← Todos os artigos

A invenção de 150 anos que a câmara do seu telefone pode desfazer silenciosamente

Uma lei aprovada em 1872 tornou deliberadamente o seu voto impossível de provar — e a câmara do seu telefone pode desfazer silenciosamente 150 anos dessa proteção em menos de três segundos.

É o verão de 1871 no Palácio de Westminster, e um deputado escocês chamado George Young está de pé no pódio defendendo um projeto de lei que quase ninguém na sala realmente quer. Os proprietários de terras não o querem. Muitos dos membros presentes não o querem. Porque o que o projeto propõe — votação em segredo, em boletim impresso, numa cabine com anteparo — destruiria algo em que esses homens sempre confiaram: a capacidade de observar como as pessoas votavam e agir em conformidade.

O Projeto de Lei de Voto de Young tornar-se-ia a Lei do Voto de 1872. E a coisa que foi projetada para destruir era um mercado.

Não um mercado metafórico. Um literal — com preços, transações e execução. Um voto era aberto, público, registado num livro e publicável. Um proprietário de terras, patrão ou agente do partido podia estar junto à urna, anotar como cada homem votava e acertar contas depois. O segredo que a Lei introduziu não era uma cortesia para o eleitor. Era um ataque estrutural aos mecanismos de compra e intimidação de votos. Sem prova do voto, nenhuma transação executável. O mercado colapsa quando a entrega das mercadorias não pode ser verificada.

Esta é a ideia que protegeu as eleições durante 150 anos. E é a ideia que uma câmara de telefone moderna pode desfazer silenciosamente.

O mecanismo que o Parlamento entendia melhor do que a maioria das pessoas compreende hoje

Antes de 1872, as votações na Grã-Bretanha funcionavam assim: você caminhava até à urna, declarava o seu candidato em voz alta ou apontava um nome, um funcionário escrevia-o num livro, e o livro era publicado. Todo o processo era, na linguagem da época, completamente aberto. O que significava que era também completamente coercivo.

O histórico da Comissão Eleitoral Australiana sobre o voto secreto coloca-o claramente: as pessoas "votavam publicamente, o que as deixava vulneráveis a intimidação e coerção". O chamado "boletim australiano" — um formulário uniforme impresso pelo Estado, marcado numa cabine privada — foi adotado na década de 1850 precisamente para quebrar essa vulnerabilidade. A Grã-Bretanha seguiu com a Lei do Voto em 1872. Os Estados Unidos adotaram o modelo estado a estado nas décadas seguintes.

A lógica de segurança é elegante e surpreendentemente robusta. Um comprador de votos precisa de duas coisas: pagamento e prova de entrega. O segredo derrota a segunda. Se um eleitor nunca conseguir demonstrar, após o facto, que votou conforme as instruções, o comprador está a fazer uma aposta sem mecanismo de execução. A transação torna-se inaplicável. E transações inaplicáveis — como qualquer economista lhe dirá — tendem a não acontecer.

O segredo do boletim não é sobre privacidade. É sobre tornar o produto impossível de comprar.

É por isto que uma lei sobre papel numa caixa de 1872 ainda está a fazer um trabalho estrutural pesado em todas as democracias que a utilizam. E é por isto que qualquer coisa que restaure a comprovabilidade — qualquer coisa que permita a um eleitor provar a sua escolha específica a um terceiro — não é uma funcionalidade. É uma vulnerabilidade de segurança.

O que um tribunal disse em voz alta em 2016

O Tribunal de Apelação dos EUA para o Primeiro Circuito esclareceu este mecanismo com clareza invulgar em Rideout v. Gardner, 838 F.3d 65 (1st Cir. 2016).

O caso era sobre a proibição de New Hampshire relativamente a selfies de boletim — fotografias do boletim marcado de um eleitor. O estado defendeu a proibição traçando a história diretamente: as reformas do voto secreto foram adotadas para "combater a compra generalizada de votos e intimidação de eleitores". O argumento era simples e historicamente preciso. Uma fotografia de um boletim marcado restaura exatamente o que a Lei do Voto destruiu: a capacidade de um eleitor provar, a qualquer pessoa, como votou. A prova é o produto. O produto é o que faz o mercado funcionar.

O tribunal anulou a proibição com base na Primeira Emenda — encontrou nenhuma evidência recente de que fotos de boletim tivessem realmente alimentado a compra de votos em New Hampshire e decidiu que o estatuto não era claramente direcionado. Mas o tribunal não pôs em dúvida o mecanismo subjacente. Aceitou o histórico e a lógica do estado. Apenas concluiu que o perigo era teórico em vez de demonstrado naquela jurisdição naquele momento.

Essa conclusão pode ser revisitada noutros locais, noutras salas de tribunal, noutros anos.

Porque o mecanismo que o tribunal aceitou em teoria está muito em funcionamento na prática — documentado por monitores internacionais, decisões judiciais e observadores eleitorais em toda a Europa e além.

O mercado que nunca fechou

Considere o que monitores eleitorais internacionais encontraram, não num contexto autoritário distante, mas em Estados-membros da UE.

Nas eleições parlamentares de Bulgária em abril de 2023, o relatório final da OSCE/ODIHR registou "preocupações há muito tempo com a compra de votos e votação controlada", que foram "presentes e reportadas" à missão. Observadores encontraram que o segredo do boletim foi comprometido em 7 por cento das suas observações no dia da eleição. A aplicação da lei disse aos monitores que obter provas de compra de votos continua desafiador e que a maioria dos casos não progride para além da fase de pré-julgamento.

Essa última frase merece uma segunda leitura. Num Estado-membro da União Europeia, em 2023, a compra de votos é documentada mas largamente improseguível. Porquê? Porque provar uma transação requer provar como alguém votou. E se o boletim é verdadeiramente secreto, essa prova é difícil de obter.

Agora pergunte: o que mudaria se os eleitores rotineiramente fotografassem os seus boletins marcados?

Nas eleições parlamentares de Geórgia em outubro de 2024 — o país, não o estado dos EUA — a OSCE/ODIHR encontrou que questões com o segredo do voto foram anotadas em mais de 30 por cento das observações: comprometidas por como os boletins foram inseridos nas caixas, como foram marcados à vista de outros, e por layouts de postos de votação inadequados. A missão encontrou que estas questões "impactaram negativamente a integridade das eleições e enfraqueceram a confiança pública".

Trinta por cento não é um caso marginal. É uma falha estrutural da proteção que faz o design de 1872 funcionar.

Nas eleições parlamentares da Albânia em 2021, a ODIHR documentou alegações "generalizadas" de compra de votos por partidos políticos. Na eleição presidencial do Quirguistão em 2017, a missão instou as autoridades a "garantir o direito a uma escolha livre e secreta" e prevenir qualquer forma de pressão sobre eleitores para revelar como votaram. Nas eleições locais da Macedónia do Norte em 2025, observadores anotaram "rastreamento de eleitores no dia da eleição e à sua volta" juntamente com alegações de compra de votos e pressão sobre funcionários do setor público.

Rastreamento de eleitores. Esta frase é importante. Significa que alguém está a manter um registo de quem apareceu — frequentemente verificável contra instruções dadas antecipadamente, com consequências aplicadas depois. É a espinha dorsal operacional da coerção no local de trabalho. E funciona melhor quando os eleitores podem ser obrigados a confirmar a sua conformidade.

O selfie do boletim não é uma novidade. Em alguns contextos, é um comprovativo de conformidade.

A lacuna específica que a Lei de 1872 sempre tentou fechar

Eis a coisa sobre o design da Lei do Voto que é fácil de perder. Não simplesmente tornou a votação privada. Tornou os votos impossíveis de provar — a qualquer pessoa, em qualquer direção, para qualquer propósito, incluindo o próprio eleitor.

Isso parece estranho pelos padrões modernos. Estamos acostumados a sistemas que nos dão recibos. Mas os arquitetos do voto secreto compreenderam que um recibo é exatamente o que um comprador de votos precisa. A Lei do Voto de 1872 prescreve uma caixa de boletim selada, ofensas específicas protegendo a integridade da votação, e procedimentos projetados para que nenhuma ligação possa ser estabelecida entre um eleitor nomeado e um boletim marcado. O anonimato é arquitetónico, não incidental.

A lacuna que a Lei estava a fechar é esta: num sistema aberto, a prova flui naturalmente da estrutura. Num sistema secreto, a prova deve ser destruída ativamente — o mecanismo deve ser projetado para tornar a prova impossível.

Quando esse mecanismo falha — porque uma cabine de votação está virada para o lado errado, porque um eleitor fotografa o seu boletim, porque um supervisor fica demasiado perto, porque uma folha de contagem é visível — o mercado reabre. Não em todo o lado, não imediatamente, mas a proteção estrutural enfraquece.

Isto é documentado na extremidade do espectro por casos como Erlam & Ors v Rahman [2015] EWHC 1215 (QB), no qual um Tribunal de Eleição anulou uma eleição para presidente da câmara de Tower Hamlets após encontrar suplantação, fraude de voto postal e suborno. O tribunal encontrou a eleição manchada por práticas corruptas e ilegais — e uma das condições permitidas foi que o voto postal moveu boletins para fora do ambiente controlado e secreto da assembleia de voto para espaços onde a cadeia de custódia era muito mais difícil de garantir.

O voto postal não é o mesmo que um selfie de boletim. Mas o problema subjacente é estruturalmente idêntico: o boletim viaja para fora do espaço protegido onde não pode ser observado, e a proteção quebra.

O que o 'segredo' realmente custa — e o que obtém

Há uma tensão real aqui que a análise honesta não pode contornar.

O segredo do boletim tem um custo genuíno. Significa que não pode verificar que o seu voto foi contado. Significa que não pode provar a qualquer pessoa — um tribunal, um jornalista, um investigador curioso — que o seu papel específico terminou no total. Esta é a mesma propriedade que torna o boletim impossível de comprar, mas também torna o boletim não verificável para o próprio eleitor.

Isto não é um defeito de design. É o design. E é por isto que o desafio de engenharia para sistemas de votação modernos é genuinamente difícil: você quer um sistema que seja simultaneamente secreto e verificável — onde o eleitor não possa provar a sua escolha a um terceiro, mas a eleição como um todo possa ser independentemente verificada por qualquer pessoa.

Esses dois requisitos puxam em direções opostas. Satisfazer ambos ao mesmo tempo requer técnicas criptográficas que são mais sofisticadas do que um boletim em papel mas potencialmente mais poderosas do que qualquer auditoria manual.

Eis onde a comparação com recontagens manuais é instrutiva. Quando a Geórgia realizou a sua contagem manual completa de aproximadamente 5 milhões de boletins em 2020, a variação entre a contagem de máquina e a contagem manual foi de cerca de um décimo de um por cento — uma correspondência próxima que forneceu confiança estatística genuína no resultado. Mas no Condado de Antrim, Michigan, uma contagem manual de aproximadamente 15.700 boletins presidenciais ainda diferiu da tabulação de máquina por aproximadamente uma dúzia de votos. Doze votos. Num pequeno condado onde o erro foi apanhado porque era absurdamente implausível.

Uma dúzia de votos numa corrida apertada não é ruído. É a margem.

A contagem manual é o padrão-ouro de verificação eleitoral — e carrega erro humano irredutível. Não pode resolver uma questão decidida por um punhado de votos. E não pode, por si só, garantir que o boletim que um eleitor marcou é o boletim que foi auditado. O segredo que protege os eleitores da coerção também significa que nenhum eleitor pode rastrear o seu próprio boletim através da caixa, do scanner e da contagem final.

A resposta não é abandonar o segredo em nome da verificabilidade. A resposta é verificabilidade que não exige que o eleitor prove o seu voto específico — sistemas que permitem confirmação matemática independente do resultado agregado sem expor nenhuma escolha individual.

A lacuna que só o segredo não pode fechar

A Lei do Voto resolveu um problema — coerção e compra no ponto de votação — brilhantemente. Mas deixou outros abertos, e 150 anos de administração eleitoral têm estado a contornar essas lacunas.

O caso de Tower Hamlets mostra o que acontece quando o voto viaja para fora da assembleia de voto: boletins postais, manipulados em ambientes não controlados, é onde o segredo é mais difícil de aplicar e onde a pressão de procuração é mais eficaz. O 9º Distrito Congressual da Carolina do Norte viu um esquema coordenado de boletim em falta tão extenso que o Conselho Estatal de Eleições unanimemente ordenou uma nova eleição em 2019 — um evento raro na história eleitoral americana. O mecanismo era coleta e preenchimento de boletins por operativos que podiam observar e controlar como os boletins eram marcados ou preenchidos.

O segredo na cabine não o ajuda se outra pessoa preencher o seu boletim.

E um selfie de boletim — ou uma câmara de telefone virada para uma tela numa cabine de votação, ou uma fotografia tirada de um boletim em papel antes de ser depositada — restaura precisamente a prova que a Lei de 1872 passou tanto tempo a eliminar. Não importa se o eleitor é um vendedor disposto ou um funcionário coagido. O que importa é que a prova existe. Uma vez que existe, pode ser exigida.

A resposta de primeira geração a este problema — passar leis contra selfies de boletim — aborda apenas um canal. A coerção acontece através de muitos canais: marcação testemunhada, rastreamento de participação, telas fotografadas, capturas de tela de páginas de confirmação BMD. Não pode legislar o seu caminho para uma solução estrutural. Você precisa da arquitetura para aplicar o segredo por design.

É isto que o Tribunal Constitucional Federal Alemão reconheceu em 2009, quando anulou máquinas de votação eletrônica porque cidadãos ordinários não podiam verificar independentemente os passos essenciais da contagem. Não especialistas. Cidadãos. Os Países Baixos chegaram a uma conclusão semelhante e regressaram ao papel. A questão do que os cidadãos podem verificar independentemente é a mesma questão que os arquitetos de 1872 estavam a colocar ao contrário: o que pode ser provado, por quem, a quem, com quais consequências?

A resposta honesta ao que ainda está por resolver

A Lei do Voto criou uma estrutura onde a prova que um coersor precisa simplesmente não existe. Essa estrutura é enfraquecida sempre que o segredo falha — por layouts de cabine ruins, por boletins postais marcados sob supervisão, por fotografias, por rastreamento de participação rastreado, por pressão do empregador apoiada pelo monitoramento do local de trabalho.

Nenhum desses modos de falha é novo. A maioria deles era conhecida dos arquitetos da Lei de 1872. O que é novo é a câmara de telefone em todos os bolsos, e a facilidade com que uma fotografia pode ser tirada, transmitida e usada como prova de conformidade.

A resposta legal — proibir o selfie — é um remendo para um problema estrutural.

A resposta estrutural é um sistema de votação cujo segredo é aplicado pela sua arquitetura e não por uma proibição: onde o boletim é anonimizado antes de entrar na contagem, onde a anonimização é matematicamente verificável por qualquer pessoa sem revelar votos individuais, e onde o resultado agregado é independentemente verificável sem exigir que qualquer eleitor produza prova da sua escolha específica.

Esse sistema tornaria o selfie do boletim inútil como ferramenta de coerção, porque ninguém conseguiria ligar a fotografia de um eleitor a um boletim na tabulação — mesmo que a fotografia existisse. A prova que não existe não pode ser exigida.

O que atualmente não pode ser verificado independentemente, por si, sem confiar na garantia de um oficial: se o seu voto foi contado como o marcou, se o total agregado reflete os boletins reais na caixa, e se as proteções de segredo que deveriam tornar a compra de votos inaplicável estão realmente a funcionar nas assembleias de voto e sistemas postais das eleições em que vota.

O que o tornaria verificável: um sistema aberto e publicamente auditável cuja criptografia pode ser independentemente inspecionada — não por especialistas em nome do público, mas pelo público diretamente. Esta é a lacuna que a Lei de 1872 abriu, e que 150 anos de administração não fecharam.

Veja como esta lacuna aparece em diferentes países →

Leia a versão de dois minutos do problema de verificabilidade →

Explore a base de dados completa de casos verificados de integridade eleitoral →

Fontes

Ver todos os artigosExplorar as lacunas