← Todos os artigos

Quando a única auditoria que funciona é uma sala de tribunal, o sistema já falhou

Três países realizaram eleições presidenciais. Três tribunais supremos tiveram de as anular. A questão não é por que os tribunais intervieram — é por que as eleições precisavam ser salvas em primeiro lugar.

É a manhã de 1 de setembro de 2017, e seis juízes em Nairobi estão prestes a fazer história que ninguém queria fazer.

A eleição presidencial realizou-se há 22 dias. Uhuru Kenyatta foi declarado vencedor. Os boletins foram contados — ou algo que se assemelha a uma contagem ocorreu. Milhões de quenianos fizeram fila, marcaram as suas escolhas e esperaram. E agora o Tribunal Supremo, por maioria de quatro para dois, está a fazer o que nenhum tribunal na história africana tinha feito antes: anular completamente o resultado.

Não porque encontrou fraude em massa. Não porque votos foram claramente roubados.

Porque ninguém conseguiu provar que não foram.

O que o tribunal queniano realmente disse

Leia a sentença com cuidado — Petição de Eleição Presidencial n.º 1 de 2017 — e encontrará algo mais preocupante do que uma história de corrupção. A preocupação do tribunal era estrutural. A constituição do Quénia exige que as eleições sejam simples, precisas, verificáveis, seguras, responsáveis e transparentes. A Comissão Eleitoral Independente e de Delimitação de Circunscrições tinha estabelecido um sistema para fazer isso acontecer: formulários de resultados de cada estação de voto (chamados Formulários 34A) deveriam ser transmitidos electronicamente e simultaneamente para o centro de apuramento nacional, criando uma ligação rastreável em tempo real, de cada caixa de voto para o número final.

Esse sistema não funcionou conforme concebido. Nem todos os Formulários 34A foram transmitidos. O formulário de apuramento nacional final não tinha marca de água ou número de série. A presidente da IEBC declarou um vencedor antes de todos os formulários subjacentes terem sequer chegado. Quando o tribunal procurou pela cadeia de evidência que lhe permitiria — ou a qualquer pessoa — verificar independentemente o total anunciado, a cadeia tinha lacunas.

Dois juízes discordaram: sentiam que o encargo probatório para anulação não tinha sido cumprido. Esse desacordo honesto é em si parte da história. A maioria e a dissidência não discutiam sobre fraude. Discutiam sobre prova. Se o que existia era suficiente para confiar. Se a ausência de uma cadeia verificável justificava anular uma eleição em que dezenas de milhões de pessoas tinham participado.

O tribunal ordenou uma nova eleição dentro de 60 dias. O Quénia realizou-a. A lacuna de verificabilidade que causou a anulação — o problema de conceção, não apenas falha de execução — permaneceu um assunto de discussão política depois.

O tribunal apanhou algo real. Mas apanhou-o da forma mais difícil possível, após o facto, sob pressão política, com um país à espera.

O problema do corretivo em Moçambique

Oito mil quilómetros a sul, em fevereiro de 2020, o Tribunal Constitucional do Malawi fez a mesma coisa.

A eleição presidencial de maio de 2019 tinha retornado Peter Mutharika como vencedor apertado. Mas quando litigantes contestaram o resultado e os tribunais examinaram os folhas de apuramento oficiais — os documentos físicos que deveriam ser a base de qualquer contagem verificável — encontraram algo que não deveria existir em nenhum sistema eleitoral sério.

Corretivo. Tipp-Ex, aplicado em folhas de resultados do governo oficial, sobrescrevendo os números originais.

Não apenas num distrito. Não apenas numa região. Extensivamente. Juntamente com folhas de resultados duplicadas, formulários não assinados e apuramentos impropriamente tratados. O Tribunal Supremo de Recurso manteve a anulação em 8 de maio de 2020, constatando que as irregularidades significavam que o resultado anunciado não podia ser considerado um reflexo verificável e legal do voto.

Pense no que o corretivo significa neste contexto. Não é um ataque sofisticado. Não é um ciberataque. É uma garrafa de tinta branca que custa um dólar. E foi suficiente para fazer uma eleição presidencial inteira legalmente não-verificável.

A folha de apuramento é suposto ser o único artefacto à prova de adulteração que não pode mentir. É o pedaço de papel assinado na estação de voto, à frente de testemunhas, registando o que a contagem mostrou. Uma vez que introduz Tipp-Ex, removeu a prova de adulteração. Transformou um registo verificável num registo alterável, e um registo alterável não é registo nenhum.

O Malawi realizou uma eleição fresca em junho de 2020.

O colapso da cadeia de custódia da Áustria

Em julho de 2016, o Tribunal Constitucional Austríaco anulou uma segunda volta presidencial que tinha sido decidida por aproximadamente 30.000 votos. O tribunal encontrou violações procedimentais afectando cerca de 77.000 boletins por correio: envelopes abertos antecipadamente, contagens começadas por pessoas não autorizadas, testemunhas obrigatórias ausentes. A margem vencedora era menor do que o número de votos tratados em violação das regras.

Criticamente — e este é o ponto que a maioria das reportagens perdeu — o tribunal não encontrou evidência de fraude. Ninguém foi acusado de alterar um voto. O tribunal anulou a eleição não porque encontrou manipulação, mas porque não conseguiu verificar que manipulação não tinha ocorrido. Os procedimentos que existem para tornar uma eleição independentemente verificável tinham sido violados à escala que podia ter afectado o resultado.

Uma segunda volta repetida realizou-se em dezembro de 2016.

Eis a coisa sobre a Áustria: os procedimentos que foram violados não são tecnicidades obscuras. São os mecanismos de verificabilidade. Quem pode manejar boletins, na presença de quem, em que altura — estas regras existem para que qualquer pessoa com legitimidade possa examinar o registo e confirmar que nenhuma pessoa não autorizada teve a oportunidade de alterar o que estava dentro desses envelopes. Quando abre envelopes antes do tempo permitido, sem testemunhas, não apenas quebra uma regra. Destrói a base de evidência que torna o resultado verificável. Torna a verificação retroactivamente impossível.

É por isso que o tribunal não tinha escolha. Não era sobre punir um erro. Era sobre a questão básica de se um resultado legítimo e verificável existia realmente.

Três eleições, um problema subjacente

Quénia. Malawi. Áustria. Três países muito diferentes. Três modos de falha muito diferentes — uma lacuna de transmissão digital, uma garrafa de Tipp-Ex, uma abertura prematura de envelopes. Três tribunais supremos forçados a actuar como última linha de defesa.

Mas repare no que os conecta: em cada caso, a falha de verificação era anterior ao tribunal. O problema não era que o sistema de tribunais falhou. O problema era que o sistema eleitoral não produziu nenhum registo independentemente verificável. O tribunal foi chamado para examinar algo que já se tinha tornado não-examinável.

Um tribunal que não consegue verificar um resultado e anula a eleição está a fazer exactamente o que os tribunais são para fazer. Mas é também um sinal de que tudo o que deveria ter impedido a necessidade dessa intervenção já tinha falha.

Os tribunais são lentos. São caros. São ambientes inerentemente políticos — como aqueles dois juízes dissidentes quenianos nos lembram, pessoas razoáveis examinando o mesmo registo podem chegar a conclusões diferentes sobre se a evidência cumpre o critério. Um tribunal empatado não força uma recontagem; apenas deixa um resultado disputado em pé.

Um tribunal é um último recurso, não um mecanismo de verificação. E a diferença é enormemente importante, porque no momento em que um tribunal está envolvido, o dano de legitimidade já está feito.

Como seria a verificação incorporada a funcionar

O Tribunal Constitucional Alemão colocou o princípio claramente na sua sentença de 2009 sobre máquinas de votação electrónica: as etapas essenciais da votação e da determinação do resultado podem ser examinadas pelo cidadão de forma fiável e sem qualquer conhecimento especializado. Não por um juiz. Não por um informático. Por um cidadão.

Esse é um critério mais elevado do que parece. E é exactamente o critério que o Quénia, Malawi e Áustria falharam em cumprir — antes de qualquer tribunal estar envolvido.

Como seria cumprir esse critério na prática?

No Quénia, significaria que cada Formulário 34A é fotografado, transmitido com uma assinatura à prova de adulteração, e publicado em tempo real num URL público que qualquer pessoa pode verificar. Um eleitor em Mombaça podia procurar o resultado da sua estação de voto, compará-lo com o apuramento nacional, e detectar qualquer discrepância sem precisar de um advogado ou de uma ordem judicial.

No Malawi, significa folhas de apuramento que são assinadas em caneta, testemunhadas, fotografadas e codificadas — para que se alguém aplicar corretivo ao original, o registo digital mostrar o que o formulário disse antes da tinta ir embora.

Na Áustria, significa registos de cadeia de custódia com marcas de tempo e testemunhas que são em si parte do registo público, não notas administrativas privadas que apenas um tribunal pode convocar.

Estas não são ideias hipotéticas. O Colorado tem realizado auditorias de risco limitante em todo o estado desde 2017 — verificações estatísticas que fornecem níveis de confiança definidos em vez de sons de reasseguração. A Geórgia contou manualmente aproximadamente cinco milhões de boletins em 2020, produzindo um resultado que qualquer pessoa podia comparar com os totais da máquina. A lacuna era cerca de um décimo de um por cento. Isso não é perfeição, mas é um número verificável, público e independentemente reproduzível. A comissão eleitoral do governo holandês concluiu em 2007 que uma eleição é apenas confiável se o público puder verificá-la — e o país voltou para boletins em papel e contagem manual.

O fio condutor é este: verificabilidade não é uma característica que adiciona depois. É uma propriedade que ou constrói desde o início, ou não tem de todo.

Por que "a auditoria confirmou" não é a lição

Quando autoridades eleitorais apontam para uma auditoria que confirmou um resultado, a resposta deve ser sempre: confirmou como, e posso verificar?

Uma folha de apuramento com Tipp-Ex que passa uma revisão superficial não é confirmada. Um registo de transmissão electrónica que apenas a comissão pode aceder não é confirmado. Um tribunal que se divide quatro para dois não é uma confirmação — é uma descoberta contestada que se aproximou perigosamente de ir pela outra forma.

Mesmo uma recontagem manual — o suposto padrão ouro — carrega erro humano irredutível. A auditoria de recontagem manual de dezembro de 2020 do Condado de Antrim, Michigan, diferiu da tabulação da máquina em cerca de uma dúzia de votos de aproximadamente 15.700 lançados. Doze votos. Num condado pequeno com uma margem confortável, isso é ruído. Numa corrida decidida por menos votos do que isso, é o jogo inteiro. E como a auditoria forense de Windham, New Hampshire mostrou em 2021, uma dobra num boletim de uma máquina de dobragem alugada — sem malware, sem fraude, sem conspiração — era suficiente para causar ao scanner que leia uma ruga como um óvalo marcado, centenas de vezes.

"Uma contagem manual confirmou" é uma reasseguração. "Uma auditoria confirmou" é uma reasseguração. Um Secretário de Estado a dizer "tudo correspondeu" é uma reasseguração.

Reassegurações não são verificáveis. Registos são.

O Tribunal Supremo do Quénia não recebeu os registos que precisava. Os tribunais do Malawi examinaram os registos e encontraram que tinham sido alterados. O tribunal austríaco descobriu que o registo de quem tinha manuseado os boletins, e quando, simplesmente não existia.

Três tribunais. Três anulações. Nenhuma verificação incorporada.

A questão que permanece aberta

Nenhuma das três eleições novas que se seguiram — no Quénia, Malawi e Áustria — resolveu o problema sistémico que causou a anulação original. Cada país realizou uma nova votação sob a mesma arquitetura estrutural que tinha falhado. A eleição repetida do Quénia em outubro de 2017 foi boicotada pela oposição principal, e a questão subjacente de como tornar a transmissão de resultados digital independentemente verificável nunca foi totalmente resolvida. A reeleição de junho de 2020 do Malawi produziu um vencedor diferente, mas o design da folha de apuramento — papel, assinado em caneta, suscetível a corretivo — não foi substituído.

O que fecharia realmente a lacuna? Não um novo tribunal. Não uma auditoria mais agressiva depois do facto. Não uma declaração mais alta de uma autoridade eleitoral.

Um sistema onde a cadeia de boletim para total anunciado é criptograficamente codificada, marcada com data e hora, publicada e independentemente descarregável por qualquer pessoa — antes da primeira contestação legal ser apresentada.

Não um sistema onde um tribunal tem de ordenar produção de registos. Um sistema onde os registos já são públicos, já são legíveis por máquina, já são arquivados numa forma que nenhum funcionário único pode discretamente alterar.

É isto o que os tribunais continuam a encontrar a ausência de. É o que o Tribunal Constitucional Alemão exigiu em princípio. É o que a constituição do Quénia exigiu e a IEBC falhou em entregar. É o que as folhas de apuramento de corretivo do Malawi destruíram. É o que os abridores de envelopes não autorizados da Áustria enfraqueceram.

O tribunal é sempre o último recurso. A questão que vale a pena fazer — antes de qualquer eleição, não depois — é se o seu sistema foi construído para que o tribunal nunca tenha de ser chamado.

"Um tribunal que não consegue verificar um resultado e anula a eleição está a fazer o seu trabalho. Um sistema que força um tribunal nessa posição já falhou."

Veja como é comum esta lacuna de verificação em todo o mundo →

Leia a versão de dois minutos de por que a verificabilidade incorporada importa →

Explore onde estão as lacunas do seu sistema eleitoral →

Fontes

Ver todos os artigosExplorar as lacunas