Como Acabar com a Desconfiança das Urnas

Além do Botão de Confirmação: A Evolução Tecnológica das Urnas Eletrônicas e as Lições da História Global

1. Introdução: O Dilema da Confiança Digital

Como ter certeza absoluta de que o voto digitado na tela é exatamente o mesmo que foi computado no resultado final? Essa pergunta é o coração de um dos debates mais calorosos sobre a modernização da democracia no mundo.

Para responder a essa questão sem cair em paixões partidárias, é preciso olhar para a arquitetura de sistemas. A análise a seguir reflete a bagagem de um profissional com 37 anos de carreira em TI e 26 anos dedicados ao estudo de eleições eletrônicas mundiais.

A premissa central é direta: a discussão sobre segurança eleitoral não é um combate simplista entre "impresso versus eletrônico". Trata-se, na verdade, da evolução natural entre diferentes gerações de tecnologia e do fortalecimento da auditabilidade pública.

2. Ponto 1: O Voto Impresso Nasceu para Salvar o Eletrônico, Não para Substituí-lo (A Tese Mercury)

Em 1996, a Dra. Rebecca Mercury, especialista em tecnologia, foi convidada para acompanhar as eleições americanas realizadas em equipamentos de 1ª Geração (os chamados DRE Direct Recording Electronic). Nesses sistemas, o voto ficava retido apenas na memória eletrônica interna da máquina por 8 a 12 horas antes de gerar qualquer relatório.

A Dra. Mercury alertou para a ausência de garantias sobre a persistência desse dado em memória, defendendo que o cidadão não deve ser obrigado a depositar fé cega em máquinas ou autoridades. Ao reencontrar a mesma fragilidade na eleição de 2000, ela formulou a famosa Tese Mercury.

"Vocês estão com essa mesma situação? Há quatro anos o modelo foi rejeitado. Não precisamos confiar em equipamento nem em autoridade; precisamos melhorar esse processo." — Dra. Rebecca Mercury

Para fundamentar sua tese, Mercury recorreu ao exemplo dos velhos livros contábeis na junta comercial: o Estado exigia o registro físico em papel porque não confiava na perenidade do dado sob controle exclusivo do empresário, que poderia alterar registros passados para simular prejuízos.

O Estado tirava uma "fotografia" física para garantir a integridade da informação. Da mesma forma, a materialidade do papel surge como uma garantia de persistência para o dado eletrônico, servindo para auditar a escolha do eleitor e salvar o sistema digital, em vez de representar um retrocesso.

Entenda a Evolução Inicial das Gerações:

Primeira Geração (DRE): O voto é gravado apenas na memória eletrônica interna da máquina durante todo o dia de votação.

Segunda Geração (VVPAT): O voto eletrônico ganha o reforço do registro em papel (Voter Verified Paper Audit Trail), criando uma garantia externa e física de persistência do dado digital.

3. Ponto 2: Gravar Votos Como em "Discos de Vinil" – A Solução Física Contra Hackers e Bugs

Diante das discussões públicas entre hackers e autoridades após testes de invasão em urnas eletrônicas, o MIT (Massachusetts Institute of Technology) e o NIST (Instituto de Pesos e Medidas dos EUA) propuseram criar uma camada de imutabilidade física no registro digital.

A meta era fazer com que o dado do voto fosse salvo de uma forma que tornasse matematicamente e fisicamente impossível a sua alteração posterior, seja por um ataque maldoso ou por uma falha de código.

"Lá onde guarda o voto, vamos fazer de tal maneira que, ao ser salvo, você não consegue mais alterar o voto, intencionalmente ou por um acidente. É como se você gravasse o voto num disco de vinil: você não consegue alterar um disco de vinil e colocar uma outra música sem destruir o disco."

Com essa tecnologia de gravação imutável (característica da 3ª Geração), a arquitetura do sistema reage com segurança máxima diante de dois problemas graves:

Um hacker tenta invadir o sistema: O invasor pode até penetrar na rede, mas é incapaz de alterar os votos já gravados, pois a mídia física impede reescritas no dado.

Ocorre um bug no programa: Se uma falha grave corromper o software durante a votação, o registro do voto permanece intacto, pois foi gravado de forma permanente, como se estivesse esculpido em pedra ou em um disco de vinil.

4. Ponto 3: A Virada Alemã – O Cidadão Comum Precisa Ser Capaz de Auditar o Processo (A Era do E2E)

Um marco divisor na história das eleições modernas ocorreu quando a Suprema Corte da Alemanha analisou a constitucionalidade das urnas eletrônicas. O tribunal concluiu que um sistema fechado, onde apenas programadores entendem o que ocorre dentro da caixa preta, fere os direitos democráticos básicos.

Diante disso, a Alemanha baniu completamente a votação eletrônica e retornou à cédula de papel. Essa decisão drástica obrigou a comunidade científica mundial a inovar, acelerando o desenvolvimento de sistemas de 3ª Geração baseados em Verificabilidade de Ponta a Ponta (E2E End-to-End).

Princípio Fundamental Estipulado pela Suprema Corte Alemã:

Um cidadão minimamente alfabetizado deve ser capaz de acompanhar, compreender e participar diretamente da contagem dos votos por conta própria, sem a necessidade de depositar fé cega em especialistas em computação.

A era do E2E consolidou uma transição fundamental: a confiança deixou de ser depositada passivamente na autoridade ou no software da máquina, passando a residir na auditabilidade pública direta do processo.

5. Ponto 4: Onde a Urna Virou uma "Não-Urna" – O Caso da Tecnologia Argentina

Embora a pesquisa sobre novas arquiteturas de votação tenha se tornado um tema proibido na academia brasileira — a ponto de o autor ter sua proposta de pós-graduação sobre urnas eletrônicas rejeitada na UFRJ (Universidade Federal do Rio de Janeiro) por ser um assunto tabu —, conceitos parecidos cruzaram a fronteira.

A empresa argentina vote.ar, liderada pelo desenvolvedor Sérgio, criou um sistema de 4ª Geração onde a máquina deixa de guardar os votos, tornando-se apenas um equipamento auxiliar de votação.

Nesse modelo, o eleitor utiliza uma cédula dupla: um único papel que contém a impressão visual do voto e um chip RFID interno. O voto não fica salvo dentro da memória da máquina; ele fica na mão do cidadão, que o deposita em uma urna física de papelão.

Para eliminar o receio de que o eleitor leve o voto para casa, o fluxo utiliza uma garantia física simples: o cidadão deposita a cédula na urna de papelão na frente do presidente da mesa em troca de receber de volta seu telefone celular e seu documento de identificação.

A eficiência prática dessa arquitetura é impressionante:

A apuração pública e verificação de uma seção eleitoral leva cerca de 14 minutos.

A consolidação de mais de 80% do resultado nacional é alcançada em apenas 1 hora com checagem pública — enquanto o modelo centralizado brasileiro consome de 4 a 5 horas.

Essa tecnologia consolida o eleitor como o primeiro auditor eleitoral.

O Passo a Passo da Votação com Cédula Dupla (RFID Impresso):

O eleitor utiliza a máquina auxiliar para registrar digitalmente no chip RFID e imprimir visualmente seu voto no mesmo papel.

O eleitor confere a impressão e pode aproximar a cédula de um leitor genérico para confirmar se os dados do chip batem com a tela.

O eleitor caminha até a mesa e deposita o papel na urna física de papelão.

O presidente da mesa valida o depósito e devolve o celular e o documento do eleitor.

Na apuração, a leitura eletrônica do RFID é realizada e confrontada imediatamente com a contagem física do papel na frente dos fiscais.

6. Ponto 5: O Paradoxo do Desenvolvedor – Por que o Órgão Eleitoral Não Deve Fabricar a Urna

No Brasil, a tentativa de criar um modelo próprio resultou em uma impressora acoplada atrás de uma janela de vidro. Essa escolha encareceu o equipamento e adicionou uma complexidade mecânica e de engenharia totalmente desnecessária ao aparelho.

Na estrutura do Estado, quem fiscaliza não deve fabricar o produto: o Banco Central não fabrica os caixas eletrônicos dos bancos, e o Ministério do Trabalho não fabrica os relógios de ponto das empresas. Da mesma forma, a Justiça Eleitoral não deveria ser a desenvolvedora do hardware e do software da urna.

Ao perceberem isso, os criadores do sistema vote.ar abriram o código do software e os esquemas do hardware (Open Source). Eles transformaram seu modelo de negócios: deixaram de vender máquinas secretas para vender a gestão do processo eleitoral e suas garantias públicas.

"Você vai tirar dinheiro no caixa eletrônico e quer o dinheiro na palma da sua mão. A auditoria do caixa eletrônico é o dinheiro na sua mão. Se saem os 100 reais que você sacou, não interessa se o equipamento é da IBM ou de outro fabricante; o que garante é a nota na mão. E a mesma coisa é o voto."

Quando o voto impresso e chipado está na mão do cidadão, a marca do equipamento ou o segredo do código-fonte deixam de ser pontos críticos de vulnerabilidade.

7. Conclusão: O Futuro da Democracia Digital Já Foi Inventado

A história da tecnologia eleitoral demonstra que a transição para sistemas com verificabilidade de ponta a ponta eliminou as vulnerabilidades do passado sem a necessidade de inventar "soluções caseiras" e complexas. A tecnologia deve servir como uma ferramenta ágil de apoio, enquanto a transparência e a materialidade física garantem a paz social.

Se o modelo de 4ª geração já provou no cenário internacional que entrega contagem pública, transparência auditável e resultados consolidados em uma hora, por que continuar dependendo da fé cega em um sistema fechado?

A verdadeira segurança eleitoral não nasce do segredo guardado dentro da máquina, mas da transparência colocada na palma da mão de cada cidadão.