← Todos os artigos

Rastreamento de eleitores: a folha de cálculo que faz a coerção funcionar de verdade

Alguém na Macedónia do Norte estava a manter uma lista de quem foi votar — e essa lista é a razão pela qual uma regra de sigilo, por si só, nunca será suficiente.

É uma terça-feira no final de 2025, em algum lugar num escritório municipal na Macedónia do Norte, e um funcionário do sector público está a tentar decidir algo muito simples: se vai votar.

Não em quem votar. Se vai aparecer ou não.

Porque alguém — o seu empregador, o seu contacto do partido, a pessoa que lhe arranjou o contrato — deixou claro que aparecer é importante. E que não aparecer vai ser notado. E que a forma como isto funciona é: rastreiam quem vota, e sabem como descobrir o resto.

Isto não é uma teoria da conspiração. É uma observação registada num relatório oficial de monitorização internacional.

O órgão de monitorização eleitoral da OSCE, a ODIHR, destacou observadores para as eleições locais de 2025 na Macedónia do Norte e emitiu o seu relatório final em abril de 2026. Os resultados foram específicos: instâncias de rastreamento de eleitores no dia das eleições e na sua proximidade; alegações de compra de votos; pressão sobre funcionários do sector público e eleitores. A ODIHR recomendou que as autoridades "investiguem efetivamente as alegações de compra de votos, pressão sobre eleitores e abuso de recursos administrativos."

Essa palavra — rastreamento — está a fazer muito trabalho. Considere-a por um momento.

A folha de cálculo é o produto

O rastreamento de eleitores não é vigilância no sentido ficção científica. Não requer câmaras, reconhecimento facial ou um programa de inteligência classificado.

Requer uma lista.

Os registos eleitorais são públicos, ou semi-públicos, na maioria das democracias — porque a transparência é um valor democrático. Os funcionários sabem quem está registado. Os trabalhadores da secção de voto sabem quem recolheu um boletim. Os dados de participação são recolhidos por lei. Nada disto é secreto. Nada disto se supõe ser armazenável.

Mas combine uma lista de registo com um registo de participação, entregue-a a alguém com poder sobre os empregos, contratos ou benefícios públicos das pessoas, e construiu uma máquina de verificação de conformidade a partir de componentes inteiramente legais.

A folha de cálculo é o produto. A eleição é a ocasião.

O coator não precisa de saber como alguém votou. Não ainda. Precisa apenas de saber se apareceu. A conformidade de apresentação é o primeiro passo: o eleitor demonstra que foi à cabine. A ameaça implícita — que a falha em aparecer terá consequências — é executada pelos dados que já existem.

É por isto que a ODIHR não regista "rastreamento de eleitores" como uma nota de rodapé. Regista-o como uma conclusão de integridade. Porque o rastreamento é a infraestrutura operacional da coerção. Remova o rastreamento, e a ameaça torna-se inexequível.

Porque é que "temos uma regra de sigilo" não o resolve

A tranquilização padrão é assim: as eleições têm boletins secretos; ninguém pode ver como votou; portanto, a coerção não pode funcionar.

Isto é verdade até onde vai. E não vai longe o suficiente.

O Tribunal de Recurso dos Estados Unidos para o Primeiro Circuito estabeleceu o mecanismo com uma clareza invulgar em Rideout v. Gardner (2016). O caso era sobre selfies de boletim — se os eleitores podiam fotografar os seus boletins marcados. O tribunal traçou a história diretamente: as reformas de sigilo de boletim foram adoptadas especificamente "para combater compra generalizada de votos e intimidação de eleitores", práticas que dependem de um comprador ou coator conseguir verificar o voto. Uma fotografia de um boletim marcado restaura essa prova. É por isto que se tornou uma ferramenta.

O raciocínio do tribunal é a percepção chave: o sigilo derrota a coerção porque quebra a verificação. Se o coator não conseguir confirmar a entrega, a ameaça perde a sua força. O selfie de boletim importa não porque alguém particularmente quisesse vender fotos de férias do seu voto, mas porque reabre o mercado de verificação que o sigilo fechou.

Agora note o que o rastreamento de eleitores faz. Não é o sigilo de boletim que o rastreamento derrota. É a camada comportamental por baixo dele.

Um esquema de coerção com rastreamento não precisa de saber a sua escolha. Precisa apenas de saber a sua conformidade. Apareça → presumivelmente na fila → seguro. Não apareça → problema. E se aparecer mas for suspeito de defecção, a próxima camada de pressão já está à espera: prove como votou, ou enfrente consequências de qualquer forma.

O sigilo protege o boletim. Não protege a pessoa que o vota.

A anatomia da pressão sobre funcionários do sector público

As conclusões da Macedónia do Norte não surgiram isoladamente. A ODIHR tem registado variações deste padrão durante anos em toda a região.

Nas eleições parlamentares de 2021 da Albânia, a ODIHR documentou alegações generalizadas de compra de votos e pressão sobre eleitores, incluindo preocupações sobre eleitores serem pressionados para divulgar se e como votaram. O relatório pediu a garantia do direito a um voto livre e secreto e a prevenção de qualquer forma de pressão sobre eleitores.

Nas eleições parlamentares de outubro de 2024 da Geórgia, a missão ODIHR encontrou o sigilo de voto comprometido em mais de 30 por cento das suas observações — não apenas por causa do design da urna, mas porque o ambiente físico em torno do boletim permitia que outros observassem. Os observadores registaram intimidação e pressão sobre eleitores que comprometeram a sua capacidade de votar sem medo de represálias.

Na eleição presidencial de 2017 do Quirguistão, a ODIHR encontrou casos de pressão sobre eleitores e compra de votos, e recomendou que as autoridades garantissem o direito a uma escolha livre e secreta e prevenissem qualquer forma de pressão sobre eleitores para divulgar como votaram.

O padrão é consistente e não se limita a nenhuma região ou tipo de regime. O mecanismo é o mesmo: alguém com alavanca sobre os meios de subsistência, habitação, benefícios ou segurança de um eleitor utiliza essa alavanca para orientar ou monitorizar o comportamento eleitoral. A regra de sigilo de boletim não atinge a relação entre empregador e empregado. Não atinge a relação entre proprietário e inquilino, funcionário local e dependente, operário do partido e trabalhador de secção.

O que não atinge, não protege.

O problema mais profundo: a coerção precisa de um comprovativo

Aqui está o que torna a situação da Macedónia do Norte tecnicamente interessante, não apenas politicamente angustiante.

O mercado de coerção — como qualquer mercado — requer um mecanismo de verificação. O comprador precisa de prova de entrega. O coator precisa de prova de conformidade. Sem isso, a transação desmorona.

Isto é exatamente o que o boletim secreto foi concebido para fazer em 1856. A Comissão Eleitoral Australiana regista que a votação era pública antes, o que "deixou os eleitores vulneráveis a intimidação e coerção", e que o boletim secreto foi implementado para remover essa vulnerabilidade. O Reino Unido seguiu em 1872 com a Lei do Boletim, que substituiu a votação aberta — onde a sua escolha era declarada em voz alta ou escrita num livro público — por uma cabine privada, um boletim impresso uniforme do estado, uma urna selada.

A lógica era arquitetónica, não legal. A lei não dizia "a coerção é proibida e confiamos que não o farão". A lei dizia: "aqui está um sistema físico em que a coerção não pode ser verificada, portanto não pode ser executada."

Esta é a distinção que importa agora.

Uma regra de sigilo diz: pode não revelar o seu voto. Uma arquitetura de sigilo diz: o seu voto é comprovadamente desvinculado de si, mesmo que quisesse prová-lo.

Estas são coisas diferentes. A regra depende do cumprimento e da aplicação. A arquitetura depende da matemática.

O rastreamento de eleitores explora a lacuna entre elas. Mesmo com uma regra de sigilo perfeita no próprio boletim, existe uma pegada rastreável em cada passo em torno dele: registo, check-in, participação, e — em alguns sistemas — o momento e canal do voto. Essa pegada é o que o rastreamento monetiza.

O que derrota a coerção não é uma regra. É uma escolha comprovadamente desvinculada da pessoa que a fez.

O que "comprovadamente desvinculado" realmente significa

Isto não é uma abstração. Tem implicações concretas de design.

Considere o que um coator realmente precisa. Precisa, no mínimo, de confirmar que uma pessoa específica votou de uma forma que possa ser ligada a um ato específico observável. Se conseguirem quebrar essa ligação — tecnicamente, não apenas legalmente — o mecanismo de execução desmorona.

Os sistemas de votação criptográfica concebidos em torno deste princípio não apenas escondem o seu voto atrás de uma regra de privacidade. Produzem um registo público que matematicamente não pode ser rastreado até um eleitor individual, mesmo pela própria autoridade eleitoral, enquanto ainda permite que qualquer pessoa verifique que cada voto lançado foi contado e nenhum voto fantasma foi adicionado.

Esta é a diferença entre "prometemos não olhar" e "olhar é criptograficamente impossível."

O episódio de votação pela internet da Swiss Post em 2019 é instrutivo, ainda que da direção oposta. As investigadoras Sarah Jamie Lewis, Olivier Pereira e Vanessa Teague analisaram o código-fonte publicado do sistema de voto eletrónico da Suíça e descobriram que o que parecia uma prova de verificação matematicamente sólida tinha uma porta de trás incorporada — significando que uma autoridade que conhecesse os valores da porta de trás poderia gerar uma prova que parecia válida enquanto tinha alterado votos. A alegação de verificabilidade era realista mas oca.

A lição não é que a criptografia falha. É que uma alegação de verificabilidade deve ser independentemente inspecionável para valer algo. "Usamos um sistema criptográfico" não é uma garantia. "Aqui está o código e a prova; verifique você mesmo" é o início de uma.

O que os relatórios de monitorização não podem lhe dizer

As conclusões da ODIHR sobre as eleições de 2025 da Macedónia do Norte são importantes. São também, por design, limitadas.

Uma missão de observação eleitoral pode registar o que os seus observadores viram. Pode documentar alegações. Pode notar padrões. O que não pode fazer é reconstruir os cálculos privados de cada eleitor que apareceu numa cabine sob coerção, ou cada eleitor que ficou em casa porque ficar em casa se sentia mais seguro.

O número de votos que a coerção moveu, em qualquer eleição onde ocorra, não está em nenhum relatório. É desconhecível.

Este é o argumento real para uma arquitetura diferente. Não que a coerção sempre muda resultados — às vezes não muda. Não que funcionários são sempre cúmplices — às vezes genuinamente tentam pará-la. Mas que um sistema que depende da ausência de coerção, e não fornece nenhuma forma independente de verificar essa ausência, o está a pedir que confie numa alegação que ninguém pode realmente provar.

A mesma lógica corre através de cada lacuna de verificabilidade que este blog cobriu: a folha de apuramento que não pode ser autenticada, o código QR que o eleitor não pode ler, a auditoria que confirma um resultado usando um método que ele próprio tem erro irredutível. Em cada caso, a conta oficial diz "correu bem". Em cada caso, a questão estrutural permanece: como saberia alguém?

A coerção de eleitores é a versão mais humana dessa lacuna. O boletim entra na urna não observado. O resultado é reportado. E em algum lugar entre a cabine e a apuração, um eleitor que foi rastreado e pressionado ou cumpriu ou encontrou uma forma privada de resistir — e ninguém fora da cabeça desse eleitor consegue dizer qual.

A correção é arquitetónica, não administrativa

A recomendação da ODIHR na Macedónia do Norte — "investigar efetivamente as alegações" — é a resposta legal correta. Não é a correção estrutural.

A correção estrutural é um sistema de votação concebido para que:

  1. A participação seja verificável sem ser vinculada a escolhas individuais. Pode confirmar que 847 pessoas votaram numa secção sem revelar quais 847 pessoas votaram de qual forma.

  2. Nenhum comprovativo exista que um coator possa exigir. O eleitor sai do processo sem nenhum artefato — nenhuma fotografia, nenhum token criptográfico, nenhum código de confirmação — que prove a sua escolha específica a um terceiro.

  3. O resultado agregado seja publicamente verificável — significando que qualquer pessoa com os dados publicados pode confirmar a contagem — sem que essa verificação crie nenhum caminho para identificação individual.

  4. O rastreamento se torne inútil — não ilegal, inútil — porque a informação que poderia colher já não está ligada à informação que importa.

Isto não é uma descrição utópica de um sistema que não existe. Os blocos de construção criptográfica — credenciais anónimas, provas de conhecimento zero, redes de embaralhamento verificável — são reais e foram implementados em contextos de investigação e piloto. O que não existe ainda, em escala, na maioria das jurisdições, é a vontade política de exigir verificabilidade como um requisito de design em vez de uma característica de auditoria opcional.

O vilão na Macedónia do Norte não é um partido. É um sistema que torna o rastreamento de eleitores útil — porque a ligação entre a identidade de um eleitor e o seu comportamento eleitoral não foi criptograficamente severa.

Sever essa ligação, e a folha de cálculo torna-se inútil.

O que ainda não é verificável — e o que o mudaria

Aqui está o que o relatório da ODIHR sobre as eleições de 2025 da Macedónia do Norte não lhe diz, e não pode: quantos votos o rastreamento e a pressão realmente moveram. Se o resultado em qualquer corrida específica refletiu as escolhas livres do eleitorado ou a conformidade gerida de uma força de trabalho monitorizada. Se as investigações que a ODIHR recomendou alguma vez produzirão uma acusação, muito menos uma reparação.

Essas questões estão abertas. Permanecerão abertas sob qualquer sistema onde a ligação entre identidade de eleitor e escolha de eleitor é protegida apenas por uma regra, não por arquitetura.

O que o mudaria é um sistema que publica os seus resultados em forma legível por máquina, ao nível de secção, no momento em que a contagem está completa — para que qualquer pessoa possa verificar os números — e que produz um agregado matematicamente verificável que prova que cada voto lançado foi contado sem revelar a escolha de ninguém. Não uma promessa. Não uma auditoria duas semanas depois. Uma prova, publicada em tempo real, que qualquer pessoa pode executar.

Até lá, "a eleição foi conduzida de acordo com as regras" e "o resultado refletiu a livre vontade dos eleitores" são duas alegações diferentes. Os funcionários podem certificar a primeira. Ninguém — não a missão de monitorização, não o governo, não o candidato vencedor — pode independentemente verificar a segunda.

Essa lacuna é onde a coerção vive.

Veja como esta lacuna de verificabilidade aparece em diferentes países e tipos de eleição →

Leia a versão de dois minutos sobre porque a desvinculação é uma característica de segurança, não uma gentileza de privacidade →

Explore as lacunas documentadas nos sistemas de integridade eleitoral em todo o mundo →

Fontes

Ver todos os artigosExplorar as lacunas