Estudo e trabalho com dados desde 1993. São 28 anos de experiência em tecnologia, algoritmos e processamento de dados. Tempo suficiente para dizer que um sistema eleitoral que se baseia apenas em dados é totalmente falho e sujeito às mais diversas fraudes.

Não é difícil de imaginar: códigos não são transparentes quando compilados para executarem em computadores. Não importa o computador, ele sempre terá processador, memória e algum sistema de armazenamento. Os dados, mesmo que sejam gravados por meio de sistemas de bancos de dados, ficam em arquivos. Esses arquivos podem ser manipulados durante a sua criação, antes de sua criação e após a sua criação. Isso sem falar de possibilidades de fraude na sumarização total de votos. Mas falaremos disso mais adiante.

A solução é uma só: um voto físico, de papel, que possa ser contado posteriormente, de forma aberta ao público, para comparar o que foi impresso com os resultados totais de uma urna. Um único voto diferente é suficiente para identificar fraudes e, potencialmente, anular os resultados de uma única urna.

Mas não é só: a totalização dos votos também precisa de auditoria. Até porque é possível distorcer estatisticamente eleições utilizando operações matemáticas de projeções e construindo sumarizações que “fazem sentido” estatisticamente, mas que não resistem ao teste de uma eleição realmente auditável.

Isso porque, no sistema brasileiro, o tribunal eleitoral permite que se acompanhe a totalização de votos e dá resultado com recortes setoriais do país, dividido em zonas eleitorais. Porém cada zona possui um número grande de seções, de maneira que as distorções precisariam, no fim, alterar os resultados das zonas eleitorais para que a soma total faça sentido.

Porém o que assistimos nas eleições passadas é um exemplo de falta de transparência. Paradas na totalização confusas e o fato de resultados individuais serem liberados posteriormente geram suspeitas. Porque, no fim, se pensarmos que a totalização em tempo real é muito mais fácil de exibir de forma transparente, fica difícil querer totalizar depois.

Cada urna emite um comprovante com os votos totalizados naquela urna. Assumindo que fraudes ocorressem na totalização, e não em cada urna, hoje já é muito fácil fazer uma análise dos comprovantes e dos resultados digitais. Isso hoje não é feito a contento, pois é muito difícil fazer a gestão de todos esses comprovantes hoje. No entanto, se isso fosse feito com uma amostra, já seria possível detectar possíveis erros de totalização no processo.

Como isso não é feito — ou não se conhece quem tenha feito algo simples, mas parecido — então vamos prosseguir para a hipótese de falha na urna. Essas falhas podem ser exploradas de diversas maneiras. Seja no próprio software da urna de fábrica, seja de alguma outra maneira, durante o transporte de urnas, por exemplo. O software malicioso programaria a urna para direcionar os votos em um determinado candidato para outro. Exemplo: direcionar votos do candidato 1 para o candidato 2 na proporção de 1 voto para cada 3 votos. Ou seja, 33% dos votos seriam desviados para o candidato 2 — e o resultado disso não apareceria nos comprovantes impressos ao fim da eleição.

Dessa maneira seria possível virar resultados em várias zonas eleitorais, enquanto em outras, onde a diferença entre o candidato 1 pode ser tão grande em relação ao candidato 2 que 33% não importe, o resultado se apresenta mais apertado, empatado tecnicamente ou algo parecido.

Esse tipo de fraude é a mais perniciosa, pois pode envolver diversos autores, a depender da eleição, para favorecer ou desfavorecer esse ou aquele candidato dado regras como a citada. Fato é que algoritmos podem ser escritos com qualquer tipo de regra, regras condicionais e outros fatores. Como proteger a urna disso? É quase impossível.

Voto impresso e auditável: a única solução para manter nossas liberdades

Evitar, portanto, que softwares maliciosos alterem o resultado pode ser difícil. Mas não é difícil auditar as eleições com o voto impresso.

O comprovante não pode ter horário, nem nenhuma informação sobre o voto. Não deve ter nenhum tipo de QR-Code, pois isso poderia ser usado para fraudar eleições também. O voto do eleitor deve estar impresso de forma visível e legível, sem identifação, sem dados, sem horário da votação. O eleitor deve confirmar o que está vendo e colocar o comprovante (ou os comprovantes, se houver mais de um) nas urnas. O eleitor, naturalmente, não levará o comprovante consigo.

Após o fim das eleições, além do comprovante totalizado emitido pela urna, teremos também comprovantes individuais dos votos. E aí é possível auditar de várias maneiras:

1. Auditar a totalização da urna em comparação com as cédulas individuais
2. Auditar o total da seção com o total computado no TRE
3. Auditar o total do TRE com os totais do TSE

Qualquer discrepância em algumas dessas contagens seria motivo para anular votos de uma seção eleitoral, ou para convocar os eleitores daquela seção novamente. É muito fácil de entender: com comprovação física, fica um pouco mais difícil sequer pensar em fraudes, quanto mais fazê-las.

Da forma como estamos, estamos sujeito à ética de agentes públicos, à falta de segurança da informação, à ação de engenheiros sociais dentro das instituições e à falta de segurança nacional. Quando elegemos quem não é da vontade do eleitor, aumenta o risco de corrupção, de voto de cabresto e de estelionato eleitoral.

Garantir as liberdades, portanto, não será possível com esse sistema. Se ainda hoje não há provas de que o sistema já tenha sido subvertido, está mais do que claro que ele pode ser adulterado a qualquer momento. Não faz sentido algum correr esse risco, já que sabemos que há potenciais autocratas e tiranos disputando votos nas urnas. Não podemos sequer pensar nessa possibilidade. Daí a necessidade do voto impresso o quanto antes.