Em defesa do voto impresso.

Sobre a Transparência Eleitoral e o Registro Digital do Voto

O fundamento 155, acima citado, que conduziu a Suprema Corte da Alemanha a concluir pela inconstitucionalidade de urnas eletrônicas sem Voto Impresso Conferível pelo Eleitor, por não atenderem o Princípio da Publicidade aplicado ao processo eleitoral, descreve um fato óbvio e incontestável:

Fundamento 155

Os votos foram registrados somente em memória eletrônica. Nem os eleitores, nem a junta eleitoral ou os representantes dos partidos poderiam verificar se os votos foram registrados corretamente pelas máquinas de votar ...

De fato, a sequência de eventos que ocorre durante o ato de votação nas urnas eletrônicas brasileiras sem voto impresso é o seguinte:

1. O eleitor digita os números dos seus candidatos escolhidos que são apresentados na tela da urna eletrônica para confirmação do eleitor;
2. Somente depois de confirmados os números dos candidatos de todos os cargos, o software de votação da urna eletrônica pode gravar em sua memória o chamado Registro Digital do Voto e, a partir desse momento, o eleitor não dispõe de nenhum meio ao seu alcance para verificar, com recursos próprios, se o registro digital do seu voto foi gravado com o conteúdo correto.

Também no caso do uso do Registro Impresso do Voto, a “Minuta de Requisitos do Voto Impresso”, emitida pelo Grupo de Trabalho do TSE e acima citada, esclarece o seguinte:

5. Estrutura de Dados Eletrônicos e em Papel

…. conforme deliberação do Grupo de Trabalho, o requisito (5.1.) descreve que o RDV permanecerá com a forma de implementação atual, somente alterando o momento em que é gravado (o RDV), qual seja, após a confirmação do voto impresso pelo eleitor.

Fica claro que, no caso de existência do voto impresso, será a seguinte a sequência de procedimentos durante a votação:

1. Primeiramente o Registro de Impresso do Voto é criado (impresso em papel) e, em seguida, é apresentado ao eleitor para sua confirmação do conteúdo.
2. Somente após a confirmação do eleitor sobre o voto impresso, o Registro Digital do Voto é criado (gravado em memória digital) sem que ao eleitor seja solicitado nenhuma outra ação de confirmação do seu conteúdo.

É inequívoco, então, que o Registro Digital do Voto per se, sem estar acompanhado do complementar Registro Impresso do Voto, não permite ao eleitor saber qual foi o conteúdo de veras registrado no seu voto sendo esse o motivo de ter sido declarado contrário o Princípio da Publicidade pela Suprema Corte alemã e também foi o motivo que levou o Congresso Nacional a determinar que as urnas eletrônicas devem gerar o Voto Impresso Conferível pelo Eleitor.

O Balanço entre os Princípios

Claro fica que a aplicação do Princípio da Inviolabilidade do Voto no processo eleitoral deve ser balanceado e considerado relativamente à outros princípios igualmente importantes de cidadania, como no caso da permissão de eleitores com incapacidades sejam acompanhados por terceiros no ato de votação.

O sigilo do voto, para proteger a liberdade de escolha do eleitor, tanto quanto a publicidade dos atos de captura, registro e escrutínio dos votos, para garantir a segurança jurídica do processo eleitoral, são igualmente importantes e necessários.

A análise dos argumentos da PGR sobre a inconstitucionalidade do artigo 59-A da Lei 9.504 mostra que são argumentos relativos a situações hipotéticas temerárias (possível impressão de dados de identificação do eleitor no voto impresso), situações de exceção remotas e não quantificadas (defeito no módulo impressor e identificação do eleitor nesse momento) e situações legalmente superadas (acompanhantes de eleitores com deficiência).

Já no caso da votação eletrônica sem o voto impresso fica claro que esta não atende o Princípio da Publicidade, de forma sistemática e irremediável.

Assim, suprimir da ordem legal o artigo de lei que criou o Registro Impresso do Voto, com os mesmos dados do Registro Digital do Voto, para conferência do eleitor, é dar total prevalência ao Princípio da Inviolabilidade aplicado a situações restritas e fortuitas em detrimento do Princípio da Publicidade aplicado a fato real, geral e irrefutável (nenhum eleitor têm como conferir o conteúdo do RDV que registra seu voto).

O Retrocesso Tecnológico e Constitucional

A segunda tese abrigada pela Autora da ADI 5889 é que “a adoção do modelo impresso provoca risco à confiabilidade do sistema eleitoral”.

Fundamenta sua tese com os seguintes argumentos:

• (a) Apesar de haver críticas ao sistema eletrônico, as alegações e conjecturas sobre a possibilidade de fraude jamais tiveram a sua consistência comprovada.
• (b) Não se é contrário à criação de mecanismos de controle da segurança e higidez do processo de votação eletrônica, tal como os que são adotados atualmente (o registro digital de voto, a assinatura digital, o resumo digital, a auditoria de funcionamento das urnas eletrônicas, a votação paralela, a fiscalização da apuração eletrônica, a realização de perícias e auditorias, teste público de segurança etc). No entanto, a reintrodução do voto impresso apresenta-se inadequada para atender com ganhos eficazes essa finalidade.
• (c) A obrigatoriedade do voto impresso não servirá ao propósito de conferir a higidez do processo de votação eletrônica e, ainda, causará entraves e embaraços ao sistema de apuração.
• (d) A obrigatoriedade de adoção do voto impresso encontra impedimento no princípio da proibição do retrocesso político-constitucional, porque vulnera direitos elementares da cidadania.
• (e) Considerando que o sistema eletrônico instituído tem se mostrado consistente e eficaz e que a reintrodução do modelo impresso potencializa falhas e fraudes no processo eleitoral, o art. 59-A da Lei 9.504/1997 consubstancia verdadeiro retrocesso para o processo eleitoral brasileiro e não contribui para o seu aperfeiçoamento.
• (f) A consequência é a da incompatibilidade da norma impugnada, com o princípio constitucional da eficiência do aparelho estatal.

O argumento (a), acima, que fala sobre possibilidades de fraudes não demonstradas, não considera que os testes públicos de segurança permitidos pela autoridade eleitoral, embora restritos nos procedimentos permitidos, demonstraram de forma inequívoca a existência de inúmeras falhas de segurança no software das urnas eletrônicas usadas desde 1996, que poderiam ser exploradas para eventuais fraudes eleitorais relativas a contagem e a violação de votos.

No recente Teste de Segurança de 2017, no TSE, as equipes da Unicamp e da Polícia Federal demonstraram que o software das urnas eletrônicas poderia ser adulterado no momento de sua carga nas urnas a ponto de até se escrever mensagens espúrias na tela da urna durante a votação. Isto constitui inafastável demonstração de possibilidade de fraude nas urnas eletrônicas usadas até a última eleição de 2016.

Assine a nossa newsletter! Seja o primeiro a receber nossas novidades exclusivas e recentes diretamente em sua caixa de entrada.

Inscrever

E a afirmação pública do administrador eleitoral de que tais falhas apontadas seriam corrigidas para a próxima eleição, apenas confirma que a alegada confiabilidade absoluta e higidez do sistema eletrônico eleitoral brasileiro, alegada na inicial, nunca existiu de fato e ainda demonstra que as alegações e conjecturas sobre a possibilidade de fraude tiveram a sua consistência comprovada.

 Ademais, o argumento (a) desconsidera que votar e ser votado são direitos de cidadania claramente reconhecidos no Art. 1º do Código Eleitoral (“Este Código contém normas destinadas a assegurar a organização e o exercício de direitos políticos precipuamente os de votar e ser votado”), e que cabe ao administrador eleitoral assegurar e demonstrar que seus atos atendem esses direitos dos cidadãos.

Alegações como “não foram provadas fraudes havidas na urna eletrônica”  ou que “as alegações e conjecturas sobre a possibilidade de fraude jamais tiveram a sua consistência comprovada” se equiparam à analogia do filósofo Bertrand Russel, chamada como “O bule de chá de Russel”, pela qual seu autor pondera a existência de um bule de chá orbitando o sol e constata que seus opositores não poderiam refutar tal hipótese.

Entretanto, pondera o filósofo, a dificuldade em desmentir uma hipótese (como a alegada confiabilidade do sistema eleitoral eletrônico) não a torna verdadeira, cabendo a quem alega (e detém controle total dos meios de prova) apresentar a PROVA DA VERACIDADE, pois não é exigível de quem duvida a demonstração da negativa.

De fato, a higidez do processo eleitoral não pode ser aceita como um dogma. Cabe ao agente público que alega sua inviolabilidade, como o administrador eleitoral ou a PGR, provar a veracidade dessa afirmação, pois, em consonância com a acima citada decisão da Corte Suprema da Índia, não se pode exigir do eleitor que duvida da alegada a inviolabilidade do sistema eleitoral, a demonstração da improcedência dessa fundada suspeita.

Não pode o administrador público exigir fé do cidadão em sua conduta, ao invés disso, deve demonstrar a este, de modo cabal e facilmente compreensível, a correção e lisura de seus procedimentos e, no caso das urnas eletrônicas brasileiras atuais, a autoridade eleitoral e o PGR inclusive, não conseguem sequer provar ao eleitor que o registro do seu voto (RDV) contem de fato o seu voto, quanto mais que todo o processo é hígido.

No seu argumento (b), acima, alega a autora, e deveria provar, que a higidez do sistema eleitoral seria garantida pelos mecanismos de controle da segurança do processo de votação eletrônica, tal como: o registro digital de voto, a assinatura digital e o resumo digital, a auditoria de funcionamento das urnas eletrônicas, a votação paralela, a fiscalização da apuração eletrônica, a realização de perícias e auditorias, teste público de segurança.

Adicionalmente, afirma que a reintrodução do voto impresso apresenta-se inadequada para atender com ganhos eficazes essa finalidade.

Esses procedimentos de alegada garantia da segurança e higidez do processo de votação eletrônica, listados pela PGR, têm sua real eficácia questionada nos seguintes termos:

• o registro digital de voto: como já demonstrado acima e reconhecido na jurisprudência internacional, o RDV, per se, não oferece garantia de que o voto dado pelo eleitor foi registrado com o conteúdo correto e, assim, não é recurso que possa garantir a higidez da votação eletrônica.
• a assinatura digital e o resumo digital: o próprio inventor da técnica chamada assinatura digital que o TSE utiliza, o Prof. Dr. Ronald Rivest do MIT, voltou a publicar em 2017 seu artigo sobre Independência do Software em Sistemas Eleitorais[4], onde reafirma de forma clara e indubitável que a validação do software de sistemas eleitorais complexos é inviável na prática e que as técnicas de criptografia e assinatura digital não conseguem atender essa finalidade, sendo necessária a materialização do voto para se obter a verificabilidade do processo eleitoral digital.  Certamente, a palavra desse autor, que é um especialista detentor de total reconhecimento internacional  sobre esse tema da assinatura digital que inventou e patenteou, granjeia maior credibilidade que qualquer outra pessoa que alegue o contrário. 
• a auditoria de funcionamento das urnas eletrônicas: a chamada “auditoria” do software nas urnas eletrônicas, da forma como é determinada e regulamentada pela Autoridade Eleitoral consiste apenas num auto-teste realizado pelo próprio software das urnas e não numa auditoria independente propriamente dita. No mundo acadêmico brasileiro são vários os textos que refutam a eficácia de tal procedimento, tais como o Relatório Unicamp/TSE (2002)[5], o 1º Relatório CMIND[6] (2010) e o livro “O Mito da Urna”[7] (2017) do professor e criptógrafo Jeroen van der Graaf da UFMG. Não há no meio acadêmico nenhum artigo que afirme que um auto-teste do software tenha o valor de uma auditoria externa e independente.
• a votação paralela: o chamado Teste de Votação Paralela, instituído pelo Parag. 6º do Art. 66 da Lei 9.504/9, que prevê a votação controlada em urnas eletrônicas sob estritas condições normais de uso, no mesmo dia da eleição, teve sua eficácia totalmente extinguida com a adoção das chamadas “urnas biométricas” do TSE, como ficou demonstrada no capítulo 4.4.2.11. do relatório da Auditoria Especial do Sistema Eleitoral 2014[8], desenvolvida por equipe de técnicos contratados pelo PSDB que, em detalhado estudo e apresentação de dados, concluiu que: “o Teste de Votação Paralela é ineficaz para detectar fraudes por software em urnas biométricas que verifiquem a taxa de liberação de votos pelo mesário”. Essa tese nunca foi refutada por nenhum parecer da administração eleitoral.

• a fiscalização da apuração eletrônica: se por “apuração eletrônica” se entender a contagem dos votos nas urnas eletrônicas que gera cada Boletim de Urna (BU), então é notório, como até foi registrado no Fundamento 156 da acima citada decisão da Suprema Corte alemã, que não há nenhum procedimento que possibilite a fiscalização do escrutínio ou da contagem dos votos que ocorre dentro das urnas sem voto impresso. Se, por outro lado, se entender que a alegada fiscalização é sobre a totalização dos BUs, que ocorre nos computadores do Administrador Eleitoral, então este item não se aplica segurança das urnas eletrônicas e não serve como argumento contra as urnas com voto impresso.

• a realização de perícias e auditorias: As únicas perícias independentes sobre o sistema eleitoral que tiveram seus relatórios publicados são: o Relatório UNICAMP de 2002 (já citado acima), o relatório COPPE/UFRJ[9] de 2002, o relatório feito pelo prof. Clóvis T. Fernandes, do ITA em 2006[10] e a Auditoria Especial do Sistema Eleitoral 2014, já citada acima. Em todos os casos, os autores apresentam gravíssimas falhas de segurança e até irregularidades encontradas. Nos dois últimos também são descritas as restrições impostas aos auditores pelas regras determinadas pela autoridade eleitoral que impossibilitou o desenvolvimento de uma auditoria independente mais completa e conclusiva.

• teste público de segurança: em todos os Testes Públicos de Segurança regulamentados e permitidos pelo TSE (2009, 2012 e 2017) foram encontradas, exploradas e descritas falhas de segurança no sistema de software das urnas eletrônicas que existiam dentro do sistema desde 1996. No último teste, de 2017, foram demonstrados problemas gravíssimos que permitiam até modificar o comportamento do software de votação embarcado nas urnas. Assim, esses testes demonstram a insegurança do sistema puramente eletrônico de votação e não o contrário como quer fazer crer a autora da ADI 5889.

As alegações (b), (c) e (e) da PGR, de que a reintrodução do voto impresso apresenta-se inadequada para atender com ganhos eficazes da segurança e higidez do processo de votação eletrônica, é facilmente refutada ao se considerar que a função de segurança e confiabilidade agregada pelo Voto Impresso Conferível pelo Eleitor às urnas eletrônicas brasileiras é permitir ao eleitor conferir se o registro do seu voto contém de fato o seu voto, conferindo mais transparência ao processo, e assim atender ao Princípio da Publicidade, que não é atendido pelas urnas atuais.

A jurisprudência internacional estabelecida nas decisões das Cortes Supremas da Alemanha e da Índia, acima comentadas, apontam no sentido contrário da afirmação da PGR, pois reconhecem que o Voto Impresso Conferível pelo Eleitor é essencial para dar segurança e confiabilidade a um sistema eleitoral eletrônico.

Por derradeiro, resta enfrentar a alegação do retrocesso tecnológico e político-constitucional, incluídos nos argumentos (d) e (f) da PGR.

Uma observação de como os sistemas de voto eletrônico tem evoluído no mundo desde seu início na década dos anos 90, mostra claramente que antes, na primeira geração, surgiram os equipamentos puramente eletrônicos (sem voto impresso). Depois esses equipamentos começaram a ser abandonados por insegurança e, em alguns países, passaram a ser substituídos por equipamentos de uma nova geração, com voto impresso.

Esse processo de abandono ou substituição das urnas sem voto impresso ocorreu, por exemplo, na Venezuela, na Argentina, no Paraguai, no Equador, no México, em mais de 40 Estados nos EUA, no Canadá, na Alemanha, na Bélgica, na Holanda, na Rússia e na Índia.

Do outro lado, não existe exemplo de um País que tenha se movimentado na outra direção, ou seja, que tivesse um sistema de urnas com voto impresso e o abandonou por um sistema sem voto impresso.

 Fica muito fácil verificar que a verdadeira evolução se dá na direção da adoção de sistemas eleitorais eletrônicos com voto impresso e que involução seria manter um sistema eleitoral que não dê transparência aos atos de registro e contagem dos votos.

Antes do Art. 59-A da Lei 9.504, tínhamos no Brasil um sistema eleitoral único no mundo, ainda de 1ª Geração, rejeitado em todos os demais países onde há voto eletrônico em larga escala, sem transparência e que não atendia ao Princípio de Publicidade, pois não permitia nem ao eleitor ver e conferir o conteúdo do registro do seu voto e nem aos representantes dos candidatos a ver e conferir o conteúdo de cada voto apurado.

Com a introdução do Voto Impresso Conferível pelo Eleitor por essa norma, o Brasil foi incluído ao rol dos demais países que usam sistemas eleitorais de 2ª geração, onde o eleitor pode conferir o registro do seu voto e a apuração de votos pode ser conferida voto a voto.

Olhando para o que está ocorrendo no resto do mundo no campo da votação eletrônica, não há como se acatar o argumento (d) e (f) da PGR, de que a adoção do Voto Impresso Conferível pelo Eleitor seria um retrocesso, tando do ponto de vista técnico como institucional. Na realidade, esse argumento do retrocesso revela desinformação de quem o levanta.

Conclusão

Tendo passado os fatos circunscritos na questão da confiabilidade de sistemas eleitorais eletrônicos por uma análise mais profunda e abrangente, inclusive com um olhar sobre a jurisprudência internacional e o que tem acontecido no resto do mundo, chegou-se à refutação de todos os argumentos postos pela PGR na peça inicial da ADI 5889, a respeito de alegada inconstitucionalidade do Art. 59-A da Lei 9.5904.

Assim, recomenda-se a rejeição dos pedidos geral e cautelar de referida peça.

Notas

[1] Decisão original do Tribunal Constitucional Federal da Alemanha em 03/03/2009 (em alemão):   http://www.bundesverfassungsgericht.de/entscheidungen/cs20090303_2bvc000307.html

[2] http://supremecourtofindia.nic.in/jonew/bosir/orderpdf/1825216.pdf

http://www.business-standard.com/article/current-affairs/sc-asks-ec-to-install-vvpat-in-evms-for-2014-polls-1131008 00259_1.html

[3]   Disponível em: http://www.justicaeleitoral.jus.br/arquivos/tse-anexo-i-requisitos-preliminares-de-hardware

[4] Rivest, R. , Virza, M. - Software Independence Revisited. MIT, 2017 - https://people.csail.mit.edu/rivest/pubs/RV16.pdf

[5] Tozzi, C.L. et al. - Avaliação do Sistema Informatizado de Eleições. Campinas: TSE, maio de 2002 - http://www.votoseguro.org/arquivos/UNICAMP-relatorio.zip

[6] Sérvulo da Cunha, S et al. - Relatório sobre o Sistema Brasileiro de Votação Eletrônica. CMIND, 2010 - http://www.brunazo.eng.br/voto-e/textos/CMind-1-Brasil-2010.pdf

[7] Graaf, J.V.D. - O Mito da Urna, desvendando a (in)segurança da urna eletrônica. Editora da UFMG, 2017 - https://inscrypt.dcc.ufmg.br/wp-content/uploads/2017/11/o-mito-da-urna-1-1.pdf

[8] Giova, G et al. - Auditoria Especial do Sistema Eleitoral 2014 – PSDB, 2015 - http://www.brunazo.eng.br/voto-e/arquivos/RelatorioAuditoriaEleicao2014-PSDB.pdf

[9]   Rocha, A,R,C, et al - Relatório de Avaliação do Software do TSE realizada pela Fundação COPPETEC. COPPE/UFRJ, 2002 - http://www.angelfire.com/journal2/tatawilson/coppe-tse.pdf

[10] Fernandes, C.T. - Estudo e Avaliação Tecnológica dos Dados Oficiais da Eleição de Alagoas 2006 - 1o Turno. 2006 - http://www.brunazo.eng.br/voto-e/arquivos/AL06-laudoFerITA.zip