← Todos os artigos

Num terço das mesas de voto, alguém podia ver como as pessoas votaram

Observadores internacionais monitorizaram mais de um terço das mesas de voto da Geórgia em 2024 e descobriram que em todas elas, alguém podia ter visto como você votou.

É a manhã de 26 de outubro de 2024, e numa mesa de voto em algum lugar da Geórgia — o país, não o estado — um eleitor aproxima-se para marcar um boletim de voto. Não há cabine privada. Ou há uma, mas está virada para o lado errado. Ou o eleitor marca o boletim numa superfície que qualquer pessoa nas proximidades pode ver. Ou o boletim, uma vez dobrado, desdobra-se no caminho para a urna.

O eleitor não sabe que está a ser observado. Pode não saber que isso importa.

Os observadores eleitorais treinados da OSCE/ODIHR sabem. E quando tabularam o que tinham visto nesse dia em centenas de mesas de voto, o número era impressionante: comprometimentos potenciais do sigilo do voto foram registados em mais de 30 por cento das suas observações.

Não em algumas mesas mal geridas à margem do mapa. Em mais de uma em cada três.

O número, discriminado

A Missão de Observação Eleitoral da OSCE/ODIHR publicou o seu relatório final sobre as eleições parlamentares de 26 de outubro de 2024 da Geórgia em 20 de dezembro de 2024. A conclusão principal sobre o sigilo do voto é precisa e vale a pena ler lentamente.

Os observadores registaram comprometimentos potenciais do sigilo do voto em 24 por cento das observações devido à forma como os boletins foram inseridos nas urnas. Em 12 por cento das observações, o problema era a forma como os eleitores marcavam os seus boletins. Em 7 por cento, era a disposição inadequada da mesa de voto.

Estas três categorias sobrepõem-se — um eleitor podia enfrentar tanto uma mesa de marcação mal localizada como uma urna mal concebida — razão pela qual o total excede qualquer número isolado. A missão concluiu que questões com o sigilo do voto foram registadas em mais de 30 por cento das observações.

O relatório não concluiu que tudo isto fosse intencional. Alguns foram falhas de conceção. Alguns foram descuidos procedimentais. Alguns foram resultado de disposições que ninguém tinha pensado em verificar contra um teste simples: conseguiria um terceiro ver o que este eleitor está a fazer?

Mas eis a questão. Não importa se quem observa na sala é malicioso. O problema de sigilo do voto existe no momento em que o voto pode ser visto.

Porque é que o sigilo é um controlo de segurança, não uma cortesia

Há uma tendência para pensar no sigilo do voto como uma delicadeza — algo que pode querer para o seu conforto pessoal, mas não um requisito estrutural da democracia. A história das eleições diz o contrário.

Em 1872, o Parlamento do Reino Unido aprovou a Lei do Voto Secreto — não para tornar os eleitores mais confortáveis, mas para tornar impossível para proprietários e empregadores verificarem como os seus inquilinos e trabalhadores tinham votado. Antes da lei, o voto era público. Declarava a sua escolha em voz alta, era escrita num livro, e o livro era publicado. O resultado era suborno sistemático e intimidação, porque a coerção só exige uma coisa: prova. Prova do voto comprado, prova do voto desafiado.

O voto secreto resolveu isto com um mecanismo estrutural, não uma proibição legal. Não pode comprar o que não consegue verificar.

O boletim australiano — uniforme, impresso pelo estado, marcado numa cabine privada — não foi adoptado porque os eleitores pedissem privacidade. Foi adoptado porque tornou a compra de votos arquitetonicamente impossível. O próprio historial da Comissão Eleitoral Australiana é direto: as pessoas "votavam publicamente, o que as deixava vulneráveis a intimidação e coerção," e o voto secreto foi a solução engenheirada.

Remova o sigilo, e o mercado de votos reabre.

Os achados da OSCE/ODIHR na Geórgia não são apenas uma constrangimento administrativo. Descrevem o colapso parcial de um mecanismo de segurança que as democracias passaram dois séculos a construir.

O que compromete o sigilo na prática

Os achados de 2024 da Geórgia apontam para três modos de falha física distintos, e cada um é instrutivo.

Inserção do boletim. Se a ranhura de uma urna enfrenta uma sala em geral, ou se os boletins são inseridos em máquinas de forma que expõe a face marcada, qualquer pessoa nas proximidades — um agente partidário, um familiar, um operário de um empregador, um representante de um candidato com um telemóvel — consegue ver a escolha. Vinte e quatro por cento das observações apanharam esta falha. É um problema de hardware com uma solução de hardware: a urna ou máquina deve estar posicionada de forma que ninguém senão o eleitor consegue ver o que entra.

Marcação do boletim. Se a área de marcação — uma mesa, uma cabine, uma cortina — consegue ser observada de trás ou do lado, o momento da decisão é exposto. Doze por cento das observações. Isto é em parte um problema de disposição e em parte um problema de conceção: cabines muito abertas, cubículos sem painéis laterais, eleitores que escolhem marcar numa mesa plana em vez de uma superfície privada porque nenhuma outra opção é oferecida.

Disposição da mesa. Em sete por cento das observações, o arranjo geral da mesa — onde fica a mesa de registo, como se formam as filas, onde estão os agentes partidários, como os boletins fluem da emissão para a urna — era em si inadequado. Esta é a falha de toda a sala: mesmo que os componentes individuais estejam corretos, o padrão de trânsito através de uma sala mal concebida cria linhas de visão que minam tudo o resto.

Nenhum destes exige uma conspiração. Exigem falta de atenção a um requisito de engenharia que a maioria das pessoas nunca pensa: a conceção de uma mesa de voto é um controlo de segurança, e deve ser avaliada como tal.

O mecanismo que o torna perigoso

Um eleitor que pode ser observado a votar é um eleitor que pode ser forçado a provar o seu voto.

O Tribunal de Apelação dos EUA para o Primeiro Circuito esclareceu isto claramente em Rideout v. Gardner em 2016, um caso sobre se New Hampshire podia proibir selfies de boletins. O tribunal rastreou o histórico diretamente: as reformas do voto secreto foram adoptadas para "combater a compra de votos e intimidação de eleitores em larga escala," práticas que dependem do comprador ou coercitivo conseguir verificar o voto. Uma fotografia de um boletim marcado funciona como prova. E a prova é o que transforma uma preferência numa transação.

A mesma lógica estende-se à observação da mesa de voto. Se conseguir ser observado — ou se souber que podia ser observado — o voto secreto deixa de ser funcionalmente secreto. Mesmo que ninguém esteja realmente a olhar, a possibilidade credível de que alguém conseguisse olhar é suficiente para mudar o comportamento. Um eleitor que teme que o operário do seu empregador está a observar a fila não votará a sua consciência. Um eleitor que sabe que a sua família verá qual a urna que aborda já perdeu a proteção que 150 anos de reforma eleitoral foi concebida para fornecer.

Os observadores da OSCE na Geórgia também registaram instâncias de compra de votos, voto duplo, violência física e intimidação. Descobriram que a pressão sobre os eleitores "combinada com práticas do dia da eleição comprometeu a capacidade de alguns eleitores de votarem sem medo de retaliação."

As falhas de sigilo e as falhas de coerção não são dois problemas separados. São o mesmo problema em diferentes fases da mesma transação.

Isto não é um problema exclusivo da Geórgia

A Geórgia 2024 é o caso principal aqui porque os dados de monitorização são precisos e recentes. Mas o padrão subjacente está documentado em múltiplas jurisdições pelo mesmo corpo de monitorização.

Nas eleições parlamentares de abril de 2023 da Bulgária, a mesma OSCE/ODIHR relatou que o sigilo do voto foi comprometido em 7 por cento das suas observações, com compra de votos presente e reportada — dentro de um estado-membro da UE.

Nas eleições parlamentares de 2021 da Albânia, a ODIHR documentou alegações generalizadas de compra de votos e recomendou que as autoridades garantissem o direito a um voto livre e secreto, e impedissem qualquer forma de pressão sobre os eleitores para divulgar se e como votaram.

Na eleição presidencial de 2017 do Quirguistão, a ODIHR recomendou garantir o direito a uma escolha livre e secreta e impedir a pressão sobre os eleitores para divulgar como votaram.

Nas eleições autárquicas de 2025 da Macedónia do Norte, a ODIHR sinalizou rastreamento de eleitores — registar quem votou e monitorizar conformidade — como uma preocupação presente, juntamente com compra de votos e pressão sobre funcionários públicos.

A geografia abrange Europa, Ásia Central, o Cáucaso. O mecanismo é idêntico em cada caso: onde alguém consegue observar ou provar como votou, um mercado ou uma relação coerciva consegue operar. Feche a lacuna de observação, e a transação colapsa.

O que 30 por cento realmente significa para uma corrida acirrada

Trinta por cento soa como um problema de processo. Numa eleição apertada, é um problema de resultado.

Eis a aritmética. Suponha que um distrito parlamentar tem 50.000 eleitores, espalhados por 100 mesas de voto. Se o sigilo for comprometido em 30 delas — em média, como os dados de monitorização sugerem — e se um partido com recursos está sistematicamente a explorar linhas de visão para verificar conformidade, o número de votos que conseguem ser fiàvelmente comprados ou coagidos não é incidental. É estrutural.

Não precisa de comprar cada voto. Precisa de comprar o suficiente, nas mesas certas, nos distritos certos. E só consegue comprar votos que consegue verificar.

É por isto que tribunais repetidamente anularam eleições por falhas de sigilo que não foram acompanhadas por qualquer prova direta de fraude. O Tribunal Constitucional da Áustria anulou a segunda volta presidencial de 2016 — uma corrida decidida por aproximadamente 30.000 votos — porque os procedimentos de voto por correspondência foram violados de formas que afetaram 77.000 votos, embora nenhuma evidência de manipulação real fosse encontrada. O raciocínio do tribunal era explícito: as salvaguardas contra manipulação devem ser tão robustas que a fraude demonstravelmente não conseguisse ter ocorrido — não meramente que provavelmente não ocorreu.

As falhas procedimentais que criam a possibilidade de observação ou interferência são razão suficiente para tratar um resultado como inverificável. Isto não é um padrão extremo. É o mínimo que torna um resultado digno de confiança.

Requisitos de conceção, não desejos políticos

Então, o que é que realmente leva para tornar uma mesa de voto um ambiente seguro?

A resposta é principalmente engenharia física e lista de verificação procedimental, não tecnologia. Um compartimento de marcação privado com painéis laterais adequados e sem linhas de visão traseiras. Uma urna ou leitor de votos posicionado de forma que a face marcada do boletim nunca é visível para ninguém senão o eleitor no momento da inserção. Uma disposição de sala que impede aglomeração perto da área de marcação. Fluxos de entrada e saída que não expõem qual a urna ou fila que um eleitor aborda. Agentes partidários sentados onde conseguem observar o processo sem observar boletins individuais.

Nada disto é difícil. Tudo isto consegue ser auditado à chegada, antes de um único eleitor entrar na sala. Um observador treinado com um bloco de notas e dez minutos consegue verificar cada linha de visão.

O facto de mais de 30 por cento das mesas falharem esta verificação na Geórgia em 2024 não é um reflexo de dificuldade técnica. É um reflexo da ausência de um padrão de conceção aplicável tratado como um controlo de segurança — a mesma categoria de ausência que permite falhas de hardware e procedimento prejudicarem silenciosamente a integridade de tudo o que vem a jusante.

E é aqui que o problema se conecta a um mais lato. Uma mesa de voto mal concebida é um sistema opaco: não sabe, depois do facto, quais votos foram observados, por quem, ou com que efeito. A falha de sigilo é indetectável apenas pelos resultados. Nenhuma auditoria da contagem a encontrará. Nenhuma recontagem de máquina a revelará.

O Tribunal Supremo das Filipinas, mantendo a desqualificação de um eleito a presidente-eleito por compra de votos em Nolasco v. COMELEC em 1997, enquadrou o princípio subjacente com precisão: o delito criminal é a oferta, não apenas a execução. Mas o tribunal também reconheceu que o processamento sozinho não consegue escalar para um mercado em massa. A defesa decisiva é arquitetónica — se um voto não consegue ser provado a um comprador, a compra não consegue ser executada, e a transação colapsa.

As penalidades criminais para compra de votos são um último recurso. Um voto verdadeiramente secreto é uma defesa estrutural de primeira linha.

O problema de verificabilidade que a contagem não consegue corrigir

Há uma tentação de tratar a integridade eleitoral como um problema de contagem. Construa uma máquina melhor. Audite os totais. Corra uma auditoria de risco limitado. Publique os resultados mais rápido.

Estas coisas importam enormemente — mas operam a jusante da urna. Verificam que os votos registados foram contados com precisão. Não conseguem verificar que os votos registados foram votados livremente.

Uma contagem perfeitamente auditada de votos coagidos é ainda uma contagem coagida.

Esta é a lacuna que as falhas de conceção de mesas de voto abrem: uma vulnerabilidade a montante que nenhuma auditoria a jusante consegue fechar. Se 30 por cento das suas mesas de voto permitem observação do voto, e corre a contagem manual pós-eleitoral mais rigorosa da história, verificou a aritmética de um input potencialmente comprometido.

A cadeia de custódia para uma eleição livre não começa na urna. Começa no momento em que um eleitor entra num espaço privado para marcar um boletim — e esse espaço deve ser privado por conceção, não por pressuposto.

A missão da OSCE/ODIHR na Geórgia concluiu que as falhas de sigilo "impactaram negativamente a integridade das eleições e erodiran a confiança pública." Essa é linguagem diplomaticamente medida. O que significa em termos simples é que uma porção significativa das eleições parlamentares de 2024 ocorreu em condições onde a propriedade de segurança fundamental do voto secreto — a propriedade que torna a compra de votos e coerção arquitetonicamente impossível — não estava fiàvelmente presente.

E esse é um facto que nenhuma declaração oficial consegue auditar.

O que tornaria isto verificável

Eis o que permanece desconhecido, e o que o tornaria verificável.

Não sabemos — porque não consegue ser sabido apenas pelos dados de observadores — quantos dos comprometimentos de sigilo observados foram explorados. Não sabemos se as linhas de visão foram usadas, por quem, ou com que efeito. Não sabemos, mesa a mesa, se as falhas físicas se correlacionavam com padrões de voto anómalos. Não conseguimos reconstruir, da contagem, quais boletins foram votados sob observação.

O que tornaria isto verificável é uma combinação de coisas que atualmente não existem em conjunto na maioria das jurisdições:

Padrões de conceção física aplicáveis para mesas de voto, auditáveis à chegada por qualquer observador acreditado, com uma lista de verificação pública e um registo público de conformidade por mesa.

Resultados de nível de circunscrição publicados imediatamente e em formato legível por máquina, de forma que qualquer analista consegue testar se mesas com falhas de sigilo documentadas mostram anomalias distribucionais comparadas a mesas onde o sigilo foi intacto.

Um corpo independente com legitimidade para exigir remediação, não meramente notar preocupações num relatório pós-eleitoral que chega dois meses depois de os boletins terem sido contados.

Nada disto exige criptografia nova ou tecnologia de voto nova. Exige tratar a sala onde o voto ocorre como um ambiente de segurança concebido — e publicar dados suficientes de forma que qualquer um consegue verificar se a conceção se manteve.

Até que isso exista, "o sigilo do voto foi potencialmente comprometido em mais de 30 por cento das mesas de voto" é um achado, não um veredicto. Mas é o tipo de achado que, numa corrida acirrada, uma democracia que funcione não deveria conseguir deixar inresolvido.

Interessado em como esta lacuna aparece em diferentes países? Veja o quadro global no nosso atlas. Ou leia a versão de dois minutos da lacuna de sigilo do voto.

Para uma visão mais ampla das lacunas entre o que os sistemas eleitorais prometem e o que conseguem provar, comece aqui.

Fontes

Ver todos os artigosExplorar as lacunas