Por Juscelino Taketomi (*)
A segurança de uma eleição não depende apenas da capacidade de impedir invasões ou proteger computadores. Depende também da possibilidade de verificar, por meios confiáveis e independentes, se os resultados anunciados correspondem aos votos efetivamente registrados pelos eleitores. Essa é uma questão central para qualquer democracia que usa tecnologia na escolha de seus representantes.
O Brasil utiliza urnas eletrônicas há décadas e desenvolveu um sistema próprio de votação, com mecanismos de proteção, fiscalização e auditoria. Os equipamentos não permanecem conectados à internet durante a votação e usam programas específicos, submetidos a procedimentos de segurança e controle da Justiça Eleitoral.
Contudo, existe uma diferença importante entre o modelo brasileiro e o adotado por grande parte das jurisdições eleitorais dos Estados Unidos. O sistema brasileiro não produz uma cédula física individual, conferida pelo eleitor e preservada para uma eventual recontagem independente dos programas da urna.
Isso não significa que as eleições brasileiras sejam fraudulentas, tampouco demonstra que os resultados estejam incorretos. Significa, porém, que existe uma questão técnica legítima sobre o grau de independência das evidências utilizadas para conferir a votação.
O debate precisa superar as disputas partidárias e se concentrar em uma questão fundamental: como permitir que qualquer eleição seja verificada de maneira independente, sem comprometer o sigilo do voto?
Auditoria de uma eleição
Uma auditoria eleitoral não se resume à conferência da soma dos votos. Ela precisa examinar diferentes etapas do processo, desde a identificação do eleitor até a divulgação do resultado final.
É necessário verificar se somente pessoas habilitadas participaram da votação, se as escolhas foram corretamente registradas, se os dados foram preservados, se a apuração ocorreu sem erros e se os resultados transmitidos correspondem aos números efetivamente produzidos nas seções eleitorais.
Uma eleição pode apresentar mecanismos rigorosos de segurança na transmissão e na totalização dos resultados e, ainda assim, oferecer possibilidades limitadas de conferência independente do registro original de cada voto.
Por isso, é importante distinguir duas coisas. Uma é verificar se os arquivos digitais foram preservados e somados corretamente. Outra, mais abrangente, é demonstrar que o equipamento registrou exatamente aquilo que o eleitor escolheu.
A urna brasileira possui mecanismos destinados a cumprir essas funções. Entre eles estão o Boletim de Urna (BU), o Registro Digital do Voto (RDV) e os arquivos de funcionamento dos equipamentos.
O Boletim de Urna apresenta os resultados de cada seção eleitoral e permite confrontar os números impressos com aqueles posteriormente divulgados pela Justiça Eleitoral.
O Registro Digital do Voto armazena os votos digitados, de maneira que não seja possível associar uma escolha à identidade de quem votou. Segundo o próprio Tribunal Superior Eleitoral, os registros são organizados aleatoriamente e utilizados para gerar o boletim da seção.
Os arquivos de funcionamento, por sua vez, documentam operações realizadas pelos equipamentos e podem auxiliar na identificação de comportamentos anormais.
Erro de software
Esses mecanismos são importantes e não devem ser ignorados. Entretanto, existe uma questão técnica: quando diferentes documentos digitais são produzidos pelo mesmo sistema, a conferência entre eles não oferece necessariamente uma evidência independente contra um eventual erro comum de software.
Em outras palavras, se um problema afetar o registro original e os documentos derivados desse registro, a comparação entre esses arquivos poderá não revelar a falha.
É nesse contexto que aparece um conceito importante da segurança eleitoral internacional: a independência em relação ao software, conhecida como software independence.
Um erro não detectado no programa de votação não deveria ser capaz de alterar silenciosamente o resultado de uma eleição sem deixar evidências independentes que permitam identificar o problema.
A Comissão de Assistência Eleitoral dos Estados Unidos (EAC), nas diretrizes Voluntary Voting System Guidelines 2.0, estabelece esse princípio e reconhece dois caminhos técnicos para alcançá-lo: registros físicos verificáveis pelos eleitores e sistemas criptográficos de verificação ponta a ponta.
O que os EUA fazem diferente
É incorreto afirmar que as urnas brasileiras não podem ser auditadas. O TSE prevê diferentes procedimentos de fiscalização, incluindo inspeção dos códigos-fonte, verificação de assinaturas digitais, conferência dos boletins, recontagem dos registros digitais e testes de integridade e autenticidade.
As entidades fiscalizadoras autorizadas podem examinar os sistemas eleitorais conforme os procedimentos estabelecidos pela Justiça Eleitoral. As regras foram atualizadas para as Eleições 2026, entre outras normas, pela Resolução TSE nº 23.758, de 2 de março de 2026.
Um dos mecanismos mais conhecidos é o Teste de Integridade. Nele, votos previamente registrados em cédulas de papel são digitados em urnas selecionadas, permitindo comparar os resultados das cédulas com aqueles contabilizados pelos equipamentos.
No segundo turno das Eleições 2026, realizado em 25 de outubro, o TSE informou que, em um teste realizado nas dependências do próprio Tribunal, foram examinados 389 votos em duas urnas, sem divergências entre os registros em papel e a contabilização eletrônica.
O resultado é uma evidência favorável ao funcionamento dos equipamentos submetidos àquele procedimento. Mas urge compreender seu alcance. Trata-se de um teste realizado em condições controladas, e não de uma recontagem física independente de todos os votos depositados no país.
Também vale registrar que o Brasil possui mecanismos adicionais de auditoria. A possibilidade de recontar digitalmente os votos registrados no RDV e confrontar o resultado com o Boletim de Urna representa um instrumento relevante de fiscalização.
A questão, portanto, não é a inexistência de auditorias, mas a natureza das evidências disponíveis e o grau de independência entre elas.
Nos Estados Unidos, a situação é diferente. O país não possui um sistema eleitoral nacional único. Cada estado e, em muitos casos, cada jurisdição local utiliza equipamentos e procedimentos próprios.
Porém, uma característica amplamente difundida é a preservação de registros físicos dos votos. Segundo a Comissão de Assistência Eleitoral americana, mais de 98% das jurisdições eleitorais já utilizavam sistemas com registros em papel de cada voto em 2025.
Em muitos locais, o eleitor preenche uma cédula física, que posteriormente é lida por equipamentos eletrônicos. Em outros, utiliza uma máquina que imprime um registro em papel, conferido pelo próprio eleitor e preservado para auditoria.
A diferença é significativa. Mesmo que o equipamento eletrônico apresente algum defeito na contagem, os registros físicos podem ser examinados por pessoas e recontados sem depender do programa responsável pela apuração inicial.
Isso não significa que o sistema americano seja infalível. Cédulas podem ser extraviadas, danificadas ou submetidas a falhas de custódia. Equipamentos de leitura também podem apresentar problemas.
O mérito desse modelo está na existência de uma evidência independente que permite conferir os resultados.
A própria EAC, em suas diretrizes VVSG 2.0, reconhece que sistemas eleitorais auditáveis precisam produzir registros capazes de permitir a verificação dos resultados mesmo quando existem falhas nos programas ou nos equipamentos.
É uma diferença de arquitetura tecnológica que merece ser examinada pelo Brasil, sem preconceitos e sem conclusões precipitadas.
Auditar sem identificar o eleitor
A auditoria individual dos registros não exige a identificação de quem realizou cada escolha. O sigilo eleitoral deve ser preservado em qualquer modelo de votação, inclusive naqueles que utilizam registros físicos ou ferramentas criptográficas.
Uma possibilidade seria combinar a votação eletrônica com a impressão de um registro físico, conferido pelo eleitor e depositado automaticamente em um compartimento protegido.
O procedimento poderia funcionar da seguinte maneira: o eleitor escolheria seu candidato na urna, o equipamento produziria um registro em papel, a pessoa conferiria visualmente sua escolha e o documento seria depositado em um recipiente lacrado, sem que pudesse ser retirado ou levado para casa.
Posteriormente, os registros poderiam ser examinados por auditores independentes, confrontados com os resultados eletrônicos e utilizados em recontagens integrais ou estatísticas.
O eleitor não receberia um comprovante que pudesse apresentar a terceiros para demonstrar em quem votou. Essa precaução seria indispensável para evitar a compra de votos e a coerção eleitoral.
Entretanto, existe uma questão jurídica importante. Em 2020, o Supremo Tribunal Federal declarou inconstitucional, por unanimidade, o artigo 59-A da Lei nº 9.504/1997, que previa a impressão do registro de cada voto. Na ADI 5.889, a Corte considerou que o modelo então previsto colocava em risco o sigilo e a liberdade de escolha do eleitor.
Assim, qualquer proposta de implantação de um novo mecanismo de registro físico precisaria enfrentar os fundamentos daquela decisão, demonstrando que a solução preservaria efetivamente o segredo do voto e impediria a vinculação entre o eleitor e sua escolha.
Existe também outro caminho tecnológico: a verificação criptográfica ponta a ponta.
Nesse modelo, mecanismos matemáticos permitem que o eleitor verifique se sua escolha foi corretamente interpretada pelo sistema e se o registro foi incluído na apuração. Auditores também podem examinar provas criptográficas de que a contagem foi realizada corretamente.
O desafio é construir um sistema que ofereça essas garantias sem revelar a escolha individual ou permitir que alguém utilize um comprovante para provar seu voto a terceiros.
A EAC reconhece essa arquitetura criptográfica como uma alternativa à produção de registros físicos verificáveis, desde que sejam utilizados protocolos aprovados e submetidos a avaliação independente.
Outra possibilidade importante é a auditoria com limite de risco, conhecida internacionalmente como Risk-Limiting Audit (RLA).
A metodologia utiliza amostras aleatórias de cédulas físicas para avaliar se o resultado anunciado é compatível com as evidências preservadas. Quando a margem entre os candidatos é pequena, a quantidade de registros examinados tende a aumentar. Se as evidências não forem suficientes, a auditoria pode ser ampliada até chegar a uma recontagem integral.
O MIT Election Lab explica que uma auditoria com limite de risco de 5%, por exemplo, é planejada para apresentar, no máximo, 5% de probabilidade de encerrar a fiscalização sem identificar que o resultado original estava incorreto, observadas as condições estatísticas e operacionais do procedimento.
Isso não significa que exista 5% de probabilidade de fraude ou de erro na eleição. Trata-se de uma medida do risco de a auditoria deixar de corrigir um resultado incorreto.
A metodologia depende de registros confiáveis, seleção aleatória verificável e preservação adequada da cadeia de custódia.
A introdução de registros físicos também exigiria enfrentar problemas de acessibilidade, custos, falhas de impressão, armazenamento, transporte, proteção contra adulterações e procedimentos para solucionar divergências entre os resultados digitais e físicos.
Não bastaria acrescentar uma impressora à urna existente. Seria necessário desenvolver uma arquitetura completa de segurança, fiscalização e preservação do sigilo eleitoral.
Qual o caminho?
O Brasil dispõe de uma estrutura eleitoral consolidada e de mecanismos importantes de fiscalização. Reconhecer isso é fundamental para que o debate seja equilibrado e tecnicamente responsável.
Mas a existência de procedimentos de auditoria não encerra a discussão sobre a qualidade das evidências disponíveis.
Um primeiro passo seria ampliar as possibilidades de conferência independente da totalização. Os Boletins de Urna publicados pelo TSE permitem que pesquisadores, universidades, partidos políticos, instituições e cidadãos interessados reconstruam os resultados por meio de programas independentes.
O procedimento consiste em reunir os boletins, verificar sua autenticidade, conferir sua integridade e somar os votos por seção, município, estado e país. Os resultados podem então ser comparados com aqueles oficialmente divulgados.
Se a soma dos boletins autênticos reproduzir os números anunciados, haverá evidência de que a etapa de totalização correspondeu aos resultados registrados nesses documentos.
Entretanto, essa conferência não demonstra, por si só, que cada escolha individual foi corretamente interpretada e registrada na origem. Para responder a essa segunda questão, seriam necessários mecanismos adicionais de verificação independente.
Um segundo passo seria promover estudos técnicos sobre a viabilidade de registros físicos verificáveis pelos eleitores ou de sistemas criptográficos de verificação ponta a ponta.
Um terceiro seria ampliar a participação de universidades, especialistas em segurança da informação, instituições científicas e entidades fiscalizadoras nos estudos sobre o funcionamento e a auditabilidade das urnas.
Também seria importante estabelecer critérios objetivos para a divulgação dos resultados das auditorias, incluindo a quantidade de equipamentos examinados, os procedimentos utilizados, as limitações encontradas e a abrangência estatística dos testes.
O objetivo não deve ser criar suspeitas sem evidências, mas permitir que dúvidas legítimas sejam respondidas por documentação, procedimentos reproduzíveis e avaliações independentes.
A experiência internacional demonstra que a segurança eleitoral não depende de uma única tecnologia. Depende da combinação entre equipamentos confiáveis, proteção do sigilo, transparência, fiscalização e evidências capazes de confirmar os resultados.
O trabalho de pesquisadores como Ronald Rivest, do Instituto de Tecnologia de Massachusetts (MIT), e as diretrizes técnicas da Comissão de Assistência Eleitoral americana mostram a importância da independência das auditorias em relação aos programas que realizam a votação e a contagem.
Sistema não é perfeito
A conclusão é que o Brasil não precisa escolher entre defender seu sistema eletrônico e discutir seu aperfeiçoamento. As duas atitudes são perfeitamente compatíveis.
A urna eletrônica brasileira possui mecanismos de segurança e auditoria. Contudo, não oferece atualmente uma cédula física individual, conferida pelo eleitor e preservada para uma recontagem independente de todos os votos.
Essa característica não constitui prova de fraude, mas representa uma diferença importante em relação a modelos que preservam evidências físicas verificáveis.
O verdadeiro desafio é construir um sistema no qual qualquer cidadão, partido político ou instituição autorizada possa verificar a correção de uma eleição sem descobrir em quem cada eleitor votou.
Em uma democracia, a confiança não deve depender exclusivamente da palavra de quem administra o processo eleitoral. Deve também estar apoiada em evidências que possam ser examinadas, confrontadas e verificadas de maneira independente.
