, num dia diferente, com um padrão de prova diferente, o mesmo processo não verificável poderia ter sido aprovado.

Essa é a versão desta história que deveria o manter acordado à noite. Não o caso onde o tribunal apanhou.

A versão onde ninguém apanhou.

O que ainda não é verificável: se a arquitetura de transmissão de resultados do seu próprio país sobreviveria ao teste que o tribunal queniano aplicou. Cada resultado da assembleia de voto produz um registo público, marcado com data/hora, criptograficamente à prova de falsificação no momento em que é compilado? Qualquer cidadão consegue somar independentemente esses registos e reproduzir o total nacional? Se não consegue responder sim a ambos, a arquitetura está a pedir-lhe que confie — não que verifique.

Veja como essa lacuna é comum em todo o mundo · Leia a versão de 2 minutos · Explore essa lacuna específica

Fontes

Ver todos os artigosExplorar as lacunas