Índice

   Resumo

1. Introdução

2. Os Problemas e as Soluções Propostas

3. A Solução Legislativa

 

Resumo

O Sistema Eleitoral Informatizado brasileiro possui características próprias de projeto que, por um lado, resolveram problemas de segurança que existiam no sistema tradicional mas, por outro lado, o torna vulnerável às modernas fraudes informatizadas.

Neste artigo são apresentados os três principais problemas de segurança e confiabilidade que encontramos no projeto atual da Urna Eletrônica e sugere-se as soluções técnicas necessárias

• Inauditabilidade
• Ameaça ao Sigilo
• Falta de Transparência da Programação

Ao final, é feito um balanço da Lei 10.408 que, aprovada no Congresso Nacional, colocou ordem em muitas das questões ora levantadas, mas somente terá força para as eleições de 2004, e carece de revisão em pontos vitais para de fato garantir a segurança do pleito eletrônico.

 

1. Introdução

O Brasil investiu alto nos últimos anos na montagem de uma sofisticada infraestrutura para a automação do processo eleitoral, tendo atingido na eleição de 2000 a informatização completa do pleito. Os avanços em termos de agilidade e eliminação de antigos vícios da apuração manual são inegáveis. Mas, ao mesmo tempo, novos e graves riscos foram introduzidos.

Talvez por falta de uma legislação mais clara e restritiva, e por ter a Justiça Eleitoral tomado o controle absoluto do processo de votação eletrônica, a nossa festejada Urna Eletrônica acabou por desviar-se do caminho, e incorporou falhas gravíssimas, que chegam mesmo a comprometer a credibilidade e legitimidade das eleições, arranhando seriamente os direitos dos eleitores e candidatos. Em poucas palavras, o resultado da Urna é inauditável, o sigilo do voto individual está ameaçado, e os partidos não tem acesso adequado à programação interna do sistema.

Como a Justiça Eleitoral é, ela própria, a instância a que devem recorrer as partes prejudicadas, estas falhas tem sido ignoradas, criando-se de fato uma situação onde acaba por prevalecer a continuidade do problema

 

2. Os Problemas e as Soluções Propostas

2.1 Inauditabilidade

É direito básico dos candidatos poderem, em caso de dúvida, requerer a recontagem de certas seções eleitorais. Na prática porém, desde 1998, a Justiça Eleitoral inviabilizou por completo tal direito, ao eliminar o comprovante que era impresso voto a voto, e guardado automaticamente num coletor lacrado. Desde então não há mais como fazer-se qualquer verificação. Todos os recursos neste sentido são negados de pronto, com a alegação de que o total de seção está correto, afirmação esta só suportada pela fé inabalável que a Justiça Eleitoral deposita em sua máquina de votar.

Mas sabemos todos que não é bem assim, e que sistemas deste tipo podem conter desde erros involuntários, até fraudes apostas pelo pessoal interno (com ou sem conhecimento superior) ou mesmo serem alvo de fraudes por invasão de agentes externos. Do jeito que funciona hoje a votação com as Urnas Eletrônicas, além de não conseguir demonstrar aos candidatos que o resultado está correto, o TSE não dispõe de qualquer mecanismo eficaz para detectar e alertar de que qualquer destas possibilidades ocorreu em uma dada seção.

As alterações impostas pela Lei 10.408 obrigam a impressão do voto, mas por atraso no trâmite e aprovação desta lei, isto somente será obrigatório em 2004. Nas próximas eleições de 2002 o TSE fará apenas pequeno teste da impressão, em cerca de 5% das urnas.

Indispensável porém a imediata impressão do voto em todas as seções eleitorais, a ser visualizada pelo eleitor antes de apertar o botão "Confirma", sendo o comprovante colhido em recipiente lacrado.

Cria-se assim uma contraprova válida a ser utilizada para recontagem em caso de dúvida, e que serve também como inibidor de qualquer tentativa de fraude eletrônica dos resultados de uma seção, já que a fraude fica passível de detecção. A nova lei prevê que 3% das urnas devam ser obrigatoriamente recontadas, exatamente como mecanismo de controle. Ocorre neste ponto porém outro problema. Emenda de última hora determinou que o sorteio das urnas que serão auditadas (3%) seja feito de véspera, tirando toda a força de auditoria da verificação. As urnas a serem recontadas por amostragem deveriam ser sorteadas após o encerramento da votação e emissão dos boletins de urna, e não antes.

2.2 Ameaça ao Sigilo

Outro problema existente na votação eletrônica, este desde 1996, é a possibilidade de quebra do sigilo do voto individual a partir da digitação do número do título de eleitor na própria urna (o micro-terminal do mesário é conectado à Urna) imediatamente antes do registro de seu voto, sendo mesmo a digitação do título o mecanismo de liberação da Urna para aceitar um voto.

Não se pode deixar o sigilo depender da programação interna da Urna, ou disponível para eventual rastreamento dos registros de votação. Por qualquer destes caminhos, é passível de quebra o sigilo do voto, garantido pela Constituição.

De novo, não adianta a Justiça Eleitoral apenas afirmar que a programação da Urna não faz uso de tal possibilidade. Não pode de forma alguma ser digitado o número do título na Urna, sob pena de colocar em risco de violação o voto secreto. Para maior segurança, não deve ser feita qualquer digitação ou anotação que registre a identificação ou sequer a sequência de votação dos eleitores na seção, mesmo que em outros equipamentos.

Necessário substituir-se, portanto, a digitação do título por simples botão, vinculado ou não a uma senha, que seria acionado pelo mesário após a conferência da documentação do eleitor, com o que se liberaria a Urna Eletrônica para receber o voto de um único eleitor. Esta provisão foi eliminada na votação final da Lei 10.408, e com isto mantida grave ameaça ao sigilo do voto individual.

2.3 Falta de Transparência da Programação

Finalmente, como medida acessória, mas altamente recomendável, surge a questão do amplo acesso dos partidos a programação das Urnas. Não pode haver segredos nesta área, devendo ser garantido aos partidos total acesso aos fontes, compiladores, bibliotecas de rotina, sistema operacional, etc., além da efetiva possibilidade de verificarem se os programas carregados nas Urnas no dia da eleição correspondem exatamente aos que foram examinados previamente pelos partidos, depois de compilados da mesma forma.

Cabe menção especial ao chamado Módulo de Criptografia, desenvolvido pelo Cepesc. Entendemos não caber a alegada necessidade de criptografia dos dados de fechamento da urna para transmissão, dado que são públicos os dados a serem transmitidos, em especial o próprio BU. Pelo contrário estes fechamentos deveriam ser disponibilizados pelo TSE em seu website para que os partidos possam verificar se os resultados que estão sendo totalizados coincidem com os BUs impressos que receberam nas seções.

O exame da programação servirá para dificultar que, abrigados pelo segredo, estes programas possam esconder mecanismos organizados de desvios de votos e alteração de resultados, ou que sejam modificados após o exame pelos partidos. Deve-se destacar porém que, além da natural complexidade de uma exame desta natureza, há uma enorme dificuldade para a fiscalização efetiva da programação em centena de milhares de Urnas espalhadas pelo país.

Alguns eventos, felizmente isolados, de desaparecimento de flash cards originais de seções eleitorais diversas, e ao que consta, mesmo de urnas inteiras, mostra que não há uma segurança física inviolável dos equipamentos e seus dispositivos de memória. Isto é muito grave, mas até compreensível, dado o volume de equipamentos e a dificuldade de garantir o nível adequado de segurança a todos eles. O fato porém reforça a importância de termos no processo de votação os mecanismos de segurança levantados acima, que não dependem apenas da programação, como a auditoria pela cópia impressa do voto, pois é perfeitamente possível que algumas Urnas possam vir a operar com uma programação diferente, seja ação de invasão não autorizada ao sistema, seja por alguma hipotética tentativa de manipulação do sistema por elementos internos, ou mesmo por simples erro involuntário de programação ou de hardware.

Este requisito de transparência da programação e acesso para verificação dos programas carregados, deve ser visto assim como medida acessória de controle. Ele não substitui ou diminui, de forma alguma, a necessidade dos demais controles, em especial a auditabilidade do processo pelo comprovante impresso do voto. Do mesmo modo, a inviolabilidade do sigilo do voto estará melhor guardada pela eliminação da digitação do número do título de eleitor, do que apenas pelo exame minucioso dos fontes tentando garantir que não seja vinculado o voto ao eleitor.

 

3. A Solução Legislativa

Estas medidas referentes ao item 2, absolutamente necessárias para dar legitimidade à votação eletrônica, integraram o Projeto PLS 194/99 do Senador Roberto Requião (PMDB/PR).

Também o Deputado Vivaldo Barbosa (PDT/RJ) apresentou na Camara dos Deputados em abril/2001 o Projeto de Lei PL 4575/01, de orientação semelhante, mas com a inclusão da proposta de transparência contida no item 2.3.

Outros projetos de lei tramitaram no congresso, como o PLS 66/01, do Sen. Geraldo Cândido do PT/RJ, e o PL 1696/99, do Dep. José Dirceu do PT/SP, contemplaram a questão referente à necessidade de transparência da programação.

O PLS 194/99 do Senador Roberto Requião, com as alterações relatadas pelo Senador Romeu Tuma cobria de forma bastante satisfatória os requisitos para dar segurança ao voto eletrônico. O projeto porém, veio a ser aprovado como a Lei 10.408, com a necessária impressão do voto, porém com alterações que tiraram a eficácia de muitos destes mecanismos. Sem falar que sua aplicaçào foi adiada para 2004, após a perda do prazo de um ano das próximas eleições, entre idas e vindas nas gestòes com o TSE.

A revisão dos pontos pendentes, é uma prioridade na defesa da democracia. O ideal a esta altura seria que a Justiça Eleitoral procedesse já em 2002 conforme o espírito da legislação aprovada, mas esta esperança esbarra no fato de que até agora a Justiça Eleitoral tem se mostrado avessa a reconhecer e corrigir por sua própria iniciativa as falhas que vem sendo apontadas desde 1996, quando da primeira eleição com a Urna Eletrônica.

Se assim permanecer, o único recurso disponível é mais uma vez a via legislativa, alterando os pontos que faltam, deixando garantidos em lei, muito claramente, os pontos essenciais do sistema eletrônico de votação e apuração, para termos garantias de que mais adiante não voltem a ocorrer novos descaminhos.

O desafio é conseguir que as próximas eleições agora em 2002 já sejam celebradas com controles adequados para garantir a confiabilidade de seus resultados, conforme relacionados neste trabalho.