5. AS ETAPAS DE UMA VOTAÇÃO
A partir do momento que o eleitor se apresenta para votar, o processo de uma eleição pode ser dividido nas seguintes etapas:
Identificação do Eleitor
Votação Secreta
Apuração de cada urna
Totalização7 dos votos
Cada uma destas etapas tem seus próprios ritos de segurança e brechas para fraude.
5.1 A Eleição Tradicional
A figura 1 apresenta estas etapas e o fluxograma dos dados numa eleição tradicional, evidenciando os pontos de controle do processo, isto é, os pontos onde agentes independentes e externos ao TSE têm acesso a dados para auditarem cada etapa.
Na etapa de identificação do eleitor existem fraudes como a falsificação de documentos e de registros eleitorais. Por outro lado, como o eleitor recebe a cédula vazia, pode verificar que o conteúdo do seu voto não poderá ser violado 8.
Na etapa de votação vários tipos de fraudes eram possíveis como o voto-de-cabresto, a indução do voto pelos mesários ou a votação destes por eleitores que faltaram. O controle externo aqui era exercido pelos fiscais sobre os mesários e pelo próprio eleitor ao preencher a célula pois ele automaticamente constatava que o documento público que passava a informação desta para a próxima etapa (a cédula preenchida) assinalava o seu candidato e não continha a sua identificação.
Na etapa de apuração deve-se proceder a soma dos votos de cada urna para preencher os Boletins de Urnas (BU), que são os documentos públicos de passagem de informação para a etapa seguinte. Também aqui vários tipos de fraude ocorriam como a troca de votos dentro da urna, o preenchimento ou adulteração de votos pelos escrutinadores ou a adulteração dos BU antes da sua publicação.
A área hachurada da figura 1 evidencia a região mais sujeita a fraudes no voto tradicional. As defesas do eleitor contra estas fraudes eram sempre a garantidas por lei: o direito de fiscalizar a votação e a apuração e o direito de se pedir a recontagem de votos quando houvesse dúvidas fundamentadas.
Na etapa da totalização dos votos o TSE deve somar os votos indicados nos BU e publicar o resultado da eleição. Esta foi a primeira etapa a ser informatizada no Brasil mesmo no sistema de voto tradicional. Nesta etapa se possui um método de controle bastante eficaz contra a fraude na totalização. Por força de lei, os partidos políticos recebem uma cópia impressa dos BU e podem, se quiserem, fazer a conferência da totalização por conta própria somando o conteúdos de todas as BU e comparando com o resultado publicado pelo TSE.
É tão forte esta defesa contra fraudes 9 que no presente artigo não analisamos os demais aspectos da segurança na totalização por considerarmos que nesta etapa a segurança está estruturalmente bem cuidada pela lei.
5.2 A Eleição Informatizada Brasileira
Em 1994 o Ministro Carlos Velloso assumiu a Presidência do TSE e estabeleceu como uma das suas metas implantar o voto eletrônico por completo no Brasil. No seu discurso de posse disse:
"…essas fraudes serão banidas do processo eleitoral brasileiro no momento em que eliminarmos as cédulas, as urnas e os mapas de urna, informatizando o voto."
A visão do Ministro Velloso é a de um excelente jurista mas que tem uma percepção imprecisa da informática. Se eliminarmos "a cédula, as urnas e os mapas eleitorais (BU)" não sobra muito para se fazer uma apuração e menos ainda para se auditá-la. Aparentemente ele não tinha noção que as fraudes são potencialmente mais danosas em sistemas informatizados, como afirmou o seu próprio Secretário de Informática (Camarão, 1997, pg. 160):
"A introdução da informática nos sistemas eleitorais exige cuidados complementares, sobretudo se considerarmos que o volume da fraude, se utilizarmos um sistema sem controles, pode ser exponencialmente maior."
Tentando eliminar todos os focos de fraude identificados pelo Ministro Velloso o TSE decidiu juntar as três primeiras etapas de uma eleição - a identificação, a votação e a apuração - num único local e equipamento: a urna eletrônica brasileira10 e a figura 2 apresenta o fluxograma de dados e controles da sua implementação.
A urna eletrônica brasileira agrupa as três primeiras etapas de uma eleição num só processo, eliminando os documentos públicos intermediários entre elas visto que eram entendidos como fontes de fraudes. Não tem mais cédula, não tem mais urna e apenas o BU não pode ser eliminado.
Como resultado da eliminação destes documentos se eliminou também os controles que se fazia através deles. Uma vez que a certificação de um software honesto na urna não foi obtida:
O eleitor perdeu a garantia de que seu voto não seria identificado e não tem como saber se seu voto foi para candidato escolhido.
Os partidos não têm como conferir a apuração e não podem mais pedir a recontagem dos votos!
Na etapa de identificação do eleitor, as mesmas fraudes que existiam no voto tradicional, como a falsificação de documentos e de registros eleitorais, continuaram existindo com o voto eletrônico, mas a elas foi acrescida a grave possibilidade de violação sistemática do voto por um programa desonesto, que antes não existia.
Na etapa de votação diminuiu-se bastante a fraude conhecida como voto-de-cabresto, mas manteve-se a possibilidade de indução do voto e de mesários votarem por eleitores ausentes 11. Por outro lado eliminou-se o voto em separado e impediu-se a existência de mais de uma urna por seção, fazendo que eleitores lentos prendessem os demais em fila 12.
Na etapa de apuração, foram eliminadas as fraudes de troca e adulteração de votos e se acelerou consideravelmente o processo. Mas é aqui que foram introduzidas as três maiores falhas de segurança do voto com a urna eletrônica:
O eleitor não tem como conferir se seu voto foi apurado corretamente ou se foi desviado
Não existe forma de se auditar a apuração.
As falhas são potencialmente mais danosas.
6. AS FALHAS APONTADAS
Resumindo o que foi mostrado nas seções precedentes, listamos as falhas de segurança no projeto e implantação da urna eletrônica brasileira:
A legislação sobre o voto eletrônico é pouco detalhada, permitindo interpretações "liberais" que desvirtuam a segurança.
O conhecimento apenas dos programas-fonte pelos técnicos dos partidos não valida o software real carregado na urna.
A ausência de fiscalização externa ao TSE na compilação e carga dos programas.
O teste de certificação das urnas é invalidado pela alteração do conteúdo da urna antes e depois do teste.
É impossível se proceder a fiscalização ou recontagem da apuração de uma urna.
O eleitor não tem como conferir se o seu voto foi dado ao candidato escolhido.
O conteúdo do voto e a identificação do eleitor estão disponíveis simultaneamente na mesma memória de computador
O TSE não permitiu que fossem feitos nem auditoria nem testes com o programa real da urna em funcionamento normal.
7. AS SOLUÇÕES PROPOSTAS
Para resolver estas falhas propomos o esquema da figura 3, que foi desenvolvida depois de debates no Fórum do Voto Eletrônico (http1).
Numa urna convencional sem que o eleitor a manipule (para evitar o voto-de-cabresto). Estas urnas convencionais serão apuradas na sua totalidade ou apenas em parte dentro de uma programação de auditoria do software real da urna.
Desta forma se unem as vantagens do voto tradicional (impossibilidade de violação do voto e possibilidade de auditoria da apuração) com as vantagens do voto eletrônico (rapidez na apuração, inibição do voto-de-cabresto e das fraudes na apuração). Também são eliminados alguns defeitos da urna eletrônica como a necessidade de preparação diferente para seções diferentes e a impossibilidade de múltiplas urnas por seção.
Todas estas características aqui propostas foram incorporadas ao Projeto de Lei do Senado, PLS 194/99 (Requião, 1999), pelo Senador Roberto Requião, que optou pela conferência parcial com a recontagem dos votos impressos de 3% das urnas (a serem escolhidas pelos fiscais dos partidos políticos) para efeito de auditoria.
8. CONSIDERAÇÕES SOBRE O VOTO ELETRÔNICO
A análise aqui feita sobre a urna eletrônica brasileira pode ser estendida para o voto eletrônico em geral, inclusive para o voto pela Internet.
O problema da identificação do eleitor no mesmo equipamento que recebe o seu voto é importante e é praticamente impossível se garantir que a violação do voto nunca irá ocorrer, seja por meio de invasores externos ou por agentes internos desonestos que programem a violação.
O problema da ausência de um comprovante impresso do voto também é grave. Esta ausência elimina a possibilidade de auditoria da apuração. Algumas soluções já foram propostas como:
validar e certificar o programa utilizado,
gravar o voto "virtual" com a assinatura eletrônica do eleitor,
publicar o voto junto com uma senha de conhecimento apenas do eleitor;
mas são sugestões que acabam falhando em garantir a honestidade da apuração ou falham em garantir a inviolabilidade do voto.
Isto levanta a idéia de se manter o voto virtual e o voto impresso em paralelo mas, mantendo-se estes dois métodos de apuração simultâneos, surge a dúvida sobre o que fazer quando houver divergência entre eles.
Outras questões de natureza técnica como o uso de assinatura eletrônica14 e como se garantir que cada eleitor vote apenas uma vez15 são facetas ainda não completamente resolvidas do problema geral do voto eletrônico.
Também continuam abertas as questões econômicas como:
o financiamento do projeto deve ser feito com ou sem aumento da dívida externa do país,
quem banca o custo de cartórios eleitorais virtuais e dos sistemas de assinaturas eletrônicas,
quem paga a auditoria externa;
e as jurídicas como:
a acumulação de poderes pelo TSE,
quem pode representar o eleitor numa auditoria,
a quem cabe o ônus da prova da segurança da urna16.
9. CONCLUSÃO
Todas estas questões não resolvidas sobre o voto eletrônico, que ainda estão em debate fora do Brasil, levam à conclusão de que o Brasil não está na linha de frente da tecnologia de informatização do voto e sim que ultrapassou esta linha de forma imprudente e precipitada.
Depois da implantação parcial da urna eletrônica em 1996 e 1998, o TSE já vem dando andamento a terceira fase da implantação do voto eletrônico no Brasil, que prevê a utilização da urna eletrônica em todas as seções eleitorais do Brasil na eleição do ano 2000. Em Maio de 1999 o TSE publicou o "Pré-edital de Especificação da Urna Eletrônica 2000" (http11) onde todas as falhas aqui apontadas continuam presentes pois o TSE tem ignorado por completo o projeto de lei PLS 194/99 e as sugestões do Fórum do Voto Eletrônico.
É chegada a hora da comunidade acadêmica brasileira assumir a responsabilidade de discutir a política de segurança na implantação do voto eletrônico sob pena de deixarmos para os nossos filhos um Brasil com um arremedo de democracia onde o eleitor não tem como saber em quem votou e a oposição é impedida de conferir a apuração dos votos, como hoje já está ocorrendo.
AGRADECIMENTOS
O autor agradece a colaboração dos colegas Dr. Daniel Kao Sun Ting (IPEN-USP) e Eng. José Claudio Barmak (TD Tecnologia Digital) pela discussão e revisão deste trabalho, ao Prof. Dr. José Sidnei Colombo Martini (PCS-EPUSP), pela ajuda para trazer este tema para dentro da universidade brasileira, a todos os assinantes do Fórum do Voto Eletrônico na Internet que nos últimos dois anos e meio contribuíram com as opiniões e sugestões que enriqueceram a tese ora apresentada e à amiga e companheira Ingrid Fernandes Zamboni pelo estímulo e paciência ao longo deste tempo.
NOTAS
1. A análise feita neste artigo se refere especificamente à Urna Eletrônica utilizada nas eleições de 1996 e 1998 e não a todo o processo de informatização do voto, o qual inclui a rede de totalização de resultados que não foi incluída nesta análise.
2. Devido ao seu caráter pessoal e psicológico, a abordagem à questão do agente interno desonesto junto aos próprios projetistas do sistema é sempre delicada. Muitas vezes as partes exacerbam as reações emocionais (de desconfiança ou indignação), o que acaba por retirar a objetividade do debate.
3. Onde o novo sistema foi implantado o antigo foi eliminado e não se deixou outra alternativa ao eleitor (como a Declaração de Renda que o contribuinte pode optar entre o método tradicional e o informatizado).
4. Os Boletins de Urna são as tabelas públicas impressas que contêm o resultado da apuração de cada urna.
5. Este projeto de lei está, no momento (jun/99), sob análise da Comissão de Constituição e Justiça do Senado.
6. Quem, como este autor, quisesse contestar juridicamente algum aspecto na implantação do voto eletrônico teria que recorrer aos juizes do TSE pedindo que eles julgassem seus próprios atos!
7. Não se deve confundir a apuração (contagem dos votos de uma urna) com a totalização (soma dos votos de todas as urnas). São processos diferentes que ocorrem em momentos e locais diferentes.
8. Ou seja, na cédula que o eleitor recebe não está escrito nada que permita a sua identificação.
9. Foi desta maneira que, no Rio de Janeiro em 1994, se descobriu e evitou o erro na totalização que ficou conhecido como Caso Procunsult.
10. Precisa ser destacado que esta unificação das três etapas é característica da urna brasileira. No resto do mundo democrático onde se informatizou a votação, não ocorre esta tripla integração! Em especial, em nenhum lugar do mundo deixou de existir o voto impresso, nem a identificação e a votação são feitas no mesmo equipamento.
11. Apesar de aumentar os custos do sistema, o TSE adotou da identificação eletrônica para eliminar este tipo de fraude (Camarão, 1997, pg. 81, item 1) mas o problema não foi resolvido e os custos aumentaram inutilmente.
12 No 1º turno de 1998, onde se votava para cinco cargos diferentes, formaram-se filas de espera de mais de 3 horas e em algumas seções o horário de votação teve que ser prorrogado até as 20 h. Este problema se deve à existência de apenas uma urna por seção, imposta pela identificação conectada a urna, e não ao despreparo dos eleitores como chegou a ser alegado.
13. Lista impressa, enviada a cada Seção Eleitoral, com os dados dos eleitores e com os seus comprovantes de comparecimento, utilizada para a identificação do eleitor e controle de quem já votou.
14. Como impedir o roubo ou mau uso da assinatura digital por terceiros.
15. Se for permitido que o eleitor possa votar de qualquer lugar, como manter segura e atualizada uma rede nacional de identificação on-line do eleitor.
16. É o TSE que tem que provar tecnicamente que a urna é segura ou um eleitor que a conteste em juízo é que deve provar sua insegurança?
REFERÊNCIAS BIBLIOGRÁFICAS
CAMARÃO, Paulo César Bhering. O Voto Informatizado: Legitimidade Democrática. São Paulo: Empresa das Artes, 1997.
FERREIRA, Pinto. Código Eleitoral Comentado. São Paulo, Saraiva, 1991.
PRICE, Roberto Tom. Votação Informatizada: Projeto UFRGS. Porto Alegre: Instituto de Informática da Universidade Federal do Rio Grande do Sul, 1995.
REQUIÃO, Roberto. PLS 194/99 – Projeto de Lei do Senado. Brasília: Senado do Brasil, 1999.
REFERÊNCIAS NA INTERNET
(http1) Fórum do Debates do Voto Eletrônico. https://listas.iron.com.br/voto-eletronico
(http2) E-democracy in New Zealand elections. https://www.polemic.net/nzeet.html
(http3) NZ Electronic Electoral Trial List https://NZvotingtrial.listbot.com
(http4) VoteSite.com--the internet voting company. https://www.votesite.com/
(http5) VoteSite.com mailing list https://votesite.com.listbot.com
(http6) International Institute for Democracy and Electoral Assistance. https://http.int-idea.se/
(http7) UK Citizens Online Democracy. https://www.democracy.org.uk
(http8) Urna 2000 – O Voto Seguro. https://www.votoseguro.org
(http9) Projeto de Lei do Senado – PLS 194/99. https://www.senado.gov.br/web/senador/requiao/pls99.htm
(http10) Lei 9.504/97 e Resoluções do TSE https://www.tse.gov.br/ele/Legisl.html
(http11) Pré-edital de Especificação da UE2000 https://www.jus.com.br/pesquisa/editaltse.zip
