← Todos os artigos

Um presidente de câmara removido do cargo: o caso de voto por correio que abalou Londres

Um juiz inglês removeu um presidente de câmara em funções do cargo por fraude de voto por correio, suborno e personificação — e o caso expõe exatamente por que razão votar fora de uma secção de voto é o problema mais difícil na segurança eleitoral.

É a manhã de 23 de abril de 2015, e numa sala de tribunal em Londres, um juiz está a ler um veredicto que não acontecia na política britânica há memória de homem vivo. Lutfur Rahman — o presidente executivo do London Borough of Tower Hamlets, eleito em maio de 2014 por mais de 18.000 eleitores — está a ser removido do cargo. Não através de uma eleição. Não através de uma votação parlamentar. Por decisão de um tribunal.

A sentença em Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) estende-se por centenas de parágrafos. O Comissário Richard Mawrey QC, funcionando como Tribunal Eleitoral de acordo com a Lei de Representação do Povo de 1983, constatou que a eleição estava manchada por práticas corruptas e ilegais cometidas pelo Presidente pessoalmente e através dos seus agentes. A lista é notável: personificação, fraude de voto por correio, suborno, coação, falsas declarações e influência espiritual indevida — juntamente com corrupção geral tão extensamente prevalecente que podia razoavelmente supor-se ter afetado o resultado.

Rahman foi removido. A eleição foi anulada. Uma nova votação foi realizada.

E escondida dentro da sentença, se a lermos cuidadosamente, existe uma lição que nada tem a ver com um bairro no leste de Londres — e tudo a ver com a forma como qualquer democracia lida com boletins de voto que viajam pelos correios.

A secção de voto foi construída para resolver exatamente este problema

Ajuda começar pelos primeiros princípios.

O voto secreto — o envelope, a cabine privada, o papel sem marcações — não foi inventado como uma gentileza. Era um sistema de segurança. Quando Vitória subiu ao trono, o voto em Inglaterra era público: a sua escolha era anunciada em voz alta, escrita num livro, e o livro era publicado. Os proprietários observavam. Os patrões observavam. Os credores observavam. Se votasse da forma errada, sabia o que se seguia. A Lei do Escrutínio de 1872 pôs fim a isso. Substituiu a votação aberta por uma caixa selada e uma cabine privada — não para proteger os seus sentimentos, mas para destruir a capacidade do coator de verificar a transação.

O mecanismo é preciso. Um voto que não pode ser observado ou provado não pode ser comprado ou coagido, porque o comprador não pode confirmar a entrega. Todo o mercado colapsa quando a verificação falha.

O voto presencial numa secção de voto supervisionada preserva esta garantia. Um estranho não pode estar sobre os seus ombros enquanto marca o seu boletim. Um agente de um partido não pode recolher o seu papel e verificá-lo antes de entrar na caixa. A cadeia de custódia — boletim em branco, caixa selada, aberta em público na contagem — torna a personificação difícil e a manipulação auditável.

Agora retire o boletim desse ambiente controlado. Envie-o por correio para um endereço residencial. Deixe-o ficar sobre uma mesa da cozinha. E imediatamente a garantia fratura em dois lugares separados: quem realmente o marcou, e quem o manuseou antes de chegar.

Isto não é uma preocupação hipotética. Tower Hamlets é o caso de estudo.

O que o tribunal eleitoral realmente constatou

A sentença de Tower Hamlets merece ser lida na íntegra — não pelo drama político, mas pela especificidade operacional. O tribunal não constatou que um computador foi atacado ou que a contagem foi mal calculada. Constatou que a eleição foi corrompida durante o período anterior e durante a votação, através dos mecanismos que o voto remoto unicamente permite.

A personificação — casting do voto de outra pessoa — é extremamente difícil numa secção de voto supervisionada. É consideravelmente mais fácil quando um boletim de voto foi entregue a um endereço pelos correios e a identidade da pessoa que o marca é verificada apenas por uma assinatura e data de nascimento num envelope.

A fraude de voto por correio, tal como constatada no caso Tower Hamlets, é a exploração dessa lacuna. O ambiente selado da cabine de votação é substituído por uma residência privada (ou qualquer outro local por onde um boletim possa viajar), e a cadeia de custódia que a Lei do Escrutínio construiu — papel em branco, cabine privada, caixa selada, contagem pública — é substituída por um rasto de papel que passa por mãos que o tribunal não consegue ver e não foi concebido para vigiar.

A superfície de ataque para votação remota não é a contagem. É a custódia.

Carolina do Norte: o mesmo mecanismo, um continente diferente

Tower Hamlets não é uma curiosidade isolada. Considere o que aconteceu no 9.º Distrito Congressual da Carolina do Norte em 2018.

Após a eleição, a Junta Eleitoral do Estado recusou-se a certificar o resultado aparente. Investigou irregularidades com boletins de voto ausente por correio. Em 21 de fevereiro de 2019, a Junta ordenou unanimemente uma nova eleição, constatando o que chamou de um "esquema coordenado, ilegal e substancialmente financiado de boletins de voto ausente" nos condados de Bladen e Robeson. O operário no centro, McCrae Dowless, foi posteriormente acusado de crimes graves.

O mecanismo era o mesmo que Tower Hamlets, traduzido através de um oceano e um sistema legal diferente: terceiros recolhendo, manuseando e em alguns casos alterando boletins de voto por correio de outras pessoas. O boletim havia deixado o ambiente controlado da secção de voto, e sem verificações robustas de cadeia de custódia, tornou-se possível interferir com ele entre a mão do eleitor e a caixa selada.

Em ambos os casos, o único remédio foi anular a eleição e realizá-la novamente. Não há forma de descontrolar um boletim que já foi manipulado e contado. Não pode subtrair fraude de um resultado; pode apenas recomeçar.

Áustria: o que cadeia de custódia significa na prática

Aqui está uma versão do mesmo problema onde nenhuma fraude foi encontrada — e a eleição foi ainda assim anulada.

Na primavera de 2016, a Áustria realizou uma segunda volta presidencial entre Alexander Van der Bellen e Norbert Hofer. Van der Bellen venceu por aproximadamente 30.000 votos em cerca de 4,6 milhões votados. O partido de Hofer desafiou o resultado. Em 1 de julho de 2016, o Tribunal Constitucional Austríaco anulou toda a eleição — não porque fraude fosse provada, mas porque as regras de manuseamento de boletins ausentes foram violadas.

A lei exigia que boletins de voto ausente fossem abertos e contados apenas após as 9 da manhã do dia seguinte à eleição, pela autoridade eleitoral distrital, com membros de junta obrigatórios e testemunhas presentes. Em vários distritos, tal não aconteceu. Os envelopes foram abertos cedo, por pessoas não autorizadas, sem testemunhas. Aproximadamente 77.000 votos foram afetados — um número que excedia a margem de vitória de aproximadamente 30.000.

A lógica do tribunal era exata: as regras sobre quem pode manusear boletins e quando não são formalidades burocráticas. São o mecanismo que torna o resultado independentemente verificável. Quando são violadas, mesmo honestamente, a cadeia de custódia é quebrada. Não consegue provar que manipulação não ocorreu no tempo e espaço onde as salvaguardas estavam ausentes. Uma segunda volta foi realizada em dezembro de 2016.

A lição é desconfortável porque se aplica mesmo quando todos estão a agir de boa fé. Os funcionários austríacos não foram acusados de fraude. Foram acusados de tornar o resultado impossível de verificar. Numa eleição apertada, isso é suficiente.

Por que razão o voto por correio é estruturalmente diferente

Pense concretamente no que acontece numa secção de voto. Entra. O seu nome é verificado contra um registo. Recebe um boletim — um boletim, para si. Leva-o a uma cabine privada. Marca-o, dobra-o, e coloca-o numa caixa selada. Ninguém viu o que escreveu. Ninguém lhe entregou um papel pré-marcado. Ninguém o observou sair.

Agora pense no que acontece com um boletim por correio. Um papel chega pelos correios, endereçado a um nome. Qualquer pessoa na casa pode abrir o envelope. Não há supervisão de quem o marca. Um agente de um partido pode estar à mesa. Um membro da família pode estar sobre os ombros. Um líder comunitário pode recolher o formulário. A verificação de identidade — tipicamente uma assinatura e uma data de nascimento — é verificada apenas mais tarde, após o envelope ser devolvido, e é verificada contra um registo que foi compilado antes da eleição.

A verificação de identidade é retrospetiva. A oportunidade para influência é contemporânea.

Isto não é um argumento contra o voto por correio como tal. É um argumento para compreender exatamente o que o voto por correio requer que o voto na secção de voto não requer: verificação robusta de identidade no ponto de aplicação, custódia selada e à prova de adulterações a partir do momento em que o boletim deixa a mão do eleitor, e um registo auditável de cada passo entre eles.

Sem essas coisas, a proteção da Lei do Escrutínio desaparece. O voto pode ser observado. O voto pode ser coagido. O voto pode ser substituído.

O problema mais profundo: quando a verificação deixa de ser possível

Os casos Tower Hamlets e Carolina do Norte foram descobertos. Um tribunal investigou, ouviu provas, e anulou os resultados. Esse é o sistema a funcionar — lentamente, dispendiosa, e apenas após o dano ser causado.

Mas o mecanismo de deteção dependia da fraude ser substancial o suficiente para gerar provas: testemunhas, padrões nos dados, testemunho de pessoas que viram o que aconteceu. Fraude de voto por correio em pequena escala, conduzida cuidadosamente em um grande número de boletins, pode não deixar tal assinatura.

Esta é a lacuna que importa para a integridade eleitoral amplamente. Não o caso dramático que termina numa sala de tribunal, mas a manipulação silenciosa que nunca chega a uma.

Considere o caso austríaco novamente. O tribunal constatou violações processuais e anulou a eleição. Mas o tribunal também constatou nenhuma prova de fraude real. O problema era que não podia refutar fraude, porque as condições que tornariam fraude detetável — uma cadeia de custódia completa, testemunhada, com timestamp — tinha sido quebrada. Uma cadeia de custódia rigorosa não apenas deteta manipulação. Torna a manipulação impossível de ocultar, razão pela qual a cadeia existe.

A mesma lógica se aplica a qualquer sistema de votação remota. A questão não é simplesmente "foi cometida fraude?" A questão é "o sistema está concebido de forma que fraude, se cometida, deixaria um rasto detetável e independentemente verificável?"

Se a resposta é não — se as únicas pessoas que podem confirmar a integridade do boletim por correio são os funcionários que manuseiam os boletins — então "nenhuma fraude foi encontrada" é uma garantia, não uma prova. E num sistema construído sobre confiança em vez de verificabilidade, o incentivo para manipular nunca é verdadeiramente removido. É apenas esperado não ser agido.

O que a "custódia verificável" realmente pareceria

É aqui que o argumento se transforma de diagnóstico para arquitetura.

O problema de cadeia de custódia do boletim por correio tem uma forma conhecida. A solução também tem uma forma conhecida — apenas requer construí-la deliberadamente, em vez de assumir que existe.

A custódia verificável de um boletim remoto requer três coisas que atualmente existem apenas em fragmentos:

Primeiro, verificação de identidade no ponto de receção do boletim, não apenas na aplicação. Verificar uma assinatura retrospetivamente contra uma base de dados é um controlo fraco. Verificação criptográfica ligada a uma credencial única, detida pelo eleitor — emitida antes da eleição e utilizável uma única vez — tornaria a personificação estruturalmente difícil em vez de meramente ilegal.

Segundo, uma cadeia à prova de adulterações desde o momento em que o eleitor marca o papel até ao momento em que é contado. Isto significa custódia selada e registada em cada ponto de transferência, com um registo auditável que qualquer parte independente poderia verificar contra a contagem — não um registo que apenas funcionários conseguem aceder.

Terceiro, um resultado que qualquer pessoa pode verificar sem confiar no funcionário que o declara. O Tribunal Constitucional Alemão expôs o princípio em termos constitucionais quando bloqueou computadores de votação eletrónica em 2009: passos essenciais na votação e na determinação do resultado devem ser examinados pelo cidadão de forma fiável e sem conhecimento especializado. Esse padrão aplica-se igualmente nitidamente ao voto por correio. Um resultado cuja cadeia de custódia apenas funcionários conseguem reconstruir falha nele.

Nada disto requer abandonar votação remota. Requer construir a infraestrutura que votação remota carece por padrão — a mesma infraestrutura que a secção de voto fornece física e proceduralmente.

A questão que os funcionários não podem responder por si

Em 23 de abril de 2015, após a sentença de Tower Hamlets, um presidente de câmara foi removido. Uma nova eleição foi ordenada. Observadores disseram que o sistema tinha funcionado.

E num sentido restrito, tinha. A fraude foi descoberta. O resultado foi anulado. A democracia corrigiu-se a si mesma.

Mas aqui está o que a conta oficial não lhe consegue dizer: quanta fraude de voto por correio não foi descoberta? O tribunal constatou o que as provas perante ele apoiavam. Constatou que a corrupção era suficientemente extensa para anular a eleição. Não — não conseguia — reconstruir cada boletim manipulado, cada voto personificado, cada envelope recolhido. Os tribunais trabalham com o que os chega.

Os casos que chegam aos tribunais são aqueles que geram provas suficientes para serem trazidos. Os casos que nunca chegam aos tribunais são invisíveis por definição.

Este é o argumento para construir verificabilidade no sistema antes da eleição, em vez de confiar em litígios para a reconstruir depois. Um boletim por correio cuja custódia é registada criptograficamente, cuja verificação de identidade é independentemente auditável, e cuja posição na contagem qualquer cidadão consegue verificar sem telefonar a um advogado — esse boletim não o requer que confie no funcionário eleitoral que o manuseou, ou no tribunal que o revisou retrospetivamente, ou no Secretário de Estado que diz que tudo correu bem.

Requer que verifique o registo. E o registo está lá.

É isto que construímos. Veja como a lacuna de custódia é comum em todo o mundo — ou leia a versão de dois minutos deste problema.

Fontes

Ver todos os artigosExplorar as lacunas