Urna eletrônica (Brasil)

No Brasil, a urna eletrônica (denominada originalmente coletor eletrônico de voto) foi implantada em 1996. Acabou com várias das antigas fraudes externas da votação em papel (como o "voto carneirinho", "voto formiguinha", ou votos de protesto realizados em favor de conhecidos animais como o Macaco Tião e a Rinoceronte Cacareco). Apesar de controvérsias sobre seu nível de segurança e a impressão dos votos (ver abaixo), o sistema passa por auditorias antes e depois das eleições e é testado contra hackers periodicamente pelo Tribunal Superior Eleitoral (TSE) e organizações convidadas, sendo que nunca foi comprovada corrupção.

A urna eletrônica registra os votos por meio de um display de cédula eleitoral aliado a componentes mecânicos ou eletro-ópticos que podem ser ativados pelo eleitor (tipicamente botões ou uma tela tátil), processando, assim, os dados por meio de um programa de computador e registrando-os em componentes de memória. O processo de votação ocorre localmente sem conexão à Internet. Já a transmissão dos votos para a central do TSE é feita via internet através de conexão segura.

Ela é composta por dois módulos: o "terminal do eleitor" e o "terminal do mesário". No terminal da mesa receptora, o mesário digita no teclado o número do título do eleitor para verificar se sua situação está regular e ele pode votar. Desde 2010 esse terminal possui um leitor de biometria. Já o terminal do eleitor é a urna propriamente dita, ou seja, é onde o eleitor digita o seu voto.

Após a eleição, a urna produz uma tabulação dos dados de voto armazenados em um componente de memória removível com uma cópia impressa. O sistema também pode fornecer um meio para transmitir boletins de voto ou totais de votos para um local central para consolidar e relatar os resultados regionais. O dispositivo começou a ser utilizado massivamente a partir das eleições municipais de 1996, em 57 cidades do Brasil.

História

Origem

A ideia de urnas eletrônicas firmou-se a partir de pesquisas realizadas pela Justiça Eleitoral para tornar mais fácil o processo de votação e apuração nas eleições, já que, antes da informatização, a votação era realizada por meio de cédulas de papel em urnas de madeira, metal e lona. O eleitor tinha que preencher as cédulas manualmente e a apuração era feita por várias pessoas, e, por isso, demorava dias para ser finalizada.

O Código Eleitoral Brasileiro de 1932 (elaborado durante a ditadura de Getúlio Vargas), em seu artigo 57, já previa o “uso das máquinas de votar”. Muitas tentativas foram feitas até a criação da urna mecânica - precursora da urna eletrônica - por Sócrates Ricardo Puntel, na década de 1960, que inventou um equipamento, chamado de "Máquina de Puntel", que funcionava por meio de duas teclas e duas réguas que indicavam os cargos a serem preenchidos. Apesar de engenhosa, não chegou a ser usada no processo eleitoral.

Em 1978, o Tribunal Regional de Minas Gerais apresentou ao TSE um protótipo para mecanização do processo eleitoral, que também não foi levado adiante. O problema observado foi que ninguém, até então, havia conseguido oferecer um modelo acessível, resistente, facilmente transportável às regiões mais distantes e que assegurasse o sigilo do voto e garantisse uma apuração confiável.

No final da década de 1980 que surgiu a ideia de conceber uma máquina de votar de gravação eletrônica direta do voto - modelo chamado de Direct Recording Electronic (DRE) ou "coletor eletrônico de voto" (CEV) - para ser utilizada nos pleitos eleitorais brasileiros. Em 1982, o então juiz de direito Carlos Prudêncio, realizou a primeira contagem eletrônica de votos. Em 1985, houve a implantação de um cadastro eleitoral informatizado pelo Tribunal Superior Eleitoral (TSE). Até que, em 1989, realizou-se a primeira votação eletrônica válida, na cidade de Brusque, Santa Catarina, com o sistema desenvolvido por ele e seu irmão, Roberto Prudêncio. O modelo utilizado à época funcionava da seguinte forma: em vez de digitar o número dos candidatos numa tela, os eleitores preenchiam uma cédula que passava por um leitor óptico semelhante ao das casas lotéricas. “Depois, o eleitor colocava a cédula já ‘carimbada’ pela máquina numa urna convencional”. Ao final do pleito, para apressar a apuração, os dados registrados pela máquina eletrônica eram encaminhados a um computador central via telefone. As cédulas de papel ficavam armazenadas na urna convencional para eventual checagem em casos de dúvida.

A urna eletrônica como se concebe hoje só foi desenvolvida em 1996 pelas empresas Unysis, Omnitech e Microbase, e utilizada pela primeira vez nas eleições municipais do ano seguinte. Inicialmente chamada de "coletor eletrônico de voto" (CEV), teve como objetivo identificar as alternativas para a automação do processo de votação e definir as medidas necessárias à sua implementação, a partir das eleições municipais de 1996, em mais de cinqüenta municípios brasileiros. Na ocasião somente municípios com um determinado número de eleitores teria votação eletrônica. A única exceção a esta regra era justamente Brusque, que já havia tido eleições digitais anteriormente.

Desenvolvimento

Grupos de engenheiros e pesquisadores ligados ao Comando-Geral de Tecnologia Aeroespacial (CTA) e do Instituto Nacional de Pesquisas Espaciais (INPE) tiveram participação fundamental no projeto da eleição informatizada em grande escala no País. Destacam-se aí o trabalho dos engenheiros Mauro Hashioka (INPE), Paulo Nakaya (INPE), Antonio Esio Salgado (INPE), Oswaldo Catsumi (CTA), Miguel Adrian Carretero (INPE), dentre outros profissionais, pela concepção da segurança do equipamento.

A urna eletrônica que automatizou 100% das eleições, no Brasil, foi desenvolvida, por uma empresa brasileira, a OMNITECH Serviços em Tecnologia e Marketing, entre 1995 e 1996, e aperfeiçoada, em 1997, para o modelo que se tornou o padrão brasileiro, até hoje. O TSE já comprou mais de 500.000 urnas, através de 6 licitações públicas, de 1996 a 2006, de duas empresas americanas de integração de sistemas, a Unisys Brasil, em 1996 e 2002, e a Diebold Procomp, em 1998, 2000, 2004 e 2006. Toda a fabricação da urna eletrônica foi realizada, por empresas de fabricação sob encomenda, a TDA Indústria, a Samurai Indústria, a Flextronics Brasil e a FIC Brasil, subcontratadas, pelas integradoras.^{[carece de fontes?]}

Em 1995, o TSE formou uma comissão técnica composta por pesquisadores do Instituto Nacional de Pesquisas Espaciais (INPE), da Aeronáutica, representada pelo do Departamento de Ciência e Tecnologia Aeroespacial (DCTA), do Exército, da Marinha e do Centro de Pesquisa e Desenvolvimento em Telecomunicações (CPqD), além de especialistas do próprio TSE, com o objetivo de definir uma especificação de requisitos funcionais para a primeira urna eletrônica, chamada então de coletor eletrônico de votos – CEV. Para projetar, desenvolver e fabricar a urna eletrônica para as eleições de 1996, foi aberta uma licitação com o Edital TSE 002/1995, onde concorreram a IBM, que propôs um projeto baseado em um notebook, a Procomp, que apresentou uma espécie de quiosque de auto atendimento bancário e a Unisys, a vencedora da licitação com um design original que se tornou o padrão utilizado até hoje. A Unisys contratou a licença para comercializar ao TSE a urna eletrônica desenvolvida pela OMNITECH.

Em 1997, surgiu o modelo atual da Urna Eletrônica, modelo UE 2000, um aperfeiçoamento da urna original realizado pela OMNITECH, que o Ministério da Ciência e Tecnologia reconheceu que atende à condição de bem com tecnologia desenvolvida no País, através da Portaria Nº 413, de 27 de outubro de 1997.

Disputa judicial pela patente

Em 2002, o engenheiro Carlos Cesar Moretzsohn Rocha entrou na Justiça contra o TSE por entender ser o verdadeiro criador da Urna Eletrônica Brasileira. Carlos Rocha alega que, logo após desenvolver seu sistema, em 1996, entrou com um pedido de patente no INPI (Instituto Nacional de Propriedade Industrial), registrado sob o número PI9601961-1A, mas que, até o ano de 2000, ainda não tinha sido sequer examinado.

A questão toda é que, em 1999, o TSE também entrou com um pedido de patente. Segundo Carlos Rocha, a Procomp - empresa que forneceu as urnas em 98 e 2000 - produziu uma réplica de seu desenho industrial, também sem pagar direitos autorais. O processo corre em sigilo de Justiça, por força de um decreto do então presidente Fernando Henrique Cardoso.

Conforme relata o site Blog dos Inventores:

...logo após assinar o contrato de licença de uso da tecnologia, para a fabricação de urnas, pela empresa Unisys Brasil, em março de 1996, o engenheiro eletrônico formado pelo ITA Carlos Rocha realizou o depósito do pedido de patente de invenção da urna eletrônica brasileira, no INPI, em junho de 1996, para atender aos compromissos definidos, naquele contrato. O pedido foi indeferido em 2001 por não atender aos requisitos legais exigidos para uma patente de invenção. Um recurso foi interposto pelo requerente solicitando conversão do pedido como modelo de utilidade, no entanto em novembro de 2003 o processamento do pedido foi suspenso com base em ação judicial. O INPI contestou, integralmente, o pleito apresentado, pela União, deixando claro que o pedido de patente do engenheiro Carlos Rocha é o único que pode vir a ser aprovado, pelo INPI.

No edital do TSE de dezembro de 95 e no contrato com a Unisys, um artigo determinava a transferência definitiva “dos direitos patrimoniais de autoria” para o TSE. Mas Rocha alega que o texto não impede o registro de sua patente. O contrato do tribunal com a Unisys fala em cessão de direitos autorais “que decorram da utilização direta ou indireta pela Justiça Eleitoral”. No entender de Carlos Rocha, isso seria apenas direito de uso.

Características

A urna eletrônica brasileira é um microcomputador para coleta e apuração de votos da primeira geração, do tipo DRE (de Direct Recording Electronic voting machine), caracterizada pela gravação eletrônica direta sem impressão do voto para conferência do eleitor.

Este tipo DRE de máquinas de votar não atende ao princípio da independência do software em sistemas eleitorais e, por esse motivo, foi descredenciado pela norma técnica para equipamentos eleitorais "Voluntary Voting System Guidelines", que são diretrizes técnicas elaboradas pelo órgãos federais norte-americanos Election Assistance Commission (EAC) e National Institute of Standards and Technology (NIST).

As urnas brasileiras foram desenvolvidas em vários modelos a cada eleição desde 1996, nas seguintes quantidades:

Componentes

Segundo o Projeto Básico do modelo 2010, os componentes principais da urna eletrônica brasileira são:

• Memória: dois cartões de memória flash um interno e outro externo, com os dados idênticos, onde está gravado o sistema operacional, os programas aplicativos, os dados sobre os candidatos e onde os votos vão sendo gravados através de mecanismos de segurança e redundância de forma a tentar dificultar desvio de votos e a quebra do seu sigilo.
• Pen-drive: para gravar o resultado ao final da votação (também chamada de mídia de resultados).
• Módulo impressor: utilizado antes do início da votação para a impressão da "zerésima" e ao final da votação para a impressão do "boletim de urna" (atualmente também são impressos o "boletim de justificativa" e "boletim de identificação dos mesários").
• Terminal do mesário ou microterminal: um pequeno teclado numérico de 0 a 9 com leitor biométrico de impressão digital do eleitor, através do qual o mesário autoriza o eleitor a votar pela digitação do número do título do eleitor. É composto ainda pelas teclas Confirma e Corrige, por uma tela LCD e por luzes de LED que indicam o status da urna (Liberado, Aguarde, e Bateria Interna). Atualmente existe o leitor de identificação biométrica, onde o eleitor deposita sua digital para identificação e liberação da urna para o voto.
• Terminal do eleitor: composto de uma tela LCD e um teclado numérico de 0 a 9 (com informação em Braille e identificação da tecla número cinco, que permite a localização das demais teclas) na cor preta elaborado na mesma disposição do telefone através do qual o eleitor faz sua escolha. Possui ainda as teclas BRANCO (tecla branca), CORRIGE (tecla vermelha) e CONFIRMA (tecla verde).

A versão de 2002 tinha acoplado um módulo impressor que imprimia cada voto, mas o voto impresso foi abandonado por força da Lei 10.740/2003 e só deverá ser reintroduzido a partir de 2014 segundo o Art. 5º da Lei Federal Nº 12.034/2009. Por este motivo, os modelos 2009 e 2010 também já vêm com um encaixe lateral para o Módulo Impressor Externo.

Desde o pleito de 2014, as urnas eletrônicas passaram a oferecer a possibilidade de se utilizar fones de ouvido, para que o eleitor cego ou com deficiência visual pudesse receber sinais sonoros com indicação do número escolhido. O eleitor pode usar o próprio fone ou, quando se tratar de seção especial, o disponibilizado na seção.

Em reforma eleitoral aprovada em 2015, o Congresso Nacional determinou que a partir das eleições de 2018, deveriam ser utilizadas urnas com um novo design para se adaptar ao voto impresso. De acordo com o modelo proposto, quando o eleitor concluísse seus votos, a urna eletrônica iria gerar um papel com os dados de candidatos escolhidos. O comprovante ficaria atrás de uma janelinha de vidro e seria depositado, após a conferência do eleitor, em uma outra urna. Segundo a proposta, os dados só poderiam ser consultados pelo TSE para realização de auditorias. O Design desta nova urna foi chamado de futurístico por alguns, sendo a primeira grande mudança de design da urna em si. Em junho de 2018, porém, o STF (Supremo Tribunal Federal) derrubou esta proposta, por 3 razões: 1- Custo Elevado - O investimento total previsto para 100% das urnas era de R$ 2 bilhões. 2- O uso do voto impresso agregaria ao sistema um novo elemento vulnerável a falhas: a impressora, que é um equipamento eletromecânico. 3- O TSE defende que a intervenção humana, que voltaria com o retorno do voto impresso, aumenta a possibilidade de fraude no processo eleitoral.

Diminuição de votos nulos

Segundo estudiosos da história das eleições no Brasil, a adoção do equipamento gerou um importante impacto na diminuição dos índices de votos nulos no país. Jairo Nicolau, pesquisador do Iuperj, aponta a combinação de altos índices de analfabetismo funcional com uma cédula de votação complexa como uma das responsáveis por números elevados de votos nulos em eleições anteriores à urna eletrônica. Em artigo publicado no jornal Folha de S.Paulo, após a eleição de 1998, o professor destacou que "se produziu, sem muito esforço, uma revolução política no país: milhões de eleitores passaram a ter suas preferências realmente contabilizadas pelo sistema representativo. Não dá ainda para dizer com precisão a magnitude desta revolução, mas o número pode chegar facilmente a 10 milhões de eleitores. Parece pouco, mas aí cabem, somados, os eleitores que foram às urnas nas últimas eleições em Portugal, na Nova Zelândia e na Finlândia”.

Neste mesmo sentido, o professor da Universidade de Brasília, David Fleischer, destacou, em artigo em que comparava resultados das eleições municipais brasileiras de 1982 a 2000, as mudanças ocorridas nos índices de votos nulos: “As diferenças significativas estão nas duas eleições para vereador. Comparado com o pleito de 1996, em 2000 a proporção de votos válidos aumentou de 86,49% para 93,91%, enquanto os votos em branco e nulos diminuíram de 13,51% para 6,09%. Sem dúvida, este fenômeno se deve em grande parte a à utilização da urna eletrônica em todo o Brasil em 2000, enquanto esta técnica foi experimentada em apenas 51 das maiores cidades em 1996.

Versão biométrica

As versões mais recentes, de 2006 a 2010, têm mecanismos acoplados para a identificação da impressão digital do eleitor mas não atendem ao disposto no § 5º do Art. 5º da Lei 12.034/2009, que entrará em vigor em 2014, e que determina que a "a máquina de identificar (o eleitor) não tenha nenhuma conexão com a urna eletrônica". A primeira fase do projeto-piloto de implementação da identificação biométrica foi realizada durante as Eleições Municipais de 2008. O novo sistema foi testado nas cidades de São João Batista (Santa Catarina), Fátima do Sul (Mato Grosso do Sul) e Colorado d'Oeste (Rondônia) utilizando em torno de 100 urnas biométricas.

Devido ao alto custo de aquisição dos equipamentos, a nova sistemática foi adotada de forma gradativa. A segunda fase do projeto, prevista para as Eleições Gerais 2010, abrangerá pouco mais de um milhão de eleitores que tiveram seus dados biométricos cadastrados no início do ano e utilizará em torno de 3000 urnas biométricas. Diferentemente da primeira etapa do projeto, onde o TSE definiu as três cidades pioneiras, a segunda fase é caracterizada pela participação direta dos Tribunais Regionais Eleitorais, que terão que definir os municípios que utilizarão a nova modalidade de voto. O Diretor Geral do TSE em 2007, Athayde Fontoura disse: "Nós não iremos mais trocar o título de eleitor. Quem vai identificar o eleitor agora será a própria urna", o que está em frontal desacordo com o previsto no § 5º do Art. 5º da Lei 12.034/2009.

Além disso, devido ao problema do falso negativo - quando o sistema biométrico falha em reconhecer um eleitor legítimo - as urnas biométricas usadas nas eleições de 2008 e 2010 continuam permitindo, opcionalmente, a autorização para o eleitor votar por meio de uma senha digitada pelo mesário, como explícito no Inciso VIII do Art. 4º da Resolução TSE 22.713 de 2008 que estabelece que "... não havendo o reconhecimento biométrico do eleitor, o presidente da mesa receptora de votos autorizará o eleitor a votar por meio de um código numérico" e nos Incisos X e XII do Art. 2º da Resolução TSE 23.208 de 2010, que diz "não havendo o reconhecimento de nenhuma das digitais... o Presidente da Mesa Receptora de votos autorizará o eleitor a votar por meio de código numérico". Esta possibilidade do mesário liberar o voto por meio de senha própria vai contra o objetivo inicial do projeto de biometria que era impedir que alguém possa votar em nome de outros, porque mantém aberta a possibilidade da fraude do mesário que consiste na inserção de votos em nome de eleitores ausentes.

Testes de invasão

O Tribunal Superior Eleitoral (TSE) realiza testes públicos de segurança das urnas eletrônicas regulares e com técnicos de fora do tribunal. Após os testes, o tribunal apresenta um relatório com as falhas e apresenta as soluções, chamando novamente os técnicos externos para conferir a correção implantada. O presidente do TSE, ministro Dias Toffoli, disse que o "sistema eletrônico de votação é auditável, é verificável." Nos dias que antecedem as eleições, os técnicos do TSE se preparam para serem atacados por hackers de todo o mundo. Segundo o secretário de Tecnologia da Informação do tribunal, Giuseppe Janino, são 200 mil tentativas por segundo de quebrar o sistema de segurança da urna eletrônica, sendo que ninguém nunca conseguiu adulterar o sistema.

O TSE promoveu o primeiro teste controlado de invasão entre 10 e 13 de novembro de 2009, onde impôs uma série de restrições do que os hackers poderiam fazer, ignorando um cenário real onde um hacker pode agir utilizando engenharia social e modificação do hardware. Em resposta a convites do TSE, nove equipes de possíveis hackers com um total de 38 especialistas foram inscritos, na sua maioria funcionários públicos dos quais apenas 20 compareceram, e tentaram quebrar os mecanismos de segurança das urnas eletrônicas. Sete instituições fiscalizaram os trabalhos: Organização dos Estados Brasileiros, Câmara Federal, Exército Brasileiro, Serviço Federal de Processamento de Dados, Tribunal de Contas da União, Federação Nacional de Empresas de Informática e Polícia Civil do Distrito Federal.

Desde 2006, já ocorreram vários testes livres e independentes bem sucedidos de invasão em urnas eletrônicas, como nos Estados Unidos, Paraguai e Países Baixos. O resultados de todos esses testes, livres e restritos, mostra uma total correlação entre o sucesso do teste de invasão e a forma como ele é executado (se livre ou sob restrições e controle do organizador). Em 100% dos testes livres (EUA, Holanda, Paraguai e Índia), obteve-se sucesso na invasão. Até 2010, em 100% dos testes restritos (Índia e Brasil), não havia sido obtido sucesso, indicando que as regras restritivas impostas pelas autoridades eleitorais da Índia e do Brasil afetaram de forma determinística o resultado do teste, provocando o insucesso. As urnas eletrônicas testadas nos Estados Unidos, Holanda e Índia não são do mesmo modelo das urnas eletrônicas brasileiras (Diebold UE2000-2013)) e a urna eletrônica testada no Paraguai (Diebold UE96) já esta fora de circulação.

Cabina de Votação

A cabina de votação é o local reservado da seção eleitoral para que o eleitor exerça, com total segurança, sigilo e inviolabilidade, seu direito de voto na urna eletrônica. Portanto, a Lei Eleitoral proibe ao eleitor entrar, na cabina, com celular, máquinas fotográficas e/ou filmadoras, já que estes equipamentos que possibilitam tirar selfie do voto. Cabe à mesa receptora reter esses objetos enquanto o eleitor estiver votando. A famosa "colinha", entretanto, é liberada, inclusive sendo seu uso recomendado pela Justiça Eleitoral devido ao grande número de candidatos.

No momento da votação só o eleitor poderá estar presente na cabina de votação. Mas se um eleitor tem alguma deficiência ou mobilidade reduzida, poderá ser ajudado por uma pessoa de sua confiança, conforme direito garantido pelo Estatuto da Pessoa com Deficiência.

As medidas supracitadas visam assegurar que o cidadão exerça seu direito de votar nos candidatos de sua preferência, com total liberdade de escolha, sem que haja a mínima possibilidade de identificação do voto dado na urna eletrônica.

Nas Eleições de 2018, a disseminação de supostas filmagens da votação nas urnas eletrônicas ao longo do primeiro turno levou a Justiça Eleitoral a pensar novos mecanismos de fiscalização das eleições, sendo um deles o reposicionamento da cabina de votação nas seções eleitorais.

Testes de Lisura

Preparação das urnas

A preparação das urnas é uma cerimônia pública, aberta aos partidos políticos, Ministério Público e imprensa. Pode ocorrer no TRE ou em cada cartório eleitoral. Essas cerimônias ocorrem sempre simultaneamente. As fotos e os nomes dos candidatos são de responsabilidade dos partidos políticos, que devem entregar esse material presencialmente ou via internet, num aplicativo da Justiça Eleitoral.

Blindagem

As urnas são submetidas a um procedimento da lacração dos sistemas, que consiste numa espécie de blindagem dos programas. Por meio de cálculos matemáticos, os técnicos do TSE extraem o chamado "dígito verificador" desses programas, que dá a garantia de integridade. Em cima desses programas, por meio de certificados digitais, autoridades como presidente o do TSE, e representantes da Procuradoria-Geral da República, da Polícia Federal do Brasil, da Ordem dos Advogados do Brasil (OAB) e de partidos políticos avalizam digitalmente a blindagem de todos os blocos de programas. Já no dia da votação, assim que as urnas são ligadas pela primeira vez, seu sistema estará programado para ler a assinatura digital feita por partidos e entidades. Se a assinatura não confere, a urna não liga. Dessa forma, não é possível colocar a urna para funcionar com um software que não seja o de autoria do TSE. Se a urna está funcionando, quer dizer que ela é exatamente igual à versão que o TSE guardou na sala-cofre.

Dispositivos Físicos

O TSE faz uso de alguns dispositivos físicos e práticas para ter certeza que a Urna Eletrônica Brasileira não foi fisicamente violada, que são:

• Total controle sobre o projeto da urna eletrônica - O TSE tem total controle sobre o projeto da urna eletrônica. Desta forma, uma máquina não pode ser utilizada sem que a Justiça Eleitoral autorize previamente.
• Lacração - Quando a urna está pronta para a votação, ela recebe um lacre de segurança especial fabricado pela Casa da Moeda do Brasil, e um mecanismo que muda de cor em caso de tentativa de manipulação, os quais evidenciam qualquer tentativa de violação.
• Log da urna - Similar a uma caixa-preta de avião. É nele que os eventos são registrados para serem analisados, objetivando identificar as causas de eventuais problemas que possam ter ocorrido durante a votação.
• Isolamento Virtual - A urna eletrônica é totalmente isolada de qualquer rede de dados, seja com fio, seja sem fio. Isso impede qualquer ataque via Internet ou à distância.

Zerésima

A Zerésima é uma etapa do teste de lisura ao qual a Urna Eletrônica é submetida. Trata-se de um relatório impresso imediatamente após o equipamento ser ligado que atesta que cada urna usada no pleito tem zero votos contabilizados e que traz o registro de todos os candidatos que participam da eleição. Este procedimento ocorre por volta de 1 hora antes do início das votações, e é realizado em todas as seções, na presença dos mesários que atuam na seção e de fiscais de partidos políticos que participam das eleições. Ao final da votação ele deve ser assinado pelo presidente de cada mesa receptora, pelos demais mesários e fiscais dos partidos políticos e das coligações que desejarem, e encaminhado para a junta eleitoral mais próxima.

Boletim de Urna

O Boletim de Urna é a segunda etapa do teste de lisura. Assim que encerram-se as votações, o presidente da seção eleitoral deve digitar uma senha na urna para encerrar o pleito eleitoral. Em seguida, uma impressora térmica acoplada à Urna emitirá cinco vias do boletim de urna (BU), que contém os seguintes dados: total de votos recebidos por cada candidato, partido político, votos brancos, votos nulos, número da seção, identificação da urna e a quantidade de eleitores que votaram na respectiva seção eleitoral. Assim como a zerésima, o boletim de urna será encaminhado para a junta eleitoral. O Boletim de Urna é um documento público; desta forma, uma cópia é afixada no local de votação para que qualquer cidadão possa conferir. Além disso, cópias do boletim são garantidas aos fiscais partidários, podendo, ainda, ser entregues aos interessados presentes no momento do fechamento da urna. O papel utilizado no Boletim de Urna é especial, para que os dados impressos nele durem até cinco anos. Em 2016, num teste público realizado pelo TSE, uma equipe de hackers convidada conseguiu descobrir o cálculo do código verificador do boletim de urna e gerar um boletim falso. O TSE, então, mudou a forma de cálculo e aumentou o tamanho do campo verificador.

Registro Digital de Voto (RDV)

O chamado Registro Digital de Voto (RDV) é um arquivo digital produzido por cada urna eletrônica para fazer a apuração dos votos daquela urna. O RDV é inserido numa espécie de pendrive, chamado de "memória de resultado", que, findada a votação, é levado até algum ponto onde haja acesso à intranet da Justiça Eleitoral. Para aumentar a segurança, o arquivo é assinado digitalmente, permitindo que sua veracidade seja checada a posteriori. A assinatura digital de cada voto, obtido mediante a aplicação de sistema de criptografia baseada em tecnologia de chaves assimétricas, conhecido como infraestrutura de chaves públicas, garante a identidade ou autenticação da urna registradora daquele registro digital e até o sigilo daquele registro. Não há possibilidade de identificar o eleitor, uma vez que os votos, à medida que vão sendo registrados, são depositados aleatoriamente na urna eletrônica, impedindo qualquer vinculação entre o voto e o eleitor. Em 2012, num teste público realizado pelo TSE, uma equipe de hackers convidada conseguiu descobrir a ordem dos votos no Registro Digital de Voto. Por conta disso, o TSE corrigiu a rotina de embaralhamento dos votos, e passou a usá-la, desde então. O único ponto de encontro entre essa intranet eleitoral e a internet que todos usam fica no TSE, em Brasília. O tribunal, porém, controla o acesso nos dias de votação. Assim, a internet fica praticamente inacessível no TSE.

Impressão do voto

Para garantir a segurança da votação eletrônica em todo o país, alguns grupos têm sugerido que as urnas eletrônicas brasileiras sejam equipadas com uma impressora para que se possa armazenar os votos em uma listagem que fosse comparada com os dados armazenados eletronicamente, a chamada materialização do voto, passando, assim, a se enquadrar no princípio da independência do software em sistemas eleitorais.

A adoção de um registro físico, como o papel, é recomendada pela Association for Computing Machinery desde 2004, além de prática internacional consolidada e adotada na maioria dos países que utilizam sistema eletrônico de votação.

No entanto, de acordo com o Tribunal Superior Eleitoral (TSE), a impressão dos votos é desnecessária devido ao sistema atual já ser suficientemente seguro, e geraria custos adicionais de cerca de 1,8 bilhão de reais aos cofres públicos.

Segundo especialistas, professores de universidades federais e estaduais e membros do Fórum do Voto Seguro, o voto deveria ser impresso, confirmado na hora pelo eleitor, e descartado logo após a checagem. O eleitor não ficaria com a cópia impressa, ele apenas a conferiria, e a cópia seria depositada automaticamente em uma urna física, sendo que 2% dessas urnas deveria ser checada para uma recontagem por amostragem. Em 2014, o professor Diego Aranha afirmou que o software da urna eletrônica era "comprovadamente inseguro" e por isso seria preciso um mecanismo redundante para verificar se os dados são honestos, o que ocorreria com o registro físico do voto.

Nas eleições de 2002 houve voto impresso, por meio da Lei 10.408/2002. Cerca de 7 milhões de eleitores votaram em urnas com impressão de voto, em todas as seções eleitorais de Sergipe, do Distrito Federal e em mais 73 municípios do país. No entanto, ocorreu um grande número de problemas e falhas, o que acabou fazendo com que a lei fosse revogada e o voto impresso não voltasse a existir no país. Conforme um relatório produzido pela Secretaria de Tecnologia de Informação do TSE, "no caso de uma recontagem, a simples perda de um pedaço de papel poderá causar inconsistências, podendo gerar impugnação da seção eleitoral, criando um novo tipo de vulnerabilidade no sistema". Especialistas da academia alegam que esse problema poderia ser sanado pela adoção da técnica de auditorias de risco limitado.

Para as eleições de 2014 em diante, o artigo quinto da Lei Federal Nº 12.034, de 2009 previa que a urna eletrônica iria imprimir uma cópia física do voto, garantindo maior segurança ao processo eleitoral e respeitando o princípio da independência do software em sistemas eleitorais. A lei foi sancionada pelo então presidente Lula. Porém, o artigo quinto foi considerado inconstitucional por ferir a garantia do voto secreto, e em 2011 o Senado revogou a obrigatoriedade da impressão da cópia do voto.

Em 2015 foi aprovada a Lei nº 13.165/2015, impondo novamente a obrigatoriedade do voto impresso, que deveria ser observável pelo eleitor para confirmação do seu voto, porém sem contato direto, sendo a impressão depositada na urna para posterior comparação com o voto eletrônico caso venha a ser requisitado. Com isto, a urna eletrônica brasileira começou a ser retrabalhada com vistas a substituir aos poucos as urnas antigas a partir das eleições de 2018. Ao final de 2017, o TSE desistiu de iniciar a substituição das urnas eletrônicas para o novo modelo por concluir que o prazo de testes seria muito curto. Em vez disso, resolveu licitar um MIV (módulo impressor de votos) que seria conectado às urnas em uso atualmente. O MIV seria constituído por uma impressora de votos, um visor do voto, um transportador do voto e uma UPD (urna plástica descartável). O módulo impressor foi desenvolvido pela empresa Quattro Eletrônica.

No entanto, em junho de 2018, o STF suspendeu o início da implantação do voto impresso no pleito que seria realizado no mesmo ano, por entender que haveria risco para o sigilo do voto. Especialistas da academia afirmam que uma implementação gradual e cuidadosa, a ser iniciada em pleitos posteriores, não traria esse risco.

Renato Ribeiro, advogado, professor universitário e doutor em direito pela USP, aponta que um grande problema da impressão de votos na urna eletrônica seria que "nós evidentemente não teremos câmeras para verificar em quem o eleitor votou. Então, você cria a possibilidade de pessoas má intencionadas votarem em um candidato e afirmarem que na impressão saiu o nome de outro. Isso coloca em dúvida milhares de urnas, cria uma brecha para a criatividade de ilícitos e causa tumulto nas eleições". No entanto, prática similar foi utilizada por pessoas má intencionadas para colocar em dúvida as eleições de 2018, mesmo que o referido pleito não tenha adotado o voto impresso.

Ao longo de 2021, o presidente Jair Bolsonaro fez questionamentos sobre a confiabilidade da urna e acusações de fraude eleitoral sem a demonstração de provas e, para tentar dar embasamento a suas ações, pregou pela implementação do voto impresso. Isso levou à votação uma Proposta de Emenda Constitucional sobre o assunto (PEC 135/2019), criada pela deputada Bia Kicis e relatada pelo deputado Filipe Barros. Ao longo de sua tramitação, o texto da PEC foi modificado para exigir a contagem pública de todos os votos impressos, o que impossibilitaria o uso da técnica de auditoria de risco limitado defendida pelos especialistas da academia. A proposta foi rejeitada pela Câmara.

Relatórios

Relatórios técnicos que analisam a questão da segurança e confiabilidade das urnas eletrônicas brasileiras foram produzidos desde 2002 pelas seguintes instituições:

• Relatório Unicamp (2002), encomendado pelo TSE e assinado por oito professores-doutores da Universidade Estadual de Campinas (Unicamp), concluiu que "o sistema eletrônico de votação atende às exigências fundamentais do processo eleitoral, ou seja, o respeito à expressão do voto do eleitor e a garantia do seu sigilo." Ao longo do relatório, os pesquisadores de Campinas afirmaram (seção 6., pág 45) que o sistema é "confiável" e "robusto". Os quesitos que foram apresentados pelos assistentes técnicos do Senado não foram respondidos pelos autores e, em seu final, o Relatório Unicamp apresenta 8 sugestões de aperfeiçoamento da segurança do sistema (seção 5., pág 37) sendo que justamente a sugestão para dar independência aos fiscais na conferência do software instalado (seção 5.5, pág 41), nunca foi atendida pelo TSE. Por estes motivos, o Relatório Unicamp é, desde então, é uma das referências mais polêmicas para o estudo do tema "segurança das urnas eletrônicas", tendo recebido diversas críticas, por suas ambiguidades e contradições.

• Relatório COPPE (2002), encomendado pelo Partido dos Trabalhadores a quatro professores da Fundação Coordenação de Projetos, Pesquisas e Estudos Tecnológicos (COPPETEC) da Universidade Federal do Rio de Janeiro (UFRJ) para, com a devida permissão do TSE, avaliar o software usado nas urnas eletrônicas em 2002. Entre as conclusões desse estudo, consta (seção III.1, pág 9) que "foi utilizado um processo de desenvolvimento de software bastante ad-hoc e imaturo, o que em geral conduz a produtos de qualidade imprevisível" e que "não se pode fazer afirmativas sobre a confiabilidade do produto quanto a falhas".
• Relatório SBC (2003) foi fruto de um acordo em 2002 entre TSE e a Sociedade Brasileira de Computação (SBC), que levou um professor da Universidade Federal de Minas Gerais (UFMG) e outro da Universidade Federal de Santa Catarina (UFSC) a avaliar a confiabilidade do sistema informatizado de eleições brasileiro. Entre as conclusões desse estudo, consta (capítulo 4, pág 28/29) que "o projeto da urna não elimina a possibilidade de que a identidade do eleitor seja vinculada a seu voto", que "a transparência e a auditabilidade da urna deixam a desejar" e que a "a impressão do voto aumentaria muito a transparência e auditabilidade".
• Relatório Alagoas (2006) apresenta uma análise dos arquivos de LOG e de BU (boletins de urna) das urnas usadas na eleição de 2006 em Alagoas. Foram encontradas inconsistências de diversas naturezas nos registros de 35% das urnas, o que levou o autor a declarar (seção 15., pág 59): "... há fortes evidências de que o funcionamento da urna como um todo, incluindo o Registro de Voto Digital por seção e sua totalização, poderia, em princípio, ter operado fora do esperado em Alagoas, com possibilidade real de contaminação acidental ou maliciosa... Em síntese, os dados colhidos neste estudo confirmam que se deve ter pouca confiança no resultado apurado, bem como na totalização realizada."
• Relatório FACTI-CENPRA (2008) foi desenvolvido por pesquisadores do Centro de Pesquisas Renato Archer (CTI-MCT) contratados pelo TSE em 2008 (Contrato TSE 032/2008) para avaliar e propor melhorias na segurança das urnas eletrônicas, mas seu conteúdo foi mantido secreto como declarado na Informação nº 002/2008-STI/TSE, que pode ser vista no Anexo 1 do Relatório CMind. A Microbase, empresa que desenvolveu a solução de software da primeira urna eletrônica, modelo 1996, utilizada pelo TSE até 2006, considerou que havia "elevado grau de insegurança na automação eleitoral brasileira" e emitiu uma nota oficial que, entre outras informações, alertava que "a legislação em vigor que exige a auditoria de todos os programas-fonte do Sistema de Eleições Eletrônicas nunca foi adequada e rigorosamente obedecida pelo TSE, de modo a dar a necessária e devida credibilidade ao processo de Assinatura Digital e de Lacração dos Sistemas para as Eleições Oficiais".

Em 25 de novembro de 2008, especialistas em tecnologia disseram em audiência pública da Comissão de Constituição e Justiça e de Cidadania da Câmara dos Deputados que urna eletrônica não é segura. O blog de Silvio Meira, professor do Centro de Informática da Universidade Federal de Pernambuco e diretor do Centro de Estudos e Sistemas Avançados do Recife foi local de um amplo debate sobre a insegurança da urna eletrônica, com a participação de Giuseppe Dutra Janino (Secretário de Informática do TSE), de representantes da Microbase e centenas de comentários.

• Relatório CMTSE (2009) e Relatório CMind (2010) também abordam a questão da adequação das urnas brasileiras às normas técnicas internacionais sobre eleições eletrônicas.
• Relatório UnB (2012) - apresenta o resultado dos testes de segurança desenvolvido por uma equipe de professores e técnicos da Universidade de Brasília (UnB) em março de 2012 no TSE, quando demonstraram que era possível ordenar os votos digitais gravados nos arquivos das urnas, quebrando a única defesa delas para garantir o sigilo do voto gravado. O relatório também cita outras vulnerabilidades do software que permitiriam adulterar o resultado da apuração eletrônica dos votos, mas informa que as regras impostas pelo TSE, não lhes permitiu desenvolver os testes necessários para fazer tal demonstração.
• Relatório Auditoria PSDB (2015) - avaliação técnica realizada por especialistas do CMIND - Comitê Multidisciplinar Independente, da EPUSP - Escola Politécnica da Universidade de São Paulo e do ITA - Instituto Tecnológico de Aeronáutica, por solicitação do PSDB, partido derrotado no segundo turno na eleição presidencial de 2014, feita ao TSE - Tribunal Superior Eleitoral. Os auditores relataram várias dificuldades, devido a restrições e limitações impostas pela autoridade eleitoral, tendo sido negada a entrega de parte dos dados solicitados, como a permissão para coletar os dados diretamente das mídias de memória das urnas. Também não foi possível determinar a confiabilidade dos resultados produzidos, pois não se conseguiu uma auditoria contábil da apuração dos votos, uma vez que o sistema é essencialmente dependente de software e não produz um registro físico dos votos. Adicionalmente, as restrições impostas pela autoridade eleitoral inviabilizaram a verificação da integridade do software embarcado nas urnas ou sua correspondência com o código fonte apresentado aos auditores. Os auditores concluíram ainda que o processo de validação e certificação do software das urnas ́é uma tarefa que requer tempo e recursos muito elevados para ser bem executada. Finalmente, o relatório conclui que "o sistema não está projetado e implementado para permitir uma auditoria externa independente e efetiva dos resultados que produz, nem para obter certificação do software de votação, em especial da urna eletrônica, de acordo com padrões internacionais de segurança. Ainda, a forma de auditoria imposta pela autoridade eleitoral - auditoria comandada pelo auditado - não se enquadra em qualquer modelo reconhecido e padronizado por entidades internacionais que normatizam auditorias de sistemas de informação.
• Relatório das Forças Armadas (2022) - avaliação técnica de integralidade, realizada de 2 a 19 de agosto de 2022 pelas Forças Armadas. O relatório foi divulgado em 9 de novembro. Uma nota do Ministério da Defesa foi publicada no dia seguinte, esclarecendo dúvidas sobre a interpretação do relatório pelo TSE. A nota esclareceu que "da forma como [os testes] foram realizados, não foram suficientes para afastar a possibilidade da influência de um eventual código malicioso capaz de alterar o funcionamento do sistema de votação...Não é possível assegurar que os programas que foram executados nas urnas eletrônicas estão livres de inserções maliciosas que alterem o seu funcionamento...Houve possível risco à segurança na geração dos programas das urnas eletrônicas devido à ocorrência de acesso dos computadores à rede do TSE durante a compilação do código-fonte...Houve restrições ao acesso adequado dos técnicos ao código-fonte e às bibliotecas de software desenvolvidas por terceiros, inviabilizando o completo entendimento da execução do código, que abrange mais de 17 milhões de linhas de programação”.

Uso no exterior

O Paraguai utilizou a urna em diversas ocasiões em 2001, 2003, 2004 e 2006, porém na eleição presidencial de 2008 o uso da urna eletrônica brasileira foi proibida pela Justiça Eleitoral do país motivada pela desconfiança no equipamento pelos partidos de oposição. Houve um incidente na eleição do Equador, em outubro de 2006, quando o consórcio de empresas brasileiras Probank/Via Telecon não conseguiu encerrar a totalização da contagem dos votos. O modelo DRE de urnas eletrônicas foi excluído das normas técnicas estadunidenses (2007).

A Argentina testou o equipamento brasileiro em 2003, mas apenas os estrangeiros residentes na Província de Buenos Aires puderam utilizar o equipamento na eleição oficial. Posteriormente, experiências com outros modelos foram feitas, culminando em 2009 com um teste de um sistema eletrônico inovador que usava cédulas eleitorais com dupla gravação do voto dado: impressa e gravado em chip eletrônico. Finalmente em 2011, os argentinos decidiram definitivamente não utilizar o modelo brasileiro de urnas eletrônicas (tipo DRE sem voto impresso) e iniciou-se a implantação de equipamentos eletrônicos Vot-Ar de segunda geração, com registro simultâneos impresso e digital do voto. Nas eleições de 2011, na Província de Salta, 33% dos eleitores votam nos equipamentos Vot-Ar e a previsão é de ampliar para 66% em 2013 e 100% dos eleitores em 2015. Na eleição municipal de 09 de outubro de 2011 na cidade de Resistência, capital da Província Del Chaco no norte da Argentina o desempenho do equipamento eleitoral Vot-Ar argentino foi descrito no «2º Relatório do CMind» .

Descarte

O Tribunal Superior Eleitoral, em atendimento à Resolução 22.709/2008, iniciou abertura de licitação destinada à contratação de empresa responsável pelo descarte das urnas eletrônicas modelo 1996, assim como outros materiais de informática utilizados em eleições anteriores que não são mais aproveitáveis à Justiça Eleitoral.

O projeto, elaborado pelo Escritório de Projetos do TSE, relaciona 57.262 urnas modelo 1996, 2.023 urnas modelo 1996 sem visor de LCD e sem cartão de memória do tipo flash; 980.430 disquetes; 279.347 bobinas de papel e 41.944 baterias de ácido-chumbo, usadas nas urnas eletrônicas. Em abril de 2009, o TSE apresentou o Plano Básico de Aquisição das UE2009 onde incluiu o descarte de quase 90.000 urnas eletrônicas do modelo UE98, embora estas urnas estivessem funcionais e tenham sido usadas na eleição de 2008.

Em julho de 2010, teve início em audiência pública a licitação para compra de mais 200 mil urnas biométricas modelo 2010 que prevê novo descarte de urnas em quantidade e modelos a serem definidos. As urnas de modelo 1996 e 1998, já descartadas, foram usadas em 5 ou 6 eleições. A cada eleição o tempo de utilização destes computadores era de 10 horas durante a votação e mais uma hora, no máximo, de tempo de preparação e testes prévios. Uma conta simples mostra, então, que são quase 150 mil computadores descartados com menos de 150 horas (6 dias) de vida útil. Segundo a Justiça Eleitoral, o descarte das máquinas ocorre por uma questão de segurança, na medida em que, após dez anos de fabricação, o material deve ser trocado para que não ocorram falhas ao longo dos pleitos.

Ver também

• Eleições no Brasil
• Urna eletrônica
• Princípio da independência do software em sistemas eleitorais

Referências

Ligações externas

• Página da Justiça Eleitoral Brasileira
• Página Oficial do TSE sobre o Voto Eletrônico
• História da Urna Eletrônica
• Vídeo sobre processo eleitoral apresentado no consegi 2009^{[ligação inativa]}
• Fórum do Voto Eletrônico
• Dissertação de mestrado propondo materialização, auditoria e contraprova (recibo) do voto
• Simulador da urna (requer Java), disponível no sítio do Tribunal Superior Eleitoral (TSE)
• Andrade, Fernanda Soares (2022). Tudo o que você sempre quis saber sobre a Urna Eletrônica Brasileira (PDF) 1 ed. [S.l.]: SindCT. ISBN 978-85-62042-07-2. Cópia arquivada (PDF) em 6 de julho de 2022