← Todos os artigos

A pressão silenciosa que decide eleições antes de um único voto ser contado

Alguém ofereceu dinheiro a um eleitor no Quirguistão pela sua cédula — e a única razão pela qual funcionou é que o comprador podia verificar.

É a manhã de 15 de outubro de 2017, e as mesas de voto acabam de abrir em todo o Quirguistão para a eleição presidencial do país. Por a maioria dos critérios, esta é uma corrida funcional e competitiva. Onze candidatos. Um campo que inclui um ex-primeiro-ministro. Observadores internacionais da OSCE estão a vigiar.

E em algum lugar — num escritório da circunscrição, fora de uma mesa de voto, numa reunião discretamente arranjada na noite anterior — dinheiro está a mudar de mãos.

Não metaforicamente. A Missão de Observação Eleitoral OSCE/ODIHR documentaria mais tarde de forma clara no seu relatório final: casos de pressão sobre eleitores, compra de votos e abuso de recursos públicos. A missão recomendou que as autoridades garantissem o direito a uma escolha livre e secreta, e que assegurassem que qualquer forma de pressão sobre os eleitores para divulgar como votaram fosse claramente proibida com penalidades efetivas.

Essa última frase é a que merece ser analisada em detalhe. Pressão para divulgar como votaram.

Parece uma nota de procedimento. Não é. É o diagnóstico de um ataque inteiro à democracia — e entender porquê lhe diz mais sobre segurança eleitoral do que quase qualquer argumento sobre software ou servidores.

A transação que requer um recibo

A compra de votos não é complicada. Alguém com dinheiro ou poder quer um resultado particular. Identificam eleitores que podem alcançar — funcionários, inquilinos, membros da comunidade, pessoas que lhe devem um favor — e fazem uma oferta: vote no meu candidato, e algo bom acontece. Vote contra, e algo mau acontece.

O problema, da perspetiva do comprador, é a execução.

Um voto é secreto. Pode pegar no dinheiro, entrar na cabine, votar como quiser, sair, e ninguém fica mais sabichão. O comprador não o pode seguir. A cédula não tem o seu nome. O recibo de um voto não pode existir, por conceito.

Isto não é um defeito nos sistemas democráticos. É a característica central de segurança.

Se o comprador não conseguir verificar a compra, o mercado colapsa. Cada pagamento torna-se uma aposta inexequível. A única forma de a compra de votos escalar é se o sigilo falhar — se os eleitores puderem ser observados, seguidos, fotografados, ou pressionados a provar conformidade.

Que é exatamente o que ODIHR documentou no Quirguistão. E nas eleições parlamentares de 2021 na Albânia, onde a mesma missão encontrou alegações de compra de votos por partidos políticos generalizadas, levando a investigações. E nas eleições parlamentares antecipadas de 2023 na Bulgária, onde observadores registaram "preocupações de longa data com compra de votos e votação controlada", com o sigilo da cédula comprometido em 7 por cento das estações observadas. E nas eleições parlamentares de 2024 na Geórgia, onde ODIHR encontrou problemas com o sigilo da cédula em mais de 30 por cento das mesas de voto observadas — incluindo como as cédulas foram marcadas, como foram depositadas, e como as mesas de voto foram dispostas fisicamente.

A geografia muda. O mecanismo não.

Porque é que o voto secreto existe de todo

Este não é um problema novo, que é a primeira coisa a compreender.

Nas cidades mercantis inglesas de meados de 1800, a votação era pública. Caminhava, declarava a sua escolha em voz alta, e o oficial retornado escrevia-a num livro. O livro podia ser publicado. O seu senhorio, o seu empregador, o seu credor — qualquer pessoa com poder sobre si — sabia exatamente como tinha votado. A intimidação não era um efeito colateral deste sistema. Estava incorporada na sua arquitetura.

A cédula australiana — impressa pelo Estado, marcada numa compartimento privado, depositada numa caixa selada — foi inventada nos anos 1850 como contramedia direta. A Comissão Eleitoral Australiana registra que porque as pessoas "votavam publicamente, o que as deixava vulneráveis a intimidação e coerção," um órgão eleitoral independente foi estabelecido e o voto secreto implementado. Depois difundiu-se por democracias.

A Grã-Bretanha codificou-o no Ballot Act 1872 — precisamente para terminar com o suborno aberto e a intimidação que a votação pública tinha permitido durante séculos.

O insight é antigo, mas as suas implicações continuam a ser redescobertos. Em 2016, o Tribunal de Apelação dos EUA para o Primeiro Circuito reviu a proibição de New Hampshire de fotografar a sua própria cédula marcada. Em Rideout v. Gardner, o tribunal traçou a história diretamente: as reformas de voto secreto foram adotadas para "combater a compra generalizada de votos e a intimidação eleitoral," práticas que dependem de um comprador ou coattor conseguir verificar o voto. Uma fotografia da sua cédula preenchida restaura essa prova. Transforma o seu voto de volta num recibo. O tribunal anulou a proibição por razões da Primeira Emenda — mas a sua análise de porquê o sigilo da cédula importa como propriedade de segurança é uma das declarações mais limpas do princípio que encontrará em qualquer lugar no direito.

O sigilo derrota a compra de votos porque o comprador não consegue verificar a compra. Isto não é uma cortesia. É uma garantia estrutural.

Qualquer característica que permita a um eleitor provar a sua escolha específica a um terceiro — uma fotografia, uma marca identificativa, uma cédula rastreável — reabre silenciosamente o mercado.

O problema operacional do coattor

Volte ao Quirguistão, ou à Albânia, ou à Macedónia do Norte — onde o relatório de eleições locais de 2025 da ODIHR sinalizou não apenas compra de votos e pressão sobre funcionários do setor público, mas rastreamento de eleitores: o registo sistemático de quem votou e quando, para monitorizar se as pessoas cumpriram.

O rastreamento de eleitores é a espinha dorsal operacional da coerção no local de trabalho. O seu empregador diz-lhe para votar num candidato. Vai à mesa de voto. Alguém marca-o numa lista. Se não apareceu, ou apareceu brevemente demais, a inferência é que desobedeceu à instrução. A ameaça é implícita: saberemos.

Mas repare nos limites desta abordagem. Rastrear quem votou não diz ao coattor como votaram. Apenas lhe diz que foi. O voto secreto ainda derrota a transação no momento da escolha — se a cabine é genuinamente privada, se ninguém consegue ver o papel marcado, se a cédula não consegue ser fotografada, e se o depósito da cédula não consegue ser observado.

ODIHR encontrou todas essas condições a falhar na eleição de 2024 da Geórgia. Vinte e quatro por cento das observações revelaram potenciais compromissos de sigilo de como as cédulas foram inseridas nas caixas. Doze por cento de como os eleitores marcaram as suas cédulas. Sete por cento de disposições inadequadas da mesa de voto. O voto secreto não é uma lei que aprova. É um facto físico, processual e arquitetónico que ou consegue ou não consegue.

Quando essas condições falham — quando um eleitor consegue ser visto, ou quando a pressão para divulgar o acompanha para casa — o mecanismo de execução é restaurado. A ameaça torna-se credível. E dinheiro começa a mover-se.

O que torna a coerção inexequível

Aqui está a pergunta mais difícil: o que seria realmente necessário para tornar a coerção estruturalmente impossível?

Não apenas ilegal. Não apenas desencorajada. Estruturalmente impossível, no sentido de que não importa quanto um coattor tente, não conseguem confirmar conformidade.

A resposta clássica é a cédula física secreta: uma área de marcação privada, sem marcas ligando o papel ao eleitor, depositada numa caixa selada que ninguém consegue observar. Esse modelo, quando funciona, é genuinamente poderoso. Tribunais em Inglaterra anularam a eleição autárquica de Tower Hamlets de 2014 em parte porque cédulas por correio — movidas para fora do ambiente controlado da mesa de voto — tinham sido recolhidas, manuseadas e manipuladas por terceiros de formas que a cadeia de custódia não conseguia excluir. O julgamento do tribunal eleitoral encontrou práticas incluindo fraude de votos por correio, suborno e pressão indevida. No momento em que a cédula sai da cabine, a garantia de privacidade enfraquece.

A eleição autárquica de Colima de 2015 do México foi anulada pelo Tribunal Eleitoral após encontrar que funcionários estaduais tinham usado recursos públicos e intimidação para beneficiar um candidato — pressão de cima, não de um comprador de rua, mas o mecanismo é idêntico: aplicar alavanca a eleitores que não conseguem provar que o seu voto foi independente.

E a Suprema Corte das Filipinas, em Nolasco v. COMELEC (1997), apoiou a desqualificação de um prefeito eleito por compra de votos — envelopes contendo dinheiro, distribuídos com o nome do candidato anexado. O tribunal manteve que mesmo a oferta de pagamento constitui a ofensa. As penalidades criminais importam. Mas a defesa mais profunda que o tribunal não conseguia providenciar é arquitetónica: se o voto não conseguisse ser provado ao comprador, o envelope seria inútil desde o início.

A perseguição criminal é a operação de limpeza. O anonimato por conceção é a prevenção.

A dimensão digital

Agora introduza tecnologia, e o problema aguça-se.

Os sistemas digitais podem quebrar o sigilo da cédula de maneiras que uma cabine de papel não consegue. Um sistema de votação pela internet que armazena uma ligação entre a sua identidade e o seu voto — mesmo temporariamente, mesmo apenas lado do servidor — é uma superfície de ataque para um coattor com acesso. Uma máquina de votação que produz um recibo codificado em QR que apenas a máquina consegue ler é, como um tribunal federal descobriu em Curling v. Raffensperger, não um registo verificável pelo eleitor de todo: o eleitor não consegue confirmar o que o código diz, e as auditorias de contagem manual verificam o resultado da máquina, não a intenção do eleitor.

Investigadores independentes que analisaram o sistema i-voting da Estónia e publicaram em ACM CCS 2014 descobriram que um funcionário desonesto ou um atacante bem-financiado conseguia comprometer a integridade do voto ou a privacidade do eleitor sem detecção. O conceção do sistema significava que mesmo se um eleitor pensasse que a sua cédula era secreta, pode não ser — não para um adversário com o acesso certo.

Isto importa para a coerção diretamente. Se um governo ou empregador tem acesso à infraestrutura que processa votos digitais, conseguem potencialmente identificar como indivíduos votaram. O voto secreto falha não na mesa de voto mas no servidor.

A pergunta a fazer de qualquer sistema de votação não é 'está certificado?' É: 'será que alguém — um empregador, um operário político, um atacante a nível estatal — consegue ligar a minha identidade à minha escolha depois do facto?' Se a resposta é 'terá de confiar no fornecedor e nos funcionários,' a resposta não é suficientemente boa.

O problema da verificabilidade corta de ambos os lados

Aqui é onde a história do Quirguistão se conecta a um argumento mais amplo que este blogue tem feito noutros contextos.

Quando falamos de verificabilidade em eleições, normalmente significa: a público consegue verificar que a contagem está correta? Outsiders conseguem confirmar que os totais da máquina correspondem ao papel? Um candidato perdedor consegue auditar se as cédulas foram devidamente manuseadas?

Tudo isto importa enormemente. A eleição presidencial de Malawi de 2020 foi anulada porque folhas de tabulação tinham sido sobrescritas com líquido de correcção e ninguém conseguia confirmar o que os originais diziam. A eleição presidencial do Quénia de 2017 foi anulada porque formulários de resultado não tinham sido transmitidos conforme exigido e o formulário final de tabulação carecia de características de segurança consistentes. A Suprema Corte do Quénia manteve que uma eleição cujos resultados não podem ser verificados independentemente não conseguem ser legalmente ou democraticamente saudáveis.

Mas há um segundo tipo de verificabilidade, correndo na direção oposta, que é igualmente essencial: o eleitor não deve ser verificável para ninguém mais.

Os dois requisitos estão em tensão, e desenhar um sistema que satisfaça ambos simultaneamente é genuinamente difícil. Quer que a contagem seja publicamente auditável — cada lote, cada total, cada passo da cédula para resultado — enquanto garante que nenhuma cédula individual consegue ser rastreada para um eleitor individual. Quer certeza criptográfica que todos os votos lançados foram contados, enquanto garante que o eleitor não consegue gerar uma prova do seu próprio voto para mostrar a um coattor.

Isto não é um problema teórico. A revisão de código de votação eletrónica de 2019 da Suíça encontrou uma alçapão criptográfica na prova de mistura — um defeito que teria permitido a uma autoridade gerar uma prova que parece válida enquanto na verdade ocultava votos alterados. A verificabilidade alegada do sistema era infalsificável até que o código-fonte foi publicado e investigadores criptográficos independentes procuraram. O que encontraram foi que a garantia apenas se mantinha se confiasse na autoridade que detinha os valores alçapão — precisamente a confiança que a criptografia era suposta substituir.

Acertar a verificabilidade, em ambas as direções, requer escrutínio independente da criptografia, não apenas da contagem de votos.

O que ainda não consegue ser independentemente verificado

A eleição de 2017 do Quirguistão foi avaliada como competitiva. Os candidatos conseguiam geralmente fazer campanha livremente. O resultado não foi anulado. Os observadores OSCE documentaram as suas preocupações, fizeram as suas recomendações, e apresentaram o seu relatório.

Mas as recomendações da ODIHR — garantir o direito a uma escolha livre e secreta, proibir pressão para divulgar, assegurar penalidades efetivas — são dirigidas às autoridades. São pedidos, não mecanismos. O mesmo órgão fez recomendações comparáveis na Albânia, na Bulgária, na Geórgia, na Macedónia do Norte. O padrão recorre porque a arquitetura subjacente que tornaria a coerção inexequível não foi construída.

O que o tornaria verificável por qualquer pessoa, não apenas por observadores oficiais?

  • Sistemas de votação cuja anonimização é criptograficamente provável e independentemente auditável, para que nenhum acesso interno conseguisse ligar uma cédula a um eleitor — e qualquer pessoa conseguisse verificar a prova.
  • Publicação instantânea de resultados a nível de circunscrição em formatos legíveis por máquina, para que totais inexplicados sejam apanhados antes de se solidificarem em resultados certificados, e antes de a pressão conseguir silenciosamente moldá-los.
  • Padrões físicos de mesa de voto que sejam aplicáveis e observáveis: áreas de marcação privadas, depósito selado, sem fotografia de cédulas marcadas.
  • Cadeias de auditoria de cédula individual para total nacional que qualquer observador — não apenas funcionários — consegue percorrer e verificar.

O caso do Quirguistão não é sobre um problema distante ou exótico. É sobre a lógica estrutural da coerção: uma ameaça apenas funciona se consegue ser executada, e consegue apenas ser executada se a conformidade consegue ser verificada. Remova a capacidade de verificar, e a ameaça colapsa. O voto secreto foi inventado para fazer exatamente isto — 170 anos atrás, nas cabines de votação australianas, e depois nas cidades mercantis britânicas.

A pergunta que permanece aberta é se os sistemas de votação modernos — digitais, em rede, complexos — realmente entregam essa garantia, ou se a silenciosamente devolvem a qualquer pessoa com o acesso certo.

Nenhuma declaração oficial responde a essa pergunta. Apenas um sistema concebido para que a público consegue verificá-lo por si próprio.

Explore como é comum esta lacuna em eleições em todo o mundo em /atlas, ou leia a versão de dois minutos do argumento central em /simple. Para uma análise completa de onde a verificabilidade falha, visite /gaps.

Fontes

Ver todos os artigosExplorar as lacunas