← Todos os artigos1 de setembro de 2026

«Confiem em nós» vs. «vejam por vocês mesmos»: o único debate que importa nas eleições

A 12 de novembro de 2020, nove altos funcionários declararam a eleição segura. A declaração era verdadeira — e quase completamente infalsificável. Essa lacuna é todo o problema.

A 12 de novembro de 2020, nove dias após o encerramento das votações, um pequeno grupo de altos funcionários de segurança eleitoral americanos sentou-se e redigiu uma declaração. Não eram partidários. Eram profissionais — da Agência de Segurança de Infraestruturas e Cibersegurança, de órgãos eleitorais estaduais e locais, do setor privado. Tinham passado meses a vigiar ataques à infraestrutura de votação. E tinham algo a dizer.

«A eleição de 3 de novembro», escreveram, «foi a mais segura da história americana».

Leia essa frase com calma. É uma coisa notável de afirmar. E o notável sobre isso não é que seja errada — não há provas credíveis de que o seja. O notável é a forma da afirmação. É uma asserção de autoridade. Pede-lhe que confie nas pessoas que a dizem.

Essa é exatamente a base errada para a legitimidade democrática. E, enterrada na própria lógica da declaração, os funcionários parecem semi-compreender isso.

O que a declaração da CISA realmente diz

Procure a declaração conjunta de 12 de novembro de 2020 e leia para além do título. Os funcionários não disseram «confiem em nós». Ofereceram uma razão: «Não há provas de que qualquer sistema de votação tenha eliminado ou perdido votos, alterado votos, ou tenha sido de alguma forma comprometido.»

E depois disseram algo crucial: a declaração enfatizou o valor dos registos em papel dos votos como permitindo recontagens e auditorias quando necessário.

Está ali. Embutida numa garantia de segurança há uma admissão sobre como a segurança é conhecível. A confiança própria da declaração repousa na existência de registos em papel independentemente verificáveis — artefatos que alguém para além da autoridade pudesse examinar. Sem esses registos, a garantia seria infalsificável: ninguém poderia verificá-la.

Uma declaração oficial «foi seguro» é uma afirmação. O que a torna valiosa é se o público pode verificá-la independentemente — ou se tem simplesmente de aceitar a palavra das pessoas que conduziram a eleição.

Isso não é um ponto partidário. É um ponto estrutural. E aplica-se a qualquer eleição, conduzida por qualquer partido, em qualquer país.

A pergunta que toda eleição importante reduz a

Eis a coisa sobre cada grande disputa eleitoral que já leu. Retire o ruído, os advogados, os gráficos da televisão por cabo. No centro de cada uma há sempre a mesma pergunta:

O público pode verificar isto independentemente, ou tem de aceitar a palavra de alguém?

No Malawi em 2020, os tribunais anularam uma eleição presidencial porque as folhas de contagem oficiais tinham sido sobrescritas com líquido de correção. A Comissão Eleitoral declarou um vencedor. A contagem parecia uma contagem. Mas os documentos de origem — a coisa com que verificaria a contagem — tinham sido silenciosamente alterados. A verificabilidade desapareceu, e com ela, o resultado. O Tribunal Supremo de Apelação confirmou a anulação.

Na Venezuela em 2017, a empresa cujas máquinas conduziram a eleição — Smartmatic — disse publicamente que sabia «sem qualquer dúvida» que o comparecimento anunciado tinha sido manipulado por pelo menos um milhão de votos. A autoridade eleitoral declarou um número. O fornecedor que produziu as máquinas declarou uma realidade diferente. Nenhum podia ser independentemente verificado contra um registo à prova de falsificação a que alguém fora do governo pudesse aceder. O argumento não pôde ser resolvido. Ainda não foi.

No Quénia em 2017, o Tribunal Supremo anulou uma eleição presidencial porque os formulários de resultado das assembleias de voto não tinham sido transmitidos eletronicamente como exigido por lei, a folha de contagem final não tinha marca de água ou número de série, e o presidente declarou o vencedor antes de receber todos os formulários subjacentes. A maioria do tribunal sustentou que a cadeia de evidência necessária para verificar independentemente a contagem tinha sido quebrada. O resultado não era verificável. Foi anulado.

Três países diferentes. Três tecnologias diferentes. Um problema idêntico.

A resposta da Alemanha: se apenas um especialista pode verificar, não é uma eleição real

A 3 de março de 2009, oito juízes em Karlsruhe produziram uma sentença que restrutura todo o debate.

O Tribunal Constitucional Federal da Alemanha, nos casos associados 2 BvC 3/07 e 2 BvC 4/07, proibiu o uso de máquinas de votação Nedap controladas por computador nas eleições federais. Não porque as máquinas tivessem avariado. Não porque alguém pudesse provar que votos foram alterados. Mas porque as máquinas armazenavam votos apenas em memória eletrónica, sem um registo independentemente verificável que um cidadão pudesse verificar.

O raciocínio do Tribunal merece ser lido no original. Sustentou que o uso de máquinas de votação eletrónicas exige que «os passos essenciais da votação e da determinação do resultado possam ser examinados pelo cidadão de forma fiável e sem qualquer conhecimento especializado da matéria.»

Sem qualquer conhecimento especializado. Um cidadão — não um cientista informático, não um auditor certificado, não um Secretário de Estado — deve ser capaz de ver e verificar os passos essenciais da contagem da sua própria eleição.

Isto decorre do que o Tribunal chamou o princípio da Öffentlichkeit der Wahl — a natureza pública das eleições — embutido na Lei Fundamental Alemã. As eleições são atos públicos. A sua legitimidade decorre da visibilidade pública. Um processo de contagem que exija que um especialista em software o avalie não é publicamente visível. É privadamente confiável.

O Tribunal Constitucional da Alemanha não proibiu votação eletrónica porque máquinas são indignas de confiança. Proibiu porque «confiem em mim, sou um especialista» é estruturalmente incompatível com eleições democráticas.

Os Países Baixos chegaram à mesma conclusão dois anos antes através da sua própria comissão independente. O relatório Korthals Altes, Stemmen met vertrouwen — Votar com Confiança, estabeleceu requisitos centrais para qualquer sistema de votação: transparência, verificabilidade — controleerbaarheid — integridade, e sigilo de voto. A sua conclusão foi que não há segredos no processo eleitoral, e que as questões devem ser respondíveis e as respostas verificáveis e comprovadas. O papel venceu. Não como uma preferência nostálgica. Como o único método que satisfez o padrão.

O que as garantias baseadas em confiança deixam em aberto

Volte à declaração da CISA. Os funcionários estavam certos que os registos em papel permitem auditorias e recontagens. Mas nem toda a jurisdição em 2020 tinha registos em papel igualmente auditáveis — e a declaração não faz distinção entre eles.

Considere o que um tribunal federal descobriu sobre os dispositivos de marcação de boletins da Geórgia nesse mesmo mês. Em Curling v. Raffensperger, o Tribunal Distrital dos EUA para o Distrito Norte da Geórgia descobriu que o sistema Dominion «não proporciona um registo de boletim verificável e auditável porque depende do código QR para tabulação de votos e esse código em si não pode ser lido e verificado pelo eleitor».

Pense sobre isso por um momento. Há papel. Pode segurá-lo. Mas a coisa que realmente determina o seu voto — o código QR — é ilegível aos olhos humanos. Se uma máquina silenciosamente alterasse o código QR enquanto deixava o texto legível ao humano intacto, não teria forma de o detectar. Uma recontagem manual do papel recontaria o resultado dos códigos de barras, não a sua intenção.

Isto não é uma teoria da conspiração. É uma descrição da arquitetura do sistema, confirmada por um tribunal federal a rever prova de especialista.

A declaração da CISA não está errada ao apontar para registos em papel. Mas registos em papel são apenas tão bons quanto o que neles está impresso, e a capacidade do público de os ler e verificar independentemente. Um registo de auditoria em papel que exija um leitor de código de barras para interpretar não é igual a um registo de auditoria em papel que um cidadão com visão normal pode verificar.

A declaração também não diz: «e aqui está onde pode descarregar os resultados de cada zona para verificar os totais você mesmo.» A própria orientação da Comissão de Assistência Eleitoral dos EUA exorta os funcionários a tornar os resultados descarregáveis em formatos legíveis por máquina como .csv e .xml. Alguns estados cumprem; outros não. A garantia de que a eleição foi segura não é igual a um registo publicamente disponível, legível por máquina, que alguém possa reconciliar.

O que a «verificação» realmente tem de significar

Eis o que a verificabilidade independente exige — e o que não exige.

Não significa paranoia. Não significa que os funcionários sejam mentirosos. O erro do Condado de Antrim, Michigan em 2020 — onde resultados errados foram brevemente publicados — foi causado por um erro de programação humana, não por fraude. Foi detetado não por uma salvaguarda interna mas porque o resultado era implauseavelmente errado para um condado cuja política toda a gente conhecia. Um erro mais subtil, numa corrida mais cerrada, num condado sem uma linha de base prévia óbvia, poderia não ter atraído o mesmo escrutínio.

E mesmo a recontagem manual destinada a confirmar a correção estava errada por cerca de uma dúzia de votos. Numa corrida decidida por dezenas de votos, um método de verificação que em si está errado por dezenas de votos não é uma prova. É uma aproximação melhor com o seu próprio erro irreducível.

A verdadeira verificabilidade significa três coisas:

Primeiro, o registo que é contado deve ser o mesmo registo que o eleitor pode inspecionar. Um boletim que o eleitor marcou à mão, ou um resultado de impressora de marcação de boletim em texto claramente legível ao humano que o eleitor pode verificar antes de o depositar, satisfaz isto. Um código QR não.

Segundo, os resultados devem ser publicados de forma que qualquer um possa verificar, sem pedir permissão. Ao nível da zona, legível por máquina, com carimbo de data/hora, descarregável. O Idaho já faz isto. Tal como a maioria dos estados, de acordo com o NCSL. Mas fazê-lo melhor — instantaneamente, para cada zona, num formato que alguém possa reconciliar contra o total reportado — é a diferença entre uma afirmação e uma prova.

Terceiro, testes adversariais independentes devem ser construídos no sistema, não colados depois de surgirem disputas. O Tribunal Eleitoral Superior do Brasil tem executado um Teste Público de Segurança oficial desde 2009, convidando qualquer cidadão qualificado a sondar as suas máquinas de votação e software antes de cada ciclo eleitoral. Os achados são corrigidos e retestados. Isto não é teatro de certificação — é o oposto de «confiem em nós». É «venham tentar quebrá-lo, e aqui estão as regras».

Contraste isso com o que aconteceu em Nova Gales do Sul em 2015: uma revisão de segurança tinha aprovado o sistema iVote online, aproximadamente 280.000 votos tinham já sido votados, e investigadores independentes encontraram falhas graves enquanto a eleição ainda estava em curso — incluindo um mecanismo de verificação que poderia ele próprio ser manipulado. Ou a Suíça em 2019, onde a publicação de código-fonte para revisão independente permitiu a criptógrafos encontrarem uma porta dos fundos na prova de embaralhamento que teria deixado uma autoridade gerar uma prova criptográfica que parecia válida enquanto tinha realmente alterado votos. A falha era impercetível num sistema fechado e percetível num aberto.

O padrão é consistente em todos os casos: verificabilidade por outsiders detetar o que a certificação interna perde.

A coisa que não pode ser verificada

Eis o que ainda não é verificável — e o que o tornaria verificável.

A declaração da CISA disse que não havia provas de que sistemas de votação foram comprometidos. É verdade. É também infalsificável em muitas jurisdições, porque a capacidade de auditoria varia enormemente. O Colorado completou a primeira auditoria estadual de limitação de risco em 2017 — um procedimento matematicamente rigoroso que confirma estatisticamente o resultado reportado ou o deteta com confiança definida. A Geórgia conduziu uma contagem manual completa de aproximadamente 5 milhões de boletins em 2020 que confirmou a contagem da máquina com precisão de um décimo de um por cento. Estas são verificações significativas.

Mas outras jurisdições dependem de menos. E mesmo a contagem manual da Geórgia — impressionante em escala — auditou boletins em papel alguns cujo texto legível ao humano poderia não ter correspondido aos códigos QR que foram tabulados, porque a contagem manual leu o texto humano, não os códigos de barras.

A Suprema Corte da Índia, na sua sentença de abril de 2024, recusou-se a descartar votação eletrónica mas apertou as regras: unidades de carregamento de símbolos devem ser seladas e armazenadas durante 45 dias após resultados, e candidatos podem solicitar verificação da memória queimada do microcontrolador em 5% das máquinas se contestarem um resultado. Um tribunal que sustentou um sistema eletrónico encontrou ainda necessário reforçar a cadeia física de custódia e expandir direitos de inspeção independente. Porque confiança decorre de provas verificáveis — não do anúncio de um resultado.

A pergunta não é se a eleição de 2020 foi segura. A pergunta é se você pode verificar isso, independentemente, sem aceitar a palavra de ninguém.

Para muitas corridas, em muitas jurisdições, ainda não pode.

Isso não é uma base estável para a legitimidade democrática. A solução não é uma declaração melhor de funcionários. A solução é um sistema que publica resultados instantâneos, ao nível da zona, legíveis por máquina, que qualquer um possa descarregar e verificar — e cujo software de contagem qualquer um possa inspecionar.

«Mais seguro na história americana» é um ponto de partida para uma conversa sobre como segurança verificável realmente se parece. Não é o fim de uma.

Veja como esta lacuna de verificabilidade é comum em todo o mundo — navegue o atlas global de integridade eleitoral. Ou leia a versão de dois minutos do que torna um sistema de votação independentemente verificável — comece aqui. Se quer aprofundar casos específicos onde a lacuna importou — explore a nossa base de dados.

Fontes

Ver todos os artigos Explorar as lacunas