Avaliação da segurança do eleitor com a urna eletrônica brasileira - Jus.com.br

2. Análise dos argumentos do TSE

2.1 Sobre a desvinculação da identificação do eleitor

2.1.1 Argumentação básica

A proposta do PLS 194/99 de impedir que a identificação eletrônica do eleitor seja feita na mesma máquina que recebe os votos, para garantir o princípio de Inviolabilidade do Voto, foi muito pouco abordada pelos representantes do TSE durante os encontros e reuniões.

O Ministro Nelson Jobim, falando pelo TSE durante sua apresentação no Senado, no dia 01 de Junho, declarou que "vim preparado para debater o Projeto n.º 194" mas, em nenhum momento, se referiu à proposta de desvinculação da identificação do eleitor, de forma que nenhum argumento contra esta proposta foi levantado.

Os técnicos do TSE, na apresentação que durou seis horas, no Auditório do TSE, no dia 15 de Junho, pouco se manifestaram espontaneamente sobre esta proposta e só a abordaram mais especificamente quando argüidos diretamente sobre ela, já no final da reunião. Esta questão foi tratada durante poucos minutos, dos quais parte foi tomado por nossas descrição de soluções alternativas.

No Debate no Plenário da Assembléia de Minas Gerais, no dia 30 de Junho, novamente os representantes do TSE pouco se manifestaram sobre esta proposta. O Eng. Paulo Seiji Nakaya, em seu pronunciamento, não manifestou oposição explicita à proposta de desvincular a identificação da urna, mas explicou que o programa da urna não está projetado para violar o voto, tendo dito:

"Do jeito que foi montado o programa da urna não existe nenhuma associação entre o voto e quem vota, existe o contador... Mesmo que eu queira descobrir quem votou em quem, não sei… Existe a contador total, não dá para associar eleitor com candidato."

Apenas o Sr. Moacir Casagrande, fiscal técnico do PT junto ao TSE, manifestou-se explicitamente contrário à proposta do PLS 194/99 e dedicou parte de sua apresentação para este problema.

Os argumentos básicos apresentados para rejeitar a proposta do PLS 194/99 de desvinculação do processo de identificação do eleitor com a máquina que recebe os votos são de que a identificação do eleitor vinculada à urna:

dificulta que mesários votem por eleitores faltosos;
impede que o eleitor vote por duas ou mais vezes;
permite que se crie automaticamente uma relação de eleitores faltosos para atualizar o cadastro dos TREs;
não violará o voto, pois o Programa Aplicativo da Urna não reserva espaço na memória para esta finalidade;
não violará o voto, pois o Programa Aplicativo da Urna descarta (apaga da memória) o número eleitor e o próprio conteúdo do voto, após incrementar os contadores do candidato votado;
não violará o voto, como os fiscais dos partidos poderão conferir, conhecendo os programas da Urna.

2.1.2 Argumentos corretos

Nenhum dos argumentos apresentados acima, a favor identificação do eleitor vinculada à urna, podem ser considerados integralmente corretos. Possuem erros lógicos ou imprecisões, como analisamos a seguir.

2.1.3 Argumentos falhos

Argumento 1 – a identificação do eleitor na urna dificulta que mesários votem por eleitores faltosos;

Apesar de que a urna eletrônica realmente dificulta este tipo de fraude, este argumento está logicamente incorreto pois o motivo alegado (identificação do eleitor) não é a causa real de tal qualidade da urna (dificulta a inserção de votos), constitui-se assim uma incorreção.

Nas eleições tradicionais, um único mesário desonesto que contasse com a omissão ou falha dos fiscais dos partidos e com a distração dos demais colegas mesários conseguiria mais facilmente introduzir votos na urna, pois esta ficava ao seu lado da mesa receptora. Com a urna eletrônica, tal mesário desonesto teria que liberar a urna no microterminal, que está na sua mesa, e ir depositar o voto na urna eletrônica, que fica afastada da mesa e emite sinais sonoros ao ser utilizada. A falha na fiscalização e a distração ou complacência dos outros mesários teria que ser maior para permitir esta fraude.

A liberação da urna, para receber o próximo voto, tem sido feita pela digitação do número do título do eleitor, mas fosse qualquer outra a senha de liberação da urna, ainda assim as dificuldades do mesário fraudar a votação continuariam presentes.

Assim, é por estar afastada da mesa e por emitir sinais sonoros enquanto recebe um voto que a urna eletrônica dificulta que um mesário desonesto deposite votos por um eleitor ausente, e não por que a identificação do eleitor está conectada à urna como sugere o argumento acima.

Também é importante ficar claro que a urna eletrônica atual dificulta mas não impede tal tipo de fraude, ao contrário do que alegou o Sr. Moacir Casagrande do PT, na Assembléia de Minas Gerais, ao falar sobre a possibilidade do mesário colocar votos na urna por eleitores que ainda não compareceram:

"Com a identificação do eleitor, o mesário não pode fazer isso por que ele não sabe se o eleitor vai vir votar"

Se houver falha na fiscalização, mesários mancomunados poderão liberar a urna digitando números de eleitores que ainda não tiverem comparecido e votar por estes na urna eletrônica. Caso o eleitor compareça mais tarde para votar basta liberar a urna com o número de outro eleitor que ainda não tiver comparecido.

Além disso, a Lista de Votação impressa não é mais utilizada na obtenção ou conferência da relação de eleitores faltosos, conforme será mostrado na análise no argumento 3 a seguir. Se alguma discrepância houver entre a relação de eleitores faltosos gravada na urna eletrônica e a contida na Lista de Votação, esta discrepância não será descoberta pois não é conferida. Desta forma, eventuais "erros" cometidos por mesários desonestos ao manipularem a Lista de Votação, não serão descobertos e a fraude terá sucesso.

O Ofício n.º 547/AssEL-98 do Comandante da Polícia Fazendária – RS, ao Juiz da 33ª Zona Eleitoral do Rio Grande do Sul, de 09 de outubro de 98, anexo 7, mostra um acontecido que sugere ter ocorrido este tipo de fraude. É relatado um caso de um eleitor, Sargento da Brigada Militar, que :

"… foi impedido de votar pois constava na Urna Eletrônica que o referido sargento já havia votado, porém foi conferido a relação da seção e lá constava o nome do Sargento Paulo Roberto Pimentel, inclusive sem sua assinatura e sem estar destacado o seu comprovante do voto."

Como o cadastro de eleitores que é utilizado para gerar a Folha de Votação impressa é o mesmo que gera a Tabela de Eleitores gravada na Urna Eletrônica, este tipo de problema só pode ter sido causado por que algum mesário leu o número do Sargento Pimentel na Folha de Votação e o usou para liberar a urna para que alguém votasse no lugar do próprio eleitor.

Argumento 2 – a identificação do eleitor na urna impede que o eleitor vote por duas ou mais vezes;

Este argumento é falso por estar baseado em premissa errada. O eleitor não pode votar repetidas vezes por que a urna trava quando o eleitor completa o seu voto. A liberação da urna para receber mais um voto deve ser feita, como tem sido feita, pelos mesários. Mas nada neste processo impõe que a senha de liberação da urna seja o número do próximo eleitor a votar. Poderia ser qualquer outra senha, fixa ou aleatória.

Assim, da mesma forma que já ocorria no caso do voto tradicional, para votar mais de uma vez na urna eletrônica o eleitor precisa contar com a conivência do mesário. Caso algum mesário estiver disposto a permitir que algum eleitor vote mais de uma vez basta proceder como descrito na seção anterior, liberando a urna com o número de outro eleitor que ainda não tiver comparecido.

Argumento 3 - a identificação do eleitor na urna permite que se crie automaticamente uma relação de eleitores faltosos para atualizar o cadastro dos TREs;

Este argumento, apresentado pelo Eng. Oswaldo Catsumi Imamura, do TSE inclui uma premissa (a identificação estar CONECTADA à urna) desnecessária à conclusão (a identificação eletrônica permite criar o cadastro) de forma a induzir o ouvinte a erro. Constitui-se assim o que pode-se classificar como uma falácia.

Para gerar tal relação de eleitores faltosos não é necessário que identificação eletrônica do eleitor seja feita CONECTADA à urna. Uma identificação em equipamento desvinculado da urna, como é permitida pelo PLS 194/99, também poderia gerar a desejada relação sem por em risco a inviolabilidade do voto.

Além disso, a tal relação de eleitores faltosos poderia facilmente ser gerada por leitura ótica da Folha de Votação, pelos funcionários dos vários Cartórios Eleitorais, também sem colocar em risco a inviolabilidade do voto.

Lembramos, ainda, que gerar a relação de eleitores faltosos a partir do conteúdo da memória da urna é uma impropriedade técnica, pois pode haver divergências entre esta e a Folha de Votação impressa, como prova o Ofício n.º 547/AssEL-98 (anexo 7). A assinatura do eleitor, que é o comprovante legal da sua presença e comparecimento, está colocada na Folha de Votação, enquanto que a Relação de Eleitores na Urna foi preenchida exclusivamente pelos mesários sem interferência de próprio punho do eleitor e pode conter erros Assim, é a Folha de Votação, que tem valor legal e é mais confiável, que deveria ser usada na geração da relação de eleitores faltosos.

O caso citado no anexo 7 ilustra este problema. Algum eleitor compareceu e votou normalmente, mas o número de identificação, que foi digitado pelo mesário para liberar a urna, foi o de outro eleitor, o do Sargento Pimentel. Aquele primeiro eleitor compareceu, votou e deixou sua assinatura na Folha de Votação mas na memória da urna constou como faltoso. Como é a memória da urna que está sendo erroneamente utilizada para gerar o Relatório de Eleitores Faltosos, tal eleitor foi relacionado como ausente, apesar de ter votado e assinado o comprovante.

Argumento 4 - a identificação do eleitor na urna não violará o voto, pois o Programa Aplicativo da Urna não reserva espaço na memória para este recurso;

Este argumento, foi apresentado no Debate na Assembléia de Minas pelo Sr. Moacir Casagrande, fiscal do PT junto ao TSE:

"…pode verificar que não existe nenhuma identificação entre a Tabela de Candidatos e a Tabela de Eleitores para que eu pudesse fazer a identificação de quem o eleitor votou. Eu precisaria ter na Tabela de Eleitores mais 2 campos, seria o número do candidato a prefeito e para vereador. Aí sim, permitiria a identificação do eleitor no microterminal. Como vocês podem observar, não existe esta ligação…"

Trata-se de um raciocínio construído com redundância. Parte-se da hipótese que todos os programas da urna são honestos e não contem vícios, como reservar espaços na memória para a guardar os dados fraudulentos, e conclui que assim a fraude não ocorrerá.

Para se guardar a relação entre voto e eleitor, basta arquivar de forma compactada a posição do candidato escolhido na tabela de candidatos, para cada eleitor. Esta relação ocupa pequeno espaço da memória fixa e poderia ficar guardada, por exemplo, nos muitos espaços ociosos do disquete de transferência de dados.

Argumento 5 - a identificação do eleitor na urna não violará o voto, pois o Programa Aplicativo da Urna descarta (apaga) o número eleitor e o próprio conteúdo do voto, após incrementar os contadores do candidato votado;

Este argumento, apresentado pelo o Eng. Paulo Seiji Nakaya, do TSE, no Auditório do TSE e na Assembléia de Minas, está errado pelo mesmo motivo que o anterior. É um argumento redundante. Parte da hipótese que todos os programas da urna são honestos e que o voto de cada eleitor é apagado da memória após ser acumulado na Tabela de Candidatos, e conclui que assim a fraude de identificação do voto não poderá ocorrer.

Argumento 6 - a identificação do eleitor na urna não violará o voto, como os fiscais dos partidos poderão conferir, conhecendo os programas da Urna.

Este argumento, apresentado pelo o Dr. Paulo César Camarão, do TSE, em todos seus pronunciamentos, é negado pela prática. A questão da conferência dos programas da urna pelos fiscais dos Partidos será abordada com mais detalhes no item 2.4 deste relatório, mais adiante, onde será esclarecido que, nas eleições de 96 e de 98, os Partidos não validaram nem certificaram todos os programas das urnas de forma correta, nem tais práticas estão previstas para este ano de 2000.

2.1.4 Comparação de Riscos e Benefícios

O benefício alegado para o uso da identificação do eleitor em equipamento conectado à urna, tal como diminuir o risco da fraude do mesário inserir votos na urna, deve ser comparado com os outros riscos que tal fato gera.

A identificação vinculada à urna abre brecha para que vícios de programas sejam introduzidos, permitindo a violação sistemática do voto. Esta outra fraude, da violação sistemática dos votos é, então, o novo risco que se corre ao adotar a identificação ligada à urna.

O Potencial de Dano destes dois riscos são bastante diferentes. A possibilidade de violação sistemática do voto compromete totalmente a credibilidade de uma eleição e até do sistema democrático adotado no País. Já o dano à credibilidade do sistema eleitoral causado por alguns mesários desonestos, em seções sem fiscalização, é muito menor.

As Probabilidade de Ocorrência destas duas fraudes distintas é um problema complexo de se avaliar. Os estudos para o cálculo do Valor dos Riscos (ou Mapas de Riscos) envolvidos devem ser feitos pelos projetistas do sistema sob análise e conferidos pelos auditores do mesmo.

Em nossos contatos com os técnicos do TSE e com os fiscais técnicos dos Partidos Políticos, nenhum documento com dados de avaliação dos riscos nos foram apresentados, nem mesmo foram citados existirem. Tudo leva a crer que nunca foram feitos e que a decisão de vincular a identificação do eleitor à urna, sob risco de se permitir a violação sistemática do voto, foi tomada sem avaliação quantitativa, e auditada, do problema.

Convém salientar que em nenhum outro país do mundo existe uma urna, similar à brasileira, onde a identificação do eleitor é feita na mesma máquina que onde este declarará o seu voto.

2.2 Sobre a auditoria da apuração eletrônica

2.2.1 Contradições

Ao longo de todos os encontros com os representantes do TSE, com seus contratados ou com Fiscais Técnicos de Partidos Políticos ouviu-se argumentos contraditórios em defesa da urna atual e da não necessidade de auditoria da apuração por meio do voto impresso. Estas contradições confundem a análise e reforçam as dúvidas sobre a real segurança com a urna eletrônica que hoje temos.

1ª Contradição – Liberação do Programa Básico (Sistema Operacional) para análise

O Ministro Nelson Jobim, em seu discurso no Senado, quando argüido pelo Sen Requião sobre a apresentação dos programas do Programa Básico da urna eletrônica para os fiscais dos partidos políticos, afirmou:

"…o fato é que a auditagem é posta nos 60 dias anteriores à eleição e os sistemas estão submetidos à apreciação dos partidos…. Todos eles. Tanto o programa fonte como todos os outros. Todos eles estão submetidos a auditagem pelos partidos. Não há dúvida. E se não estivessem, estariam a partir deste momento, mas estão."

Já no Ofício n.º 2.400/00 da Diretoria Geral do TSE (anexo 6), de 29 de Junho de 2000, em resposta à questão 7 da petição apresentada no anexo 5, contradizendo o afirmado pelo Ministro, diz:

"O Software Básico utilizado nas eleições de 1998 foi instalado na urna eletrônica para apresentação aos partidos políticos, que puderam analisá-lo em funcionamento.

Conforme consta na CONSULTA formulada pelo Sr. Amílcar Brunazo Filho, dirigida à presidência do TSE em 22/05/2000, [‘códigos-compilados’, ou ‘linguagem de máquina’, difíceis de ser analisados mas que são efetivamente colocados nos computadores], ou seja, código-objeto’ é compreendido somente pelo computador, assim não há razão em expô-lo, deve-se apenas garantir sua funcionalidade e segurança.

O código fonte é de propriedade da Empresa Microbase, que possui registro de direitos autorais, garantindo sua funcionalidade e segurança. Cabe lembrar que quando qualquer cidadão adquire um sistema operacional (por exemplo, Windows 95, NT, HP-UX, SUN_OS, etc.) adquire-se o código objeto executável, pois nenhuma empresa fornece o código fonte, que constitui patrimônio e segurança da empresa."

O Sr. Frederico Gregório, diretor e sócio-proprietário da Microbase Informática, fornecedora do VirtuOS, o Sistema Operacional da urna eletrônica, principal componente do Programa Básico, declarou, em intervenção espontânea no Debate na Assembléia de Minas Gerais, algo que confirma a necessidade de auditoria completa:

"A Microbase teve a oportunidade, no passado, de participar de um projeto grande, junto com o Departamento de Defesa americano, que usa o sistema operacional VirtuOS em 700 unidades – são três mil cópias desse sistema. Nessa oportunidade o governo submeteu o nosso sistema e a uma certificação de segurança de padrão C-2… Nesses procedimentos fica claro que todos os componentes, inclusive a propriedade intelectual de terceiros, são auditados, devem ser auditados. A única consideração que se faz: que o processo de auditoria ele passa pela assinatura de contratos de não divulgação da informação intelectuais…"

O Art. 66 da Lei 9.504 diz:

"Art. 66. Os partidos e coligações poderão fiscalizar todas as fases do processo de votação e apuração das eleições, inclusive o preenchimento dos boletins de urna e o processamento eletrônico da totalização dos resultados, sendo-lhes garantido o conhecimento antecipado dos programas de computador a serem usados."

A contradição entre os argumentos é evidente. O Ministro do TSE entende, como manda o art. 66 da Lei 9.504 e como manda o bom senso, que TODOS os programas da urna sejam mostrados aos fiscais dos partidos. O Diretor da empresa fornecedora do Sistema Operacional da urna declara que mesmo os programas comprados de terceiros devem ser auditados e que o Governo Americano, para comprar apenas 3.000 cópias do seu sistema, exigiu conhecê-lo e auditá-lo internamente.

Já o TSE para comprar mais de 350.000 cópias do mesmo sistema, a serem aplicadas num processo que exige segurança máxima, como é o caso das eleições gerais inclusive para Presidência da República, abre mão desta auditoria. O mais grave é que esta resposta revela que os técnicos do TSE tratam como se fossem iguais, segundo suas próprias palavras, o risco de um ataque fraudulento ao sistema eleitoral e o risco que corre um consumidor qualquer ao comprar um programa para uso pessoal em balcão de loja.

Além disso, ao declarar que não apresenta o Sistema Operacional aos fiscais dos partidos por que "não há razão para expô-lo", o TSE está desprezando uma razão, acima de qualquer argumento de conveniência, que é a Lei.

O fato é que o código do Programa Básico nunca foi apresentado aos fiscais dos Partidos Políticos como nos foi confirmado pelo Sr. Moacir Casagrande, o fiscal-exemplo segundo o Secretário de Informática do TSE.

2ª Contradição – Separação entre os programadores da urna

O Eng. Paulo Seiji Nakaya do TSE declarou, tanto no Auditório do TSE quanto na Assembléia de Minas Gerais, algo próximo a:

"O programadores do Sistema Operacional não teriam como preparar o desvio de votos por não terem conhecimento interno do Software Aplicativo (que é responsável pela organização interna dos dados). "

Já o Sr. Frederico Gregório, diretor e sócio-proprietário da Microbase Informática, declarou na sua intervenção espontânea no Debate na Assembléia de Minas Gerais:

"A Microbase tem contribuído para o projeto das urnas eletrônicas, por duas vezes, como fornecedora de soluções brasileiras especificamente para o sistema operacional das urnas, conhecida pelo nome operacional VirtuOS, e também como parceira da Procomp na confecção dos programas da urna."

Nova contradição evidente. O Técnico do TSE afirma que a segurança contra fraude no Sistema Operacional baseia-se na separação e isolamento entre os programadores deste e do Programa Aplicativo, enquanto o proprietário da empresa fornecedora afirma que sua equipe tem acesso a ambos programas, derrubando todo argumento de que a separação entre programadores garante a segurança da urna.

3ª Contradição – Conhecimento do Esquema de Segurança pelo Secretário de Informática do TSE

O Dr. Paulo César Camarão é Secretário de Informática do TSE desde 1995 quando se iniciou o desenvolvimento das urnas eletrônicas brasileiras, menos por um pequeno interregno entre setembro de 1996 e meados de 1997 em que esteve afastado. Em entrevista ao Jornal Folha de São Paulo (Caderno Eleições, pg. 5), no dia 23 de setembro de 1998 às vésperas da eleição daquele ano, falando sobre a possibilidade de fraude, declarou o seguinte:

"… isso não significa que não vá haver tentativas de fraudes. Mas quem for tentar terá de subornar pelo menos uns 30."

Trata-se de uma afirmação grave pois afirma que subornando algumas pessoas poder-se-ia fraudar uma eleição com a urna eletrônica. Na apresentação no Auditório do TSE, no dia 15 de junho de 2000, o Dr. Paulo Camarão espontaneamente ofereceu uma explicação para esta declaração polêmica dizendo(3) que:

"Na ocasião (out/98) ainda não tinha compreensão correta (ou completa) do esquema de segurança na produção da urna eletrônica e, por isto, tinha dado aquela declaração, que estava errada".

São, sem dúvida, duas declarações contraditórias, mas o mais grave é que não importa qual seja a declaração considerada, ambas revelam fraquezas na segurança da urna eletrônica. Se for aceita a primeira declaração, fica evidente que o sistema é fraudável. Se for aceito o desmentido posterior, ressalta-se que, depois de liderar o desenvolvimento da urna eletrônica por 3 anos, o principal responsável técnico pelo projeto não tinha compreensão clara do seu esquema de segurança.

2.2.2 Argumentação básica

A proposta do PLS 194/99 de impor a auditoria da apuração eletrônica por meio da impressão do voto, apresentação deste ao eleitor e conferência estatística da apuração, centrou todas as atenções dos representantes do TSE durante os encontros e reuniões que ocorreram.

O Ministro Nelson Jobim, falando pelo TSE durante sua apresentação no Senado, no dia 01 de Junho, utilizou em torno da metade do seu tempo de discurso para demonstrar os problemas advindos da proposta do Sen. Requião.

Os técnicos do TSE, na apresentação no Auditório do TSE, no dia 15 de Junho, e na Assembléia de Minas Gerais, no dia 30 de Junho, dirigiram seus argumentos todos no sentido de criticarem a proposta de impressão do voto.

Os argumentos básicos apresentados para rejeitar a proposta do PLS 194/99 de impor a auditoria da apuração por meio do voto impresso foram de que a impressão do voto:

introduz um risco de fraude adicional ao sistema atual, por troca dos votos impressos
encarece a urna;
provoca aumento no número de urnas com mau funcionamento;
é um retrocesso tecnológico;
não permite nenhuma técnica de verificação sem que se viole o voto;
permite a volta de outras fraudes antigas como o "voto-de-cabresto";
permite a ataque destrutivo por quem queira bloquear a votação;
fraudar o voto impresso acarretaria a anulação de toda urna;
não é necessária, tanto que não houve recursos para recontagem do voto em 96 quando o voto era impresso;
não é necessária pois os programadores da urna não tem conhecimento dos números dos candidatos no momento da programação e, assim, não poderiam programar o desvio de votos;
não é necessária pois os Partidos Políticos terão conhecimento de todos os programas da urna para avaliá-los e validá-los;
não é necessária pois os Partidos Políticos poderão testar as urnas no dia da lacração.
não é necessária pois a Norma ISO 15.408 estabelece critérios técnicos para a validação e certificação dos programas da urna.

2.2.3 Argumentos corretos

Alguns dos argumentos apresentados acima, contrários a impressão do voto como propõe o PLS 194/99, são corretos mas não têm o valor absoluto que se tenta apregoar, como:

Argumento 1 – a impressão dos votos introduz um risco de fraude adicional ao sistema atual, por troca dos votos impressos;

Ao se adicionar mais um procedimento aos já existentes, como é o caso de acrescer a impressão do voto e o transporte da urna com votos impressos, cria-se mais um ponto de ataque para os fraudadores.

Mas a simples troca dos votos impressos, não permite a construção de um resultado falso que altere a verdade Eleitoral, pois tal ataque só seria eficaz se houvesse fraude idêntica no processo eletrônico de apuração, o que é dificultado por serem técnicas, momentos e lugares totalmente dispares de ataque. Assim, a impressão do voto cria dificuldades adicionais ao atacante, que teria que fraudar dois sistemas bem diferentes entre si, para obter sucesso. Sem a impressão do voto o atacante tem apenas que fraudar o sistema eletrônico.

Caso haja troca dos votos em papel de uma que atenda ao PLS 194/99 sem a correspondente troca dos votos "eletrônicos", apenas se tal urna for escolhida entre as 3% que serão auditadas, é que a fraude poderá se manifestar. Mas, ao ser constatada a diferença entre a apuração eletrônica e a apuração do voto impresso, seria aberto um inquérito e mais outras dez urnas seriam auditadas. Com base no resultado desta nova auditoria o juiz teria mais dados para decidir se considera o resultado da apuração eletrônica ou o da apuração dos votos impressos como o resultado válido. Se for encontrado diferença apenas naquela urna que teve os votos trocados o Juiz eleitoral pode simplesmente desconsiderar os votos impressos e validar o resultado eletrônico.

Assim, o Potencial de Dano deste alegado ataque deve ser estimado na sua devida proporção, pois a situação agora é diferente do caso do sistema tradicional de voto onde se o atacante obtivesse sucesso em trocar os votos de uma urna teria conseguido um ataque dirigido construtivo completo, pois teria desviado com sucesso os votos de aproximadamente 400 a 500 eleitores.

No caso da urna eletrônica com o voto impresso, se o atacante tiver sucesso em trocar os votos em papel de uma urna vinculada a uma urna eletrônica, teria conseguido apenas um ataque destrutivo detectável, que daria trabalho aos auditores, mas cujo efeito de alterar a Verdade Eleitoral seria anulado.

Assim, o Potencial de Danos da troca de votos impressos na urna eletrônica é muito menor e a fraude associada é ineficaz. Ainda que seja correto afirmar que a impressão do voto abre oportunidade de um ataque, é incorreto dizer este tipo de fraude nos leva de volta a mesma situação do passado.

Argumento 2 - a impressão dos votos encarece a urna;

As urnas eletrônicas atuais já possuem impressoras, mas estas teriam que ser modificadas para se adaptarem à proposta do PLS 194/99. Desta forma novos custos seriam criados.

Mas convém lembrar que seriam custos que visam tornar a apuração mais segura e confiável para o eleitor comum. Já se gastou mais de R$ 600 milhões (em valores corrigidos) para se construir a urna atual que não permite conferência da apuração. Cabe a pergunta: quanto vale torná-la segura?

Argumento 3 - a impressão dos votos provoca aumento no número de urnas com mau funcionamento;

Mecanismos eletro-mecânicos, como os que seriam introduzidos na nova urna eletrônica compatível com o PLS 194/99, são sujeitos a falhas. Ao acrescer mais um mecanismo na urna temos mais um equipamento para apresentar falhas.

Mas este tipo de problema pode ser contornado por melhoria da qualidade do equipamento e por um plano de contingência adequado que supra equipamentos bons onde alguns falharem. Deve-se lembrar que equipamentos semelhantes funcionam diariamente, 24 horas por dia, nos caixas eletrônicos. A Urna eletrônica deve funcionar apenas 9 horas a cada dois anos.

Como exemplo de que um plano de uso e de contingências adequado pode ajudar a resolver tais problemas de impressoras que "engripam" lembramos que, como foi informado pelo Sr. Paulo César Camarão, uma grande parte das falhas que houveram com as impressoras em 1996 se deveu ao fato da bobina de papel ter sido colocada na máquina muitos dias antes do dia da votação, permitindo que absorvesse umidade e alterasse suas dimensões e flexibilidade. Este problema poderia ser em muito atenuado, colocando-se a bobina de papel na urna durante a sua inicialização no dia de votação.

2.2.4 Argumentos falhos

Os demais argumentos apresentados acima, contrários a impressão do voto como propõe o PLS 194/99, podem ser contraditados por estarem errados, como:

Argumento 4 - a impressão dos votos é um retrocesso tecnológico;

Este argumento foi apresentado pelo Ministro Nelson Jobim, em seu discurso no Senado, quando disse:

"Quero dizer a V. Exªs, em nome do Tribunal Superior Eleitoral, que a experiência do Tribunal demonstra claramente que a introdução desse sistema paralelo viabiliza a retomada de uma velha experiência, de uma longa experiência do processo eleitoral brasileiro.

O que precisamos é exatamente otimizar o sistema eleitoral para o informatizado. Se há problemas, vamos discuti-los. Agora não vamos pretender ser regressistas para trazermos de volta a viabilidade de uma longa experiência de fraudes no sistema eleitoral brasileiro."

Também foi dito pelo Eng. Oswaldo Catsumi Imamura, do TSE, que "usar papel para auditoria era voltar a técnicas de auditoria de 80 anos atrás" e que "hoje existem normas técnicas internacionais, como a ISO 15.408, para validação e certificação de softwares que dispensam o uso de papel na auditoria".

Este conjunto de argumentos parecem evidentes mas contem apenas conclusões subjetivas sem fundamentação técnica.

O uso de comprovante impressos está presente em inúmeros processos informatizados em todo o mundo, como nos comprovantes bancários, nas notas fiscais impressas que a Receita Federal exige, e até no próprio processo eleitoral brasileiro através do Boletim de Urna.

O Boletim de Urna impresso, exigido por Lei, é a principal defesa do eleitor contra fraudes informatizadas na Totalização dos Votos, como ficou inequivocamente demonstrado no famoso Caso Proconsult em 1982, relatado em artigo pelo jornalista Procópio Mineiro (anexo 10) que foi o responsável direto pela descoberta daquela fraude. Apenas e tão somente por que existiam os Boletins de Urna impressos, que viabilizavam a conferência externa, foi possível se detectar a fraude que estava em andamento dentro do processo eletrônico.

Já, a citada norma técnica ISO 15.408, que será abordada mais profundamente no item 2.3 adiante, é uma norma que estabelece critérios de avaliação da segurança em sistemas informatizados. Ela nada fala sobre o uso de papel ou não em auditoria, apenas estabelece como se deve proceder a avaliação de sistemas, com ou sem material impresso de controle, para que se possa compará-los em termos de segurança. Um sistema que utilize controles impressos pode, perfeitamente, obter melhor classificação de segurança que um sistema como a urna atual.

Por isto este argumento 4 é inválido, visto utilizar juízos de valor estritamente subjetivos e nada técnicos.

Argumento 5 - a impressão dos votos não permite nenhuma técnica de verificação, sem que se viole o voto;

Este argumento foi apresentado pelo Ministro Nelson Jobim, em sua peroração no Senado:

"Todavia, Senador, há uma diferença fundamental entre a contabilidade dos cartões de crédito e as eleições, de natureza absolutamente confidencial: o sigilo do voto é absoluto; o do cartão de crédito não.

Pode V. Exª, podemos todos abrir e discutir: "Está aqui o meu cartão de crédito, com essa atualização". Quanto ao voto, no momento em que se fizer isso, nós o anulamos. Ou seja: o voto não permite nenhuma técnica de verificação."

Para construir este raciocínio o Ministro atribuiu valores diferentes para comparar situações idênticas. O eleitor tem todo o direito e poder de conferir o próprio voto e é exatamente o que faz ao digitar a tecla "confirma" na urna eletrônica atual. Se o TSE aceita que o eleitor funcione como fiscal do próprio voto para validar o conteúdo da tela da urna por que argumenta que ato idêntico não possa ser feito como o voto impresso?

Argumento 6 - a impressão dos votos permite a volta de outras fraudes antigas como o "voto-de-cabresto";

Este argumento foi apresentado pelo Ministro Nelson Jobim, no debate no Senado:

"…no momento em que se introduzir uma votação paralela de urnas convencionais, no sentido de se pretender que essa urna convencional possa checar os resultados da urna eletrônica, haverá a possibilidade de, pela via transversa da urna convencional, introduzirmos para dentro do sistema da urna eletrônica o sistema de "carreirinha", de "carretilha", de "voto-marmita", de todos aqueles mecanismos que conhecemos."

Este argumento ficou comprometido por ter partido de premissa discutível.

O Ministro interpretou que o texto do PLS 194/99 impunha que o voto impresso seria entregue na mão do eleitor, o que abriria oportunidade para várias fraudes praticadas com o voto tradicional. Mas tal imposição não está expressa no projeto de Lei e o Sen. Requião deu outra interpretação a seu próprio texto, dizendo:

"A cédula que propomos não é acessível pelo eleitor. É uma cédula que leva a assinatura do Presidente da Mesa. Com essas cédulas assinadas, o Presidente da Mesa carrega a máquina. A partir disso, ele não põe a mão na cédula, nem o eleitor. Ela apenas é visível para o eleitor. Ele então confere o voto na tela do computador com o voto impresso na cédula. Quando há necessidade de cancelamento, não é o Presidente da Mesa quem cancela; é o eleitor quem cancela ou confirma o seu voto, no caso de a cédula estar correta. Então, não existe o problema da manipulação nem pela Mesa nem pelo eleitor, o que já inviabiliza a tese do voto de carreira."

Ao final do debate o Sen. Requião concordou que o texto do PLS 194/99 poderia ser retificado em Plenário durante a votação, para impedir a interpretação dada pelo Ministro Jobim, mas que continuasse a impressão do voto como forma de se auditar a apuração.

Argumento 7 - a impressão dos votos permite a ataque destrutivo por quem queira bloquear a votação;

Este argumento, de que o eleitor poderia interromper a votação bastando alegar repetidas vezes que o voto impresso não corresponde ao votado, foi apresentado pelo Min. Jobim, no Senado e pelo Sr. Paulo César Camarão na Assembléia de Minas Gerais.

Sua conclusão esta errada, pois o problema alegado não é criado pela impressão do voto.

Este tipo de ataque pode ocorrer em qualquer sistema de votação como na urna eletrônica atual (sem impressão do voto), onde o eleitor pode alegar que na tela da urna aparece um candidato diferente do escolhido, e até com o sistema tradicional de voto, com o eleitor pedindo novas cédulas para votar alegando erro no preenchimento, direito do eleitor assegurado pelo Inciso XIII, Art. 146 do Código Eleitoral. É um ataque raro (baixa Probalidade de Ocorrência) e pouco eficaz (baixo Potencial de Dano) que sempre foi resolvido pelos mesários durante a votação. Não há motivo para acreditar que será diferente com a urna eletrônica que imprime o voto e não é argumento válido que justifique o impedimento de conferir a apuração.

Argumento 8 – fraudar o voto impresso acarretaria a anulação de toda urna;

Este argumento foi apresentado pelo Min. Jobim, no Senado:

"E mais: se eu, membro de um partido anarquista, resolver implodir um processo eleitoral, o que faço? Fraudo a urna convencional, porque a fraude na urna convencional invalidará a urna eletrônica, e aí haverá a invalidação do processo eleitoral."

Este argumento está incorreto, resultado de um entendimento errado do processo de checagem proposto no PLS 194/99.

Como foi dito no item 2.2.3, ao ser constatada a diferença entre a apuração eletrônica e a apuração do voto impresso, mais outras dez urnas seriam auditadas. Com base no resultado desta nova auditoria o juiz teria dados para decidir se considera o resultado da apuração eletrônica ou o da apuração dos votos impressos como o resultado válido. Se for encontrado diferença apenas naquela urna que teve os votos trocados o Juiz eleitoral pode simplesmente desconsiderar os votos impressos e validar o resultado eletrônico.

Assim, este é um ataque que sempre será detectado e corrigido, cujo efeito de alterar a Verdade Eleitoral será nulo.

Argumento 9 - a impressão dos votos não é necessária, tanto que não houve recursos para recontagem do voto em 96 quando o voto era impresso;

Este argumento foi apresentado pelo Sr. Camarão, no TSE e em Minas, e pelo Min. Jobim no Senado:

"… a Lei n.º 9.100, que foi relatada na Câmara dos Deputados e no Senado, previa a impressão do voto. A experiência das eleições municipais realizadas em 1996, quando o sistema foi utilizado, demonstrou a sua absoluta inutilidade."

É um raciocínio onde as premissas foram distorcidas induzindo uma conclusão falsa.

Não é verdadeira a premissa de que em 1996 a impressão dos votos servia para a conferência da apuração. Como deixou claro o Eng. Nakaya no TSE e na Assembléia de Minas Gerais, ao descrever as alterações na urna de 96, e como se lê no livro "O Voto Informatizado: Legitimidade Democrática" ([2], Camarão, 1997, pg. 81, item 4):

"A Comprovação Física do Voto acrescenta custos à solução, porém é considerada como uma forma de garantir a continuidade do processo de votação em caso de pane que torne o hardware inoperante, assegurando inclusive a contabilização dos votos registrados antes da paralisação do hardware…"

Assim, em 1996 o voto do eleitor na urna eletrônica era impresso com a finalidade de impedir a perda dos votos no caso de pane na urna. Mas este voto impresso não era mostrado para a conferência do eleitor, de forma que não tinha nenhum valor como documento técnico para auditoria por falta de confiabilidade.

Além disso, a legislação da época não previa nenhum caso no qual candidatos ou partidos pudessem pedir a recontagem da apuração eletrônica para efeito de conferência do resultado eletrônico, ou seja, aquele voto impresso também não tinha valor legal como documento de auditoria.

Não havendo condições legais e não havendo documentos técnicos adequados para auditoria é de se esperar que não houvessem recursos neste sentido. A proposta do PLS 194/99 justamente cria o voto impresso como um documento tecnicamente válido para a auditoria e estabelece as condições legais em que este documento poderá servir na conferência da apuração eletrônica.

Argumento 10 - A conferência da apuração pelo voto impresso não é necessária pois os programadores da urna não tem conhecimento dos números dos candidatos no momento da programação e, assim, não poderiam programar o desvio de votos;

Este argumento foi repetido diversas vezes pelo Eng. Paulo Seiji Nakaya, no TSE e na Assembléia de Minas Gerais, tendo dito:

"Nesta hora (da geração do Flash de Carga alguns dias antes da eleição) associamos o aplicativo da eleição com tabelas de candidatos. Até este momento nós não sabemos quem são os candidatos, quantos são os candidatos. O TSE não sabe quem são os candidatos.

Quem faz o programa, existe uma estrutura naquele instante, é associado programas com candidatos. Não adianta quem fez o programa tentar colocar alguma coisa estranha no meio do caminho por que ele não sabe para quem direcionar o voto.

Não tem cabimento afirmar que poderá estar armado um "Cavalo de Tróia" no sistema operacional ou qualquer outra parte. Que para mim armar alguma coisa é preciso saber para quem. Eu não sei quem! Não dá para fazer isto"

Esta é simplesmente uma informação incorreta.

Os programas das urnas são apresentados aos partidos políticos 60 dias antes do dia de votação e são carregados nas urnas em torno de uma semana antes da votação. Os números dos candidatos são definidos 90 dias antes da votação e mesmo antes disso são conhecidos pelo público os números dos partidos e dos principais candidatos majoritários. De forma que há tempo disponível para que um fraudador dos programas possa prepará-los para desviar votos de forma dirigida.

Mesmo para eleições proporcionais seria possível se preparar fraudes nos programas aplicativos, baseando-se nos números dos partidos, que são de conhecimento prévio por todos, ou reservando-se certos números para levarem vantagem na apuração.

Argumento 11 - A conferência da apuração pelo voto impresso não é necessária pois os Partidos Políticos terão conhecimento de todos os programas da urna para avaliá-los e validá-los;

Este é o argumento mais utilizado por aqueles que não querem que se faça a conferência da apuração eletrônica pelo voto impresso. Foi citado em todas as oportunidades por todos os representantes do TSE. Também aparece em todos os comunicados públicos proveniente do TSE e dos TRE, quando se fala sobre a segurança da urna eletrônica.

Mas também é uma afirmação incorreta.

Como já foi abordado no item 2.2.1 - 1ª Contradição, e como se vê na resposta à questão 7 do Ofício n.º 2.400/00 da Diretoria Geral do TSE (anexo 6), em 96 e em 98 o Sistema Operacional (VirtuOS) não foi apresentado para a análise dos fiscais dos partidos. Apenas foi demonstrado em funcionamento.

Também há uma outra parte do programa da urna que não é apresentada pelo TSE para análise dos fiscais dos partidos políticos que é chamada "Biblioteca de Segurança". Esta Biblioteca, que é trocada a cada eleição, é produzida pelo CEPESC, que é uma Secretaria da Presidência da República especializada em Segurança de Informações. O Min. Jobim assim justificou a não apresentação desta parte dos programas:

"A questão do sigilo, portanto, redunda naquilo que tem que ser sigiloso, salvo se V. Exª estiver propondo que não haja o sistema de criptografia para garantir o sigilo das informações"

Estes programas que, contrariando o Art. 66 da Lei 9.504, não são apresentados para análise dos partidos políticos, poderiam conter vícios que levem a fraudes eleitorais. A mesma situação está prevista ocorrer em 2000. Além disso, nenhum fiscal de partido certificou se os discos de carga das urnas continham o mesmo programa que foi analisado.

Argumento 12 - a impressão dos votos não é necessária pois os Partidos Políticos poderão testar as urnas no dia da lacração.

A construção lógica deste argumento está correta mas ele falha por que o teste que é feito no dia da carga e lacração das urnas contêm vício técnico intrínseco que o torna inválido.

Em 96 e em 98 cada urna escolhida pelos fiscais dos partidos para ser testada era recarregada, antes do teste, com um programa especial para o teste. Depois do teste, o programa de votação era, então, recolocado na urna. Desta forma, em nenhum momento o programa aplicativo de eleição foi testado efetivamente. A mesma situação está prevista ocorrer em 2000.

No anexo A1 do pré-edital de concorrência da Urna Eletrônica de 2000, divulgado pelo TSE, fica claro a existência de um programa aplicativo específico para a simulação (teste), além dos aplicativos para eleição propriamente dito.

Argumento 13 - A conferência da apuração pelo voto impresso não é necessária pois a Norma ISO 15.408 estabelece critérios técnicos para a validação e certificação dos programas da urna.

Este argumento foi apresentado pelo Eng. Oswaldo Catsumi Imamura, na sua palestra no TSE. Parece-se mais como eu tentativa de desviar a atenção do foco da discussão, de uma tergiversação.

A Norma ISO/IEC 15.408, que será analisada com mais detalhes na seção 2.3 adiante, foi emitida em Dezembro de 1999, sua antecessora era uma versão experimental de Outubro de 1997. Ela define critérios para a avaliação da segurança de sistemas informatizados. É uma norma complexa de ser aplicada e não basta ser utilizada pelos produtores do sistema, o TSE no caso. Como ela mesmo indica, teria que ser aplicada, necessariamente, pelos auditores do sistema, os fiscais dos partidos políticos. O Sr. Moacir Casagrande, assessor técnico do PT, que acompanhou e fiscalizou o desenvolvimento das urnas eletrônicas desde 1996, revela que nunca foi solicitado a avaliar as urnas segundo tal norma.

Além disso, a Norma 15.408 não estabelece em nenhum momento que sistemas informatizados com auditoria por documentos impressos sejam melhores ou piores que sistemas puramente digitais. O procedimento que a norma propõe é que tais alternativas sejam descritas e avaliadas segundo critérios bastante completos e abrangentes de forma a permitir uma comparação do nível de segurança oferecido por cada alternativa. Nenhum estudo deste tipo foi nos oferecido para análise ou para a análise aos fiscais dos partidos.

2.2.5 Comparação de Riscos e Benefícios

Os argumentos usados por aqueles que são contra a impressão do voto para efeito de conferência da apuração eletrônica que não estão totalmente errados defendem que esta impressão cria uma série de riscos, todos de baixo Potencial de Dano. Normalmente são riscos ou ataques destrutivos localizados com baixo poder de alterar a Verdade Eleitoral como: a quebra de impressoras; o atraso na votação em alguma seção ou aumento do trabalho de conferência.

Já a conferência da apuração eletrônica pela impressão do voto, como propõe o PLS 194/99, visa diminuir a Probabilidade de Ocorrência de um risco de altíssimo Potencial de Dano, que é se viciar os programas das urnas para adulterar a Verdade eleitoral até de votações majoritárias.

Assim, não é adequado dizer que a possibilidade de ocorrência de fraudes de pequeno efeito justifiquem a eliminação da defesa contra uma fraude de enorme proporção sem se apresentar estudos bastantes convincentes para isto.

2.2.6 Um contra-argumento jurídico

Além de todo argumento técnico que foi até agora abordado, a respeito da necessidade da conferência da apuração pela impressão do voto, o Procurador da República Dr. Celso Antônio Três escreveu uma carta, que pode ser vista no anexo 8, onde analisa sob estrito ângulo legal, esta mesma questão, de forma que confiabilidade do sistema possa ser compreendida por um cidadão comum mediano, que não possua conhecimentos especializados.

Resumidamente, a interpretação do procurador é que:

"A essência do debate não localiza-se na segurança do engenho informático. Mesmo que a ciência pudesse asseverar a absoluta invulnerabilidade - sabidamente não pode -, a cidadania não estaria plenamente contemplada.

A transparência da soberania popular exercida pelo cidadão no Estado Democrático de Direito perfectibiliza-se tão somente quando o eleitor, de per si, por mero uso de suas faculdades, possa fiscalizar a fiel observância do seu voto. A Justiça Eleitoral, Ministério Público, Partidos Políticos, demais candidatos, etc., são apenas co-interessados nessa lisura. Porém, o cidadão - porque titular exclusivo de um direito constitucional público subjetivo - é que deve estar apto a sindicar o processo eleitoral. Para isso, faça-se o que necessário for, a exemplo da impressão material (não apenas virtual) das cédulas.

É o cidadão titular de um direito inalienável e pessoal de defesa. Assim os termos processuais devem ser consignados de forma a permitir-lhe o mais absoluto controle, segundo as faculdades rotineiras do "homo medium".

Portanto, de todo distorcida a dialética que restringe à confiabilidade técnica da apuração."

2.3 A norma ISO 15.508

A Norma Técnica Internacional ISO/IEC 15.408 [14], de Dezembro de 1999, estabelece Critérios de Avaliação da Segurança no âmbito da Tecnologia de Informação. Esta norma vem sendo desenvolvida desde 1990 e sua primeira versão experimental, oficial da ISO, data de abril de 1996. Uma segunda versão experimental foi publicada em outubro de 1997.

Pelo Item 3.2, Part. 1 desta norma, seu objetivo é fornecer aos projetistas, aos auditores e, principalmente, aos usuários de sistemas informatizados condições de poder comparar a segurança de sistemas diferentes para se poder escolher o que mais atende as necessidades.

É uma norma bastante complexa que envolve, na sua aplicação, não apenas uma empresa e seus engenheiros, mas sim toda uma comunidade econômica, pois a avaliação de cada sistema parte de padrões gerais, chamados de Perfil de Proteção, que devem vir definidos de fora do âmbito das empresas envolvidas no fornecimento de dado produto. Normalmente devem provir de entidades governamentais ou comunitárias.

Também após o término da avaliação de um produto ou sistema, feita de acordo com a ISO 15.408, este ainda deverá receber sua certificação por entidades, externas ao conjunto de fornecedores e usuários, criadas e preparadas para tal finalidade, pois a ISO 15.408 (Part. 1, Scope, Item D) declara textualmente que não é uma norma de certificação, é apenas de avaliação.

Assim, a aplicação desta norma é tanto precedida quanto seguida de atividades feitas por entidades comunitárias especializadas, de forma que não é só o TSE, por exemplo, que deve se preparar para aplicar a Norma ISO 15.408 à urna eletrônica. Também os Partidos Políticos teriam que contratar engenheiros especializados para acompanhar desde o projeto até a implantação, passando pela construção de todos os componentes da urna eletrônica pois, antes de um sistema ser avaliado, todos os seus componentes devem também ser avaliados e certificados, resultando numa "cascada" de certificações.

Sistemas de Alto Risco, como deveria ser classificada a urna eletrônica se houvesse, no Brasil, algum órgão ou entidade técnica já habilitada a fazer esta classificação, tem seus sistemas avaliados com muito rigor e para se adequar a avaliação da urna eletrônica brasileira à norma ISO 15.408 demoraria anos. A França demorou quase 10 anos para validar e certificar um sistema informatizado de controle de reatores nucleares, considerado Sistema de Alto Risco, seguindo critérios rigorosos semelhantes aos que são descritos na Norma ISO 15.408.

Mas, o mais importante que se obtém de uma análise da norma com relação a seu uso na avaliação da urna eletrônica, são dois procedimentos sugeridos:

Um produto ou sistema deve ter sua segurança avaliada segundo os critérios da norma e receber uma certificação segundo critérios prévios estabelecidos por entidades comunitárias ou governamentais, ANTES de ser preparado, comprado e posto para operar.
A norma nada diz contra ou a favor do uso de documentação impressa pelo sistema sob avaliação. Apenas sugere que sistemas diferentes sejam avaliados sob os mesmos critérios propostos pela norma e, depois de avaliados formalmente, sejam julgados por suas qualidades e defeitos apontados.

Nenhuma destas duas recomendações foram seguidas durante a construção e operação das urnas brasileiras de 1996, 1998 e de 2000.

A definição do uso e a fabricação das urnas foi contratada antes de se apresentar os seus projetos e programas para avaliação e aprovação pelos fiscais dos partidos políticos. Estes só terão conhecimento de parte dos programas-fonte utilizados na urna 60 dias antes da eleição, quando todo o processo de implantação e operacionalização da eleição informatizada já está em pleno andamento e comprometido de forma irreversível. Não será mais possível se suspender o fornecimento das urnas ou o seu uso durante as próximas eleições, caso algum item de projeto for rejeitado, sem provocar grande confusão e perdas de verbas já gastas.

Não é assim que se procede, por exemplo, nos estados americanos que aceitam o uso de urnas eletrônicas. As legislações dos Estados Americanos da Virgínia (§ 24.2-629, linha D) e Massachusetts (Chapter 54, Section 32), deixam claro que primeiro os equipamentos de votação eletrônica devem ser aprovados por comissões de órgãos dos governos estaduais, a quais não têm prazo para apresentar seus relatórios, e somente depois desta aprovação é que poderão ser encomendados e comprados por órgãos municipais para serem utilizados em eleições.

Já quanto ao comprovante impresso do voto conferido pelo eleitor que existiam nas propostas de urnas originais do TRE/RS-UFRS, do TRE/MG-IBM, do TRE/MT-IBM e que, segundo Camarão [2, pg. 72 e 77], constava do Anteprojeto de Lei proposto pela Comissão de Informatização de 1996 do TSE ao Congresso Nacional, foi eliminado sem nenhum estudo comparativo de avaliação que tenha sido apresentado à sociedade ou aos Partidos Políticos.

2.4 A fiscalização dos Partidos

Uma série bem grande de falhas na segurança da eleitor com o programa da urna eletrônica provêm de despreparo ou omissões dos partidos políticos que têm, segundo o Código Eleitoral, o direito e o dever de fiscalizar todo o processo eleitoral.

Segundo o Ministro Jobim (anexo 3) o TSE não pode ser responsabilizado pela falta de preparo ou de interesse dos partidos em fiscalizarem o processo eleitoral. Assim se os programas das urnas não foram validados e certificados com correção, se os fiscais dos partidos não estão habilitados a usarem as normas técnicas adequadas, o problema não seria de responsabilidade do TSE.

Como o Sr. Paulo César Camarão afirmou na Assembléia de Minas Gerais e em seu livro [2], o TSE decidiu em 1994 desenvolver a urna eletrônica com o principal objetivo de acabar com as fraudes que ocorriam no sistema tradicional de votos. As fraudes que foram eliminadas ou dificultadas com a urna eletrônica são, todas elas, advindas de falhas na fiscalização.

Se os fiscais dos partidos falhassem no acompanhamento :

dos mesários – estes poderiam induzir o eleitor ou votar por eleitores faltosos;
do transporte da urna – fraudadores poderiam trocar os votos das urnas;
dos escrutinadores – estes poderiam adulterar os votos;
do preenchimento dos BU – este poderia ser adulterado.

Assim se vê que o TSE tomou uma posição ativa para resolver problemas resultantes do despreparo ou desatenção dos fiscais dos partidos. Mas a solução adotada apenas transferiu a esfera de fiscalização para outro nível muito mais sofisticado.

No sistema tradicional, os fiscais deveriam ter capacidade de acompanhar mesários, o transporte das urnas e os escrutinadores, que são atividades bastante simples bastando pouco preparo para se ter um fiscal apto. E, ainda assim, falhavam. O Caso Proconsult (anexo 10) é um bom exemplo, pois a conferência da totalização foi feita por uma pequena equipe de estagiários de jornalismo usando calculadoras que acabaram detectando uma fraude que estava passando por baixo dos olhos dos fiscais dos partidos.

Com a urna eletrônica, os fiscais devem ser especialistas em informática e em segurança de dados. Mesmo os fiscais "de campo", que deveriam conferir se as cargas das urnas estão sendo feitas com discos não adulterados, deveriam receber treinamento técnico em informática. O conhecimento adequado da norma ISO 15.408, por exemplo, demanda cursos específicos. O trabalho de fiscalização é muito técnico, difícil e até arriscado pois pequenos erros na fiscalização podem levar a fraudes gigantescas que distorçam até o resultado da eleição para Presidente da República.

Desta forma, a urna eletrônica complicou e aumentou bastante as dificuldades de fiscalização pelos partidos e não é correto se afirmar que o TSE não pode ser responsabilizado por este problema, pois foi o TSE que iniciou o processo de sofisticar a fiscalização sem prever uma preparação ou treinamento para os partidos e seus fiscais