Integridade eleitoral exige separação institucional
Quem administra e opera eleições não pode ser juiz dos próprios atos.
“Um sistema de votação cuja integridade dos resultados da eleição dependa intrinsecamente da correção de seu software será sempre, em alguma medida, suspeito.” (Ronald L. Rivest e Madars Virza, Independência de Software Revisitada, 2016). A formulação apresenta natureza estritamente técnica e descreve uma característica estrutural da arquitetura de sistemas eleitorais. Na definição dos autores, um sistema é independente de software quando um erro não detectado em seu software não pode provocar uma alteração indetectável no resultado, isto é, quando a verificação do resultado não depende de confiar no próprio software.
A urna eletrônica brasileira adota o modelo DRE (Registro Eletrônico Direto do Voto), no qual o voto se grava exclusivamente em meio eletrônico. Não ocorre geração de evidência independente do próprio software capaz de demonstrar que os registros refletem a vontade do eleitor. Nessas condições, o resultado passa a depender da correção do código executado. A ausência de instrumentos concretos de auditoria pública baseada em evidência impede a validação externa dos resultados, tornando o sistema dependente de confiança institucional, sem instrumentos de comprovação técnica.
Nas palavras dos próprios autores: “No modelo DRE, é necessário confiar (ou presumir) que o software está correto.” Essa premissa tem consequência jurídica direta. A Constituição Federal não exige apenas que eleições ocorram: exige que o serviço público eleitoral seja prestado com eficiência demonstrável (art. 37) e qualidade adequada (art. 175). No caso das eleições, isso não significa apenas organizar o pleito com regularidade logística. Significa garantir que o resultado proclamado possa ser tecnicamente demonstrado como correto.
Há outra exigência constitucional frequentemente negligenciada nesse debate: o princípio da publicidade, também previsto no art. 37. Publicidade, em matéria eleitoral, não se resume a divulgar boletins de urna após a apuração. Significa que todas as etapas essenciais do processo, como a verificação do voto pelo eleitor, a contagem pública dos votos e a recontagem para auditoria dos resultados, devem ser verificáveis por qualquer cidadão.
No modelo DRE adotado no Brasil, a apuração ocorre inteiramente dentro do software, sem registro físico conferível pelo eleitor. O cidadão comum não tem como verificar, com os próprios olhos, se o voto dado foi o voto registrado e contado. Essa opacidade estrutural contraria o princípio da publicidade. Em 2009, o Tribunal Constitucional Federal da Alemanha declarou inconstitucionais as urnas do tipo DRE precisamente por esse motivo: elas impedem a fiscalização cidadã do processo de apuração, violando o princípio da publicidade das eleições previsto na Lei Fundamental alemã.
Eficiência, em matéria eleitoral, é sinônimo de integridade verificável. Isso exige:
metodologia de auditoria pós-eleitoral (post-election audit) definida previamente e aderente às melhores práticas internacionais;
existência de evidências independentes do software;
cadeia de custódia homologada pela ICP-Brasil;
possibilidade de reprocessamento técnico externo;
contraditório técnico em caso de questionamentos.
Sem esses elementos, o sistema não oferece verificação pública autônoma. Em democracias consolidadas, esse padrão costuma materializar-se por meio de auditorias de risco limitado (risk-limiting audits), desenhadas para, com base em amostragens estatisticamente robustas e em evidência física independente, confirmar ou corrigir o resultado oficial.
O próprio TSE reconhece essa centralização. Em artigo publicado na Revista Eletrônica da Escola Judiciária Eleitoral (nº 6, ano 4), o analista judiciário Rodrigo Coimbra, lotado na Seção de Voto Informatizado do Tribunal, afirma que “Somente um grupo restrito de servidores e colaboradores do TSE tem acesso ao repositório de código-fonte e está autorizado a fazer modificações no software. Uma consequência disso é que o software utilizado nas eleições é o mesmo em todo o Brasil e está sob o controle estrito do TSE.”
Contudo, na ausência de auditoria externa robusta, surge uma consequência adicional: sem independência de software, uma eventual quebra de segurança ou erro interno poderia produzir mudança indetectável no resultado da eleição.
Não se trata de acusação, mas de análise estrutural. O princípio é reconhecido em todas as áreas de infraestrutura crítica. Em sistemas financeiros, aeronáuticos ou nucleares, a governança moderna exige segregação de funções. Quem desenvolve não audita. Quem opera não certifica. Quem administra não julga.
No Brasil, a Justiça Eleitoral acumula funções operacionais, como desenvolvimento tecnológico, execução do processo e totalização, e funções jurisdicionais, como julgamento de recursos e controvérsias. Esse acúmulo cria um conflito de interesses intrínseco: a mesma organização que administra o processo também decide sobre disputas relativas à sua própria atuação.
Organismos multilaterais e códigos de boa conduta em administração eleitoral recomendam a separação funcional entre o órgão responsável pela gestão do processo e as instâncias encarregadas de julgar impugnações. Recomendam, igualmente, a adoção de auditorias pós-eleitorais baseadas em evidência física, aptas a comprovar ou refutar tecnicamente o resultado proclamado.
Integridade eleitoral não é atributo automático de um sistema. É produto de desenho institucional adequado e de arquitetura técnica auditável. Se o sistema não produz evidência suficiente para comprovar seus resultados, a promessa constitucional de eficiência e qualidade permanece incompleta. A confiança pública deve ser sustentada por verificabilidade técnica.
Separar funções operacionais das jurisdicionais e adotar independência de software não enfraquece a autoridade eleitoral. Ao contrário, fortalece sua legitimidade democrática.
Em um Estado de Direito, confiança institucional deve caminhar junto com prova técnica. Separar quem opera de quem julga não é desconfiança: é o padrão mínimo que qualquer democracia exige de seus sistemas críticos.
Referências
Rivest, Ronald L.; Virza, Madars. Software Independence Revisited. Em: Real-World Electronic Voting: Design, Analysis and Deployment. Auerbach Publications, 2016.
https://people.csail.mit.edu/rivest/pubs/RV16.pdfConstituição da República Federativa do Brasil de 1988, arts. 37 e 175.
https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htmCoimbra, Rodrigo Carneiro Munhoz. Por que a urna eletrônica é segura. Em: Revista Eletrônica EJE, nº 6, ano 4. Escola Judiciária Eleitoral, Tribunal Superior Eleitoral.
https://www.tse.jus.br/institucional/escola-judiciaria-eleitoral/publicacoes/revistas-da-eje/artigos/revista-eletronica-eje-n.-6-ano-4/por-que-a-urna-eletronica-e-seguraInstituto Voto Legal. Oportunidades de Melhoria para as Eleições Brasileiras: Governança, Segurança, Certificação, Fiscalização, Apuração, Totalização e Auditorias Independentes. Apresentação ao Senado Federal, 12 de dezembro de 2023.
https://legis.senado.leg.br/sdleg-getter/documento/download/507ca7c7-013d-4037-b3c3-30df14ed7810International IDEA. Electoral Management Design: Revised Edition. Estocolmo: International IDEA, 2014.
https://www.idea.int/publications/catalogue/electoral-management-design-revised-editionComissão de Veneza. Code of Good Practice in Electoral Matters: Guidelines and Explanatory Report. CDL-AD(2002)023rev2-cor. Conselho da Europa, 2002.
https://www.venice.coe.int/webforms/documents/default.aspx?pdffile=CDL-AD(2002)023rev2-cor-eMIT Election Data + Science Lab. Post-Election Audits. Massachusetts Institute of Technology.
https://electionlab.mit.edu/research/post-election-auditsVerified Voting. Risk-Limiting Audits. Verified Voting Foundation.
https://verifiedvoting.org/audits/The Carter Center. Election Obligations and Standards Handbook. 2ª edição, 2023.
https://www.cartercenter.org/publication/election-obligations-and-standards-handbook/Brennan Center for Justice. Post-Election Audits: Restoring Trust in Elections. New York University School of Law.
https://www.brennancenter.org/our-work/research-reports/post-election-audits-restoring-trust-electionsTribunal Constitucional Federal da Alemanha. Decisão BVerfG 2 BvC 3/07, 3 de março de 2009.
https://www.bundesverfassungsgericht.de/SharedDocs/Entscheidungen/EN/2009/03/cs20090303_2bvc000307en.htmlInstituto Voto Legal. Por que a urna eletrônica brasileira é considerada inconstitucional na Alemanha?. Integridade Eleitoral, 11 de maio de 2025.
https://voto.legal/p/por-que-a-urna-eletronica-brasileira