A tecnologia de urnas eletrônicas foi introduzida em eleições nacionais pela Tribunal Superior Eleitoral, a partir da eleição municipal de 1996, quando foi usada apenas em cidades maiores. Seu uso foi expandido em 1998 e 2000, alcançando neste ano a totalidade dos municípios. Sua característica mais marcante é a totalização de votos de uma seção eleitoral realizada pela própria urna eletrônica, que, no final da sessão de votação, emite um relatório (digital e impresso) informando o número de votos dados a cada candidato. Pela sua lógica, a recontagem destes votos não seria necessária, vez que o resultado sairia igual. Portanto, a aplicação da urna eletrônica nacional no estado de Florida sem dúvida simplificaria o processo. Quais então poderiam ser os motivos para não ser usada tal tecnologia em outros países? Será que alguém imagina que apenas os brasileiros são capazes de inventá-la, ou pode ser que tenha sido esquecida alguma coisa essencial nesta solução?

Na verdade, a questão do uso de meios eletrônicos (computadores) na realização de eleições vem sendo estudado em outros países há bastante tempo, sem resultar em sua adoção. Nos EUA, após um processo de avaliação que se estendeu durante 8 anos, a cidade de Nova Iorque resolveu abandonar o projeto de substituir as velhas máquinas de votar mecânicas por novas eletrônicas, pela impossibilidade de atender adequadamente aos requisitos impostos, especialmente na área de segurança (www.seas.upenn.edu:8080/~mercuri/Papers/voteauto.html). Uma lista de requisitos de segurança para votação eletrônica foi publicada em 1993 por Peter G. Neuman, cientista da SRI (www.csl.sri.com/neumann/ncs93.html). Suas conclusões são preocupantes, pois apontam na direção da extrema dificuldade da construção de um sistema puramente eletrônico, que ao mesmo tempo seja confiável e livre de adulteração, sem comprometer o sigilo do voto do eleitor. No fundo, o problema reside na confiabilidade do software instalado nas urnas eletrônicas, que tem que ser livre de erros de implementação, e também livre de subversão por especialistas mal-intencionados que tenham acesso a ele. A princípio, achava-se que o software poderia ser validado apenas por inspeção do seu projeto (seu "código fonte") por auditores externos, mas, num célebre artigo publicado em 1984, Ken Thompson, famoso como um dos criadores do sistema operacional Unix, explica como pode ser introduzido um "cavalo de Tróia" num software, subvertendo sua segurança, sem sequer precisar modificar seu código fonte (www.acm.org/classics/sep95).

No País também existem estudiosos e críticos do processo de votação eletrônica. O sítio www.votoseguro.org, coordenado por Amílcar Brunazo Filho, tem um conteúdo rico em informações e opiniões sobre a automação das eleições nacionais, e sobre os problemas que ainda precisam ser resolvidos. O sítio contém um ponteiro ao Fórum do Voto Eletrônica, um grupo de discussão sobre este assunto. Um ensaio interessante sobre a introdução de votação eletrônica no País, de autoria de Osvaldo Maneschy, um dos membros deste fórum, pode ser encontrado em www.jus.com.br/doutrina/urnael14.html.

As críticas ventiladas neste fórum são uma aplicação dos critérios supracitados do Neuman, acompanhados de propostas práticas para seu saneamento, e são muito bem expostas em artigo do próprio Brunazo, disponível em www.senado.gov.br/web/senador/requiao/aseguran.htm. Neste artigo, vai-se ao cerne do problema de confiança no processo eleitoral. É necessário não apenas ter um sistema seguro, como também poder demonstrar sua segurança. Como Neuman já mostrou que votação puramente eletrônica é intrinsecamente insegura, é necessário complementá-la por procedimentos adicionais para reforçar a confiança.

Brunazo identifica quatro fases no processo de votação: a identificação do eleitor, a votação secreta, a apuração de cada urna, e a totalização dos votos. Na votação tradicional, cada fase é realizada separadamente, e sujeito a controles externos: o eleitor é identificado adequadamente; depois ele verifica que a cédula entregue está em branco, e não pode identificá-lo, mantendo-se assim o anonimato do voto; a apuração da urna é realizada perante os fiscais dos candidatos; e os boletins das urnas são publicados, permitindo a totalização independente dos votos. No atual modelo de urna eletrônica, foram juntadas numa só fase as três primeiras fases do processo manual substituído. Agora o número do título do eleitor é usado como senha para habilitar o uso da urna, ameaçando, potencialmente, o sigilo do voto do eleitor. Em seguida, o eleitor escolhe seus candidatos e confirma esta escolha; e finalmente seu voto é somado aos demais da mesma urna, sendo gerados apenas totais de votos no final da sessão.

O problema fundamental é a correção do software da urna, pois não há nenhuma redundância no sistema que permita validar esta correção experimentalmente. Por exemplo, se tivesse sido introduzido um "cavalo de Tróia" no software da urna para desviar sistematicamente votos de um candidato para outro, não restaria provas que esta falcatrua houvesse ocorrido. A urna poderia dar ao eleitor a confirmação da sua opção, e então dar o voto para outro candidato. A causa deste desvio poderia também ser decorrência de um erro do software. Simplesmente não saberíamos. E o pior disto tudo é que o TSE está nos dizendo, "O sistema é seguro. Confiem em nossa palavra." Esta posição é tecnicamente indefensável, pois depende de uma série de fatores imponderáveis, inclusive a boa fé de pessoas que não sejam juizes nem funcionários desse tribunal. E, infelizmente, há razões de sobra de eleições passadas para ter desconfiança de processos eleitorais. É essencial termos um sistema transparente, onde os processos podem ser sujeitados a uma auditoria satisfatória a eleitores e candidatos.

A proposta do Brunazo para restaurar a confiança nas urnas eletrônicas envolve duas modificações do seu projeto. Primeiro, a identificação do eleitor deveria ser feita da maneira tradicional, de conferência dos documentos contra a listagem dos eleitores, como sempre era feita. A urna deveria ser habilitada para uso sem identificar o votante, e, ao final da escolha do seu voto, a urna deveria imprimir uma cédula com os detalhes deste voto. Após o eleitor ter confirmado que a cédula corresponde à sua escolha, ela seria depositada numa urna tradicional. Em caso de conflito entre o voto impresso e o eletrônico, ambos poderiam ser cancelados e a votação repetida. Note que agora teríamos dois registros independentes da votação nesta seção eleitoral. Em caso de dúvidas sobre o total dos votos eletrônicos, as cédulas impressas poderiam ser recontadas manualmente, ou com o auxílio de leitoras óticas apropriadas. Esta proposta foi incluída pelo senador Roberto Requião no seu projeto de lei PLS 194/99, atualmente em discussão no Senado. O projeto do senador Requião prevê que sejam recontadas manualmente os votos de 3% das urnas, escolhidos ao acaso, para validar os totais eletrônicos. As demais urnas "manuais" teriam a função da caixa preta nos aviões, apenas acionadas em evento de um desastre. Este procedimento deveria reforçar a confiança que as novas urnas não estejam sendo usadas para subverter a democracia.

Para voltar aos problemas de Florida, e especialmente de Palm Beach County, onde foram usadas máquinas de votar mecânicas, que não funcionaram como pretendiam mais de 20.000 eleitores, não há nada que desvirtue mais a inovação tecnológica como dar aos seus usuários um sentimento de impotência e perda de controle sobre sua vida. Isto aconteceu ali, e talvez ainda seja consertado após uma auditoria do que realmente aconteceu. Se tivesse sido usado o modelo atual de urna eletrônica brasileira, não haveria nem como reclamar do resultado. Recontagem de votos não é atraso de vida, é uma parte fundamental do processo democrático.

Michael Stanton (michael@ic.uff.br) é professor titular de redes do Instituto de Computação da Universidade Federal Fluminense.