Sugestões para a Urna Eletrônica 2000

1. Sugestão Principal Resumida

1.1 ADEQUAR A UE2000 ao PROJETO DE LEI DO SENADO - PLS 194/99, de autoria do Senador Roberto Requião, já aprovado pela CCJ do Senado Federal e que encontra-se aguardando votação pelo Plenário.

2. Sugestão Principal Desdobrada

Para se adequar a UE2000 as exigências do PLS 194/99 a urna teria que:

2.1 fazer a identificação do eleitor em terminal NÃO CONECTADO à urna;

2.2 não aceitar a identificação do eleitor em equipamento no qual seja possível gravar a ordem de chegada e de identificação dos eleitores;

2.3 emitir o Registro do Voto (voto impresso) e MOSTRÁ-LO AO ELEITOR para confirmação, antes de depositá-lo na UPD.

3. Justificativa relativa a identificação do eleitor

As sugestões 2.1 e 2.2 acima se justificam pelos seguintes motivos:

Considerando que nas seções eleitorais onde se utilizou a Urna Eletrônica existiam dois processos de identificação do eleitor concorrentes entre si, a saber, a Identificação pela Folha de Votação (lista impressa) e a Identificação Eletrônica;
Considerando que manter estes dois processos sincronizados acarreta um trabalho duplo de identificação;
Considerando que a Folha de Votação é material obrigatório que nunca poderá deixar de existir numa seção eleitoral, pois só nela pode-se acolher a assinatura do eleitor;
Considerando que a Folha de Votação realmente identifica a presença o eleitor pela coleta de sua assinatura, ao contrário da identificação eletrônica da UE96 e UE98 que pode ser burlada por mesários desonestos sem deixar pista pois não acolhe assinatura e não se tem como comprovar se o eleitor esteve mesmo presente ou não;
Considerando que a Folha de Votação permite a identificação e votação de eleitores que não portarem o seu título de eleitor, conforme lhes faculta o Código Eleitoral, o que não era possível apenas com identificação eletrônica nas urnas UE96 e UE98;
Considerando que a Folha de Votação fornece o Comprovante de Comparecimento sem correr risco de falha;
Considerando que a Identificação do Eleitor na Folha de Votação é um procedimento sempre necessário, completo e suficiente;
Considerando que a Identificação Eletrônica do Eleitor é um procedimento incompleto, pois não acolhe a assinatura, não fornece o Comprovante de Comparecimento sem risco de falha e não permite a identificação de eleitores sem o título de eleitor;
Considerando que a Identificação Eletrônica do Eleitor é um procedimento redundante visto que a identificação pela Folha de Votação terá sempre que ser feita:

Conclui-se que:
3.1 a IDENTIFICAÇÃO ELETRÔNICA NÃO É PROCESSO NECESSÁRIO para a identificação do eleitor NEM IMPOSITIVO para o recolhimento do seu voto.

Considerando que a urna eletrônica tem que travar após receber os votos completos de um eleitor para que este não continue votando;
Considerando que a urna eletrônica terá que ser liberada para receber o próximo voto por uma ação do mesário;
Considerando que o MT/UE (terminal do mesário) existe para colher ações e comandos dos mesários;
Considerando que, após a identificação do eleitor, uma senha qualquer de conhecimento do mesário seria suficiente para a liberação da urna para receber o próximo voto;

Conclui-se que:
3.2 NÃO É NECESSÁRIO SE ESCOLHER DO NÚMERO DO ELEITOR como senha de liberação da urna para receber o próximo voto.

Considerando que a identificação do eleitor e a recepção do voto são processos diferentes que não podem se comunicar para que não haja possibilidade de violação do voto;
Considerando que na votação tradicional não se permite que nenhum material ou equipamento contenha simultaneamente o voto e dados que identifique o eleitor, ou seja: a cédula eleitoral (voto impresso tradicional) não pode conter nenhuma identificação do eleitor e o voto não pode ser escrito na Folha de Votação;
Considerando que na UE96 e na UE98 os dados de identicação do um eleitor e seu voto ficam disponíveis simultaneamente num mesmo equipamento de coleta e gravação de dados;

Conclui-se que:
3.3 Por causa da digitação do número do eleitor em terminal CONECTADO nas UE96, UE98 e UE2000, UM PROGRAMA DESONESTO PODE, valendo-se da disponibilidade dos dados, VIOLAR SISTEMATICAMENTE O VOTO.

Considerando que a lei eleitoral prevê duas defesas contra o software desonesto que são: a apresentação dos programas de computador aos partidos políticos e o teste de 3% das urnas prontas antes de serem lacradas.
Considerando que vícios de programação podem ser incluidos em qualquer nível dos programas da urna (BIOS, POST, SO-Virtuos, Gerenciadores de Dispositivos e Aplicativos);
Considerando que nenhum partido político jamais recebeu para análise os programas-fontes completos de tudo que a urna contém (BIOS, POST, SO-Virtuos, Gerenciadores de Dispositivos e Aplicativos);
Considerando que os programas completos das urnas eletrônicas (Software Básico e Software Aplicativo) são bastante extensos e complexos, com a existência de vários módulos independentes mas interligados, para serem analisados de forma consistente em apenas cinco dias (prazo concedido pela lei);
Considerando que vícios de programação podem ser incluidos a qualquer momento nos programas da urna (programas-fonte, compilação, ligação, carga dos programas e carga dos dados);
Considerando que jamais foi dado aos partidos políticos nenhuma forma de garantir que o software analisado por eles é o mesmo que a urna contém;
Considerando que na prática é impossível os partidos terem certeza que os programas e dados contido em cada urna são os mesmos que foram aprovados;
Considerando que não foram feitos (nem existem) testes públicos de funcionamento da urna que possam detectar se haverá a violação do voto;

Conclui-se que:
3.4 NÃO FORAM DADAS AO ELEITOR GARANTIAS REAIS de que o seu voto não será violado pela Urna Eletrônica (contrariando o Art. 61 da lei 9.504/97).

Considerando que a identificação eletrônica CONECTADA na urna, por ser redundante, acarreta o desnecessário trabalho do mesário de fazer dupla identificação (a obrigatória na Folha de Votação e a desnecessária na urna), complicando seu serviço;
Considerando que a identificação eletrônica CONECTADA na urna impede que haja mais de uma urna independente por seção, o que acabou provocando os imensos atrasos no 1º turno da eleição de 1998, uma vez que eleitores mais lentos sempre existirão;
Considerando que a identificação eletrônica CONECTADA na urna obriga que as urnas de reservas tenham que ser especiais para esta função, complicando ainda mais o sistema (e a avaliação do software pelos partidos) e aumentando o custo;
Considerando que a identificação eletrônica CONECTADA na urna cria um enorme trabalho extra de preparação dos FC (discos de memória Flash Card) específicos para cada urna, com os dados exclusivos dos eleitores daquela seção, encarecendo os custos complementares do sistema;
Considerando que uma lista eletrônica com a relação dos eleitores que votaram, para ser utilizada pelos Cartórios Eleitorais atualizarem seus arquivos, pode ser produzida por um sistema de identificação NÃO CONECTADO na urna;

Conclui-se que:
3.5 A identificação eletrônica CONECTADA na urna COMPLICA O SISTEMA SEM LHE TRAZER VANTAGENS.

Resume-se as conclusões 3.1 a 3.5 em:

A identificação eletrônica CONECTADA a urna é um procedimento espúrio que:

é desnecessária para o processo de votação;
trás complicações ao sistema;
cria o risco de violação do voto;
não há garantia REAL contra este risco.

Finalmente, considerando que DESCONECTANDO o procedimento de identificação do eleitor do procedimento de recolhimento do seu voto tem-se uma GARANTIA REAL, sem custo adicional, de que O VOTO NÃO PODERÁ SER VIOLADO, independente da honestidade dos programadores, pois se torna impossível programar a violação do voto, justifica-se as sugestões 2.1 e 2.2.

4. Justificativa relativa impressão do voto

A sugestão 2.3 acima se justifica pelos seguintes motivos:

Considerando que a apresentação das fotos dos candidatos na tela da urna não é garantia de que o voto será computado para tal candidato;
Considerando que é possível a um programa desonesto desviar votos;
Considerando que existem fortes interesses, tanto de origem interna quanto externa ao Brasil, envolvidos numa eleição;
Considerando que tais interresses podem estar sob controle de grupos de forte poder econômico;
Considerando que os programadores da urna eletrônica, que podem introduzir vícios na programação, não são togados, não possuem estabilidade completa de emprego nem nenhuma outra proteção especial contra a pressão econômica;
Considerando que o próprio Secretário de Informática do TSE reconheceu que pode-se fraudar as eleições "subornandos uns 30...";

Conclui-se que:
4.1 O DESVIO DE VOTOS na apuração por vício de programação É UM RISCO CONCRETO, em outras palavras, a apuração na Urna Eletrônica é passível de fraude.

Considerando que a lei eleitoral prevê duas defesas contra o software desonesto que são: a apresentação dos programas de computador aos partidos políticos e o teste de 3% das urnas prontas antes de serem lacradas.
Considerando que vícios de programação podem ser incluidos em qualquer nível dos programas da urna (BIOS, POST, SO-Virtuos, Gerenciadores de Dispositivos e Aplicativos);
Considerando que nenhum partido político jamais recebeu para análise os programas-fontes completos de tudo que a urna contém (BIOS, POST, SO-Virtuos, Gerenciadores de Dispositivos e Aplicativos);
Considerando que os programas completos das urnas eletrônicas (Software Básico e Software Aplicativo) são bastante extensos e complexos, com a existência de vários módulos independentes mas interligados, para serem analisados de forma consistente em apenas cinco dias (prazo concedido pela lei);
Considerando que vícios de programação podem ser incluidos a qualquer momento nos programas da urna (programas-fonte, compilação, ligação, carga dos programas e carga dos dados);
Considerando que jamais foi dado aos partidos políticos nenhuma forma de garantir que o software analisado por eles é o mesmo que a urna contém;
Considerando que na prática é impossível os partidos terem certeza que os programas e dados contido em cada urna são os mesmos que foram aprovados;
Considerando que o teste de funcionamento da urna para verificação da validade de seu funcionamento é feito sobre o aplicativo de simulação (programa especial de teste), que é diferente do aplicativo de eleição (programa real contido na urna no momento de votação e apuração);
Considerando que o software aplicativo de eleição, que faz a apuração real dos votos e que pode desviar os votos se for viciado, nunca foi testado por ninguém externo ao TSE;

Conclui-se que:
4.2 AS DEFESAS LEGAIS contra um software de apuração desonesto, que pode desviar votos, NÃO FORAM COLOCADAS EM PRÁTICA deixando o eleitor sem garantias de honestidade na apuração.

Considerando que a apuração eletrônica dos votos NÃO ELIMINA AS "MÃOS HUMANAS" (dos programadores) do processo de apuração;
Considerando que o Registro de Voto (voto impresso) só tem valor como verdadeiro se for visto e aceito pelo eleitor;
Considerando que a única maneira de conferir a apuração dos votos da urna eletrônica é se somando os votos verdadeiros do eleitor;
Considerando que a UE96 e UE98 não permitiam a conferência da apuração pois não permitiam que o eleitor visse e aceitasse o voto impresso.
Considerando que a conferência e fiscalização da apuração são exigências fundamentais da Democracia, como garantia contra o desvio de votos;

Conclui-se que:
4.3 A UE96, UE98 e a projetada UE2000, que são passíveis de fraude na apuração, NÃO PERMITEM QUE A APURAÇÃO SEJA FISCALIZADA E CONFERIDA, suprimindo etapa essencial para garantir a Verdade Eleitoral.

Assim, para se dar GARANTIA REAL ao eleitor de que o seu voto não será desviado para outros candidatos deve-se permitir a fiscalização e conferência da apuração. A proposta contida no Projeto de Lei PLS 194/99 é de que:

se imprima o voto;
se mostre o voto impresso ao eleitor;
se apure os votos de 3% das UPD (urnas onde se deposita os votos impressos) para conferência;
para cada urna considerada em erro outras 10 deverão ser conferidas,

justificando-se, assim, a sugestão 2.3.