O voto impresso e a confiança no processo eleitoral brasileiro

Olhar Oculto October 26, 2026

O debate sobre a necessidade de voto impresso auditável no Brasil permanece como um dos pontos mais sensíveis da nossa democracia. Desde a implantação do sistema eletrônico na década de 90, uma questão fundamental nunca foi completamente resolvida: como garantir que os resultados refletem fielmente a vontade popular sem um registro físico independente?

O problema central

A ausência de um comprovante de voto auditável significa que não existe um mecanismo direto de verificação cruzada entre o que o eleitor selecionou e o que foi computado pelos sistemas. Esse é o cerne das preocupações legítimas de parcela significativa do eleitorado e de especialistas que defendem maior transparência.

Segundo o relatório da Missão de Especialistas Eleitorais do Centro Carter sobre as eleições brasileiras de 2022, a opção por um sistema baseado em urnas de registro direto (Digital Recording Equipment, DRE, na sigla em inglês) faz com que a integridade dos resultados dependa da integridade do software, já que não há um registro em papel independente do programa ao qual se possa recorrer caso essa integridade seja questionada. Isso configura uma vulnerabilidade estrutural que não existe em sistemas dotados de voto físico verificável.

Código-fonte fechado e acesso limitado

Um ponto crucial que amplifica as preocupações é o fato de que o código-fonte das urnas eletrônicas é fechado, controlado exclusivamente pelo TSE. Embora existam períodos de auditoria antes das eleições, nos quais o código é disponibilizado para análise de auditores credenciados, isso difere substancialmente de um modelo de software verdadeiramente aberto.

Segundo o próprio TSE, existe uma etapa de "abertura do código-fonte e monitoramento do desenvolvimento", mas ela ocorre em janelas temporais específicas — anteriormente de seis meses, hoje de doze meses antes das eleições — e sob condições altamente restritas que impedem testes específicos de vulnerabilidades. Críticos apontam que:

Não é um código aberto permanente — nenhum cidadão pode estudar, modificar ou propor melhorias contínuas ao sistema, como ocorreria com software efetivamente em código aberto (open source);
Acesso condicionado — a auditoria depende de credenciamento e de aprovação prévia do tribunal eleitoral;
Ausência de revisão independente contínua — comunidades internacionais de desenvolvedores não podem monitorar o sistema ao longo do tempo;
Opacidade entre eleições — fora das janelas de auditoria, o código volta a ficar inacessível à verificação pública.

Essa opacidade contrasta com o princípio democrático básico segundo o qual instituições responsáveis por processos eleitorais deveriam operar com a máxima transparência possível. Quando o próprio código que determina quem venceu uma eleição é fechado, questionamentos sobre integridade tornam-se inevitáveis.

Auditorias existentes versus rastreabilidade real

Mesmo com os testes públicos de segurança, as cerimônias de assinatura digital e lacração dos sistemas (etapa onde os programas são criptograficamente assinados para garantir autoria e integridade, e depois lacrados em mídia não regravável para evitar modificações) e as aberturas periódicas do código, não existe um mecanismo de recontagem pós-eleitoral independente. Quando alguém contesta resultados finais, não há como reconduzir fisicamente as urnas para conferir manualmente cada voto registrado.

Estudos acadêmicos têm identificado vulnerabilidades em testes controlados. Pesquisa publicada na revista Computers and Security (2019) descreveu falhas graves no software das urnas que, quando combinadas, comprometeram propriedades básicas do sistema, como o sigilo do voto e a integridade do programa. Entre os problemas relatados estão o armazenamento inseguro de chaves criptográficas embutidas diretamente no código-fonte e bibliotecas compartilhadas sem autenticação por assinatura digital.

Vale registrar, no entanto, que auditorias realizadas em eleições anteriores — como a de 2014 — não encontraram indícios de fraude porque a empresa contratada disse ser impossível auditar o sistema eleitoral brasileiro.

Auditoria do PSDB nas eleições de 2014: o que o relatório revela sobre o sistema eleitoral brasileiro

Em 4 de novembro de 2015, o Partido da Social Democracia Brasileira apresentou relatório oficial de auditoria independente dos sistemas de votação e apuração do segundo turno das eleições presidenciais de 2014. O documento, custado em aproximadamente R$ 1 milhão e executado ao longo de dez meses, chegou a uma conclusão controversa: embora não tenha encontrado fraudes, declarou que o sistema eleitoral brasileiro é "inaferível ou inauditável".

Contexto político da auditoria

A auditoria foi motivada por denúncias circuladas em redes sociais que alegavam supostas irregularidades na votação. O candidato tucano Aécio Neves havia perdido para a petista Dilma Rousseff por uma diferença de 3,5 milhões de votos, e o PSDB afirmou que o objetivo não era questionar o resultado, mas sim verificar a "lisura do processo". Segundo o partido, a confiabilidade da apuração e a infalibilidade da urna eletrônica estavam sendo colocadas em xeque pela opinião pública digital.

Inicialmente, o PSDB solicitou uma verificação oficial com a participação do Tribunal Superior Eleitoral e de todos os partidos políticos — pedido negado pelo TSE. Em novembro de 2014, o tribunal acabou liberando para o partido programas eletrônicos e arquivos gerados na votação, incluindo dados das urnas e do sistema de transmissão das informações, mas em regime parcial e controlado.

As limitações encontradas

O coordenador jurídico nacional do PSDB, Flávio Pereira, explicou que o processo enfrentou restrições significativas. Uma delas envolve a tentativa de contratar um especialista norte-americano para trabalhar na auditoria, solicitação que foi negada pelo TSE sob alegação de que feriria a soberania nacional ao fornecer dados do sistema eleitoral brasileiro para estrangeiro. Essa restrição impediu uma revisão internacional independente, ainda mais relevante diante das críticas sobre a natureza fechada do código.

O líder do PSDB na Câmara, deputado Carlos Sampaio, reforçou a posição do partido em declarações públicas: "Não temos elementos para afirmar que não houve fraudes no processo de votação, uma vez que o modelo de auditoria imposto pelo Tribunal Superior Eleitoral não se enquadra em qualquer modelo reconhecido e padronizado por entidades internacionais".

Essa frase resume a crítica central do relatório: a ausência de fraudes detectadas não é um reconhecimento de que o sistema brasileiro é inviolável, mas sim que é inaferível ou inauditável. Ou seja, a falta de evidências de fraude não equivale a prova de integridade do sistema — apenas à impossibilidade de testá-lo adequadamente dentro das regras estabelecidas.

Recomendações do relatório

Diante dessas constatações, o relatório tucano apresentou uma série de recomendações ao TSE para mudanças no sistema eleitoral. A principal delas foi a adoção do voto impresso acoplado à votação eletrônica, criando uma forma alternativa de contabilização de votos que permitiria verificação cruzada entre o que o eleitor marcou e o que foi computado.

O documento sustentou explicitamente que o sistema atual do TSE é impossível de ser auditado e sugeriu que o tribunal adotasse o voto impresso como "alternativa" para a checagem dos votos. Essa recomendação tornou-se o ponto mais polêmico e amplamente repercutido do relatório nos anos seguintes.

A implicação crítica

A auditoria do PSDB de 2014 permaneceu como um dos documentos mais importantes sobre a arquitetura eleitoral brasileira. Seus achados não afirmam que houve fraude, mas levantaram um alerta sobre a impossibilidade técnica de provar que não a houve. Para quem acredita que a transparência eleitoral deve ser máxima em uma democracia, as recomendações do relatório — especialmente o voto impresso e a abertura para auditorias internacionais — continuam válidas mais de uma década após sua publicação.

O próprio relatório admitiu que o modelo vigente não permite auditoria externa independente e efetiva dos resultados. Essa conclusão, vinda de um partido que não encontrou fraudes, revela uma contradição estrutural: a prova positiva de integridade não pode ser feita com os instrumentos disponíveis.

Além disso, a negação da contratação de especialista estrangeiro expôs uma tensão entre soberania nacional e transparência democrática. Se o sistema é verdadeiramente seguro, por que restrições tão rígidas sobre quem pode analisá-lo?

A auditoria do PSDB de 2014 permanece como um dos documentos mais importantes sobre a arquitetura eleitoral brasileira. Seus achados não afirmam que houve fraude, mas levantam um alerta sobre a impossibilidade técnica de provar que não a houve. Para quem acredita que a transparência eleitoral deve ser máxima em uma democracia, as recomendações do relatório — especialmente o voto impresso e a abertura para auditorias internacionais — continuam válidas mais de uma década após sua publicação.

O relatório foi entregue por Carlos Sampaio em coletiva de imprensa em Brasília, com fotos registrando a apresentação oficial do resultado. O debate subsequente não cessou: anos depois, o tema seria retomado repetidamente em discussões sobre reforma eleitoral e segurança dos sistemas de votação.

O argumento do Tribunal de Contas da União

Em 2021, o TCU realizou auditoria externa do sistema e concluiu que a não existência de votos impressos não compromete a auditabilidade do voto. A equipe técnica avaliou ainda que a adoção de impressoras de voto seria medida excessivamente onerosa, além de aumentar a intervenção humana no processo e, consequentemente, deixá-lo mais vulnerável a fraudes, erros e manipulação.

Contudo, essa posição tem sido contestada por quem considera insuficiente o argumento do custo: para parte do eleitorado, o gasto com uma impressão por voto seria pequeno diante do ganho potencial em confiança no resultado eleitoral. Há também quem sustente que o aumento da intervenção humana poderia ser mitigado por protocolos de segurança bem desenhados.

Riscos potenciais não abordados

Sem voto impresso e com código-fonte fechado, o processo depende essencialmente de:

confiança na integridade do software fornecido pelo Estado;
eficiência das auditorias preventivas realizadas antes da eleição;
boa-fé dos operadores do sistema em todos os níveis;
transparência limitada de um sistema que permanece opaco na maior parte do tempo.

Cada um desses elementos constitui um elo que, se rompido, pode comprometer todo o processo. A combinação de um sistema fechado com a ausência de voto físico dificulta investigações mais profundas quando surgem suspeitas.

Conclusão

A frase "Enquanto não houver voto impresso auditável no Brasil, seremos roubados" expressa um receio compartilhado por muitos eleitores: a falta de um registro independente impediria a plena fiscalização cidadã dos resultados. Isso não equivale a afirmar que houve fraude, mas aponta que o sistema atual não permite ao eleitor comum verificar por si mesmo se sua vontade foi respeitada integralmente.

Uma democracia madura deveria buscar soluções que ampliem a transparência sem criar novos vetores de ataque. O voto impresso auditável — bem implementado, com criptografia adequada e mecanismos de proteção contra adulteração física — poderia representar um caminho intermediário entre eficiência tecnológica e rastreabilidade física. Da mesma forma, modelos de código aberto permanente permitiriam que comunidades técnicas independentes contribuíssem continuamente para a segurança do sistema, seguindo boas práticas internacionais de desenvolvimento seguro.

Enquanto essa discussão permanecer politizada, em vez de tratada como questão técnica e democrática, o país seguirá dividido entre quem confia integralmente no sistema eletrônico e quem exige provas tangíveis de legitimidade. Ambas as posições merecem ser ouvidas com respeito, mas nenhuma delas resolve sozinha o problema fundamental de confiança que permeia o debate.