← Todos os artigos

O país que desinventou o computador de votação

Em 2007, uma comissão do governo holandês colocou uma questão simples: pode um cidadão comum verificar que um computador de votação contou corretamente? A resposta mudou a forma como um país vota.

É o outono de 2006, e um grupo de ativistas holandeses chamado "Wij vertrouwen stemcomputers niet" — "Não confiamos em computadores de votação" — está de pé diante de uma câmara de televisão fazendo algo que vai envergonhar um governo.

Obtiveram uma máquina de votação Nedap, do mesmo tipo usado em toda a Holanda. Diante das câmaras, abrem-na. Demonstram que pode ser manipulada. Mostram que as suas emissões de rádio podem ser detetadas do exterior de uma cabine de voto, potencialmente revelando como alguém votou. Não são investigadores publicando num jornal académico. São cidadãos, provando um ponto em público, na televisão, onde quem gere as eleições tem que assistir.

O governo holandês não os descartou.

Alguns meses depois, o governo retirou a aprovação às máquinas em uso e encomendou a um órgão consultivo independente — a Comissão Consultiva do Processo Eleitoral, presidida por F. Korthals Altes — que examinasse a questão inteira de como as eleições holandesas deveriam ser realizadas. A 27 de setembro de 2007, essa comissão entregou o seu relatório. O título era Stemmen met vertrouwen.

Votar com confiança.

O que a comissão realmente disse

A comissão Korthals Altes não produziu um documento técnico branco para engenheiros. Produziu um argumento democrático.

Estabeleceu requisitos essenciais: transparência, verificabilidade (controleerbaarheid), integridade e sigilo do voto. Afirmou, com uma franqueza notável, que não há segredos no processo eleitoral — que as questões devem ser respondíveis e as respostas devem ser verificáveis e comprováveis. Não verificáveis em princípio. Verificáveis pelo público, na prática, sem conhecimento especializado.

Depois traçou a linha. Votar com cédulas de papel numa assembleia de voto é preferível do ponto de vista da transparência e verificabilidade. Qualquer método eletrónico é aceitável apenas se produzir um voto em papel que o eleitor possa pessoalmente verificar.

Os computadores de votação em uso não produziam esse voto em papel. Produziam um número, armazenado em memória eletrónica, dentro de uma caixa selada, que um cidadão comum não tinha forma de verificar. A comissão concluiu que isto não era suficiente. O governo holandês concordou. O regulamento de 1997 que tinha aprovado as máquinas de votação foi revogado.

A Holanda voltou ao papel e ao lápis. As eleições agora são contadas manualmente.

É uma coisa extraordinária para um país moderno e tecnologicamente sofisticado fazer. Vale a pena perguntar por que acharam que era necessário — e o que significa para todos os outros países que não os seguiram.

A coisa que as câmaras de televisão expuseram

A demonstração dos ativistas não era principalmente sobre pirataria. Era sobre um problema mais fundamental: não pode ver um computador a pensar.

Quando uma cédula entra numa caixa de papel e é contada por um ser humano numa sala iluminada, pode ver a cédula. Pode ver a mão. Pode questionar uma decisão discutível. Cada passo é observável por qualquer pessoa presente — um representante de um candidato, um jornalista, um vizinho desconfiado. O Tribunal Constitucional Federal Alemão exprimiu isto precisamente no seu acórdão histórico de 2009 que bania máquinas de votação eletrónicas: as etapas essenciais da votação e da determinação do resultado devem ser examinadas pelo cidadão sem qualquer conhecimento especializado. Isto não é um padrão técnico. É um democrático.

Um computador de votação falha isto por conceção. Entrega-lhe o seu voto e devolve-lhe um número. Entre esses dois momentos, algo aconteceu dentro da máquina que não pode observar, e a máquina não lhe mostra o seu trabalho.

A resposta da comissão holandesa não foi "faça computadores melhores." Foi "o requisito de verificabilidade pública não pode ser satisfeito por qualquer máquina opaca, por isso remova as máquinas."

É uma conclusão mais difícil do que a maioria dos governos tem estado disposta a atingir. Mas a lógica é impecável.

O que acontece quando não há papel

Para compreender o que a Holanda escapou, veja o que aconteceu no Condado de Sarasota, Flórida em novembro de 2006 — o mesmo ano que os ativistas holandeses estavam a fazer a sua aparição televisiva.

Sarasota usava máquinas touchscreen ES&S iVotronic sem papel. Na noite eleitoral, o condado reportou aproximadamente 18.000 votos em branco na eleição para o 13º Distrito Congressual da Flórida — cerca de 13 por cento de todos os boletins de voto mostrando nenhuma escolha registada para o Congresso. A eleição foi decidida por 369 votos.

Não havia nada para recontar.

O Gabinete de Responsabilidade Governamental dos EUA testou as máquinas e não conseguiu encontrar uma avaria que explicasse o voto em branco. Também notou, cuidadosamente, que um registo de papel verificado pelo eleitor poderia ter fornecido confirmação independente de que os ecrãs touchscreen registaram os votos corretamente. Sem ele, a questão do que 18.000 eleitores pretendiam era simplesmente inresponsável. O resultado manteve-se, e ninguém podia provar que estava certo.

Essa é a lacuna sem papel na sua forma mais pura: uma eleição cerrada, uma anomalia que não pode ser explicada, e nenhum registo independente para verificar. Não uma conspiração. Não fraude. Apenas uma incerteza irredutível que corrói a confiança pública exatamente nas eleições onde a confiança pública mais importa.

A comissão holandesa tinha olhado para esta armadilha lógica e decidiu: não vamos construir um sistema que possa acabar aqui. O papel é a apólice de seguro que torna o resto verificável.

A Noruega chega a uma conclusão relacionada, a partir de um ângulo diferente

A Holanda não estava sozinha em recuar da votação eletrónica depois de a examinar de perto.

A Noruega realizou projetos piloto de votação pela internet durante as eleições locais de 2011 e as eleições parlamentares de 2013 em doze municípios — cuidadosamente, como um suplemento à votação em papel, apenas durante o período de votação antecipada. De acordo com o ministério responsável, os projetos piloto não levaram a um aumento da participação. O dividendo de conveniência prometido não se materializou.

Em 2014, o Ministério da Administração Local e Modernização da Noruega decidiu descontinuar novos projetos piloto de votação pela internet. O governo concluiu que, na ausência de apoio político alargado para a votação pela internet e considerando questões não resolvidas sobre se os votos poderiam ser verificados conforme transmitidos, seria inadequado gastar mais tempo e dinheiro em projetos piloto adicionais.

Essa frase — questões não resolvidas sobre se os votos poderiam ser verificados conforme transmitidos — está a fazer um trabalho considerável. A Noruega não é um país com instituições frágeis ou uma história de eleições contestadas. Realizou os projetos piloto cuidadosamente, avaliou os resultados honestamente, e concluiu que se a confiança de que cada voto é contado conforme transmitido não pode ser assegurada, o canal não vale o custo.

Repare no que a Noruega e a Holanda têm em comum: ambas tomaram as suas decisões através de processos públicos transparentes, baseadas na verificabilidade como um requisito não negociável. Nenhuma estava a responder a fraude. Ambas estavam a responder à impossibilidade de verificar que a fraude não tinha ocorrido — que, como se vê, é o mesmo problema.

A máquina que não podia ser apanhada a mentir

Para um sentido do que "não verificável" significa no seu extremo mais extremo, considere o que investigadores de Princeton demonstraram em 2006. Trabalhando com uma máquina touchscreen real Diebold AccuVote-TS — então entre as mais amplamente implantadas nos Estados Unidos — Ariel Feldman, J. Alex Halderman, e Edward Felten mostraram que um atacante com cerca de um minuto de acesso físico poderia instalar código malicioso que roubaria votos, alteraria todos os registos e contadores para permanecer internamente consistentes, e espalharia automaticamente para outras máquinas através da atividade eleitoral normal.

A máquina não se pareceria quebrada. Produziria uma contagem. A contagem seria internamente coerente. Nada nos registos próprios da máquina sinalizaria um problema.

A única coisa que poderia apanhá-la seria um registo de papel verificado pelo eleitor que a máquina não controlava — algo que a máquina não podia alterar para combinar com a sua própria fraude. O AccuVote-TS não produzia um.

É isto que a comissão holandesa significava por "nenhum segredo no processo eleitoral." Se o registo que prova a contagem é produzido e armazenado inteiramente pela máquina a ser auditada, não é uma auditoria. É a máquina a verificar o seu trabalho de casa.

"Contámos manualmente" é uma garantia, não uma prova — a menos que o papel esteja lá

Os defensores dos sistemas eletrónicos apontam frequentemente para auditorias: contagens manuais, revisões pós-eleição, auditorias com risco limitado. Estas são melhorias reais. O Colorado realizou a primeira auditoria com risco limitado em todo o estado em 2017. A Geórgia contou manualmente aproximadamente cinco milhões de boletins de voto presidenciais em 2020, com a variação entre a contagem da máquina e a contagem manual ficando em cerca de um décimo de um por cento.

Mas cada um destes métodos de auditoria depende da mesma coisa: um registo de papel durável que a máquina não controlava exclusivamente. Não pode contar manualmente o que nunca foi impresso. Não pode auditar um cartão de memória contra ele próprio.

A contagem manual da Geórgia funcionou porque a Geórgia tinha boletins de voto marcados pelo eleitor. A contagem manual confirmou a contagem da máquina porque havia algo independente para comparar.

Sarasota 2006 não tinha tal comparação. O 13º Distrito da Flórida tinha uma margem de 369 votos, 18.000 votos em branco inexplicados, e nada para recontar. A opção de auditoria não estava disponível. Tinha sido eliminada do sistema.

A Holanda olhou para isto e fez uma escolha: papel primeiro, sempre, porque sem ele a opção de auditoria que pode desesperadamente precisar não existe.

Há uma complicação adicional que vale a pena nomear diretamente. Até as contagens manuais carregam erro humano irredutível. A auditoria manual de dezembro de 2020 no Condado de Antrim, Michigan — um condado pequeno, aproximadamente 15.700 boletins de voto — produziu uma contagem final que ainda diferiu da tabulação da máquina em cerca de uma dúzia de votos. Não milhares. Doze. Numa auditoria de condado de baixo risco que confirmou um resultado inequívoco, essa margem é inofensiva.

Numa eleição decidida por um punhado de votos, um método que ele próprio está desfasado por um punhado de votos não pode resolver a questão. "A contagem manual confirmou-o" é uma garantia. Não é prova. A única coisa que converte a garantia em prova é um sistema onde qualquer pessoa — não apenas os oficiais que conduzem a auditoria — pode independentemente verificar os registos subjacentes contra uma cadeia de custódia à prova de manipulação.

Essa é a lacuna que a Holanda decidiu que não podia viver com ela. Papel mais uma contagem manual é melhor do que uma caixa preta. Mas papel mais uma contagem manual mais um registo verificável criptograficamente de registos que qualquer pessoa pode verificar é ainda melhor.

O argumento mais profundo: substitua a confiança pela verificabilidade

Todos os países que recuaram da tecnologia de votação opaca fizeram a mesma observação, geralmente após uma crise: o problema não é que as máquinas estão definitivamente erradas. O problema é que não consegue dizer de forma alguma.

O Tribunal Constitucional Alemão disse isto em 2009, anulando o uso de máquinas Nedap na eleição federal de 2005. Uma eleição cuja correção repousa em software oculto falha no teste de verificabilidade pública independentemente de se manipulação é alguma vez provada.

O Tribunal Constitucional Austríaco anulou a segunda volta presidencial de 2016 não porque fraude foi provada — não foi — mas porque a cadeia de custódia para boletins postais tinha sido quebrada de uma forma que tornava a fraude impossível de descartar. A lógica do Tribunal: um resultado que ninguém pode verificar não é um resultado digno de confiança, mesmo que a pessoa certa tenha ganho.

O Tribunal Supremo do Quénia anulou uma eleição presidencial em 2017 porque a cadeia digital de assembleia de voto para contagem nacional não podia ser verificada contra registos de origem à prova de manipulação. A contagem não podia ser verificada. O resultado foi anulado.

A linha através é sempre a mesma. Não é sobre qual partido ganhou. Não é sobre provar fraude. É sobre se o público — não os oficiais, não o vendedor, não o Secretário de Estado — pode independentemente verificar a contagem. Quando não conseguem, o resultado repousa na confiança na autoridade que o anuncia. E confiança que não pode ser testada não é confiança. É deferência.

A contribuição duradoura da comissão holandesa foi insistir na verificabilidade como um pré-requisito, não como uma característica de bónus. O resultado: um país que ainda vota com papel e lápis, cujas eleições podem ser observadas do voto até à contagem final por qualquer cidadão de pé na sala, e cujo governo não tem que lhe pedir para acreditar na sua palavra.

O que ainda não pode ser verificado — e o que o corrigiria

Aqui está o que ainda não é resolvido, mesmo na Holanda.

As eleições de papel contadas manualmente são verificáveis num sentido forte: os boletins são objetos físicos, observados por múltiplos partes, e a contagem é assistida em tempo real. Mas o processo ainda depende de humanos contando corretamente, de registos completos de cadeia de custódia para cada voto, e da suposição de que os votos entrando na contagem são os mesmos que os eleitores marcaram. Erros de contagem humana, registos de custódia incompletos, e substituição de última hora são todos ainda possíveis.

O modelo holandês é dramaticamente melhor do que uma máquina sem papel. Não é criptograficamente provável no sentido que sistemas verificáveis de fim a fim baseados em software aspiram — sistemas onde cada eleitor pode independentemente confirmar que o seu voto foi incluído na contagem final sem revelar como votou, e onde qualquer observador pode verificar o total sem ver as escolhas de ninguém.

Essa lacuna importa mais nas eleições cerradas. Numa eleição decidida por dezenas de votos, um método que ele próprio está desfasado por um punhado de votos não pode definitivamente resolver quem ganhou. Não é um argumento contra papel. É um argumento para adicionar verificabilidade independente e matemática no topo do papel — para construir um sistema onde o público não tem que confiar na contagem, porque pode verificá-la a si próprio.

O facto verificável é isto: neste momento, na maioria das jurisdições, não há tal verificação independente disponível para si. A contagem é publicada. Um oficial diz que está correta. Uma recontagem pode ou não estar disponível. A contagem de auditoria subjacente pode ou não ser publicada de uma forma que pode descarregar e verificar.

Essa é a lacuna de verificabilidade — e é fechável. O que é preciso é publicar resultados de nível de assembleia instantaneamente, em forma legível por máquina, contra uma cadeia de custódia à prova de manipulação que qualquer membro do público pode independentemente reconciliar. Não pedir ao público para confiar na contagem. Mostrar-lhes a contagem, de uma forma que podem verificar.

A Holanda recuou da máquina quando não conseguiu responder à questão: pode provar que esta contagem está correta?

Essa questão ainda está à espera de uma resposta melhor do que "confie em nós."

Curioso sobre como é comum a lacuna sem papel globalmente? Veja a imagem completa através de jurisdições. Quer a versão de dois minutos do que verificabilidade significa na prática? Comece aqui. Ou aprofunde-se sobre como é uma cadeia de auditoria real — e o que não é — na nossa página de lacunas.

Fontes

Ver todos os artigosExplorar as lacunas