← Todos os artigos

«Verificável» é uma palavra que os políticos adoram. Eis o que ela realmente tem de significar.

A Suprema Corte do Quénia anulou uma eleição presidencial não porque se tenha provado fraude, mas porque ninguém — nem um juiz, nem um jornalista, nem um eleitor comum — conseguia verificar independentemente como o resultado foi construído.

É a manhã de 1 de setembro de 2017, e seis juízes em Nairobi acabam de divergir quatro contra dois sobre uma questão que ecoará em tribunais de Malawi à Alemanha até à sua sala de estar: quando não consegue rastrear um voto desde a secção de voto até ao apuramento nacional, terá realmente uma eleição?

O vencedor declarado da eleição presidencial do Quénia de 8 de agosto era Uhuru Kenyatta, com cerca de 54 por cento dos votos. Mas a Suprema Corte não anulou o resultado porque os números estivessem errados. Anulou-o porque ninguém conseguia verificar se os números estavam certos. O Formulário 34A — a folha de resultados ao nível da secção de voto que a constituição exigia que fosse transmitida eletronicamente ao centro nacional de apuramento — não havia chegado todo conforme exigido. A folha de apuramento final não tinha marca de água, nem número de série. O presidente da comissão eleitoral havia declarado um vencedor antes de receber todos os documentos subjacentes. A cadeia do voto individual ao total nacional tinha ligações rotas, e numa democracia constitucional, as ligações rotas não são um inconveniente técnico. São o problema em si.

«A eleição não foi realizada em conformidade com a Constituição», escreveu a maioria nas suas conclusões completas, divulgadas a 20 de setembro. O requisito: que a votação seja simples, precisa, verificável, segura, responsável e transparente. Não de confiança. Não certificada. Verificável.

Essa palavra — verificável — realiza um trabalho imenso nessa frase. Os políticos usam-na constantemente, e quase nunca a definem. Os tribunais, porém, têm de o fazer.

O que um tribunal entende por «verificável»

A Suprema Corte do Quénia estava a interpretar o Artigo 86 da constituição do Quénia, que estabelece essas seis propriedades como requisitos — não aspirações, requisitos. Mas a contribuição mais profunda do acórdão é o que implica sobre o conteúdo da palavra.

Verificável não é o mesmo que verificado por alguém em quem confia. Não é o mesmo que os nossos auditores verificaram. Significa: qualquer pessoa, não apenas um especialista, pode rastrear os passos essenciais — do voto na urna até ao número no apuramento — e confirmar que correspondem. Uma cadeia ininterrupta e independentemente verificável. Cada ligação pública, documentada, resistente a alterações.

O sistema queniano falhou em múltiplas ligações simultaneamente. Os formulários não foram transmitidos conforme exigido. Os formulários que chegaram careciam de características de segurança consistentes. A agregação final ocorreu antes de os documentos de origem que se supostamente refletiam terem sido recebidos. Nada disto significa que foram roubados votos. O Tribunal explicitamente não encontrou que tenha ocorrido fraude. Mas a estrutura da contagem tornou a fraude indetectável — e um erro indetectável é indistinguível de uma fraude indetectável. Esse é o ponto.

Uma eleição nova foi ordenada dentro de 60 dias. O candidato derrotado, Raila Odinga, boicotou-a. Kenyatta venceu novamente. Se o voto subjacente de agosto de 2017 foi preciso, genuinamente não sabemos — e esse é precisamente o problema que o Tribunal identificou.

A formulação alemã: nenhum conhecimento especializado necessário

Quatro meses antes de a eleição queniana sequer ter sido realizada, um tribunal do outro lado do mundo havia traçado a mesma linha, mais nitidamente.

A 3 de março de 2009, o Tribunal Constitucional Federal Alemão invalidou o uso de máquinas de votação eletrónica Nedap na eleição federal de 2005. As máquinas tinham sido amplamente utilizadas. Tinham sido certificadas. Ninguém havia encontrado evidência de manipulação. Nada disto importava.

O raciocínio do Tribunal vale a pena ser memorizado palavra por palavra: os passos essenciais da votação e da determinação do resultado devem ser examinável pelo cidadão de forma fiável e sem nenhum conhecimento especializado sobre a matéria. Isto flui do princípio da natureza pública das eleições incorporado na Lei Fundamental — o requisito democrático fundamental da constituição alemã.

As máquinas armazenavam votos apenas em memória eletrónica. Nenhum registo independente existia que um eleitor pudesse verificar. Nenhuma pessoa comum conseguia verificar a transição de «premi este botão» para «este número apareceu no total». O Tribunal chamou a isto um defeito constitucional, ponto final. Recusou anular o resultado de 2005 — a eleição tinha acontecido, não havia evidência de mau funcionamento, e o Tribunal pesou isto contra a perturbação de destituir um parlamento — mas proibiu as máquinas para o futuro.

Dois tribunais, dois continentes, duas tradições constitucionais. A mesma definição de verificável. A cadeia do voto ao total deve ser verificável, por qualquer um, sem necessidade de confiar na palavra de um tecnician.

O que «verificável» não é

É aqui que o conceito fica apurado pelo que exclui.

Não é «contámo-lo à mão». Uma contagem manual é uma verificação útil, mas não é auto-verificável. No Condado de Antrim, Michigan, em 2020, funcionários eleitorais conduziram uma auditoria manual completa de cada voto presidencial depois que um erro de contagem de máquina atraiu escrutínio. A contagem manual diferiu da tabulação de máquina corrigida por cerca de uma dúzia de votos de aproximadamente 15.700 cast. Doze votos. Esse é um erro humano irredutível num processo manual — fadiga, julgamentos sobre marcas ambíguas, um boletim brevemente deslocado para a pilha errada. Numa corrida decidida por um punhado de votos, um método que é em si mesmo desviado por um punhado de votos não consegue resolver a questão. «A contagem manual confirmou-o» é uma garantia. Não é uma prova.

Não é «certificámo-lo o sistema». A Irlanda comprou um sistema nacional de votação eletrónica — máquinas Nedap/Powervote, 7.500 delas — e uma comissão independente concluiu que simplesmente não conseguia recomendar a implementação com o «grau de confiança requerido». Não porque fraude fosse encontrada. Porque precisão e sigilo não tinham sido provados à satisfação da comissão. As máquinas ficaram num armazém durante cinco anos, depois foram recicladas. Certificação é uma afirmação. O trabalho da comissão era testar a afirmação. A afirmação falhou.

Não é «um oficial sénior disse que está bem». Na Venezuela em agosto de 2017, a Smartmatic — a empresa que tinha construído e operado a infraestrutura de votação do país durante mais de uma década — emitiu uma declaração pública dizendo que sabia «sem qualquer dúvida» que a participação anunciada na eleição da Assembleia Nacional Constituinte de 30 de julho tinha sido manipulada, diferindo da participação real por pelo menos um milhão de votos. O resultado oficial tinha sido declarado. O fornecedor desmentiu-o. Quando as pessoas que construíram a máquina não conseguem reconciliar o que a máquina registou com o que foi anunciado, e nenhuma verificação independente existe, não há nada em que o público possa basear-se.

Nem sequer é «a nossa prova criptográfica é publicada». A Swiss Post e o seu fornecedor Scytl publicaram o código-fonte completo do seu sistema de votação pela internet em 2019 precisamente como gesto de transparência. Investigadores independentes Sarah Jamie Lewis, Olivier Pereira, e Vanessa Teague leram o código e encontraram uma porta-traseira na prova de mistura do mixnet: alguém que conhecesse os valores da porta-traseira conseguia gerar um transcript de verificação que passava cada verificação enquanto silenciosamente alterava votos. Autoridades suíças suspenderam o sistema. A prova parecia válida. O defeito era invisível até criptógrafos exteriores sem interesse no resultado procurarem por ele. Uma afirmação de verificabilidade é significativa apenas se sobrevive a escrutínio externo adversarial.

Os cinco elos na cadeia

Se «verificável por qualquer pessoa comum» é o padrão constitucional, o que realmente exige na prática? O caso queniano, lido contra o caso alemão e as evidências acumuladas de uma dúzia de outros países, sugere cinco elos específicos que devem todos manter-se.

Um: um registo resistente a alterações no ponto de votação. O voto — papel ou seu equivalente — deve capturar a intenção do eleitor numa forma que nem a máquina nem qualquer tratador subsequente consegue alterar sem detecção. Os dispositivos de marcação de voto em código QR revistos em Curling v. Raffensperger na Geórgia ilustram o modo de falha: um tribunal federal encontrou o sistema «não fornece um registo de boletim verificável e auditável porque se baseia no código QR para tabulação de votos e esse código em si não consegue ser lido e verificado pelo eleitor». A coisa que é contada deve ser a coisa que o eleitor consegue inspecionar. Essas têm de ser o mesmo artefato.

Dois: uma cadeia de custódia documentada e assinada. No segundo turno presidencial austríaco de 2016, os votos por correio foram abertos e contados prematuramente, por pessoas não autorizadas, sem testemunhas exigidas. O Tribunal Constitucional Austríaco anulou o resultado — 77.000 votos afetados excediam a margem de 30.000 votos — apesar de ter encontrado nenhuma evidência de fraude. A cadeia processual existia precisamente para tornar a manipulação detectável. Uma vez a cadeia quebrada, não consegue distinguir uma irregularidade processual de uma fraude encoberta. O resultado torna-se legalmente indefensável não porque está errado, mas porque é não-verificável.

Três: um registo público em cada passo de agregação. No Quénia, o requisito constitucional era transmissão eletrónica em tempo real do Formulário 34A de cada secção de voto. Esse requisito existia precisamente para que qualquer um — um jornalista, um agente partidário, um cidadão privado — pudesse comparar a soma de baixo-para-cima com o anúncio de cima-para-baixo. Quando isto não acontece, o total nacional flutua separado dos seus documentos de origem. Em Malawi em 2019, funcionários eleitorais usaram líquido corretor em folhas de apuramento oficiais antes de as inserir na contagem. O Tribunal Constitucional anulou a eleição. Não consegue verificar um número que alguém já apagou e reescreveu. Os registos de origem resistentes a alterações não são pedanteria burocrática; são a base de evidência de que qualquer auditoria subsequente depende.

Quatro: auditoria independente com dentes estatísticos. Uma verificação pela mesma instituição que produziu o número não é independente. O Colorado, em 2017, executou a primeira auditoria com limite de risco em todo o Estados Unidos — um procedimento que examina boletins de papel contados à mão suficientes para dar um nível de confiança matematicamente definido de que o total da máquina está correto. Funciona apenas porque boletins de papel duráveis existem e conseguem ser fisicamente comparados contra output de máquina. A lógica da auditoria é adversarial: é projetada para apanhar um resultado errado com alta probabilidade, não para carimbar o vencedor anunciado. Isso é o que uma verificação independente parece.

Cinco: resultados publicados ao nível mais baixo, instantaneamente, em forma legível por máquina. O requisito do Formulário 34A da constituição queniana era a ideia correta por essa razão: transparência de baixo-para-cima ao nível de secção de voto torna erros de agregação imediatamente visíveis, porque qualquer um consegue adicionar os formulários e comparar. A Comissão de Assistência Eleitoral dos EUA aconselha os funcionários a publicar resultados ao nível de distrito em formatos legíveis por máquina transferíveis para que cidadãos conseguam reconciliar a contagem eles próprios. Isso é verificabilidade tornada prática — não «publicámos um PDF», mas «eis os dados brutos; verifiquem a nossa aritmética».

Todos os cinco elos devem manter-se. Um elo quebrado é suficiente para tornar a cadeia não-verificável. A cadeia queniana quebrou nos elos três e cinco simultaneamente. A cadeia austríaca quebrou no elo dois. A cadeia malawiana quebrou no elo três. Por isso é que resultados anunciados com confiança em todos os três casos ainda eram legalmente insólidos.

Confiança não é o mesmo que verificabilidade — e a diferença importa

Há uma versão deste argumento que se sente desconfortável, porque parece lançar dúvida sobre eleições que a maioria dos observadores acredita terem sido honestamente realizadas. Esse desconforto merece ser considerado.

O ponto não é que Quénia 2017 ou Áustria 2016 foram fraudulentos. Tribunais em ambos os casos recusaram encontrar fraude. O ponto é que um resultado honesto produzido por um processo não-verificável é indistinguível, ao público, de um resultado desonesto produzido pelo mesmo processo. Confiança que acontece ser justificada é ainda confiança. Não é verificabilidade. E confiança — em oficiais, em fornecedores, em um comunicado de imprensa de um Secretário de Estado — é exatamente o que coerção, corrupção, e manipulação técnica sofisticada exploram.

A Holanda compreendeu isto em 2007 quando a sua comissão consultiva publicou um relatório chamado «Votando com Confiança» e depois recomendou abandonar a votação eletrónica. A sua lógica: não há «segredos no processo eleitoral», e «questões devem ser respondíveis e as respostas verificáveis e controláveis». Regressou a papel e contagens à mão — não porque as máquinas fossem provadas como comprometidas, mas porque transparência e verificabilidade foram tratadas como não-negociáveis, independentemente de como os operadores atuais aconteciam ser de confiança.

Essa é a arquitetura que vale a pena construir em direção. Não sistemas em que confie. Sistemas que consegue verificar. Sistemas cujos resultados qualquer um consegue verificar independentemente, sem necessidade de acesso a código proprietário, registos classificados, ou garantias de um fornecedor. Onde a prova é pública, adversarialmente testada, e não depende de acreditar na pessoa que a produziu.

Porque o próximo governo pode não ser tão honesto como este. O próximo fornecedor pode não ser tão cuidadoso. A próxima eleição pode não ser decidida por uma margem óbvia o suficiente para apanhar um erro. O requisito constitucional não é «verificável quando estamos a prestar atenção próxima». É verificável por desenho, por qualquer um, como uma questão de curso.

O que ainda não é verificável — e o que o tornaria assim

Aqui está o que a decisão queniana, a decisão alemã, e o corpo completo de evidência acima deixam por resolver:

Na maioria das democracias, ainda não consegue, como um cidadão comum, independentemente confirmar que o número reportado da sua secção de voto corresponde ao que foi registado na máquina. Não consegue verificar que a agregação de secção a distrito a condado a total nacional foi feita corretamente. Não consegue verificar se o software que tabulou o seu voto contém o código que foi certificado, ou uma versão posterior que não. Não consegue comparar o código QR no seu papel marcado por voto com o texto legível por humanos que pensava estar a escolher — porque o scanner lê o código de barras, não o texto.

Estas não são falhas hipotéticas. Os tribunais nomearam-nas. Investigadores exploraram-nas. Autoridades eleitorais fixaram-nas — e em muitos casos não o fizeram.

O que as tornaria verificáveis? Resultados publicados, assinados, ao nível de secção de voto no momento em que são finais. Boletins marcados por eleitor cujo texto legível por humanos é o que é digitalizado. Software de tabulação de código-aberto que especialistas independentes conseguem ler, testar, e re-testar — não uma vez em certificação, mas continuamente. Auditorias rotineiras, adversariais, públicas ligadas a um nível de confiança declarado, não uma percentagem fixa. E uma cadeia de custódia documentada em cada passo, com selos resistentes a alterações que qualquer um com standing para olhar consegue inspecionar fisicamente depois do facto.

Nada disto requer confiar num governo, um fornecedor, ou um Secretário de Estado. Esse é o ponto.

Um resultado eleitoral que não consegue verificar independentemente não é, no sentido constitucional, um resultado em absoluto. É um anúncio.

Veja onde esta falha aparece em todo o mundo →

Leia a versão de dois minutos →

Explore casos de países específicos →

Fontes

Ver todos os artigosExplorar as lacunas