← Todos os artigos25 de junho de 2026

O voto secreto é uma característica de segurança, não uma cortesia

O voto secreto não foi inventado para proteger a sua privacidade — foi inventado para tornar inútil comprar e ameaçar você, e uma câmara de telemóvel na cabine quietly desfaz-o.

Em 2023, observadores internacionais assistiram a uma eleição nacional dentro da União Europeia e registaram algo direto. Nas eleições parlamentares antecipadas da República da Bulgária em abril, o organismo de monitorização de eleições da OSCE registou "preocupações duradouras sobre compra de votos e votação controlada". Os seus observadores viram o sigilo do escrutínio comprometido em 7 por cento das observações que realizaram nos locais de votação, e anotaram indicações de compra de votos fora das urnas. Quando perguntaram às autoridades policiais sobre isto, a resposta foi reveladora: obter provas é difícil, e a maioria dos casos nunca vai além da fase de investigação.

Esta não é uma história sobre uma democracia jovem e frágil em algum século distante. É um relato contemporâneo, documentado em tribunal e por monitores, do que acontece quando o voto secreto deixa de ser secreto. Um voto que pode ser observado enquanto o está a fazer — ou que pode mais tarde provar que fez — é um voto que pode ser comprado, alugado ou coagido.

Este é exatamente o objetivo do sigilo do escrutínio. Nunca foi uma cortesia de privacidade. É um mecanismo de segurança. E está a falhar silenciosamente de formas que a maioria dos eleitores nunca considera.

Por que o sigilo é a característica de segurança

Comece pelo mecanismo, dito claramente.

A compra de votos funciona como um contrato: pago-lhe, você vota como eu quero. Mas um contrato que não pode ser imposto é inútil. Se não tenho forma de verificar como você realmente votou, não posso saber se cumpriu a sua parte — portanto o movimento racional é não pagar de todo. A coação segue a mesma lógica ao contrário: se o ameaço mas nunca posso confirmar o que você fez na cabine, a minha ameaça é vento quente.

O sigilo é o que torna a suborno e a ameaça não passíveis de imposição. Remova-o, e ambos voltam a ser racionais.

É exatamente por isto que o voto secreto foi inventado em primeiro lugar. A Comissão Eleitoral Australiana registra que até aos anos 1850 as pessoas "votavam publicamente, o que as deixava vulneráveis a intimidação e coação" — portanto um organismo eleitoral independente foi criado e o "chamado 'voto australiano', de outra forma agora conhecido como voto secreto, foi implementado". Um boletim uniforme, impresso pelo Estado, marcado sozinho, que nenhum patrão, proprietário ou chefe de partido podia observar. A ideia espalhou-se através das democracias nas décadas seguintes porque funcionou: tornou o olhar do capataz e as instruções do proprietário impossíveis de impor.

Portanto, quando uma auditoria de um sistema eleitoral identifica uma descoberta de "boletim não é verdadeiramente secreto", isto não é uma nota de rodapé sobre privacidade. É uma falha estrutural com um preço documentado.

O telemóvel no seu bolso reabriu o mercado

Aqui está a torção moderna, e um tribunal federal dos EUA a esclareceu com clareza invulgar.

Em Rideout v. Gardner (2016), o Tribunal de Apelações dos EUA para o Primeiro Circuito reviu uma lei de New Hampshire que proibia os eleitores de fotografar os seus próprios boletins marcados — "selfies de boletins". A defesa do Estado foi diretamente à lógica de segurança: a proibição existia para "preservar o sigilo do escrutínio" contra compra de votos e coação, porque uma foto permite a um eleitor provar como votou. O tribunal concordou com o histórico, notando que as reformas do voto secreto foram originalmente adotadas para "combater a compra generalizada de votos e intimidação de eleitores" — práticas que funcionam apenas quando um comprador ou coactor pode verificar o voto.

Releia isto, porque é o ponto crucial de toda esta peça: a prova é o problema. Uma fotografia de boletim marcado é, funcionalmente, um comprovante — e um comprovante é exatamente o que um comprador de votos precisa para impor o negócio.

O tribunal ainda assim anulou a proibição, com base em direitos de liberdade de expressão, decidindo que não era estreitamente enquadrada porque o Estado não tinha mostrado evidência recente de que fotos de boletins realmente conduziram a compra de votos. Pode argumentar a questão da liberdade de expressão de ambos os lados. Mas repare no que o caso fixou e no que não fixou: confirmou o mecanismo — o sigilo derrota a compra de votos, e uma foto desfaz o sigilo — enquanto deixou a porta aberta para a câmara voltar direto para a cabine.

Essa porta está agora aberta em grande parte do mundo. Toda a gente leva uma câmara de alta resolução. A tecnologia que o voto secreto foi desenhado para derrotar — votação comprovável — está de volta em cada bolso, e a Bulgária 2023 é o que parece quando a prova é usada.

Não é preciso um hacker. Basta uma lacuna.

A outra forma como o voto secreto desaparece é ainda mais simples: alguém toca no seu boletim.

Após a eleição de 2018 no Nono Distrito Congresso de North Carolina, um candidato pareceu ter ganho. O Conselho Estatal de Eleições recusou-se a certificar e investigou. A 21 de fevereiro de 2019, o Conselho ordenou unânimemente uma eleição inteiramente nova depois de descobrir o que chamou, nas suas próprias palavras, um "esquema de boletins por correspondência coordenado, ilegal e substancialmente aparelhado" nos condados de Bladen e Robeson. Um operário chamado McCrae Dowless tinha dirigido uma rede que recolhia boletins por correspondência dos eleitores — alguns em branco, alguns parcialmente preenchidos — para serem preenchidos, submetidos ou descartados conforme necessário. Uma nova eleição foi realizada. Um candidato diferente ganhou. Continua a ser uma das raras vezes que um resultado de Câmara dos EUA foi anulado por fraude.

Nenhuma máquina foi hackeada. Nenhuma potência estrangeira estava envolvida. O mecanismo era uma prancheta e um cesto.

A cadeia de custódia é o voto secreto. No momento em que o seu boletim não marcado ou parcialmente marcado passa para as mãos de uma terceira parte, a proteção já está desaparecida — não porque o papel mudou, mas porque alguém outro que não você agora sabe, e controla, o que diz. North Carolina é a prova mais clara e moderna de que comprar e coagir votos não requer sofisticação. Requer apenas uma lacuna entre o eleitor e o boletim.

A versão de máquina da mesma ferida

Há uma forma mais subtil como o elo entre eleitor e voto se quebra, construída em alguns sistemas eletrónicos.

Certos dispositivos de marcação de boletins imprimem um código de barras. Você faz as suas escolhas num ecrã tátil; a máquina imprime um boletim mostrando um resumo legível por humanos e um código de barras; e quando o boletim é contabilizado, o scanner lê o código de barras, não o texto que assinalou. É-lhe convidado a "verificar" o seu boletim lendo o resumo. Quase ninguém verifica o código de barras, porque quase ninguém leva um leitor de códigos de barras para uma cabine de votação.

O que é contabilizado é o código de barras. O que você assinalou é um resumo impresso. Em princípio essas duas coisas podem diferir — e você não teria forma de saber.

Esta é a falha do voto secreto de uma direção diferente. Aqui o perigo não é que o seu voto seja rastreável de volta para você; é que o voto registado em seu nome pode não ser o que votou. A intenção do eleitor está separada do registo. Uma falha relacionada espreita onde quer que os números de série ou ordem de impressão do boletim possam ser cruzados com registos de check-in: se um boletim pode ser correspondido a um nome através de qualquer registo acessível, o voto secreto terminou. Não hipoteticamente. Estruturalmente.

A armadilha em "apenas dar aos eleitores um comprovante"

Se a prova é o problema, podia pensar que a cura é deixar cada eleitor manter prova de que o seu voto foi contado. É o instinto óbvio, e é uma armadilha.

Qualquer sistema que deixe um eleitor sair com prova de qual forma votou resolveu verificabilidade recriando exatamente a vulnerabilidade que o voto secreto foi construído para fechar. Deu ao eleitor um comprovante que o podem forçar a mostrar — a um patrão, um proprietário, um operário de partido, qualquer pessoa com alavanca. Esse é o problema da Bulgária fabricado em escala, por desenho.

Portanto, a verdadeira questão de engenharia em segurança eleitoral é mais difícil do que "podemos verificar a contagem?" É: podemos deixar qualquer pessoa verificar a contagem sem deixar nenhum indivíduo provar a sua escolha específica? Estes dois objetivos estão em genuína tensão, e pretender que não estão é como sistemas ficam construídos que silenciosamente sacrificam um pelo outro.

Este é o problema em que a votação verificável de ponta a ponta (E2E) trabalhou durante décadas: dar a cada eleitor prova matemática de que o seu voto encriptado foi incluído na contagem, sem nunca revelar — nem ao eleitor, nem a um coactor em pé sobre o seu ombro — qual era esse voto. A criptografia é real e a abordagem é sólida. Também ainda não é como a maioria das pessoas vota. A maioria dos eleitores usa sistemas que nunca sequer nomearam o compromisso, quanto mais resolvê-lo.

O que nenhum comunicado de imprensa pode dizer-lhe

Aqui está o que nenhuma declaração oficial, resumo de auditoria, ou certeza de Secretário de Estado pode atualmente confirmar-lhe, como um cidadão independente:

Que nenhum boletim na sua jurisdição foi preenchido ou alterado por uma terceira parte antes de ser contabilizado.
Que nenhum dispositivo de marcação de boletins codificou uma escolha no seu código de barras diferente da mostrada no ecrã.
Que nenhum número de série ou registo de sequência existe em qualquer lugar que pudesse ligar o seu boletim ao seu nome.
Que a matemática do sistema — não meramente as suas políticas — torna impossível rastrear o seu voto de volta para si, ou vender um comprovável.

Estas não são acusações. São lacunas. E lacunas não fecham porque um oficial é digno de confiança; fecham quando um sistema é construído para que verificação independente seja possível sem confiar em ninguém. Um voto que ninguém pode provar é um voto que ninguém pode comprar. Uma contagem que qualquer pessoa pode verificar é uma contagem que ninguém tem de aceitar por fé.

É esse o trabalho. Não segurança — arquitetura.

"Não pode pagar alguém por um voto que não pode verificar. Dê ao eleitor uma forma de o provar — uma câmara, um comprovante, um número de série rastreável — e o suborno volta a ser racional."

Veja onde a lacuna 'boletim não verdadeiramente secreto' aparece através de sistemas de eleição →

Explore o atlas global completo de lacunas de integridade eleitoral →

Leia a versão de 2 minutos desta questão →

Fontes

Ver todos os artigos Explorar as lacunas