Durante os últimos dois anos, foram publicadas neste espaço várias colunas sobre a questão da segurança das urnas eletrônicas adotadas ao longo dos últimos anos, que apresentam a característica feliz de indicar os vencedores do pleito em questão de horas. Para um povo como o brasileiro, tão aficionado de competições esportivas, carnavalescas e semelhantes, cai muito bem a resolução rápida das eleições. E ele também se orgulha do fato do seu país ser o primeiro no mundo a adotar inteiramente uma solução tão moderna como a urna eletrônica quando alguns países do primeiro mundo, como os EUA, utilizam máquinas mecânicas de votar, com os problemas que todos vimos em Flórida na última eleição geral de 2000, enquanto outros não usam automação nenhuma, como é a situação na Europa de modo geral. Entretanto, apesar do aparente sucesso popular desta inovação nacional, não todos aqui estamos confortáveis com o invento, e é preciso explicar mais uma vez porquê.

O assunto já foi tratado em colunas anteriores, por exemplo de 29 de julho e 31 de dezembro , ambos do ano passado. A questão fundamental é que o projeto adotado para a urna não permite que sejam validada a totalização dos votos dados a cada candidato. Quando o eleitor encerra sua utilização da urna, apaga-se o registro individual de como ele votou, mantendo-se apenas a soma de todos os votos dados a cada candidato. Isto torna impossível realizar uma recontagem dos votos, em caso de necessidade.

Por quê a recontagem pode se tornar necessária? Bem, há dois tipos de problema, ambos dos quais afetariam o resultado de uma votação. As urnas são, na verdade, pequenos computadores, bem parecidos internamente aos computadores de mesa encontrados em toda parte. Entretanto, ao invés de usar o sistema Windows e programas como Word e Excel, as urnas usam um sistema chamado VirtuOS, e programas que permitem votar e gravar os resultados do voto em disquete, para posterior remessa ao TRE. Todos sabemos que os programas de computador às vezes não funcionam corretamente, causando o travamento da máquina, ou seu funcionamento errôneo. Isto pode acontecer também ao computador que é a urna, e seria o primeiro tipo de problema mencionado. O segundo tipo de problema é mais sério, pois decorre de uma tentativa de modificar propositadamente o comportamento da urna, para, por exemplo, desviar votos para um candidato ou partido específico. Neste caso, devemos supor que esta modificação não seja a intenção do TSE, necessariamente isento na questão partidária, mas, possivelmente, de uma ou mais das pessoas que tenha tenham acesso privilegiado ao processo de confecção dos programas criados para o TSE, ou, eventualmente, às próprias urnas. No primeiro caso, uma modificação nos programas afetariam um número maior de urnas, pois os programas distribuídos pelo TSE são instalados em todas as urnas. No segundo caso, seria mais trabalhoso efetuar a modificação, e os efeitos seriam mais limitados. Ambos estes problemas causariam o funcionamento incorreto da urna, ou seja, seu funcionamento não seria de acordo com os ditames da lei eleitoral.

Quais as precauções possíveis? O TSE oferece poucas. Primeiro, afirma com toda seriedade que a principal garantia da lisura do processo é sua palavra. Bem, eu não sei qual é o juiz desse tribunal que pessoalmente tem condições de dar esta garantia, pois todo o trabalho especializado é feito por terceiros, ou técnicos do TSE ou de empresas por ele contratadas. Como segunda precaução outorga a fiscais nomeados pelos partidos políticos a inspeção dos programas que devem ser usados no dia da votação. Quase. Na verdade, este ano os partidos somente puderam examinar sem restrição uma parte dos programas usados nas urnas, pois uma outra parte é declarada ser sigilosa (pois utiliza métodos criptográficos secretos, desenvolvidos por uma agência do próprio governo), e o sistema VirtuOS é um produto comercial, e para ter-se acesso a seus segredos os partidos teriam que desembolsar R$ 250.000,00. Para a surpresa de ninguém, nenhum dos partidos quis arcar com esta despesa estapafúrdia.

Mas há outras dificuldades com esta validação dos programas das urnas. Uma destes é garantir que o software inspecionado pelos partidos é o mesmo que acaba sendo usado na urna. É realmente complicado garantir isto num mundo onde não se pode confiar em todas as pessoas que manuseiam as urnas. Tem dois mecanismos usados: um deles gera uma espécie de dígito verificador quando versões executáveis dos programas são criados (na presença dos fiscais dos partidos), e estes poderiam ser conferidos no dia da votação. O outro é lacrar as urnas para impedir interferência física com seu funcionamento interno. Curiosamente, os fiscais do PDT descobriram recentemente que a maneira de montar a caixa da urna permite ter acesso físico à placa mãe e às memórias onde se guardam os programas da urna e os totais dos votos, sem quebrar nenhum dos lacres até então utilizados. Naturalmente o partido entrou com pedido para providenciar maior número de lacres para tornar isto impossível, mas ainda não sei se o TSE pretende tomar alguma providência antes do dia 6 de outubro.

Mesmo se o programa for aquele que foi inspecionado pelos fiscais dos partidos, ainda existe um problema bem mais sério: os cientistas da computação já demonstraram logicamente, e também na prática, que o simples exame de um programa complexo não revela todos os detalhes do seu comportamento na hora da sua utilização. Ou seja, a inspeção dos programas pelos fiscais nunca poderá servir para garantir a lisura da votação. O único remédio conhecido é zelar pelos resultados ao invés do que pelos meios de gerá-los. Em particular, é essencial poder realizar auditoria dos resultados da votação. Isto requer demonstrar que estes resultados podem ser reproduzidos quando computados por pelo menos duas maneiras diferentes. Tradicionalmente, isto envolve a recontagem, por equipes de escrutinadores distintos, dos votos dados em cédulas de papel. Na automação, requeremos algo equivalente.

A solução proposta há alguns anos pelo senador Roberto Requião foi a modificação da urna para também imprimir numa cédula de papel o voto do eleitor. O eleitor verificaria que o voto tenha sido impresso corretamente, e a cédula então seria depositada numa urna "tradicional", sem o eleitor poder tocar nela. (Esta história que a impressora gera um recibo para o eleitor poder levar embora é desinformação espalhada por opositores do projeto do senador.) Posteriormente, poderia ser realizada a recontagem dos votos totalizados por uma urna eletrônica, contando os votos impressos nas cédulas de papel acumuladas na urna "tradicional". A proposta do senador Requião previa que todas as urnas teriam impressoras acopladas, e que seriam sorteadas uma amostra de 3% das urnas para realizar a recontagem e validar o processo. Este sorteio seria realizado depois de encerradas as urnas, ou seja, não seria conhecido antes da votação quais urnas seriam auditadas.

Depois de muita protelação pelo TSE e seus aliados no Congresso da discussão da proposta do senador, que alegaram ter sido uma preocupação desnecessária, o escândalo do painel do senado federal em 2001 forçou o TSE a rever sua posição. Acabou sendo incorporada na lei eleitoral para 2002 uma modificação da proposta da impressora, que escandalosamente teve o efeito de esvaziá-la de qualquer sentido. Alegando economia, o TSE enviou para aprovação pelo Congresso a seguinte variante: o sorteio dos 3% das urnas a serem auditadas seria realizado antes da realização do pleito. Com isto, somente seria necessário colocar impressoras nas urnas sorteadas, economizando o uso "desnecessário" de impressoras nos demais 97% das urnas. Parece ser uma solução razoável, tanto que foi adotada pelo Congresso Nacional. Infelizmente, a prévia determinação das urnas a serem auditadas indica também quais urnas não o serão, e estas seriam candidatas a serem modificadas indevidamente. Tem mais: se a modificação dos programas fosse sistêmica, ou seja, incorporado no programa distribuído pelo TSE, estes programas simplesmente precisariam checar se tem uma impressora acoplada à urna para descobrir se haverá auditoria ou não. Esta checagem é simples de ser feita por um programa.

Enfim, a situação não é das melhores, e tem muita gente infeliz com o desenrolar desta novela. O pior de tudo é que hoje continuamos sem meios de dirimir as dúvidas que estas pessoas têm sobre a lisura do voto. É esta a verdadeira razão pela qual a urna eletrônica brasileira ainda não foi adotada em outros países. Só nos resta a esperança que a vulnerabilidade das urnas não seja aproveitada pelos eventuais interessados em subverter a vontade do eleitorado nesta ocasião.

Para finalizar, cabe tecer alguns comentários sobre o processo de votar do ponto de vista do eleitor. Ao consultar o sítio do TSE (www.tse.gov.br) e descobre-se que lá se encontra os nomes, partidos, pequeno currículo e fotografia de todos os candidatos de todos os partidos para todos os cargos em todos os estados. Passei algum tempo coletando os dados para me ajudar a decidir meu voto. Voto no Rio de Janeiro, que tem, depois de São Paulo, o maior número de candidatos: além dos 6 para presidente, tem 10 para governador, 24 para senador, 601 para deputado federal (um destes acabou assassinado semana passado numa discussão fútil) e 1.327 para deputado estadual. Fiquei abismado ao descobrir que partidos menores como a PRONA têm quase uma centena de candidatos para deputado estadual. Evidentemente alguns destes candidatos sequer teriam aparecido nos programas eleitorais gratuitos. Pergunta-se por que eles concorrem nestas condições tão adversas. Agora tenho apenas um voto a dar para deputado federal e outro para estadual: é preciso escolher duas pessoas em quase dois mil. Não é razoável ter que fazer uma escolha desta natureza, pelo menos se a idéia é ter alguma representatividade do eleitor e responsabilidade do eleito perante o eleitorado. Isto seria mais facilmente realizado com adoção de votação distrital, onde o eleitor elege alguém (uma ou mais pessoas) para representar seu distrito. Cada partido escolheria tantos candidatos quanto existem representantes pelo distrito. No limite, haveria um representante por distrito e apenas um candidato por partido.

Voltando à urna eletrônica, é simplesmente horrorosa a interface oferecida ao eleitor: através de um teclado numérico este precisa digitar (corretamente) o número do seu candidato. A urna, que poderia ajudar o eleitor a identificar seu candidato ao invés disto o obriga a trazer uma lista dos números dos candidatos em que pretende votar. Se errar o número, azar dele (e do candidato). É fácil imaginar uma alternativa melhor, onde o eleitor indica o número ou nome do partido, e então seriam-lhe mostrados os nomes (e fotos) dos candidatos deste partido, para ele poder escolher com maior confiança. É assim que funcionam a maioria de programas de busca usados em computadores hoje em dia, onde a opção é indicada usando um mouse. Uma alternativa ao uso do mouse seriam os botões laterais usados em certos terminais bancários, ou até uma tela de terminal sensível ao toque, que são amplamente conhecidos pela população economicamente ativa.

Enfim, a democracia requer constante aperfeiçoamento. A questão do voto é apenas uma parte disto, embora seja uma parte bastante importante, pois a confiança no processo eleitoral é essencial para o eleitorado passar para o governo e seus representantes eleitos a procuração para agirem em seu nome. Sem esta confiança, é desvirtuada esta procuração.