← Todos os artigos

Pequenos erros monótonos decidem eleições grandes com muito mais frequência do que a fraude

Em três cidades finlandesas em 2008, 232 pessoas votaram e os seus votos simplesmente nunca foram guardados — sem fraude, sem ataque, apenas um botão de confirmação que ninguém lhes disse para carregar.

É manhã de 26 de outubro de 2008, e na cidade finlandesa de Karkkila, um eleitor entra numa assembleia de voto, senta-se num terminal eletrónico, faz a sua escolha e retira o seu cartão inteligente. Fez tudo aquilo que lhe foi pedido. Sai acreditando que votou.

Não votou.

O seu voto nunca foi guardado. O terminal exigia um último passo de confirmação — uma breve pausa, um toque num botão — mas as instruções no ecrã não deixavam isso claro. Sem esse passo, o sistema descartou silenciosamente a sua seleção. A mesma coisa aconteceu em Kauniainen e Vihti. Nos três municípios a executar o piloto de voto eletrónico finlandês naquele dia, 232 votos desapareceram dentro da máquina sem qualquer som.

Sem alarme. Sem mensagem de erro. Sem forma de o eleitor saber.

A falha que ninguém planeou

A Finlândia não é um país associado ao caos eleitoral. Tem uma das tradições democráticas mais estáveis do mundo. O piloto de voto eletrónico municipal de 2008 era uma experiência cuidada e limitada — três cidades, condições supervisionadas, voto em papel ainda disponível nas mesmas assembleias.

E no entanto: 232 pessoas saíram das assembleias acreditando que tinham participado num processo democrático, quando na realidade não tinham. A sua intenção não foi registada em lado nenhum.

O Tribunal Administrativo Supremo Finlandês (Korkein hallinto-oikeus) investigou e, em 9 de abril de 2009, emitiu a decisão KHO:2009:39. O tribunal concluiu que as deficiências nas instruções aos eleitores e no desenho da máquina significavam que as eleições nesses três municípios tinham de ser repetidas. Eleições novas foram ordenadas. A Finlândia não prosseguiu com o voto eletrónico.

Leia essa sequência com cuidado. O erro não foi um ataque cibernético. Não foi fraude. Não foi um funcionário desonesto. Foi um defeito de usabilidade — uma interface que não dizia às pessoas o que elas precisavam fazer — combinado com um sistema que não tinha forma de avisar um eleitor de que a sua ação estava incompleta. O método não oferecia aos eleitores uma confirmação independente de que o seu boletim tinha sido capturado. Por isso, quando não foi, ninguém soube.

Este é o tipo de falha em que as conversas sobre integridade eleitoral quase nunca se focam. Treinamo-nos a nós mesmos para procurar conspirações. As desgraças monótonas passam bem ao lado de nós.

Por que os erros monótonos são aqueles que realmente decidem eleições

Existe uma ideia persistente de que as eleições apertadas são ameaçadas principalmente por agentes maus — alguém colocando cédulas, alguém alterando uma máquina, alguém subornando um funcionário de seção. Essa ameaça é real e documentada. Mas não é a forma mais comum como as margens apertadas se decidem por algo que não seja votos.

O culpado mais comum é o erro ordinário. E o erro ordinário é, por definição, invisível até alguém procurar.

Uma linha de dobra no lugar errado. Pó numa lente. Um botão de confirmação que ninguém carregou. Um cartão de memória que não foi atualizado. Estas não são coisas dramáticas, e essa é precisamente a razão do problema.

Considere aquilo que a auditoria forense de Windham, New Hampshire encontrou em julho de 2021. Depois de aparecer uma discrepância entre as contagens da máquina e uma recontagem manual numa eleição de Representante Estadual de 2020, a câmara do estado de New Hampshire ordenou uma investigação forense completa sob SB 43. A equipa de auditoria — Harri Hursti, Mark Lindeman e Philip Stark — traçou a contagem errada para algo quase comicamente mundano: uma máquina de dobrar que a cidade tinha alugado para fins de correspondência não relacionados. Dobrou cédulas de voto, mas não ao longo das linhas de pontuação impressas do boletim. A dobra resultante atravessava os óvalos de votos. Os scanners de voto acumulado AccuVote leram uma fração substancial dessas dobras como votos marcados.

A equipa estimou que aproximadamente 44 por cento das dobras através de alvos de votos foram interpretadas como votos em novembro, com taxas experimentais variando entre cerca de 20 a mais de 72 por cento dependendo das condições. Um resíduo de pó branco também se tinha acumulado dentro dos scanners, obstruindo as lentes. Sem malware. Sem adulteração. Sem fraude. Apenas física.

O erro foi apenas descobrível porque cédulas de papel existiam. Um exame manual podia recuperar aquilo que o eleitor realmente marcou — porque o papel ainda lá estava, ainda legível por olhos humanos. O relatório de auditoria concluiu que a eleição tinha sido, na sua generalidade, bem executada. Mas a contagem da máquina tinha estado errada. E a contagem manual que a apanhou foi ela mesma imperfeita, como as contagens manuais sempre são.

"A contagem manual confirmou-a" é uma garantia, não uma prova

Aqui é onde a garantia padrão se desmorona — e onde precisamos ser honestos em vez de reconfortantes.

No Condado de Antrim, Michigan em 2020, um erro de tabulação fez com que resultados oficiais incorretos fossem publicados. A causa foi humana: um erro de configuração, não fraude ou malware. O erro foi apanhado porque os números eram visivelmente implausíveis para o condado. Quando os funcionários conduziram uma auditoria manual completa de cada cédula presidencial em dezembro de 2020, descobriram que o total da máquina certificado e a contagem manual ainda diferiam por cerca de uma dúzia de votos de aproximadamente 15 700 votos expressos.

Doze votos. De uma contagem manual. O padrão ouro.

Um método que é ele próprio impreciso por uma mão cheia de votos não pode definitivamente resolver uma eleição decidida por uma mão cheia de votos.

Isto não é uma acusação. É uma descrição de como a contagem humana funciona. As pessoas categorizam mal marcas ambíguas. Perdem a contagem no meio de uma pilha. Debatem se uma marca de caneta desgarrada atravessa um óval. A auditoria de Windham notou exatamente isto: uma contagem manual podia "ascertainar a intenção do eleitor" que os scanners tinha interpretado mal — mas contar manualmente é também uma atividade humana, sujeita a julgamentos humanos e erro humano.

A enorme contagem manual de 2020 da Geórgia de aproximadamente cinco milhões de cédulas presidenciais — em 41 881 lotes, 159 condados, menos de seis dias — confirmou o resultado tabulado pela máquina dentro de aproximadamente um décimo de um por cento. Isto é impressionante à escala. É também um lembrete de que "aproximadamente um décimo de um por cento" numa eleição muito apertada não é zero. As auditorias de limitação de risco de todo o estado do Colorado, as primeiras do seu tipo quando lançadas em 2017, oferecem uma abordagem estatisticamente fundamentada para dimensionar a verificação contra como apertada é a eleição — mas até essas auditorias dependem de um registo em papel ser preciso, e da amostragem ser genuinamente aleatória.

O ponto não é que as contagens manuais são inúteis. São essenciais. O ponto é que "uma contagem manual confirmou-a" e "o Secretário de Estado diz que está bem" são afirmações, não provas. Numa eleição decidida por dezenas de votos, confirmação por um método que é ele próprio incerto por dezenas de votos é uma garantia. Não é a mesma coisa que verificabilidade independente.

O problema estrutural que estes dois casos partilham

Finlândia 2008 e Windham 2020 parecem diferentes à superfície — um é um terminal de voto eletrónico num programa piloto nórdico, o outro é um scanner ótico numa cidade de New England. Mas partilham a mesma falha subjacente.

Em ambos os casos, o sistema produziu uma contagem que diferiu dos votos reais expressos, e não havia um mecanismo em tempo real para ninguém — eleitor, observador ou funcionário — detetar isto de forma independente.

Os eleitores finlandeses não tinham confirmação de que o seu boletim foi capturado. Os boletins de Windham não tinham forma de sinalizar que as linhas de dobra estavam a corromper o scan. Na Finlândia, a lacuna foi apenas encontrada porque os funcionários podiam eventualmente comparar o número de eleitores eletrónicos registados contra o número de cédulas esperadas. Em Windham, foi apenas encontrada porque uma recontagem manual produziu um número suficientemente diferente para determinar investigação — e depois apenas completamente explicada porque uma equipa forense gastou meses nela.

Ambos os erros foram apanhados depois do facto. Ambos exigiram esforço significativo para diagnosticar. No caso finlandês, o único remédio foi refazer as eleições inteiramente. No caso de Windham, o resultado manteve-se — mas a margem na eleição afetada tinha sido errada na noite das eleições, e o grau em que a contagem final certificada refletia com precisão a intenção do eleitor é algo que não pode ser respondido com certeza.

O vilão em ambas as histórias é a opacidade. Não malícia. Opacidade.

O que os tribunais realmente disseram sobre isto

Isto não é apenas um argumento técnico. Tribunais em múltiplos países chegaram à mesma conclusão pela perspetiva constitucional.

O Tribunal Constitucional Federal Alemão, em decisão de 3 de março de 2009 — quase exatamente dois meses antes do Tribunal Administrativo Supremo Finlandês — afirmou que o voto eletrónico é apenas constitucionalmente legítimo quando cidadãos ordinários, sem conhecimento especializado, podem de forma independente verificar cada passo essencial do boletim para o resultado. O Tribunal concluiu que máquinas guardando votos apenas em memória eletrónica, sem um registo independentemente verificável, falharam neste padrão. Anulou a base legal para as máquinas mesmo sem evidência de mau funcionamento real.

A Comissão Korthals Altes do governo holandês, no seu relatório de 2007 Stemmen met vertrouwen (Votar com confiança), pôs o princípio ainda mais claramente: não há segredos no processo eleitoral. As perguntas devem ser respondíveis, e as respostas devem ser verificáveis e controláveis. Os Países Baixos abandonaram computadores de voto e regressaram ao papel.

O Tribunal Supremo do Quénia anulou uma eleição presidencial em 2017 em parte porque os formulários de resultados careciam de características de segurança consistentes e a cadeia da assembleia de voto para a contagem nacional não podia ser independentemente verificada. Os tribunais do Malawi anularam um resultado presidencial em 2020 porque as folhas de contagem tinham sido alteradas com líquido de correção — uma intervenção física mundana, não um ataque cibernético — deixando nenhum registo fiável do que os eleitores realmente decidiram.

Observe o que todos estes casos têm em comum. Não se tratam de hackers. Tratam-se da ausência de um mecanismo que qualquer pessoa fora da autoridade de contagem possa usar para verificar a contagem de forma independente. Quer o modo de falha seja um defeito de usabilidade, uma dobra de crease, líquido de correção, ou um código QR ilegível, o problema subjacente é o mesmo: o registo que supostamente comprovaria o resultado não podia ser verificado de forma independente.

O argumento mais profundo: a verificabilidade apanha erro honesto, não apenas fraude

A conversa pública sobre integridade eleitoral é quase inteiramente enquadrada em torno da fraude. Isto é compreensível mas enganador. A fraude é um ato deliberado, e atos deliberados deixam pistas — motivos, padrões, beneficiários. Os erros honestos deixam nada exceto um número errado.

A implicação é importante: um sistema desenhado apenas para detetar fraude vai perder os erros que realmente ocorrem mais frequentemente.

O sistema de voto eletrónico finlandês não era desenhado para ser hackeado. Era desenhado para ser conveniente. Falhou porque os seus designers não construíram um mecanismo para os eleitores confirmarem de forma independente que o seu boletim foi contado — e sem esse mecanismo, um defeito de usabilidade tornou-se uma perda de votos indetectável.

Os scanners de Windham não foram comprometidos. Estavam a fazer aquilo para o qual foram programados: ler marcas escuras em localizações específicas. Uma dobra é uma marca escura numa localização específica. Sem verificação independente dos boletins físicos, o resultado da máquina foi tratado como autoritário.

O remédio não é desconfiar dos funcionários. A maioria dos funcionários eleitorais estão a fazer trabalho genuinamente difícil com recursos limitados e escrutínio intenso. O remédio é parar de construir sistemas que exigem confiar em alguém — e construir sistemas onde a contagem é verificável por qualquer pessoa, independentemente, sem precisar de acreditar numa pessoa ou instituição particular.

Isto significa cédulas de papel que o eleitor realmente marca e pode ver sendo contadas. Significa auditorias desenhadas por estatísticos para apanhar erros à escala em que teriam de ocorrer para mudar um resultado — o que é o que a estrutura de auditoria de limitação de risco do Colorado tenta fazer. Significa resultados ao nível das secções publicados instantaneamente, em forma legível por máquina, para que qualquer pessoa com uma folha de cálculo possa reconstruir a contagem e sinalizar anomalias mais rápido do que qualquer auditoria oficial. Significa compromissos criptográficos que deixam verificadores independentes confirmar a contagem sem serem capazes de ver votos individuais.

Isto não significa confiar no scanner. Isto não significa confiar no funcionário que diz que a auditoria confirmou. Isto significa desenhar o sistema para que a confiança não seja a variável.

O que ainda não é verificável — e o que o tornaria verificável

Aqui está o que não sabemos, e não podemos saber, a partir dos casos finlandês e de Windham mesmo agora:

Nos três municípios finlandeses, sabemos que 232 votos foram perdidos. Não sabemos em quem esses eleitores pretendiam votar. Não sabemos se esses 232 votos teriam mudado qualquer resultado individual de eleição. Sabemos que eleições novas foram realizadas. Não sabemos se o eleitorado reexecutado era idêntico em composição ou turnout ao original. O tribunal fez a coisa certa. Isso ainda deixa incerteza real sobre aquilo que o eleitorado original realmente decidiu.

Em Windham, sabemos que as dobras do papel causaram contagens erradas. Sabemos que a equipa forense fez um trabalho excelente diagnosticando a causa. Sabemos que a contagem manual recuperou a intenção do eleitor para os boletins examinados. Não sabemos se efeitos de dobra similares ocorreram em eleições anteriores com o mesmo equipamento. Não sabemos a taxa de erro exata para cada lote de boletim. O resultado foi certificado. O método que o certificou carregava a sua própria incerteza irredutível.

Estas não são acusações. São o resíduo honesto de depender da deteção depois do facto em vez de verificação em tempo real.

O que o tornaria verificável? Um método de votação em que cada eleitor recebe um token anónimo — não rastreável até à sua identidade — que pode usar para verificar que o seu boletim específico aparece na contagem final, corretamente, sem revelar como votou. Isto é aquilo que os sistemas de votação criptograficamente verificáveis end-to-end tentam providenciar. O eleitor não tem de confiar no terminal, no scanner, no funcionário, ou no vendedor. Verifica por si próprio.

Essa tecnologia existe. Ainda não é padrão em lado nenhum à escala. E até ser, cada eleição apertada decidida por algumas dezenas de votos é uma pergunta aberta vestida de um fato confiante.

A conclusão partilhável é esta: a maior ameaça para uma eleição apertada não é um hacker num país estrangeiro — é uma linha de dobra que ninguém notou, uma interface que ninguém explicou, um erro que ninguém sinalizou porque o sistema nunca foi construído para sinalizá-lo. A solução não é melhores funcionários ou auditorias mais ruidosas. É verificabilidade que funciona para todos, que não exige confiança de ninguém, e que apanha as falhas monótonas antes de se tornarem o registo permanente.

Veja como esta lacuna de verificação é comum em todo o mundo →

Leia a versão de dois minutos →

Explore a base de dados de lacunas completa →

Fontes

Ver todos os artigosExplorar as lacunas