← Todos os artigos

Voto por correspondência: a conveniência e os controlos que têm de a acompanhar

Um juiz constatou que boletins de voto preenchidos por pessoas vivas foram apresentados em nome de defuntos — e o remédio foi anular uma eleição inteira.

É a manhã de 23 de abril de 2015, e numa sala de tribunal em Londres, o Comissário Richard Mawrey QC está a ler um veredicto que não ocorria na democracia britânica dentro da memória viva. Lutfur Rahman, o Presidente Executivo da Câmara Municipal de Tower Hamlets em Londres, eleito em maio de 2014 por mais de 3.000 votos, está a ser removido do cargo.

Não suspenso. Não investigado. Removido.

A sentença do tribunal eleitoral — Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) — tem 217 páginas e conclui que a eleição foi manchada por práticas corruptas e ilegais cometidas pelo Presidente pessoalmente e através dos seus agentes. Entre essas práticas: falsificação de identidade, fraude de voto por correspondência, suborno, tratamento de favor, declarações falsas e influência espiritual indevida.

As constatações relativas ao voto por correspondência são as que deveriam manter qualquer administrador eleitoral acordado de noite.

Um boletim de voto lançado a quilómetros da assembleia de voto

Quando vota pessoalmente, há uma cadeia controlada de eventos. Um funcionário da mesa de voto verifica o seu nome. Recebe um boletim. Entra numa cabina. Ninguém o observa enquanto o marca. Coloca-o pessoalmente numa urna selada. Em nenhum momento alguém manuseia o seu boletim não marcado, o preenche ao seu lado ou o leva para outro local.

O voto por correspondência quebra todos esses passos.

O seu boletim viaja pelo correio para um endereço. É preenchido — em algum lugar, por alguém — longe de qualquer testemunha oficial. Volta para um envelope, depois para outro, depois para uma caixa de correio. Quando chega à contagem, passou por mãos que ninguém registou.

Isto não é um risco hipotético. O tribunal de Tower Hamlets encontrou provas de que formulários de boletins de voto por correspondência estavam a ser preenchidos em eventos organizados — múltiplos boletins completados em conjunto, longe das casas dos eleitores, por vezes por pessoas que não eram o eleitor registado. Encontrou falsificação de identidade: votos lançados em nome de pessoas que não os tinham lançado.

O tribunal não considerou que se tratava de incidentes isolados. Encontrou um padrão suficientemente extenso para afetar o resultado de uma eleição municipal numa das freguesias mais populosas de Londres.

O remédio não foi uma recontagem. Não havia nada para recontar. A eleição foi anulada.

O problema não é o envelope — é o que acontece dentro dele

Vamos ser precisos sobre o que correu mal em Tower Hamlets, porque a lição importa.

A vulnerabilidade não era o facto de o voto por correspondência existir. Era que os controlos em torno do voto por correspondência — as verificações de identidade, a custódia dos boletins em branco, o requisito de que um eleitor preencha pessoalmente o seu próprio formulário em privado — eram inadequados ou foram contornados.

O voto por correspondência tem uma propriedade fundamental de segurança que o voto presencial não tem: no momento em que um boletim sai da custódia oficial, a sua cadeia de custódia é quebrada. O boletim vai para um endereço privado. É preenchido sem uma testemunha. Regressa selado num envelope exterior que leva uma assinatura e verificação de data de nascimento que, em 2014, em Inglaterra, podia ser falsificada ou manipulada por qualquer pessoa ao lado do eleitor.

Um boletim enviado por correio é um boletim que esteve, durante algum tempo, não observado. Essa lacuna — entre o momento em que um formulário em branco chega a um agregado familiar e o momento em que um formulário preenchido volta a entrar na custódia oficial — é a superfície de ataque.

E é uma superfície de ataque com um longo historial de exploração. No 9º Distrito Congressual da Carolina do Norte em 2018, um esquema coordenado recolheu boletins de voto por correio de eleitores — por vezes preenchendo-os, por vezes simplesmente tomando-os — e a Junta Eleitoral Estatal acabou por ordenar uma nova eleição na sua totalidade. O operário no centro, McCrae Dowless, foi posteriormente indiciado em acusações graves. Um candidato diferente ganhou a reeleição.

O mecanismo em ambos os casos é idêntico: intercepção do boletim enquanto está fora da custódia oficial.

Áustria 2016: nenhuma fraude encontrada, eleição anulada mesmo assim

Tower Hamlets é o caso onde algo mau demonstravelmente aconteceu. Áustria 2016 é o caso onde os procedimentos se quebraram — e ninguém podia provar que não tinha.

A 1 de julho de 2016, o Tribunal Constitucional Austríaco anulou a segunda volta da eleição presidencial federal — um voto que Alexander Van der Bellen tinha ganho por aproximadamente 30.000 votos em 4,6 milhões lançados. O raciocínio do tribunal era metódico e, de certa forma, radical.

A lei austríaca é precisa sobre boletins por correspondência: a autoridade eleitoral do distrito, e apenas a autoridade eleitoral do distrito, pode manuseá-los. Os envelopes não podem ser abertos, os votos não podem ser contados, antes das 9:00 horas do dia seguinte à eleição. Os membros da mesa eleitoral e as testemunhas devem estar presentes.

O tribunal encontrou violações em múltiplos distritos. Os envelopes tinham sido abertos cedo. Os votos tinham sido contados por pessoas não autorizadas. As testemunhas obrigatórias estavam ausentes. Aproximadamente 77.000 votos foram afetados por violações processuais comprovadas.

A margem de vitória era de 30.000 votos.

O tribunal expressamente não encontrou qualquer evidência de fraude real. Não disse que os votos tinham sido alterados. Disse que, porque as salvaguardas contra a manipulação tinham sido violadas numa escala que excedia a margem de vitória, era impossível confirmar que o resultado era o que os eleitores realmente tinham decidido. A eleição foi anulada. Uma reeleição foi realizada em dezembro de 2016.

Este é o argumento mais difícil, e merece ser ouvido com clareza: a verificabilidade não é apenas sobre apanhar fraude que aconteceu — é sobre procedimentos rigorosos o suficiente para provar que fraude não poderia ter acontecido. Quando esses procedimentos são violados, o resultado é não verificável, independentemente de quem realmente ganhou.

O que "cadeia de custódia" realmente significa para um boletim por correspondência

Pense na cadeia de custódia como um registo sem lacunas. Cada pessoa que tocou num boletim, e quando, e sob que autoridade.

Para um boletim presencial: a cadeia começa quando o boletim é emitido, continua quando o seu boletim marcado entra na urna, vai até ao momento em que a urna selada é aberta na contagem sob observação, e termina quando o lote é contado e selado novamente. Cada ligação é testemunhada, registada e verificada de forma cruzada.

Para um boletim por correspondência, a cadeia tem uma lacuna estrutural — o período em que o formulário está num endereço privado. A lei de procedimentos tenta compensar esta lacuna com:

  1. Verificação de identidade antes de emitir um voto por correspondência (esta pessoa é realmente registada e elegível?)
  2. Verificação de identidade quando o envelope de devolução é recebido (a assinatura corresponde? A data de nascimento indicada corresponde?)
  3. Abertura atempada e testemunhada de envelopes devolvidos sob supervisão oficial
  4. Armazenamento seguro e registado de envelopes recebidos antes do dia de abertura

As constatações de Tower Hamlets sugerem que os passos 1 e 2 foram manipulados — através de preenchimento organizado de formulários e, em alguns casos, falsificação de identidade. A anulação da Áustria encontrou que o passo 3 foi violado. Ambas as falhas apontam para a mesma verdade subjacente: a cadeia de custódia do boletim por correspondência é apenas tão forte quanto a sua ligação mais fraca, e neste momento algumas dessas ligações são regras procedimentais escritas em papel, não aplicadas por qualquer mecanismo que seja independentemente auditável.

Uma regra que diz "apenas pessoas autorizadas podem abrir envelopes" não é um selo à prova de manipulação. É uma promessa. E uma promessa, num ambiente adversário, não é a mesma coisa que uma prova.

O boletim secreto foi inventado exatamente para este tipo de ameaça

Há uma razão pela qual o boletim australiano — o boletim impresso pelo estado, marcado em privado — se tornou no padrão global no século dezanove. Antes disso, o voto era público. Declarava a sua preferência em voz alta ou num livro visível. Os proprietários observavam os inquilinos. Os empregadores observavam os trabalhadores. A Lei do Boletim de 1872 terminou o voto aberto no Reino Unido precisamente para quebrar o suborno e intimidação que o voto público permitia.

A lógica é simples: se ninguém consegue ver como votou, ninguém pode comprar ou coagir o seu voto. O sigilo é uma propriedade de segurança, não uma cortesia.

O voto por correspondência coloca pressão exatamente nesta propriedade. O boletim é marcado em casa, onde um membro da família, proprietário, empregador ou figura comunitária pode estar ao lado. Em Tower Hamlets, o tribunal encontrou provas de que os boletins estavam a ser completados em reuniões organizadas em vez de na privacidade do momento do próprio eleitor.

Esta é a mesma pressão para a qual o boletim secreto foi concebido para prevenir — apenas deslocada da assembleia de voto para a mesa da cozinha.

A Corte de Apelos dos EUA para o Primeiro Circuito articulou o mecanismo com precisão em Rideout v. Gardner (2016): as reformas do boletim secreto foram adotadas para "combater a compra de votos generalizada e a intimidação de eleitores," práticas que dependem de um comprador ou coator conseguir verificar o voto. Qualquer coisa que deixe um eleitor provar como votou — uma fotografia de boletim, um formulário preenchido testemunhado por alguém com interesse no resultado — reabre o mercado.

Um boletim por correspondência marcado sob observação é, estruturalmente, um boletim lançado em público. O século dezanove resolveu este problema para assembleias de voto. Ainda não o resolvemos para a porta.

A resposta não é proibir o voto por correspondência

O voto por correspondência serve necessidades reais. Eleitores com deficiências. Eleitores que viajam por trabalho. Eleitores em hospital. Eleitores em áreas remotas. As autoridades eleitorais em muitos países — e na maioria dos cinquenta estados dos EUA — expandiram o voto por correio precisamente porque tornar o voto acessível aumenta a legitimidade do resultado. A participação importa.

A questão não é se permitir o voto por correspondência. A questão é se concebemos a sua cadeia de custódia para ser tão à prova de manipulação e independentemente auditável quanto a cadeia de custódia para boletins lançados presencialmente.

Neste momento, a resposta honesta é: não de forma fiável.

Eis o que a verdadeira prova de manipulação para boletins por correspondência exigiria:

Identificadores únicos de boletins rastreáveis. Cada boletim por correspondência deveria ter um identificador criptograficamente único que deixasse as autoridades eleitorais — e, crucialmente, o próprio eleitor — confirmar que o boletim específico emitido para eles era aquele que foi recebido e contado, sem revelar como votaram. Isto é tecnicamente viável; vários países estão a experimentar com códigos de verificação voltados para o eleitor.

Manuseamento de envelope fotografado e registado. Cada envelope de devolução recebido deveria ser registado e marcado com o tempo de chegada, num formato que seja publicamente auditável e legível pela máquina. O caso da Áustria dependia da ausência de registos provando quem abriu o quê, quando. Se todos os recibos e abertura de envelopes fossem fotografados e o hash daquelas fotografias fosse publicado num registo público, o tipo de violação processual que o tribunal austríaco encontrou seria imediatamente detectável — não reconstruído meses depois através de testemunho de testemunhas.

Verificação de assinatura que é independentemente auditável. Os processos atuais de verificação de assinatura são principalmente julgamento humano aplicado ao papel. Um envelope rejeitado ou aceite deveria gerar um registo revisável que qualquer parte possa inspecionar. Em eleições fechadas, a adjudicação de assinaturas borderline é um processo invisível e não verificável. Não deveria ser.

Registos de custódia em tempo real. Em cada fase de impressão a envio a receção a abertura, a localização e gestor de um boletim por correspondência deveria ser registado num sistema que produz um trilho à prova de manipulação. Não um formulário de papel trancado numa escritório. Um registo de auditoria legível pela máquina que qualquer observador acreditado — agente de candidato, jornalista, investigador independente — possa verificar contra a contagem final.

O que "a auditoria confirmou" não significa

Oficiais, após eleições fechadas, frequentemente dizem-nos que o processo foi verificado e tudo estava bem. Isto é geralmente sincero. Não é o mesmo que prova.

A recontagem manual de 2020 em todo o estado da Geórgia confirmou o resultado tabulado pela máquina dentro de aproximadamente um décimo de um por cento em aproximadamente cinco milhões de boletins — uma realização significativa. O framework de auditoria limitante de risco do Colorado fornece confiança estatística calibrada para a margem de cada corrida. Estas são melhorias reais.

Mas auditam a contagem de boletins que já estão na urna. Não podem auditar se os boletins na urna são os boletins que os eleitores se propunham submeter. Se um boletim por correspondência foi preenchido sob coação, ou preenchido por alguém que não seja o eleitor registado, entra na contagem indistinguível de um voto legítimo. Uma recontagem manual o contará novamente, fielmente. Uma auditoria limitante de risco vai amostrar. Nenhum método o sinalizará.

O problema de Tower Hamlets não estava na contagem. Estava nos boletins. E o problema austríaco não estava no resultado — estava na incapacidade de provar que o resultado não foi adulterado, uma vez que as regras de custódia foram quebradas.

Estes são modos de falha diferentes de qualquer coisa que uma auditoria pós-contagem capture. Exigem controlos numa fase diferente do processo: antes e durante o manuseamento do boletim, não depois de ter sido contado.

Uma declaração oficial de que "a contagem foi precisa" não fala se os dados de entrada para a contagem foram legítimos. Essa lacuna é aquela que tem de fechar.

O que tornaria isto verificável por qualquer pessoa

O padrão que deveríamos aplicar ao voto por correspondência é o mesmo padrão que o Tribunal Constitucional Alemão estabeleceu para o voto eletrónico em 2009: as etapas essenciais devem ser examinável pelo cidadão, de forma fiável, sem conhecimento especializado. (Bundesverfassungsgericht, 2 BvC 3/07.)

Para boletins por correspondência, essas etapas essenciais são: O meu boletim foi emitido apenas para mim? Chegou à autoridade eleitoral selado e intacto? Foi aberto apenas por pessoas autorizadas, na hora legal, com testemunhas? O voto dentro foi atribuído ao meu boletim e apenas ao meu boletim?

Hoje, um eleitor que usou um boletim por correspondência na maioria das jurisdições não pode verificar independentemente qualquer um destes passos. Lança o seu boletim num processo que, da sua perspetiva, é fechado e confia que os oficiais seguiram as regras.

Confiança não é verificação.

Um resultado que ninguém pode verificar independentemente é uma garantia. Um resultado que qualquer pessoa pode verificar independentemente é uma prova.

A tecnologia para fazer a custódia de boletins por correspondência à prova de manipulação e publicamente auditável existe. Registo criptográfico, códigos de confirmação voltados para o eleitor, registos públicos legíveis pela máquina de receção de boletins — nenhum disto exige substituir o voto por correspondência. Exige tratar a cadeia de custódia do boletim por correspondência com a mesma disciplina de engenharia que exigiríamos de qualquer outro sistema crítico de segurança.

A eleição de Tower Hamlets foi anulada. Uma nova eleição foi realizada. Lutfur Rahman não estava na cédula. Os eleitores de Tower Hamlets votaram novamente, e o resultado foi diferente.

É isto que acontece quando um sistema falha e um tribunal o apanha. Mas os tribunais são retrospetivos, lentos e adversários. São um último recurso, não um princípio de conceção.

A questão certa não é "o que fazemos após fraude ou falha processual ser descoberta?" A questão certa é: o que tornaria fraude ou falha processual impossível de esconder em primeiro lugar?

Essa questão não tem uma resposta satisfatória na maioria dos sistemas de voto por correspondência operando hoje. Deveria ter.

A lacuna de cadeia de custódia no voto por correspondência é um caso de um problema mais amplo que rastreamos em sistemas de votação em todo o mundo. Veja como esta lacuna aparece em diferentes tipos de eleições e jurisdições ou leia a versão de 2 minutos do problema de verificabilidade. Para uma visão completa de onde as cadeias de custódia se quebram — e como alternativas independentemente auditáveis se parecem — explore o Atlas TrustVoting.

Fontes

Ver todos os artigosExplorar as lacunas