UM HISTÓRIO DO VOTO IMPRESSO EM URNAS ELETRÔNICAS NO BRASIL[1]

DA INTRODUÇÃO

Este Artigo tem como objetivo descrever, em ordem cronológica, o percurso jurídico, político e técnico da legalização do voto impresso no Brasil após a introdução das urnas eletrônicas de primeira geração (DRE). Ao longo de mais de duas décadas, o Legislativo brasileiro debateu, aprovou e, em diversos momentos, viu suas decisões vetadas ou anuladas por outras instâncias institucionais. As propostas de adoção do voto impresso surgiram não como tentativa de ruptura do modelo eletrônico, mas como um esforço de aperfeiçoamento democrático por meio da criação de mecanismos de verificação pública e de transparência. Destaca-se ainda os limites das barreiras de segurança existentes, os paradoxos institucionais que impedem a auditoria plena do sistema, e os fundamentos técnicos que sustentam a defesa de um escrutínio público verificável, como exigido pelas melhores práticas internacionais em sistemas de gestão de risco.

DE UMA DEFESA DE UM INSTRUMENTO PARA PERMITIR O VOTO IMPRESSO PELA PLENA CONSITITUCIONALIDADE DO SISTEMA ELEITORAL

Os princípios democráticos do sistema eleitoral de uma democracia representativa é o voto secreto e a apuração pública do voto, e sendo pública, deve haver uma base que permita o registro dos votos.

O renomado jurista Modesto Carvalhosa foi muito contundente em esclarecer que não existe democracia onde o escrutínio do voto seja secreto, pois, a contagem secreta de votos afronta um princípio fundamental de qualquer Estado Democrático de Direito: o princípio da publicidade – da transparência. Outrossim, Modesto sempre destacou que os principais problemas da democracia brasileira seriam: o impedimento a candidaturas avulsas; e o escrutínio secreto dos votos[2].

Desta forma, o voto impresso seria nada mais, nada menos do que um instrumento para uma apuração pública do voto, visando o atendimento do princípio da publicidade constitucional que é absoluto no que tange ao escrutínio dos votos.

Carvalhosa (Carvalhosa, 2021[3]), é bem elucidativo:

“A apuração dos sufrágios deve ser pública e materialmente aferível para que se possa, pela contagem aberta dos votos, um a um, detectar fraudes que, se houver, permitem a impugnação e a anulação das votações. A fiscalização é imprescindível, tanto na votação como na sua apuração. A fiscalização abrange a deposição regular do voto, a coerência do mapa e do boletim de urna e a absoluta compatibilidade do número de votos com os boletins de presença. Isso posto, a urna eletrônica, adotada como forma de votação no país, suprime a etapa de escrutínio, impedindo a contagem física e aberta dos votos. O sistema eleitoral eletrônico é passível de todo tipo de fraude, nas suas diversas etapas, seja a receptiva do voto, seja na sua soma ou na sua totalização. E a fraude no sistema pode se dar tanto unitariamente como no conjunto de urnas, e, ainda, focando um determinado segmento da votação (fraude para presidente e não para deputados ou vice-versa). No sistema eletrônico atual não há meios de contrapor os resultados totalizados pelas urnas eletrônicas, do que resulta a quebra frontal do princípio da apuração pública dos votos. Reitere-se que o princípio da publicidade é absoluto no que tange ao escrutínio dos votos. Os dois princípios — voto secreto e apuração pública — se completam. Não há eleição livre e, portanto, legítima, sem que haja a estrita observância desses dois procedimentos. No Brasil, diante da impossibilidade de verificação material do escrutínio eletrônico, o regime eleitoral é antidemocrático, pois o software dos totalizadores está sujeito a todo o tipo de fraude. Não se trata de ataques cibernéticos, mas, pura e simplesmente, de fraude no próprio programa de apuração eletrônica, feita pelos próprios programadores do software. Falta, portanto, o requisito da apuração pública dos votos.”

…

“Em nosso país, o voto é secreto e o escrutínio também é secreto. Não há a contagem aberta dos votos. O único registro se dá através do boletim denominado BU, que é totalizador, suprimindo todas as etapas de verificação e fiscalização do escrutínio. O boletim BU é a antítese do princípio do escrutínio público, materializado pela contraprova, mediante contagem física dos votos. Essa contraprova se dá através da votação em cédula ou pela impressão automática do voto quando o eleitor aperta o botão da urna eletrônica. Sem a apuração pública o sistema eleitoral não é democrático, assemelhando-se às falsas votações que se fazem nas ditaduras, em todo o mundo. Nesses países de tirania, o voto é secreto. Porém, a apuração também é secreta, tal como ocorre entre nós. Não há regime democrático quando os eleitores tomam conhecimento dos resultados somados pelo software sem que haja nenhuma contagem física dos votos depositados. No sistema eleitoral brasileiro, o resultado eleitoral é simplesmente proclamado, sem nenhuma verificação ou fiscalização sobre a formação desses resultados.”

DO PARADOXO DEMOCRÁTICO DA CRÍTICA AO SISTEMA ELEITORIAL POR POLÍTICOS ELEITOS

Um dos argumentos mais recorrentes — e falaciosos — no debate político brasileiro recente é o de que parlamentares não têm legitimidade para criticar o sistema eleitoral que os elegeu. Essa lógica infantil e circular sustenta que, uma vez beneficiado por determinado mecanismo, o eleito estaria proibido de apontar falhas ou propor reformas. Trata-se de um paradoxo antidemocrático travestido de sofisma institucional.

Se levada a sério, essa tese implicaria que qualquer sistema, uma vez implementado, torna-se imune à crítica. O processo eleitoral seria uma espécie de divindade tecnocrática, acima do Parlamento, acima da sociedade, blindada contra o debate público.

No entanto, a essência do sistema democrático é justamente sua capacidade de se autocorrigir por meio do debate, da deliberação legislativa e da fiscalização cidadã. O parlamentar não apenas pode — ele deve questionar as instituições vigentes quando julgar necessário. A crítica institucional de quem foi eleito é o exercício mais legítimo do mandato parlamentar. Afinal, como já observou Thomas Jefferson, “as leis e instituições devem acompanhar o progresso da mente humana”.

Negar isso é congelar o tempo constitucional e transformar as instituições superiores eleitorais em oráculos dogmáticos, o que as permitiriam definir, apenas por decreto, o que pode ou não ser feito com o sistema eleitoral vigente.

Ou seja, se um sistema eleitoral só pode ser alterado por lei, e a lei só pode ser feita pelos congressistas, e os congressistas são eleitos segundo o sistema vigente, então, dizer que os eleitos não podem criticar o sistema que os elegeu é afirmar que o sistema, uma vez implementado, jamais poderá ser modificado.

Trata-se de uma falácia autorreferente que, se levada a sério, congela o sistema democrático e o impede de se aperfeiçoar.

Quem afirma que “se você foi eleito por esse sistema, não pode criticá-lo”, não está defendendo a democracia — está condenando-a à estagnação.

DAS LEIS DO VOTO IMPRESSO

O Congresso Nacional reiteradamente vinha demonstrando o desejo de adotar o registro em papel do voto eletrônico.

A Lei 10.408/02 acabou revogada pela Lei 10.740/03. A Lei 12.034/09 foi declarada inconstitucional. A Lei 13.165/15, a terceira, foi declarada inconstitucional por meio de uma ADI. Por fim, a PEC 135/2019, da Deputada Bia Kicis (PSL/DF), não foi aprovada, inclusive negada por vários políticos que votaram a favor da aprovação da Lei de 2015.

DOS PROJETOS LEGISLATIVOS PARA VOTO IMPRESSO

Houve ao longo do tempo diversos projetos de leis para o voto impresso:

PL 834/1995, do deputado Matheus Schimidt (PDT/RS);
PL 2695/1997, do deputado Edinho Araújo (PMDB/SP);
PL 3069/1997, do deputado João Paulo (PT/SP);
PL 3166/1997, do deputado Nilson Gibson (PSB/PE);
PL 3437/1997, do deputado Saulo Queiroz (PFL/MS);
PL 3447/1997, do deputado Nelson Marchezan (PSDB/RS);
PL 1696/1999, do deputado José Dirceu (PT/SP);
PL 3693/2000, do deputado Pompeo de Mattos (PDT/RS);
PL 5134/2001, do deputado Inocêncio Oliveira (PFL/PE);
PL 5230/2001, do deputado Inácio Arruda (PC do B/CE);
PL 4575/2001, do deputado Vivaldo Barbosa (PDT/RJ);
PL 5470/2001, do senador Roberto Requião (PMDB/PR);
PL 970/2007, da deputada Janete Capiberibe (PSB/AP);
PL 2789/2011, do deputado Lindbergh Farias (PT/RJ);
PEC 135/2019, da deputada Bia Kicis (PSL/DF).

DA LEI n. 13.165, DE 2015 (A ÚLTIMA QUE FOI APROVADA).

A Lei 13.165/2015 instituiu o Registro Impresso do Voto (RIV) acoplado às urnas eletrônicas, com o objetivo de permitir a auditoria pública dos votos registrados digitalmente. O voto seria impresso e depositado automaticamente em urna lacrada; conferido pelo eleitor antes de finalização, sem contato manual — garantias simultâneas do sigilo e da publicidade do escrutínio.

Inicialmente, a medida tenha sido incluída no texto do Projeto de Lei Complementar 75/2015, entretanto, uma comissão do Senado suprimiu o dispositivo atendendo à recomendação do TSE, que apontava os altos custos e dificuldades logísticas. Posteriormente, senadores liderados por Aécio Neves (PSDB‑MG) recuperaram a exigência, insistindo na transparência eleitoral.

A presidenta Dilma Rousseff (PT), a pedido do TSE, vetou; mas em 18 de novembro de 2015, o Congresso derrubou o veto — com votos de 368 deputados e 56 senadores — restabelecendo a implantação do voto impresso para as eleições gerais de 2018. Críticas da imprensa e dos parlamentares favoráveis destacavam que, sem o registro físico, o eleitor não poderia confirmar se o sistema eletrônico contava com fidelidade o voto depositado. Do outro lado, governistas e líderes do PT ressaltavam o impacto orçamentário e os potenciais problemas operacionais apontados pelo TSE.

O TSE, então, planejou a adoção gradual do sistema utilizando módulos impressoras acopláveis (MIV), mas enfrentou atrasos técnicos e questionamentos do TCU sobre a viabilidade da implementação quantitativamente até 2018.

Em 5 de fevereiro de 2018, a procuradora‑geral da República Raquel Dodge ajuizou a ADI 5889 no STF, alegando que o voto impresso feria o princípio da inviolabilidade do voto e constituía retrocesso técnico‑institucional. Em 6 de junho de 2018, o ministro relator Gilmar Mendes deferiu liminar suspendendo com efeitos retroativos o art. 59‑A; decisão confirmada pelo STF que entendeu a norma como inconstitucional por violar o voto secreto. Como resultado, a lei — embora aprovada e sancionada — jamais chegou a ser aplicada nas eleições, estando suspensa desde a decisão judicial.

Destaca-se da referida ADI:

Tese de julgamento

“Lei que determina a impressão de registro do voto, com potencial violação de seu caráter sigiloso e elevado custo de implementação, sem que haja evidências de risco à lisura do processo eleitoral no sistema eletrônico de votação, viola o princípio da proporcionalidade”.

Razões dos vetos

“O Tribunal Superior Eleitoral – TSE manifestou-se contrariamente à sanção dos dispositivos, apontando para os altos custos para sua implementação. A medida geraria um impacto aproximado de R$ 1.800.000.000,00 (um bilhão e oitocentos milhões de reais) entre o investimento necessário para a aquisição de equipamentos e as despesas de custeio das eleições. Além disso, esse aumento significativo de despesas não veio acompanhado da estimativa do impacto orçamentário-financeiro, nem da comprovação de adequação orçamentária, em descumprimento do que dispõem os arts. 16 e 17 da Lei de Responsabilidade Fiscal, assim como o art. 108 da Lei de Diretrizes Orçamentárias de 2015.”

DO PLENÁRIO DE 18 DE NOVEMBRO DE 2015[4] [5]

É interessante observar, no que se refere à eterna polêmica sobre o voto impresso, a mudança radical de opiniões de muitos políticos, que votaram a favor da aprovação da Lei de 2015, mas que foram contra, em 2019, à PEC 135, da deputada Bia Kicis (PSL/DF).

VOTO EM 2015 DO ATUAL SENADOR RANDOLFE RODRIGUES

“Sr. Presidente, transparência nunca pode ser demais. Então, não há argumento factível para mantermos o veto em relação ao voto impresso. Trata-se de um instrumento que melhorará o sistema político e dará transparência aos votos.”

VOTO EM 2015 DO DEPUTADO RODRIGO MAIA

“Presidente, só um minutinho. Apenas para registrar aqui que o Deputado Pompeo de Mattos, na década de 80, na eleição de 1982, quando Brizola foi eleito Governador do Estado do Rio de Janeiro, tratou do caso PROCONSULT, que foi descoberto pelo ex-Deputado e ex-Prefeito César Maia, que assessorava o Governador Brizola à época. Agora, na reforma política, eu relatei a emenda constitucional e o projeto de lei, ocasião em que tive a oportunidade de incluir a questão do voto impresso por ideia proposta e pelo trabalho do Deputado Jair Bolsonaro que, no início deste debate, talvez tenha sido um dos poucos Deputados que acreditaram que nós pudéssemos incluir o voto impresso na emenda constitucional e, depois, no projeto de lei que tive a oportunidade de também relatar. Então, eu quero agradecer ao Deputado Bolsonaro e agradecer ao Plenário. Tenho certeza de que, menos do que uma derrota da Presidente Dilma, a decisão de derrubar o veto do dispositivo que prevê o voto impresso é uma vitória da sociedade brasileira, que pode ter o direito, a partir das eleições de 2018, de recontar os votos de qualquer uma das urnas. Hoje, no Brasil, nós somos obrigados a aceitar o resultado imposto pelas urnas, que são seguras, mas não são infalíveis. Tenho certeza de que o resultado de hoje vai garantir eleições mais seguras e mais democráticas a partir de 2018.”

VOTO EM 2015 DA DEPUTADA JANDIRA FEGHALI

“Sr. Presidente, o PCdoB, há décadas, defende o voto impresso juntamente com o voto eletrônico, porque nenhum sistema é inviolável. Nenhum. E acho que, para o eleitor, é mais seguro ter a comprovação do seu voto em caso de dúvida. Obviamente, nós não temos medo de urna. Não acho que o PT, pelo fato de ter encaminhado, tem medo da urna. Aliás, quem tem medo de urna é quem não quer ganhar a eleição na urna, quer ganhar no tapete. Mas nós aqui temos tranquilidade pelas nossas frequentes defesas do voto impresso. O Deputado Sérgio Miranda, que já nos deixou, sempre fez a defesa do voto impresso quando foi Lider da nossa bancada. E digo o argumento, inclusive, da nossa Presidenta. Ela não vetou pelo conteúdo. A Presidenta atendeu a um pedido do Tribunal Superior Eleitoral, que argumentou com o tamanho dos custos, em uma eleição já no ano que vem, para que haja votos impressos de todos os eleitores. Foi um problema de custos, foi um pedido do TSE, não foi um problema de conteúdo que levou ao veto da Presidenta Dilma. Mas o PCdoB respeita a sua história tradicional de fazer a defesa do voto impresso na comprovação do voto eletrônico que – repito, não é inviolável – e vota “não” pela derrubada do veto.”

DA ADI 5889

“A procuradora-geral da República, Raquel Dodge, ajuizou a Ação Direta de Inconstitucionalidade (ADI) 5889, no Supremo Tribunal Federal (STF), contra o dispositivo incluído na Lei das Eleições (Lei 9.504/1997) pela chamada ‘Minirreforma Eleitoral’ (Lei 13.165/2015), que determina a impressão do registro de cada voto no processo de votação eletrônica. Para Dodge, a reintrodução do voto impresso como forma de controle do processo eletrônico de votação ‘caminha na contramão da proteção da garantia do anonimato do voto e significa verdadeiro retrocesso”

O acórdão que concedeu a liminar possui a seguinte ementa:

“1. A implementação do sistema eletrônico de votação foi valiosa contribuição para assegurar a lisura dos procedimentos eleitorais, mitigando os riscos de fraudes e manipulação de resultados e representando importante avanço na consolidação democrática brasileira. 2. A Democracia exige mecanismos que garantam a plena efetividade de liberdade de escolha dos eleitores no momento da votação, condicionando a legítima atividade legislativa do Congresso Nacional na adoção de sistemas e procedimentos de escrutínio eleitoral que preservem, de maneira absoluta, o sigilo do voto (art. 14, caput, e art. 60, §4º, II, da CF). 3. O modelo híbrido de votação adotado pelo texto Artigo 59-A da Lei 9.504/97 não mantém a segurança conquistada, trazendo riscos à sigilosidade do voto e representando verdadeira ameaça a livre escolha do eleitor, em virtude da potencialidade de identificação. 4. Medida cautelar concedida para suspender, com efeito ex tunc, a eficácia do ato impugnado, inclusive em relação ao certame licitatório iniciado.” (BRASIL. Supremo Tribunal Federal. Medida Cautelar na Ação Direta de Inconstitucionalidade n. 5.889/DF. Rel. Min. Gilmar Mendes, j. 6 jun. 2018, DJE 29 jul. 2020).”

A ADI 5889/STF não apresentou uma linha sobre o princípio da apuração pública de votos que as urnas DRE ultrapassadas não permitem e considerou apenas o risco ao princípio do sigilo do voto. Entretanto, a lei de 2015 garantia a sigilosidade do voto: Lei nº 9.504/1977, Art. 59-A. No processo de votação eletrônica, a urna imprimirá o registro de cada voto, que será depositado, de forma automática e sem contato manual do eleitor, em local previamente lacrado Parágrafo único. O processo de votação não será concluído até que o eleitor confirme a correspondência entre o teor de seu voto e o registro impresso e exibido pela urna eletrônica. (Incluído pela Lei nº 13.165, de 2015).

DA EXPERIÊNCIA MALSUCEDIDA COM O VOTO IMPRESSO EM 2002

A experiência malsucedida com o voto impresso em 2002 é frequentemente usada como argumento contra sua adoção no sistema eleitoral brasileiro. No entanto, os problemas enfrentados naquele pleito não derivaram da ideia em si, mas de um projeto mal concebido, executado sem planejamento, sem capacitação adequada e com falhas graves de comunicação com mesários e eleitores.

A Lei 10.408/2002 previa a instalação de um módulo impressor acoplado às urnas eletrônicas. A operação exigia que uma urna plástica lacrada fosse aberta no início do processo para receber os votos impressos, mas essa orientação não estava devidamente detalhada nos manuais de mesários, gerando confusão e erros de montagem.

Pior: não houve qualquer vídeo institucional de treinamento dirigido ao eleitor explicando o novo processo, nem campanhas televisivas divulgadas nos canais públicos, o que agravou o problema nas seções onde o voto impresso seria aplicado.

O novo sistema exigia uma etapa adicional de interação: o eleitor precisava conferir o papel exibido em visor de acrílico antes que fosse depositado automaticamente. Como isso não foi comunicado com antecedência, muitos eleitores se assustaram quando a tela não mostrava a tradicional mensagem “FIM” ao final do voto. Desinformados, milhares deixaram a seção sem validar a impressão, comprometendo o controle de qualidade do processo.

Em algumas zonas eleitorais, o índice de eleitores que abandonaram a cabine sem confirmar o voto impresso chegou a 60%. O tempo médio de votação aumentou, gerando filas. Em outros casos, falhas mecânicas nas impressoras exigiram a abertura física da máquina por técnicos, o que em alguns momentos expôs o conteúdo dos votos, violando o sigilo — exatamente o oposto do que se pretendia garantir.

Diante desses contratempos, o Tribunal Superior Eleitoral declarou que o voto impresso não agregava segurança nem transparência. Em 2003, o Congresso revogou a obrigatoriedade e instituiu o Registro Digital do Voto (RDV) como alternativa de auditoria digital, mantendo o sistema eletrônico.

DA PEC 135/2019 DA DEPUTADA BIA KICIS

Em 2019, a deputada federal Bia Kicis (PL‑DF) propôs a PEC 135/2019, como resposta à ADI 5889/STF, que havia declarado inconstitucional a lei do voto impresso de 2015 por supostos riscos ao sigilo do eleitor. A PEC 135 buscava assegurar o princípio constitucional da apuração pública e visual dos votos, ainda ausente nas urnas eletrônicas brasileiras do tipo DRE .

A proposta previa que, após o voto eletrônico, a urna emitiria automaticamente uma cédula física — sem qualquer dado pessoal identificável —, conferida pelo eleitor em visor e depositada em urna indevassável. A apuração dos votos ocorreria exclusivamente com base nos registros impressos, utilizando equipamentos que permitissem interpretação visual individual de cada voto

Assim, a PEC 135/19 não representava retrocesso, mas intencionava uma evolução constitucional: conciliava o sigilo do voto com a publicidade do escrutínio, defendida por muitos especialistas, e inclusive enfrentaria a decisão da ADI 5889 ao insistir na auditoria externa independente do TSE — via equipamentos verificáveis como o VVPAT (Voter Verified Paper Audit Trail)

Entretanto, enfrentou forte resistência política e técnica. O vice‑procurador eleitoral Renato Brill de Góes classificou a PEC como “teoria da conspiração” e “negacionismo da tecnologia e ciência da urna eletrônica”. Em junho de 2021, o presidente do TSE, ministro Luís Roberto Barroso, declarou que o voto impresso poderia “potencializar o discurso de fraude” e comparou o processo a um “túnel do tempo” para práticas obsoletas e vulneráveis.

Na comissão especial da Câmara, o relator Raul Henry (MDB‑PE) descreveu que após 25 anos de uso da urna eletrônica, não há confirmação de qualquer fraude, e que a PEC traria riscos logísticos, aumento de custos e potencial de caos operacional em quase meio milhão de seções eleitorais Portal da Câmara dos Deputados.

Por fim, no Plenário da Câmara, o substitutivo que promovia a contagem manual pública dos votos foi rejeitado, e a proposta foi arquivada em agosto de 2021, encerrando sua tramitação sem aprovação.

DA GESTÃO DA SEGURANÇA DAS URNAS

O debate sobre a segurança das urnas eletrônicas no Brasil deve ser abordado tecnicamente, dentro da lógica da gestão de riscos, tal como praticada em sistemas complexos e críticos — a exemplo da aviação civil, da indústria nuclear ou de grandes sistemas de tecnologia da informação. Em todos esses contextos, assume-se uma verdade fundamental: nenhum sistema é imune a falhas. Ou seja, não existe risco zero.

A gestão de risco, conforme estabelecido pela ISO 31000, não busca eliminar os riscos completamente — o que seria tecnicamente impossível — mas sim identificá-los, avaliá-los, tratá-los e monitorá-los continuamente, a fim de reduzir sua probabilidade e impacto a um nível aceitável. Sempre haverá um risco residual, que deve ser conhecido, mensurado e mantido abaixo de um limiar previamente definido.

É essencial, nesse processo, compreender a distinção conceitual entre perigo e risco.

Perigo é uma fonte (objeto, material, situação ou ato) com potencial de causar dano (por exemplo, a possibilidade de adulteração do software da urna).
Risco é o produto da probabilidade de o perigo se concretizar e da gravidade das consequências. Ou seja, o perigo é inevitável; o risco, por sua vez, é administrável e mitigável.

Para reduzir os riscos, a engenharia da segurança emprega barreiras protetivas, que se interpõem entre o perigo e o risco à materialização do dano. Essas barreiras podem ser de três tipos principais:

Barreiras documentais – normas, manuais, instruções, diretrizes operacionais.
Barreiras tecnológicas – sistemas, dispositivos e mecanismos automatizados de controle (ex.: biometria, criptografia, logs, lacres, sensores).
Barreiras humanas e de treinamento – capacitação de operadores, fiscalização, instrução de eleitores e mesários.

Tais barreiras nunca são perfeitas. Há falhas técnicas, desvios humanos, vulnerabilidades de sistema e problemas de implementação. Por isso, a gestão de riscos precisa ser contínua, baseada no Ciclo PDCA (Plan – Do – Check – Act):

Plan (Planejar): identificação e avaliação de riscos, definição de critérios e planejamento das defesas.
Do (Executar): implementação das barreiras e medidas de mitigação.
Check (Verificar): auditorias e revisões dos controles estabelecidos.
Act (Agir): correções, atualizações e melhoria contínua dos processos.

No caso das urnas eletrônicas brasileiras, o tratamento dado a medidas como o Registro Digital do Voto (RDV), os Testes Públicos de Segurança (TPS), a votação paralela, a biometria e os logs da urna tem sido inadequadamente interpretado. Esses elementos são barreiras de controle, úteis como ferramentas de mitigação, mas não substituem o processo de auditoria, nem garantem o risco zero de danos, erros e violações.

Ainda, nesse contexto teórico de gestão de risco, é fundamental compreender que auditoria não é parte das barreiras, e sim uma atividade do Ciclo PDCA de verificação do sistema como um todo, especialmente em caso de necessidade de recontagem ou contestação da legitimidade do processo. Nesse sentido, confunde-se o papel das auditorias com os mecanismos internos de segurança.

E mais grave: chama-se de auditoria externa aquilo que, na prática, é interno. Auditorias realizadas por técnicos contratados pelo próprio gestor do sistema — como o TSE — não podem ser consideradas auditorias externas independentes. Na terminologia internacional e técnica, auditoria externa exige isenção institucional, autonomia operacional, ausência de conflito de interesse e liberdade de acesso irrestrito aos dados e processos.

Ainda, de acordo com as normas ISO, todo processo sujeito a avaliação deve ser passível de auditoria e capaz de produzir evidências objetivas — ou seja, dados verificáveis, independentes e auditáveis que comprovem a conformidade do processo com seus objetivos e requisitos.

Então, deve-se enfatizar, que, quando não há meios de obter evidências, a norma impõe o registro de uma não conformidade. Isso é basilar: a ausência de evidência não é evidência de ausência; é falha sistêmica. Em termos normativos, se não é possível demonstrar conformidade por evidência auditável, há uma não conformidade.

Há, então, um paradoxo na afirmação “nunca houve fraude”. Dizer que “nunca houve fraude” em um sistema que não possui mecanismos para gerar as devidas evidências que possam comprovar a conformidade por verificação externa independente representa um paradoxo técnico e lógico. Segundo os princípios de gestão da qualidade e de controle de risco, não se pode afirmar a conformidade de um sistema com seus requisitos essenciais (ex.: lisura e transparência) sem evidência objetiva, tampouco se pode afirmar a ausência de falha, dano, violação ou fraude se o sistema não permite detecção, rastreabilidade ou auditoria externa autônoma. Assim, o argumento utilizado por autoridades eleitorais — de que a confiabilidade do sistema decorre do fato de que “jamais se comprovou fraude” — é falacioso do ponto de vista técnico, pois não há como comprovar sequer se houve ou não fraude. Trata-se, portanto, de um ciclo vicioso de autojustificação: o sistema não permite um meio eficaz de auditoria, logo não há prova de falhas, logo declara-se que o sistema é confiável. A ausência de rastreabilidade e auditabilidade deve ser tratada como vulnerabilidade crítica.

Por fim, qualquer sistema com pretensão de confiabilidade deve admitir que o risco existe e precisa ser auditável. A recusa em permitir auditoria independente sob a justificativa de que o sistema “é seguro” inverte a lógica da gestão de risco. Não é porque nunca se detectou uma fraude que se pode afirmar que ela não existiu; é justamente por não permitir auditoria externa que o sistema impede a sua própria validação.

DAS BARREIRAS DE SEGURANÇA DAS URNAS

A seguir segue um apanhado do apresentado no Parecer do Relator[6], Dep. Filipe Barros (PSL-PR), na Comissão Especial sobre Cédulas Físicas para Plebiscitos (PEC 135/19) sobre as barreiras utilizadas para a segurança do sistema eleitoral com urnas eletrônicas e suas falhas observadas:

Zerésima e o boletim de urna (BU)

A zerésima e o Boletim de Urna são instrumentos operacionais do sistema eletrônico, utilizados para atestar o início e o encerramento da votação em cada seção. No entanto, por serem gerados internamente pelo software da urna, esses documentos não permitem verificação pública e independente do conteúdo do voto. Não há como auditar se os votos computados correspondem, de fato, à vontade individual de cada eleitor.

Testes Públicos de Segurança (TPS)

Os Testes Públicos de Segurança realizados pelo TSE são frequentemente apresentados como prova de confiabilidade do sistema. Contudo, esses testes ocorrem sob regras e escopo limitados, definidos pela própria autoridade eleitoral. As restrições de acesso, o ambiente controlado e o número reduzido de variáveis testadas impedem que tais eventos sejam classificados como auditorias independentes ou robustas. Dessa forma, os TPS acabam funcionando mais como demonstrações internas do que como avaliações efetivas de vulnerabilidades reais.

Foram 4 edições e em todas surgiu alguma vulnerabilidade afetando importantes propriedades de segurança. Em 2009, um pesquisador independente mostrou como quebrar o sigilo do voto com a captura de frequências de rádio.

No TPS de 2017, duas equipes tiveram sucesso em seus ataques planejados contra o flash de carga das urnas eletrônicas. A equipe da Polícia Federal teve sucesso em obter a chave geral de criptografia dos boletins de urna lendo o conteúdo do flash card nos seus computadores, desmentindo que não poderiam ser lidos em computadores não autorizados. A equipe do Professor Diego Aranha conseguiu produzir software espúrio (adulterado) que foi gravado nas urnas e funcionou sem problemas, burlando todas as alegadas defesas que, segundo os técnicos do TSE, impediriam o seu funcionamento. A equipe demonstrou efetivamente que seu software espúrio funcionava escrevendo na tela da urna uma propaganda de candidato e controlando a gravação do arquivo de log da urna. Ocorre que: (a) a taxa de falso-negativo das eleições é sempre mais alta que o previsto pela fabricante do equipamento; e (b) mesários mal-intencionados continuam usando a possibilidade de liberar a urna através de sua senha, para praticar a fraude do mesário. No caso de ocorrência do falso-negativo, o erro é detectável e pode ser compensado pela liberação do voto pelo mesário. Usando o número de liberações do mesário como métrica, a taxa de falso negativo ocorrida durante a eleição normal pode, portanto, ser determinada pela análise dos arquivos de BU e de LOG das urnas.

No segundo turno de 2014, a taxa de falso-negativo foi de 6,7% similar à eleição de 2010 (7,1%). São valores muito acima do ideal esperado no início do projeto (1%) e que certamente não deveriam ser consideradas como “baixíssimo índice de não reconhecimento das digitais…”

A análise dos arquivos de LOG das 17 urnas com biometria submetidas ao teste de votação paralela revelou a ocorrência de falso positivo em 8 (oito) delas, nas quais se atingiu uma taxa média de 1.41% de falsos-positivos, com um inesperado máximo de 5,85% de falsos-positivos na urna que seria usada na SE 0473 da ZE 0003 de Recife. São números um tanto surpreendentes, muito acima da taxa esperada considerando avaliações similares com o mesmo sistema de software biométrico.

Auditoria dos códigos-fonte

Apesar de se permitir o exame dos códigos-fonte da urna eletrônica por algumas entidades autorizadas, esse acesso é restrito, supervisionado e não permite extração ou análise externa real. Não é possível atestar que o código auditado seja exatamente o mesmo que será executado nas urnas no dia do pleito. Tal limitação compromete a integridade do processo de auditoria e impede a verificação plena por parte de atores independentes. A transparência prometida, na prática, não se realiza de forma substantiva.

São 70 mil arquivos com mais de 17 ou 24 milhões de linhas de código-fonte (conforme a fonte), o que torna impossível na prática qualquer validação real do sistema por um pequeno grupo de técnicos, o que leva a PGR, a OAB e os Partidos a simplesmente ignorarem e abandonarem qualquer esforço técnico de validar o software eleitoral.

A PGR nunca enviou uma equipe técnica para proceder uma validação técnica do software eleitoral apresentado nos termos da lei. Enfim, não é possível tal validação na prática do software eleitoral e ela, de fato, não é feita em nenhuma eleição, existindo apenas teoricamente.

Essas milhões de linhas de código-fonte tornam impossível a validação na prática do software eleitoral e ela, de fato, nunca foi feita em nenhuma eleição, existindo apenas teoricamente.

Lacração do Sistema

O processo de lacração das urnas — ou seja, a assinatura e o armazenamento dos sistemas que serão utilizados no dia da eleição — é promovido pelo próprio TSE, com supervisão institucional limitada. Não há garantia de cadeia de custódia pública, contínua e auditável entre a lacração e o uso efetivo nas urnas. A ausência de mecanismos externos de conferência fragiliza a confiança no sistema, que permanece autocontido e autorreferente quanto à sua segurança.

Todo o conjunto dos softwares usados no sistema eleitoral, consistente de códigos-fonte, códigos compilados e Resumos Criptográficos, são gravados em um DVD que fica guardado na sala-cofre do TSE. A auditoria especial da eleição de 2014, feita a pedido do PSDB, em cujo relatório consta que: os auditores puderam acompanhar a retirada do DVD do cofre do TSE e puderam conferir suas próprias assinaturas manuais nos lacres da embalagem. Posteriormente, os códigos-fonte foram copiados para dez computadores oferecidos pela STI do TSE para uso dos auditores. Porém, logo se constatou que entre os programas-fonte disponibilizados não estavam presentes: a) As bibliotecas de segurança desenvolvida pelo CEPESC/ABIN; b) O BIOS (Basic Input e Output System) desenvolvido pela Diebold, fabricante das urnas; c) O firmware (“firm software”) gravado no circuito MSD de segurança e desenvolvido pela Diebold.”

Votação Paralela

A votação paralela é um procedimento simbólico que simula a votação em urnas sorteadas aleatoriamente. Embora tenha valor demonstrativo, não se presta à verificação de integridade do sistema como um todo, pois envolve número reduzido de urnas, não replica condições reais e não detecta falhas centralizadas no código. Trata-se de um recurso técnico útil para fins didáticos ou ilustrativos, mas incapaz de substituir auditorias amplas e independentes.

No Capítulo VII-A da Resolução TSE 23.550/18, esse teste é chamado de “Auditoria de funcionamento das urnas eletrônicas em condições normais de uso”. Entretanto, as urnas com biometria simplesmente são incompatíveis com a lei que obriga a realização da Votação Paralela. O Sr. Marcos de Almeida Camargo, Perito Criminal da Polícia Federal, e o Sr. Roger Maciel, especialista em auditoria, consultoria e perícia contábil, da empresa Russel Bedford Brasil, quatro vezes contratada pelo TSE para coordenar o teste de Votação Paralela (2012, 2014, 2018, 2020), confirmaram em seus depoimentos à Comissão da PEC 135/19 que um eventual software malicioso carregado nas urnas biométricas sob o teste poderia, em tese, detectar que está sob teste e burlá-lo, abortando a fraude.

Registro Digital do Voto (RDV)

O RDV é frequentemente apresentado como uma alternativa à recontagem física de votos. No entanto, esse registro é gerado e armazenado pela própria urna, sem qualquer elemento físico verificável externamente. Por essa razão, não há garantia de que o RDV reproduza fielmente o voto original do eleitor. O modelo de apuração baseado exclusivamente em registros digitais internos não atende aos padrões mínimos de transparência e rastreabilidade exigidos por sistemas auditáveis.

O problema não é saber se a soma dos RDV é igual ao BU e, sim, se cada voto gravado no RDV é de fato o mesmo que o eleitor viu e confirmou. O arquivo do RDV pode ser solicitado pelos partidos para conferir se a soma dos votos nele gravados é a mesma que aparece no respectivo Boletim de Urna (BU). O eleitor não tem como ver e conferir o que foi gravado no RDV como sendo seu voto. Se o software embarcado na urna for honesto, a gravação do RDV será correta, mas se houver algum software malicioso, o RDV pode divergir do voto visto na tela pelo eleitor. Dessa forma, somar os RDV para conferir com o BU não é suficiente para comprovar se o BU está correto pois o RDV, de onde ele é calculado, pode não estar correto. Em debate após a apresentação com os deputados da Comissão da PEC 135/19, o técnico Rodrigo Coimbra do TSE, que fez uma das apresentações, confirmou que ao eleitor não é permitida a conferência do registro de seu voto no RDV, alegando que o Princípio da Inviolabilidade do Voto significaria que nem o próprio eleitor deve poder conhecer o registro do seu voto.

Lacres físicos

Os lacres físicos aplicados às urnas são medidas de integridade física importantes, mas não infalíveis. Já houve casos documentados de lacres violados sem que isso tenha invalidado os votos ali contidos. Além disso, o volume de urnas utilizadas no país dificulta qualquer verificação física efetiva e generalizada. A existência de lacres, por si só, não garante a inviolabilidade do sistema nem a transparência do processo eleitoral.

O TSE não faz auditorias internas depois da eleição para tentar detectar casos de mesários que eventualmente inserem votos em nome de eleitores ausentes nem para tentar detectar os casos de lacres violados. A qualidade do adesivo dos lacres era inadequada em 86% dos casos. a) lacres com sinal de rompimento – com as letras TSE legíveis no seu fundo; b) lacres descolados ou que se desprendiam com facilidade sem apresentar sinais de rompimento; c) lacres com numeração diferente da que constava no documento de carga. Encontraram-se irregularidades nos lacres em, aproximadamente, 21% das urnas examinadas, que foram devidamente registradas nas atas nos TRE’s.

DAS CONSIDERAÇÕES DO RELATÓRIO DO RELATOR DA PEC135/19

Por fim, para ilustrar esse histórico ainda mais um pouco, seguem várias considerações apresentadas pelo Parecer do Relator, Dep. Filipe Barros (PSL-PR), na Comissão Especial sobre Cédulas Físicas para Plebiscitos (PEC 135/19) sobre as urnas eletrônicas do sistema eleitoral brasileiro.

No sistema atual não há nenhuma garantia ao eleitor de que a sua própria manifestação de vontade esteja, efetivamente, sendo registrada corretamente. Portanto, afirmar que “a urna eletrônica permite a recontagem de votos” é simplesmente uma questão retórica: a urna eletrônica permite a recontagem daquilo que está registrado no RDV. É, contudo, impossível saber o crucial: se a manifestação do eleitor foi registrada corretamente no RDV.

Os tipos de urnas eletrônicas utilizadas no mundo são:

– Urnas de primeira geração (DRE) Os votos são armazenados e contabilizados de maneira puramente eletrônica, impedindo assim qualquer possibilidade de recontagem ou verificação independentemente dos resultados.

– Urnas de segunda geração: VVPA, ou voto impresso conferível pelo eleitor. Os votos são impressos para verificação independente pelo eleitor e apuração posterior, sem, no entanto, funcionarem como comprovantes de suas escolhas.

– Urnas de terceira geração: E2E, ou de verificabilidade fim a fim. Os eleitores podem verificar que seus votos foram registrados e contabilizados corretamente e que todos foram incluídos no resultado final.

Sendo que, dos únicos 36 países que usam urnas eletrônicas, apenas 3, Brasil, Bangladesh e Butão, mantém as urnas DRE, todos os outros evoluíram para as urnas de segunda (VVPT) e terceira gerações (E2E). O Japão abandonou em 2018; a França as utiliza em poucos distritos eleitorais; a Holanda abandonou em 2007; o Reino Unido abandonou em 2013; e nos EUA somente a Louisiana utiliza urnas eletrônicas. As urnas DRE foram consideradas inconstitucionais na Alemanha em 2019 por contrariarem o princípio da natureza pública das eleições, justamente o princípio da apuração pública dos votos, porque o direito ao voto conferível pelo eleitor é único e atende a todos.

Alguns artigos que já analisaram o problema das urnas DRE:

– Registro impresso do voto, autenticado e com garantia de anonimato (https://www.ic.unicamp.br/~dfaranha/artigo-tse.pdf)

– Especialistas em tecnologia dizem que urna eletrônica não é segura (https://www.camara.leg.br/noticias/124146-especialistas-em-tecnologia-dizem-que-urna-eletronica-nao-e-segura/)

– A segurança do voto na urna eletrônica brasileira (https://jus.com.br/artigos/1539/a-seguranca-do-voto-na-urna-eletronica-brasileira)

As urnas DRE de primeira geração que apenas o Brasil, Bangladesh e Butão usam, tem armazenamento eletrônico direto. Os votos são armazenados e contabilizados de maneira puramente eletrônica, impedindo assim qualquer possibilidade de recontagem ou verificação independentemente dos resultados, pois a adulteração não detectada do software causa distorções indetectáveis nos resultados.

CONCLUSÃO

A história do voto impresso no Brasil evidencia uma tensão constante entre o desejo democrático de transparência e auditabilidade e a resistência institucional baseada na confiança cega no sistema eletrônico. As motivações para sua aprovação estiveram sempre atreladas à necessidade de dotar o processo eleitoral de credibilidade verificável, permitindo ao eleitor e à sociedade a fiscalização independentemente dos resultados. Por outro lado, os momentos de rejeição e revogação, como nas decisões do STF sobre a ADI 5889 e na recusa da PEC 135/2019, revelam uma postura centrada em justificativas orçamentárias, logísticas e em um conceito rígido de segurança tecnológica, que desconsidera a fragilidade de barreiras autocontroladas e a ausência de evidência auditável.

O sistema eletrônico de votação, ao prescindir de um mecanismo físico de contraprova, viola a lógica mais elementar da gestão de risco: a de que nenhum sistema é infalível e que sempre há risco residual — o qual precisa ser mensurado, auditado e validado por meios externos ao próprio sistema. As barreiras atualmente utilizadas (como logs, TPS, RDV, biometria e lacres) não parecem ser suficientes para garantir a confiança pública, pois não geram evidência objetiva de conformidade. Segundo as normas da ISO 31000 e ISO 9001, a falta de evidência resulta em uma não conformidade, o que deslegitima a afirmação recorrente de que “nunca houve fraude”. Não é possível provar a ausência de fraude quando não há possibilidade técnica de detecção independente da ocorrência de uma fraude.

[1] Todo o documento e seu histórico foi elaborado considerando os fatos relacionados até a PEC 135/19, utilizando, principalmente, o conteúdo do Parecer do Relator, Dep. Filipe Barros (PSL-PR), na Comissão Especial sobre Cédulas Físicas para Plebiscitos (PEC 135/19).

[2] 1 https://www.youtube.com/watch?v=RErnCBLPaV0

[3] CARVALHOSA, Modesto, 1932- Uma nova constituição para o Brasil: de um país de privilégios para uma nação de oportunidades /Modesto Carvalhosa. São Paulo : LVM Editora, 2021. 480p.

[4] https://www.camara.leg.br/internet/plenario/notas/conjuntas/2015/11/CN1811151130.pdf

[5]https://www.camara.leg.br/presenca-comissoes/votacao-portal?reuniao=62583&itemVotacao=9968&ordenacao=Partido

[6] [6] https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2035049&filename=Tramitacao-PEC%20135/2019