← Todos os artigos14 de agosto de 2026

Nem todas as pistas de papel são iguais: o recibo que consegue ler versus o que não consegue

Votou. A máquina imprimiu um recibo com as suas escolhas — e um código de barras que não consegue ler. Um tribunal federal confirmou: o código de barras, não as palavras, é o que é contabilizado.

É a manhã de 3 de novembro de 2020, e nalgum lado numa estação de voto no Condado de Gwinnett, na Geórgia, uma eleitora está em pé diante de um dispositivo de marcação de cédula Dominion. Toca no ecrã. Faz as suas escolhas. A máquina imprime um cédula de papel — uma verdadeira peça física de papel que consegue segurar. Consegue ler os nomes dos candidatos nela. Introduz-a no scanner.

O que não consegue ler é o código QR impresso ao lado desses nomes.

Esse código de barras é o que o scanner realmente conta. Não o texto legível por humanos. O código de barras. E se algo entre os seus toques no ecrã e esse código de barras correu mal — se software, malicioso ou meramente defeituoso, codificou uma escolha diferente da que fez — não teria forma de saber. O papel na sua mão, a coisa que acabou de "verificar", não lhe diria nada que pudesse verificar.

Isso não é uma preocupação hipotética. Um tribunal federal disse-o, em registo oficial, em outubro de 2020.

Um Tribunal Lê o Recibo — e Descobre que É Ilegível

Em Curling v. Raffensperger, o Tribunal Distrital dos EUA para o Distrito Norte da Geórgia analisou testemunhos de peritos sobre o sistema de dispositivo de marcação de cédula Dominion da Geórgia. A Opinião e Ordem do tribunal de 11 de outubro de 2020 foi direta: o sistema "não fornece um registo de cédula verificável e auditável porque depende do código QR para a tabulação de votos e esse código em si não pode ser lido e verificado pelo eleitor."

O tribunal também citou a conclusão de 2018 das Academias Nacionais — que nenhum mecanismo técnico atualmente existe para garantir que uma aplicação de contagem de votos produz resultados precisos, e que testes sozinhos não conseguem garantir que um sistema não foi comprometido.

Testemunhos de peritos, incluindo do Dr. J. Alex Halderman, descreveram a viabilidade prática de um ataque cibernético que poderia trocar ou deletar votos alterando o código QR. Um atacante que conseguisse entrar no software de marcação de cédula — mesmo brevemente, mesmo remotamente — poderia codificar uma escolha diferente sem alterar uma única palavra legível por humanos na página impressa.

O tribunal não ordenou à Geórgia que mudasse para cédulas de papel marcadas à mão antes de novembro de 2020. A eleição estava a semanas de distância. Mudanças de sistema de última hora têm os seus próprios riscos, e os tribunais pesam-nos. Essa é uma decisão judicial razoável sobre o momento. Não é um atestado limpo para o sistema.

O ponto mais profundo permanece indisputável: uma pista de papel que não consegue ler não é uma pista de papel verificável pelo eleitor. É um recibo para uma transação que não consegue auditar.

Veja como a lacuna do código QR se encaixa num padrão global de sistemas não verificáveis

O Que "Verificado pelo Eleitor" Realmente Significa — e O Que Não Significa

A frase "pista de auditoria de papel verificada pelo eleitor" — VVPAT — soa tranquilizadora. Implica que os eleitores verificam algo, que papel existe, que auditorias acontecem. Na prática, essas palavras podem descrever sistemas que estão a quilómetros de distância um do outro.

Pense no que a verificação requer. O eleitor deve conseguir ler o registo. O registo deve codificar intenção — as escolhas reais que o eleitor fez — numa forma que o eleitor possa confirmar antes de a colocar. E qualquer auditoria desse registo deve contar a intenção legível por humanos, não uma tradução de uma máquina.

Um código QR falha em todos os três testes simultaneamente. O eleitor não consegue lê-lo. Codifica output de máquina, não intenção diretamente visível. E uma auditoria que digitaliza o código de barras está a auditar a codificação da máquina, não a mente do eleitor.

Agora compare com uma cédula de papel marcada à mão. Um eleitor marca um óvalo ao lado de "Candidato X." O óvalo é o registo. O eleitor consegue vê-lo. Um auditor consegue vê-lo. Um tribunal consegue vê-lo. Nenhuma camada de tradução existe entre o ato do eleitor e o artefato contado. A contagem manual da Geórgia de 2020 — na qual 159 condados contaram manualmente aproximadamente 5 milhões de cédulas presidenciais em menos de seis dias — funcionou porque essas cédulas foram marcadas à mão e a marca legível por humanos era o voto. A variação entre a contagem da máquina e a contagem manual foi cerca de um décimo de um por cento, o que vale a pena saber, e a contagem manual confirmou o resultado com qualquer nível de confiança que um processo manual humano possa entregar.

Mas note o que essa contagem manual não poderia ter feito se a Geórgia tivesse apenas cédulas codificadas com QR na caixa: teria tido de digitalizar novamente os códigos de barras. O que significa que estaria a auditar a máquina com a máquina. O papel na caixa torna-se meramente um mecanismo de entrega para o código de barras, e o código de barras é o único registo que existe.

"Cédula de papel" e "cédula verificável pelo eleitor" não são sinónimos. Uma descreve o meio. A outra descreve se a intenção do eleitor é independentemente legível por um ser humano.

A Índia Tenta Algo Diferente: O Recibo que Realmente Vê

Agora viaje 8.000 quilómetros para leste.

A Índia conduz a maior eleição democrática do mundo — centenas de milhões de eleitores, máquinas de voto eletrónico (EVMs) em cada circunscrição, um país onde a logística sozinha é um desafio assombroso. Durante anos, peticionários argumentaram que os EVMs deveriam ser descartados completamente, ou que cada voto eletrónico deveria ser verificado contra papel. Em abril de 2024, um banco de Justices Sanjiv Khanna e Dipankar Datta da Suprema Corte decidiu sobre exatamente essas questões em Association for Democratic Reforms v. Election Commission of India.

O Tribunal recusou-se a ordenar um regresso a cédulas de papel ou verificação manual de 100% de recibos VVPAT. Mas aqui está o detalhe de design chave: o VVPAT da Índia produz um recibo que o eleitor realmente consegue ler.

Depois de pressionar um botão numa EVM indiana, um recibo de papel imprime atrás de uma pequena janela de vidro. O eleitor vê o nome e símbolo do candidato. Consegue confirmar que corresponde ao que pressionou. O recibo cai depois numa compartimento selado — nunca está nas mãos do eleitor, para que não possa ser fotografado como um recibo de compra de voto — mas o eleitor tem, num sentido real e direto, verificado o registo antes de ser selado.

Isso é categoricamente diferente de um código QR numa cédula da Geórgia. Um é uma confirmação legível por humanos. O outro é uma codificação opaca que o eleitor é pedido para confiar.

A Suprema Corte Indiana apertou as regras em torno desse recibo: ordenou que unidades de carregamento de símbolos fossem seladas e securizadas após o processo de carregamento de símbolos, armazenadas por pelo menos 45 dias após o resultado, e disponibilizadas para verificação de microcontrolador em 5% dos EVMs por circunscrição se candidatos o solicitarem mediante pagamento. O tribunal estava, em efeito, construindo mais degraus na escada de auditoria, mesmo enquanto recusava exigir o degrau superior.

O sistema da Índia não está sem críticos. As petições de 2024 levantaram questões legítimas se cinco estações de voto selecionadas aleatoriamente por circunscrição é uma amostra de VVPAT suficientemente grande para apanhar um compromisso sistemático. Essas questões são reais. Mas a arquitetura do VVPAT — um recibo legível por humanos que o eleitor vê antes de ser selado — está a fazer algo que o código QR da Geórgia não está: está a dar ao eleitor um momento de verificação genuína e não mediada.

A Auditoria Que Audita a Coisa Errada

Aqui está a questão que segue do problema do código QR, e é mais difícil do que parece.

Quando uma autoridade eleitoral audita uma eleição do dispositivo de marcação de cédula, o que está ela realmente a contar?

Se a auditoria digitalizar novamente os códigos QR — mesmo alimentando cédulas impressas através de um scanner diferente — está a testar se duas máquinas concordam. Essa é uma verificação útil contra certas falhas de hardware. Não é uma verificação contra software que codificou a escolha errada desde o início, porque ambas as máquinas estão a ler o mesmo código de barras que o software original produziu.

Se a auditoria ler apenas o texto legível por humanos e ignorar o código QR, está a fazer algo estranho: contar nomes de candidatos que não são o registo operacional. O scanner que correu na noite das eleições não contou esses nomes. Contou o código de barras. O texto legível por humanos e o código QR podem, em princípio, divergir — e num sistema comprometido, essa divergência é precisamente o ataque.

Uma auditoria que verifica a intenção do eleitor — a marca que um ser humano fez, ou o recibo que um ser humano viu — é categoricamente diferente de uma auditoria que recontar output de máquina. O Tribunal Constitucional da Alemanha colocou esse princípio em termos constitucionais em 2009: os passos essenciais da votação e contagem "podem ser examinados pelo cidadão de forma fiável e sem qualquer conhecimento especializado." Um cidadão não consegue ler um código QR sem conhecimento especializado. Um cidadão consegue ler um nome num recibo.

A comissão "Voting with confidence" (Votação com confiança) do governo holandês de 2007 concluiu que qualquer método eletrónico é aceitável apenas se "produz um voto de papel que o eleitor consegue verificar." A ênfase está na capacidade do eleitor de verificar — não do auditor, não do vendedor, não do perito designado pelo tribunal.

Veja a decisão da Alemanha de 2009 e a comissão holandesa na nossa biblioteca de casos verificados

O Recibo Que Se Torna Uma Arma: Uma Complicação Adicional

Há uma tensão integrada em qualquer registo verificável pelo eleitor, e o design do VVPAT da Índia navega-a deliberadamente.

O recibo é legível. Mas nunca está nas mãos do eleitor.

Isso importa porque uma cédula que consegue levar para casa — ou fotografar — é uma cédula que consegue provar a um terceiro. E uma cédula que consegue provar a um terceiro é uma cédula que um comprador de votos consegue exigir que lhe mostre. Os tribunais foram explícitos sobre esse mecanismo. Em Rideout v. Gardner, o Tribunal de Apelações dos EUA para o Primeiro Circuito traçou a história: as reformas de cédula secreta foram adotadas especificamente para prevenir a compra de votos removendo a capacidade do comprador de verificar a compra. Uma fotografia de uma cédula marcada restaura essa verificação e reabre o mercado.

O recibo VVPAT da Índia é visível para o eleitor mas selado antes dele deixar a cabine. Consegue confirmar o seu voto. Não consegue prová-lo a ninguém mais. Esse é o equilíbrio correto: verificação do eleitor sem a arquitetura de coerção.

Um dispositivo de marcação de cédula que imprime uma cédula de papel completa e legível por humanos — o tipo que um eleitor introduz numa scanner separado — é um passo em frente comparado a um sistema apenas QR. Mas cria uma nova questão: esse papel pode ser fotografado? Se sim, por quem, e em que ponto do processo? As propriedades de segurança de "verificável pelo eleitor" dependem do manuseamento físico do papel, não apenas do que está impresso nele.

Verificabilidade é uma propriedade do sistema, não uma característica. Requer registos legíveis, manuseamento selado, auditorias independentes de intenção do eleitor, e cadeia de custódia que previne tanto a manipulação como a coerção. Cada peça importa. Remova qualquer uma, e a garantia colapsa.

O Problema Mais Profundo: Quem Verifica o Verificador?

A Geórgia conduziu uma contagem manual de 5 milhões de cédulas em 2020 e confirmou o resultado da máquina a dentro de um décimo de um por cento. Essa é evidência real sobre uma eleição. A questão que Curling deixa em aberto — e que a declaração "eleição mais segura" do CISA de novembro de 2020 não responde — é o que acontece numa eleição futura onde o papel na caixa são cédulas codificadas com QR.

A declaração do CISA notou que registos de papel "permitem recontas e auditorias quando necessário." Isso é verdade. Mas o que a declaração não diz — e o que importa enormemente — é que tipo de registo permite uma auditoria significativa. Um código QR num pedaço de papel é um registo de papel. Não é um registo verificável pelo eleitor.

Se a Geórgia, ou qualquer estado que execute dispositivos de marcação de cédula, conduz uma auditoria pós-eleição que digitaliza códigos QR novamente, produziu evidência que as máquinas eram consistentes uma com a outra. Consistência não é correção. Os pesquisadores de Princeton que transformaram uma máquina Diebold AccuVote-TS num vírus roubo-votos em 2006 construíram código que alterou todos os registos, registos, e contadores para permanecerem internamente consistentes. Uma auditoria de consistência interna era exatamente o que esse software foi desenhado para sobreviver.

O episódio do Condado de Coffee em 2021 — onde o software de todo um sistema de votação Dominion de uma jurisdição inteira foi copiado e vazado — mostrou como é frágil a segurança do código fechado na prática. O sigilo do código fonte não é uma propriedade de segurança. É uma conveniência que evapora no momento em que alguém com acesso decide partilhá-la.

A resposta não é assumir que qualquer um desses ataques aconteceu. É construir sistemas onde não importaria se tivessem — porque o registo legível pelo eleitor na caixa selada contradisseria qualquer output eletrónico comprometido, e uma auditoria manual independente desse registo revelaria a discrepância.

Essa é a arquitetura que o sistema da Geórgia não consegue entregar, e a VVPAT indiana, imperfeitamente, está a tentar.

O Que Realmente Fecharia a Lacuna

O teste é simples o suficiente para declarar, mais difícil de implementar, e não atualmente atendido pela maioria das implementações de dispositivo de marcação de cédula nos Estados Unidos.

Um registo de papel verificável pelo eleitor deve ser:

1. Legível por humanos no momento da votação. O eleitor vê palavras e símbolos — não um código de barras — e consegue confirmar que correspondem à sua intenção antes do registo ser selado.

2. O registo operacional para contagem. O artefato que é auditado manualmente deve ser o mesmo artefato que o eleitor verificou, não uma tradução de máquina dele. Se o scanner conta um código de barras, a auditoria deve contar algo que prova que o código de barras corresponde ao texto legível por humanos.

3. Selado antes de poder ser provado a um terceiro. Um recibo que o eleitor controla é uma ferramenta de coerção. Um recibo que o eleitor vê mas não consegue levar é um mecanismo de verificação.

4. Sujeito a auditorias independentes que contam a intenção do eleitor. Não auditorias de output de máquina. Não verificações de consistência. Auditorias onde um ser humano lê o que outro ser humano marcou, e os dois números são comparados contra o output da máquina.

Nada disto requer abandonar a assistência eletrónica para eleitores que a necessitam. O VSAP do Condado de Los Angeles foi construído como um sistema de propriedade pública e código aberto na premissa exata de que o software fazendo a contagem deve ser inspecionável por pessoas de fora, não protegido como um segredo comercial de um vendedor. Software inspecionável mais um registo selado legível por humanos mais uma auditoria independente de intenção do eleitor é uma arquitetura de segurança diferente do que software inspecionável sozinho — e completamente diferente de software fechado mais um código QR.

O Que Ainda Não É Verificável — e O Que O Tornaria Assim

Aqui está o que a opinião Curling de outubro de 2020 não resolve, e o que nenhuma declaração oficial desde então respondeu:

Em qualquer eleição conduzida em dispositivos de marcação de cédula com código QR onde a auditoria pós-eleição consistiu de digitalização de códigos de barras novamente, não há evidência publicamente disponível que os nomes de candidatos legíveis por humanos nas cédulas impressas correspondessem aos códigos QR que foram realmente contados. Essa comparação não foi sistematicamente realizada. Pode não ser tecnicamente viável realizá-la após o facto se as cédulas não forem preservadas num formato que permite leitura humana independente em escala.

A questão não é se fraude ocorreu. É se a arquitetura do sistema torna essa questão respondível por qualquer pessoa fora do vendedor e da autoridade eleitoral. Neste momento, para sistemas BMD com código QR, a resposta honesta é: não completamente.

O que a tornaria verificável? Uma leitura manual rotineira, pré-especificada e publicamente observável de uma amostra aleatória estatisticamente significativa de cédulas impressas — não uma digitalização, uma leitura humana — comparando nomes de candidatos aos totais reportados pela máquina, com o tamanho da amostra e metodologia publicados antes da eleição, não escolhidos depois.

Isso não é uma exigência partidária. É o mesmo padrão que o Tribunal Constitucional Alemão, a comissão holandesa "Voting with confidence", e a Suprema Corte Indiana todos atingiram a partir de diferentes direções: o cidadão deve conseguir verificar os passos essenciais, sem conhecimento especializado, usando um registo que verificou a si próprio.

Um código QR não consegue ser esse registo.

Uma pista de papel só o protege se registar o que quis — numa língua que consegue ler.

Veja a lacuna global de papel verificável pelo eleitor através de jurisdições | Leia a versão de 2 minutos deste argumento

Fontes

Ver todos os artigos Explorar as lacunas