← Todos os artigos27 de julho de 2026

Não consegue ler o código de barras que conta o seu voto. Um tribunal federal reparou.

O seu boletim imprime texto legível — mas o scanner ignora-o e lê um código de barras que não consegue descodificar. Um tribunal federal documentou essa descoberta.

É 11 de outubro de 2020, e um juiz federal em Atlanta está a ler depoimento pericial que a maioria dos eleitores nunca verá.

Dr. J. Alex Halderman — o mesmo investigador que assumiu o controlo do projeto de votação pela internet de Washington D.C. em 48 horas e que passou duas décadas a testar sistemas eleitorais — explicou, sob juramento, como os dispositivos de marcação de boletins da Geórgia funcionam realmente. Chega-se a um ecrã tátil, faz as suas escolhas, e a máquina imprime uma folha de papel. O papel mostra as suas escolhas em inglês claro. Leva-o a um scanner. O scanner ignora as palavras.

Lê um código QR.

O código QR é um quadrado denso de píxeis preto e branco que codifica o seu voto num formato que nenhum olho humano consegue interpretar sem um dispositivo de descodificação separado. Não tem forma prática de verificar que o código de barras diz o mesmo que o texto impresso. E o código de barras — e não o texto — é o que é contabilizado.

O Tribunal Distrital dos EUA para o Distrito Norte da Geórgia, no seu parecer de 11 de outubro de 2020 em Curling v. Raffensperger, encontrou exatamente isto: o sistema "não fornece um registo de boletim verificável e auditável porque se baseia no código QR para contabilização de votos e esse código não pode ser lido e verificado pelo eleitor."

Essa frase não vem de um grupo de defesa ou de um parecer partidário. É uma descoberta de facto por um tribunal federal, citando depoimento pericial e a National Academies of Sciences, Engineering, and Medicine.

E aponta para uma lacuna que vai muito além da Geórgia, muito além de uma eleição, e muito além de qualquer peça única de hardware.

O que é contabilizado deve ser o que consegue verificar

Eis o princípio que a descoberta do tribunal em Curling expõe.

Um boletim é suposto ser o seu registo — um artefato físico que captura a sua intenção e pode ser verificado independentemente por qualquer pessoa que o examine. É para isto que o papel serve. O papel sobrevive a falhas de energia, travamentos de software e ataques de rede. O papel pode ser contado à mão. O papel é o que uma auditoria verifica.

Mas um pedaço de papel com um código QR não é exatamente a mesma coisa. O papel contém dois registos: um legível para humanos e outro legível para máquinas. Se esses dois registos puderem divergir — e Halderman testemunhou que podem, através de um ataque cibernético que troca o conteúdo do código de barras sem alterar o texto impresso — então o artefato que é contabilizado não é o artefato que o eleitor verificou.

O que é contabilizado deve ser o que é verificável. Se conseguem separar-se, não tem um registo em papel. Tem uma alibi em papel.

O tribunal foi inequívoco sobre o risco subjacente. Notou depoimento pericial sobre "a viabilidade prática, através de um ataque cibernético, de trocar ou eliminar votos e comprometer o sistema, incluindo através do acesso e alteração do código de barras QR utilizado para contabilizar votos." Também citou a descoberta de 2018 das National Academies de que "nenhum mecanismo técnico existe atualmente para garantir que uma aplicação de contagem de votos produz resultados precisos" e que "testes isolados não conseguem garantir que sistemas não foram comprometidos."

Isto não é uma posição marginal. É o julgamento considerado da principal instituição científica do país, ratificado por um tribunal federal.

O que o tribunal fez — e não fez

É aqui que a história fica desconfortável.

Após fazer essas descobertas, o tribunal recusou ordenar qualquer reparação. Com a eleição de novembro de 2020 a poucas semanas de distância, a Juíza Totenberg concluiu que eliminar completamente o sistema de dispositivos de marcação de boletins da Geórgia e mudar para boletins marcados manualmente não era um remédio prático num período de emergência. O risco de caos era demasiado elevado. Pesou o defeito constitucional contra a perturbação da cura e escolheu deixar a eleição prosseguir.

É um julgamento judicial razoável. É também uma ilustração de como os sistemas se perpetuam: uma vez que um estado implantou dezenas de milhares de dispositivos de marcação de boletins, reformulou o treino dos seus funcionários eleitorais à sua volta e imprimiu os seus boletins para serem lidos por eles, a janela para reformas fecha-se precisamente quando o problema está a ser documentado.

As descobertas do tribunal mantêm-se no registo. As máquinas conduziram a eleição. O caso mais amplo foi eventualmente arquivado em 2024 com fundamento na legitimidade processual — não porque as descobertas subjacentes estivessem erradas, mas porque os queixosos não conseguiram estabelecer a legitimidade processual necessária para continuar.

"Encontrámos o problema mas não conseguimos corrigi-lo a tempo" não é uma garantia. É uma descrição de como sistemas não verificáveis se tornam permanentes.

Um breve historial do problema do código de barras

A Geórgia não inventou esta lacuna. Comprou-a.

A Help America Vote Act de 2002 despejou dinheiro federal em substituir as máquinas de cartão perfurado e alavanca que falharam em 2000. A intenção era razoável: a tecnologia antiga e ambígua tinha produzido a crise do "hanging chad". A nova tecnologia digital seria mais limpa e precisa. Os estados gastaram centenas de milhões de dólares na modernização.

Mas o caminho de modernização levou, em muitos casos, para máquinas de votação de registo eletrónico direto de ecrã tátil — dispositivos que não produziam papel algum — e mais tarde, quando o papel se tornou um requisito político, para dispositivos de marcação de boletins que produzem papel com código de barras. O código de barras foi uma escolha de design que tornava a contabilização mais rápida e confiável para a máquina. Tornou a verificação mais difícil para o humano.

O desastre de Sarasota County, Florida de 2006 ilustrou a versão sem papel deste problema: 18.412 boletins numa eleição decidida por 369 votos não mostravam qualquer escolha registada, e porque o condado usava ecrãs táteis sem papel, não havia nada independente para recontar. O GAO testou as máquinas e não encontrou qualquer avaria definitiva — o que significa que também não havia forma de provar que as máquinas tinham funcionado corretamente. O papel é o que resolveria essa questão. Mas "papel" e "papel verificável" não são a mesma coisa.

O padrão alemão, e por que ainda importa aqui

Em março de 2009, o Tribunal Constitucional Federal alemão em Karlsruhe decidiu que a votação eletrónica é apenas constitucionalmente legítima quando "as etapas essenciais da votação e da determinação do resultado podem ser examinadas pelo cidadão de forma fiável e sem qualquer conhecimento especializado do assunto."

Sem conhecimento especializado. Essa frase faz o trabalho pesado.

Um código QR falha este teste. Lê-lo requer um dispositivo de descodificação ou conhecimento de software. Não consegue segurar um código de barras à luz e confirmar que diz o mesmo que o texto impresso. O padrão do tribunal alemão — que flui da Lei Fundamental do país e do princípio da verificabilidade pública de eleições — seria incómodo aplicado a um boletim da Geórgia com código de barras.

A decisão alemã levou a uma proibição de máquinas de votação que carecem de registos independentemente verificáveis. Os Países Baixos chegaram à mesma conclusão o mesmo ano, voltando a boletins em papel e contagem manual após uma comissão governamental determinar que qualquer método eletrónico deve produzir "um voto em papel que o eleitor consegue verificar."

A frase da comissão holandesa é precisa. Não apenas papel. Um voto em papel que o eleitor consegue verificar. Um boletim com código de barras é papel. Não é necessariamente papel que o eleitor consegue verificar.

O que uma recontagem realmente audita

Eis o truque de prestidigitação que é fácil de perder.

Quando a Geórgia conduziu a sua recontagem manual em todo o estado de aproximadamente cinco milhões de boletins presidenciais após novembro de 2020 — a maior recontagem manual da história americana — os auditores estavam a contar boletins com código de barras. A recontagem manual confirmou o resultado contabilizado pela máquina dentro de cerca de um décimo de um por cento.

É uma verificação cruzada significativa. Diz-lhe que os scanners leram os códigos de barras consistentemente. Não lhe diz se os códigos de barras dizem o mesmo que o texto impresso. Uma recontagem manual de boletins com código de barras é uma auditoria da consistência do código de barras, não uma auditoria da intenção do eleitor.

Para auditar a intenção do eleitor num boletim com código de barras, teria de descodificar cada código de barras e compará-lo com o texto impresso correspondente. Nenhum estado faz isto como matéria de rotina.

A auditoria forense de Windham, New Hampshire de 2021 oferece uma comparação útil. Ali, os scanners AccuVote estavam a ler mal as linhas de dobra em boletins por correio como óvalos marcados — um erro puramente mecânico que produziu centenas de votos contabilizados incorretamente sem fraude e sem malware. O erro só foi recuperável porque os boletins em papel existiam e os humanos conseguiam examiná-los para determinar a intenção real do eleitor. É para isto que o papel serve: recuperar a intenção quando a máquina errou.

Num boletim com código de barras, se a máquina codificou a escolha errada no código de barras, o papel não contém nenhum registo independente da intenção do eleitor que um humano consegue recuperar. O papel é um recibo para o código de barras, não para o voto.

O problema de Coffee County, comprimido

Em janeiro de 2021, uma empresa de perícia informática foi admitida no gabinete eleitoral de Coffee County, Geórgia e saiu com cópias de tudo: o Election Management System, os dispositivos de marcação de boletins, o scanner e o software Dominion de votação de toda a Geórgia. Isto foi documentado em depoimentos no próprio Curling v. Raffensperger — o mesmo caso que tinha acabado de descobrir que o código QR era não verificável.

O episódio demonstra algo específico. O sistema da Geórgia foi defendido, em parte, com base em que o software proprietário era seguro porque era secreto. Coffee County mostra o que essa defesa vale: um insider com uma porta destrancada e uma empresa de perícia com um laptop conseguem copiar todo o sistema numa tarde.

Uma vez que o software sai, a suposição de que a sua superfície de ataque é desconhecida colapsa. O argumento de segurança para código de dispositivo de marcação de boletim fechado e proprietário foi sempre fraco; depois de Coffee County, desapareceu.

É por isto que a questão do código QR ilegível não é apenas uma reclamação de usabilidade. É uma questão de arquitetura de sistema. Um sistema cuja verificabilidade depende do sigilo do seu código é um contacto adversário afastado de não ter nenhum.

O que "verificável" exigiria realmente

A descoberta do tribunal em Curling implica um padrão concreto: o artefato que é contabilizado deve ser independentemente verificável pelo eleitor, sem recurso a conhecimento especializado.

Há abordagens que se aproximam mais disto do que boletins com código de barras.

Boletins marcados manualmente em papel, lidos por scanners ópticos, colocam as próprias marcas do eleitor no centro do registo. O scanner interpreta as marcas; um auditor humano pode re-examinar as mesmas marcas independentemente e chegar à mesma conclusão — ou não. Quando não correspondem, como em Windham, o papel vence. A intenção do eleitor sobrevive ao erro da máquina.

Dispositivos de marcação de boletins com saída apenas legível para humanos — imprimindo seleções como texto, sem um código de barras de codificação que divirja do texto — fecham parcialmente a lacuna, embora ainda dependam do eleitor revisar realmente o resultado impresso antes de o submeter.

Sistemas de votação criptograficamente verificáveis, onde cada boletim votado pode ser verificado contra um registo publicamente publicado, anonimizado, usando matemática aberta e auditável, vão mais longe — mas como o caso da Swiss Post de 2019 demonstrou, mesmo código-fonte publicado e provas criptográficas publicadas podem conter trapdoors que apenas revisão adversária externa consegue encontrar. A abertura é necessária; não é suficiente. Escrutínio independente e contínuo é o que torna a abertura real.

A resposta que não funciona é a resposta que a Geórgia deu em 2020: um registo em papel que o processo oficial trata como verificável mas que o eleitor não consegue realmente descodificar.

A garantia oficial, e em que se baseia

Após a eleição de 2020, CISA e os seus parceiros de infraestrutura eleitoral emitiram uma declaração conjunta afirmando que foi "a mais segura da história americana." A declaração citou especificamente registos em papel como razão: permitiam recontagens e auditorias.

Mas a própria lógica da declaração de CISA depende de registos em papel significarem algo. Se o registo em papel a ser auditado é um código de barras que nenhum eleitor consegue ler, e se o procedimento de auditoria verifica apenas que os códigos de barras foram digitalizados consistentemente em vez de verificar que codificavam a escolha do eleitor, a garantia é circular. Diz: confirmámos que as máquinas leram os códigos de barras corretamente. Não diz: confirmámos que os códigos de barras continham o que os eleitores escolheram.

Isto não é uma teoria da conspiração. É uma lacuna estrutural que um tribunal federal colocou por escrito.

A descoberta em Curling não é evidência de que o resultado de 2020 da Geórgia estava errado. É evidência de que o sistema não é concebido para lhe permitir descobrir independentemente — e esse é o problema, independentemente de qualquer resultado em particular.

O que ainda não é verificável — e o que o corrigiria

Eis o que permanece em aberto, como matéria de facto documentada:

Nenhum processo de rotina na Geórgia — ou na maioria dos estados que usam dispositivos de marcação de boletins com código de barras — descodifica cada código QR e o compara com o texto impresso. A auditoria verifica a consistência da máquina, não a intenção do eleitor.

A descoberta das National Academies, citada pelo tribunal em Curling, permanece: nenhum mecanismo técnico existe atualmente para garantir que uma aplicação de contagem de votos produz resultados precisos. Os testes apanham muitos erros. Não conseguem garantir a ausência de todos os erros ou de todas as compromissões.

O que tornaria isto verificável por qualquer pessoa:

Primeiro, substituir registos de boletim com código de barras por registos apenas legíveis para humanos, ou exigir descodificação de rotina e comparação de códigos de barras contra texto impresso como passo de auditoria obrigatório.

Segundo, publicar resultados de nível de colégio eleitoral, legíveis por máquina, no momento em que cada colégio eleitoral é final — para que qualquer observador consiga descarregar, reconciliar e verificação cruzada sem esperar por um sumário oficial.

Terceiro, exigir software aberto, independentemente auditável, em sistemas de votação, para que investigadores externos consigam examinar o código que gera o código QR, não apenas o papel que imprime.

Quarto, tratar "um tribunal não encontrou evidência de manipulação" e "funcionários confirmaram o resultado" como o início da conversação de verificação, não o fim dela.

O tribunal em Curling encontrou o problema. As máquinas funcionaram assim mesmo. A lacuna ainda está lá.

A correção não é um funcionário oficial diferente a dizer que está tudo bem. A correção é um sistema que qualquer pessoa consegue verificar — inclusive você.

Veja como é comum a lacuna de registo de boletim ilegível em todo o mundo | Leia a versão de dois minutos | Explore o mapa completo de casos

Fontes

Ver todos os artigos Explorar as lacunas