Urnas eletrônicas. Perguntas e respostas sobre o voto eletrônico

A urna eletrônica é motivo de polêmica no Brasil há alguns anos. Será segura? É possível alterar os votos dados? Por que, supostamente, outros países não copiam nosso modelo? E o voto impresso, não daria mais segurança?

Ao menos desde a derrota de Aécio para Dilma em 2014, surgiram inúmeras correntes de internet e WhatsApp que veiculam supostas fraudes eleitorais. Desde o “chupa cabra” da urna, até boletins de urna alegadamente adulterados.

Tento aqui, dentro dos limites técnicos do meu conhecimento, expor algumas questões e esclarecer este tema que é efetivamente complexo.

1. Por que adotamos a urna eletrônica? Não era melhor manter a votação exclusivamente em papel, como quase todos os países do mundo fazem?

A votação apenas em papel é a mais suscetível a fraudes, especialmente no momento da contagem e contabilização dos votos. A depender de quais fiscais estão acompanhando o procedimento, é extremamente fácil adicionar um X em outro candidato e, com isso, anular um voto dado.

Além disso, no caso dos candidatos das eleições proporcionais, é preciso decifrar o que o eleitor quis dizer, o que passa pelo subjetivismo da junta apuradora.

A votação eletrônica não apenas reduz esse amplo espaço de fraude humana, como permite a contabilização em pouco tempo, chegando aos resultados finais em poucas horas. Evita-se, com isso, que o clima de tensão social que qualquer eleição produz se agrave, dando mais segurança a todos.

2. Se os hackers conseguem invadir meu celular, meu computador e até a NASA, por que não conseguiriam invadir as urnas eletrônicas e fraudar o resultado?

A urna eletrônica não tem qualquer conexão com a internet. Isso precisa ficar bem frisado, para compreender como funciona sua segurança.

A urna nada mais é do que um teclado que computa votos e os armazena em um módulo específico. Sua programação é extremamente simples.

Um hacker não consegue “invadir” a urna assim como não consegue invadir minha calculadora de mesa, já que ambas são desconectadas da rede.

O programa da urna é preparado pelo TSE, alimentado com as candidaturas que foram requeridas e deferidas, depois as urnas são carregadas com o programa e lacradas – fisicamente -, aguardando o dia da votação.

3. Mas um hacker não poderia invadir os sistemas da Justiça Eleitoral antes do carregamento das urnas e alterar o programa? Não poderia fazer com que, por exemplo, os votos dados a um candidato fossem computados em nome de outro?

A elaboração do programa da urna passa por constantes auditorias e testes de segurança. A cada eleição, no ano anterior, o TSE promove um teste aberto à comunidade científica, para que tentem burlar os sistemas de segurança.

Nestes testes, eventuais falhas são apontadas e corrigidas. É importante frisar que nunca, em nenhum teste, conseguiu-se alterar um único voto. As falhas identificadas limitaram-se a questões secundárias, sem colocar em risco o sigilo do eleitor ou o voto dado.

Além disso, como dito na resposta anterior, o programa da urna é relativamente simples. Não são tantas linhas de programação, já que se trata apenas de um registro de números e candidatos.

Assim, não é possível que se insira códigos maliciosos que passem desapercebido por toda fiscalização pela qual o programa passa.

Antes do carregamento, abre-se para que todos os partidos, Ministério Público e OAB analisem o programa, em busca de eventuais falhas. Nunca houve qualquer apontamento de alteração no programa.

4. Mas ainda assim... depois que as urnas estão carregadas, aguardando nos TREs de cada estado para serem distribuídas nos locais de votação... não tem como abrir a urna e alterar o programa?

As urnas são lacradas fisicamente, o que significa que há uma série de selos assinados que, se rompidos, mostram ter havido alguma tentativa de adulteração.

Além disso, tanto o programa da urna quanto seu hardware são dotados de dispositivos de segurança que, caso alguma peça seja removida ou alterada, alertam para a mudança.

5. Tá... OK, mas... chegamos no dia da votação, como saber se a urna não tem já votos lançados lá dentro?

Assim que a urna é ligada – e seu programa só permite que ela seja ligada no dia da votação e no horário correto -, ela imprime a chamada zerézima. Um relatório indicando que não há qualquer voto em seu registro. Todos os fiscais partidários que acompanham a seção eleitoral podem analisar o documento ou requere-lo para posterior verificação.

6. Hummm... mas vamos lá... e como se faz para auditar a urna, para saber que ela realmente está atribuindo os votos dados apenas aos candidatos que o eleitor quer escolher?

Para isso existe um processo chamado “votação paralela”.

Depois de carregadas as urnas e prontas para serem encaminhadas – com auxílio e proteção de força policial – para os locais de votação, em cada estado são sorteadas algumas urnas para este procedimento de verificação.

Essas urnas são colocadas nas sedes dos TREs ou nas Zonas Eleitorais e serão usadas apenas para a fiscalização. Outras são enviadas em seu lugar nas seções.

A “votação paralela” é um processo aberto, pelo qual qualquer pessoa que esteja no local – jornalistas, membros do MP, cidadãos em geral, etc. – podem participar. Eles recebem orientação para votar em determinado candidato, dirigem-se às urnas de forma aberta e fazem a votação sob vigilância.

Ao final, com a votação encerrada, extrai-se o boletim da urna e verifica-se se os votos que deveriam estar na urna – já que todos viram os votos sendo dados – lá estão. E se não há algum voto que não deveria lá estar.

Nunca, em muitos anos de votação paralela, houve um único voto que tenha se desviado do esperado.

Pela relevância estatística deste argumento, já é possível afirmar que, efetivamente, não há fraude no programa da urna.

7. Tudo bem, tá entendida essa parte. Mas e o voto impresso? Não seria melhor para permitir uma recontagem dos votos?

Quem já manejou um computador sabe qual é a parte que mais dá problema: a impressora. Por se tratar de um equipamento com peças móveis e funcionamento mecânico, seus erros são mais constantes do que com equipamentos eminentemente eletrônicos. O papel engasga, a tinta acaba, a impressão sai ilegível.

O voto impresso, conforme aprovado, seria lançado automaticamente dentro de uma caixa de acrílico, indo direto para uma urna física. E quando der problema na impressora? Paralisa-se a votação? Abre-se no meio do dia a urna e tem-se acesso aos votos de quem já votou?

Além disso, quanto mais simples um equipamento, melhor ele cumpre sua função. Entre uma calculadora e um PC, a primeira faz melhor contas matemáticas. Ela tem menor possibilidade de erro; não está conectada na internet e, portanto, não pode ser contaminada.

Quando se adiciona uma impressora à urna, altera-se sua configuração e abre-se caminho para o ingresso de contaminações externas. Impressoras são excepcionais caminhos para entrada de vírus, na medida em que implicam uma porta de acesso físico à urna.

Outra questão é ainda mais grave. Hoje é impossível desembaralhar a votação dada por um eleitor. Ou seja, cada voto dado em uma eleição geral – deputado estadual, deputado federal, senador, governador e presidente -, por exemplo, é gravado em uma parte do disco sólido da urna eletrônica.

Não há, desta forma, como saber que um determinado eleitor votou em uma combinação de candidatos. Isso protege o eleitor e garante o sigilo de seu voto.

Se houver a impressão, existirá um papel, que obviamente poderá ser acessado posteriormente pelos candidatos que queiram “verificar” a regularidade das eleições, no qual constará as combinações dadas pelos eleitores de uma determinada seção eleitoral.

Nada mais simples do que aproveitar o momento para se certificar que aquele voto comprado foi devidamente entregue. Basta ao criminoso ter elaborado em cada urna combinações diferentes e “exóticas” de votos, orientando os eleitores a segui-las.

Assim, alguém interessado em comprar votos para um deputado estadual, por exemplo, transmite ao eleitor uma combinação com candidatos supostamente incompatíveis nos outros cargos: Bolsonaro a presidente, acompanhado de um companheiro do PSTU a governador e, quem sabe, alguém do Partido Novo para senador, com um petista a deputado federal.

Com um universo pequeno de amostragem – cada urna contém no máximo quatrocentos votos -, torna-se muito difícil que esta combinação exista aleatoriamente. Assim, basta ao comprador verificar, posteriormente, se aquela combinação, que contém o voto dado ao deputado estadual beneficiado, está na urna. Em caso negativo, saberá que o eleitor deixou de cumprir com sua parte da ilicitude.

O voto impresso, em suma, piora a segurança da urna, ao invés de melhorá-la. Abre as portas para que quem compra votos possa se assegurar que aqueles votos foram dados.

8. Mas vários países do mundo usam o voto impresso! Por que só no Brasil ele deixaria o sistema de votação menos seguro?

Cada país é um país. Seu sistema de votação tem que responder às demandas específicas da sua população e, mais importante, tentar evitar as fraudes mais costumeiras que ali ocorrem.

Na Alemanha – para ficar no exemplo sempre utilizado -, nem mesmo há registro de eleitores. Cada cidadão vota onde quiser, apenas mostrando seu documento de identidade.

Lá, em tese, qualquer eleitor pode votar cinco, dez, quinze vezes. Basta ir passando em locais diferentes de votação.

A questão é que isso não é um problema na Alemanha, pois este tipo de fraude é praticamente inexistente. Não vale a pena para eles criarem um sistema caro de segurança, para algo residual.

Os maiores problemas no Brasil são a compra de votos e a coação para que se vote em um candidato ou noutro. Em suma, precisamos ter um sistema que evite, a todo custo, que o eleitor sofra pressão ao votar. Ele tem que saber que seu voto não poderá ser identificado em nenhuma hipótese.

Por isso não cogitamos, por exemplo, o voto à distância. Seja pelo correio ou por celular. Simplesmente não poderíamos garantir que quem preencheria aquela cédula ou daria o voto pelo celular seria o eleitor, sozinho, com a tranquilidade de que não está sendo vigiado ou forçado a nada.

Daí porque, para a nossa realidade, a impressão do voto abre uma porta – hoje inexistente -, para que quem compra votos ou coage eleitores possa cobrar o cumprimento do “acordo”.

Se um eleitor diz que vai votar no candidato A, basta que haja um voto naquela urna no tal candidato para que ele possa dizer: viu, fui em quem votou. Ainda que o candidato tenha comprado 50 votos naquela urna, ele não terá como saber quais os que descumpriram o combinado.

E isso tem que continuar assim a todo custo. Por isso, inclusive, a justificada paranoia para evitar que as pessoas filmem a si próprias enquanto dão seus votos. Este tipo de registro é tudo o que o corrupto eleitoral quer para se assegurar que o voto comprado foi dado.

9. Mas o voto impresso não poderia ajudar ao menos o eleitor a ver que deu corretamente o voto que queria?

O pior de tudo não são os erros da máquina, mas o erro humano.

O eleitor erra e muito. Em outras palavras, é comum que ele não consiga transformar sua intenção de voto em voto efetivamente dado aos seus candidatos de preferência. Assim é no mundo inteiro; objeto de pesquisas infindáveis nas ciências políticas.

Ocorre que estes erros têm uma característica que os torna praticamente irrelevantes: são aleatórios. Dito de outro modo, um sujeito queria votar em A e, sem querer, vota em B. Outro, eleitor de B, acaba votando em A.

Na média, estatisticamente falando, os erros praticamente se anulam e, portanto, a decisão é tomada pelos que acertam seus votos. É o que se chama na ciência política de “milagre de agregação”, fruto da irracionalidade racional que orienta a formação do voto e sua expressão nas urnas.

Agora imaginem que o eleitor deu seu voto – crendo estar certo –, aperta a tecla “confirma” e, em seguida, vê o papel com a impressão. Ocorre que ele errou, achando que votava primeiro em presidente, quando o voto era dado para uma legenda de deputados estaduais, erro muito comum. Esse eleitor entrará em desespero, dizendo que a urna modificou seu voto, que não era aquilo, etc.

E o que fazer? Novamente paralisa-se tudo? Anula-se o voto recentemente dado? Como?

Por um viés cognitivo que todos temos, é muito difícil crermos que cometemos erros deste tipo. Mas os cometemos a todo o momento. A tendência é jogar a culpa “na máquina”.

Ao invés de pacificar a sociedade, aumentando a credibilidade do sistema, a medida aprovada só irá incentivar ainda mais os questionamentos sem fundamento ao processo eleitoral.

10. Bom, mas então aceitamos que o eleitor erre, já que isso não influencia o resultado. Mas não seria melhor ter a impressão? Assim evitaríamos isso!

O desconhecido causa dúvida. Quando o conhecimento exigido é de ordem técnica, desconfiança ainda maior. No mundo moderno, contudo, devemos aprender a conviver com o desconhecimento técnico, uma vez que é impossível a todos saberem em detalhes tudo aquilo que é relevante em suas vidas.

Andamos de carro sem saber como funciona exatamente ou, pior, a razão pela qual ele não explode em nossas caras. Voamos em aviões, entregando as vidas a um sistema que poucos conhecem o funcionamento. Sabe-se lá como é gerada a energia que chega à minha casa. E por aí vai.

Ulrich Beck, em sua “Sociedade de Risco”, alerta para este cenário. A confiança é transmitida por avais técnicos dados pelos especialistas. Voamos por crer que os engenheiros certificaram que aquele avião voa corretamente; que as agências responsáveis fiscalizam suas condições periodicamente; que os pilotos sabem voar, uma vez que tem uma licença para tanto, etc. Não fosse assim, viveríamos todos em constante pânico.

Mas aviões caem, por vezes. Carros sofrem acidentes.

Em tudo que se faz socialmente, há risco e erro. Risco zero e possibilidade zero de erro equivalem a um custo infinito. Estamos intuitivamente acostumados com isso, sem perceber.

Quando se vai construir um prédio, opta-se pela resistência de seus materiais. Um edifício que resistisse a qualquer terremoto, maremoto, incêndio, vulcão, etc., teria um custo infinito. Obviamente, não se segue por este rumo. Admite-se, portanto, que há um ponto de equilíbrio: é o chamado risco tolerável.

O mesmo vale para os aviões, carros e urnas eletrônicas.

A questão reside, portanto, em saber qual o risco tolerável e se a impressão do voto reduz o risco com um aumento também tolerável de custos. A resposta é não para ambas as questões.

O tempo a maior que cada eleitor levaria para fazer a verificação do voto impresso – eventualmente retificá-lo, se perceber que votou errado -, além daquele decorrente das esperadas falhas de equipamento, faria com que precisássemos duplicar ao menos os locais de votação.

Essa duplicação implica, por óbvio, na duplicação dos recursos físicos e humanos necessários para conduzir as eleições. Duas vezes mais mesários, duas vezes mais escolas requisitadas, duas vezes mais urnas, etc.

Não se justifica esse acréscimo de praticamente 100% no custo da eleição, para reduzir um erro irrelevante e, como dito em questões anteriores, aumentando os riscos de que terceiros tenham acesso a como cada eleitor votou.

11. Mas então você está dizendo que nosso sistema é perfeito? Que não há nada a melhorar nele??

Não, jamais disse isso. Todo sistema admite melhorias, sem dúvida.

No caso das urnas eletrônicas, por exemplo, a identificação biométrica – com impressão digital -, quando concluída, tende a praticamente zerar as fraudes daqueles que votam em lugar de outra pessoa.

Sempre haverá espaço para a burla, para a sacanagem, o crime. Somos humanos, está em nossa natureza.

Mas um debate como esses deve ser desapaixonado. As soluções devem ser pensadas de acordo com o quanto efetivamente acrescentam de segurança, vis a vis seu custo.

Somos um país em desenvolvimento. Temos poucos recursos públicos para todas as áreas. O cobertor é curto.

Não podemos sair gastando recursos desproporcionais, apenas para aplacar a demanda psicológica por segurança.

É fato que o TSE demorou muito para perceber que é imprescindível manter a confiança no sistema de votação. Com as gestões Toffoli, Gilmar Mendes e Fux, nos últimos anos, este tema ganhou relevância.

São muitas questões técnicas – diversas das quais não foi possível tratar neste post -, sendo compreensível que os cidadãos em geral não tenham intimidade com elas.

Por fim, é preciso dizer que até hoje nunca existiu uma falha detectada no sistema de votação, totalização e apuração da Justiça Eleitoral. A comparação entre os boletins de urna e os valores totalizados jamais mostrou discrepância. As votações paralelas em urnas selecionadas aleatoriamente, jamais apontaram erro.

O que há, em verdade, é que toda eleição apertada gera a ideia que houve “armação”. Isso é comum nas cidades e, por conta do resultado de 2014, se espalhou pelo Brasil a sensação de que o voto impresso melhoraria a segurança do sistema. Apenas o pânico do desconhecido em nova forma.

Agora, em 2018, voltamos a ouvir as mesmas vozes, ainda mais agudas. Que saibamos espalhar informação e combater os boatos infundados.

Fernando Neisser
Advogado da área eleitoral e Doutor em Direito pela USP.

P.S.: Partes deste post foram extraídas do artigo “O voto impresso e a falsa sensação de segurança”, publicado no portal JOTA.