Urna eletrônica: a analogia do castelo de cartas e a segurança eleitoral

A decisão em síntese: O Tribunal Superior Eleitoral detalhou que a segurança da urna eletrônica se baseia em mecanismos que detectam alterações físicas ou lógicas e interrompem sua operação; o efeito prático imediato é que qualquer modificação não autorizada aciona paralisação e geração de registros para auditoria, em vez de permitir funcionamento inseguro.

Contexto

Desde a adoção do voto eletrônico no Brasil, a legitimidade do sistema passou a depender tanto da robustez técnica quanto da transparência processual. A controvérsia pública costuma opor duas metáforas: o cofre, que busca resistência física, e o sistema de integridade, que busca detectar e sinalizar qualquer modificação. Essa distinção é central em debates sobre vulnerabilidade, auditabilidade e confiança pública. Normas administrativas e resoluções eleitorais estabeleceram procedimentos técnicos e cerimônias públicas de lacração e geração prévia de evidências como forma de tornar o processo auditável. A pandemia, ataques cibernéticos globais e desinformação amplificaram a necessidade de explicar, do ponto de vista técnico-jurídico, por que certas medidas — como a interrupção automática diante de irregularidades — não representam falha, mas mecanismo de proteção.

O que foi decidido

O TSE, por meio de comunicado técnico, consolidou a tese de que a arquitetura da urna eletrônica é deliberadamente concebida para interromper seu funcionamento quando detecta qualquer alteração não prevista em sua configuração oficial. A fundamentação técnica apresentada enfatiza camadas de verificação de integridade que operam tanto antes quanto durante a inicialização do sistema principal: processadores dedicados à segurança (incluindo o denominado Módulo de Segurança Embarcado — MSE), checagens de assinaturas digitais exclusivas por equipamento, e detectores de presença/ausência de componentes físicos essenciais (como impressora interna e terminais de mesário). Quando uma etapa de verificação falha, o módulo de segurança desenergiza o processador principal, impedindo a conclusão da inicialização e a continuidade da votação. A justificativa normativa e procedimental é reforçada pela Resolução TSE nº 23.751/2026, que disciplina atos gerais do processo eleitoral, incluindo procedimentos de contingência e substituição de urnas por equipamentos lacrados e preparados em cerimônia pública.

Base normativa e precedentes

• Art. 14, CF/88 — estabelece o regime democrático de participação política e a necessidade de mecanismos que garantam a autenticidade do voto.
• Código Eleitoral (Lei 4.737/1965) — arcabouço legal que organiza a gestão do processo eleitoral no país (inspeção, apuração e medidas administrativas).
• Resolução TSE nº 23.751/2026 — disciplina atos gerais do processo eleitoral e os procedimentos de contingência para urnas com falha, incluindo substituição e reinicialização com softwares oficiais.
• Jurisprudência consolidada do tribunal — entendimento institucional favorável à auditabilidade e à transparência técnica das rotinas eleitorais (cerimônias públicas de lacração e disponibilização de documentos de preparação das urnas).

Impacto prático

• Para os operadores eleitorais: reforça a necessidade de seguir estritamente as cerimônias públicas de preparação, lacração e inventariação, pois esses registros vinculam cada equipamento à seção eleitoral e servem como prova em auditorias.
• Para partidos e fiscais: proporciona elementos técnicos claros para a fiscalização — os registros e assinaturas digitais exclusivos de cada urna permitem comparação entre documentação de preparação e resultados divulgados.
• Para peritos e advogados: limita a estratégia de demonstrar manipulação a partir de mero funcionamento contínuo do equipamento; a regra é que mudanças não autorizadas gerarão parada e evidências, o que altera o enfoque probatório nas impugnações eleitorais.
• Para o eleitorado e instituições: justifica publicamente por que a interrupção da urna diante de irregularidade não equivale a falha do sistema, mas a ativação de um mecanismo de segurança que protege a legitimidade do pleito.

O que observar

• Provas e impugnações: qualquer alegação de alteração deve ser confrontada com os registros de integridade e as assinaturas digitais únicas geradas por cada equipamento; peritos precisarão demonstrar, tecnicamente, como uma alteração teria vencido esses controles.
• Contingência e cadeia de custódia: a Resolução 23.751/2026 consolida procedimentos, mas a eficácia probatória dependerá do rigor na cadeia de custódia das urnas substitutas e na preservação dos logs produzidos no evento de falha.
• Transparência técnica versus segredo operacional: o equilíbrio entre revelar procedimentos suficientes para auditar e proteger detalhes sensíveis de segurança continua sendo um ponto delicado; excesso de sigilo pode fragilizar a percepção pública, enquanto exposição desmedida pode abrir vetores de ataque.
• Recursos e questionamentos judiciais: em eventual litígio, os tribunais deverão valorar tanto a prova técnica produzida nos autos quanto a observância das formalidades legais (cerimônias públicas, disponibilização de códigos e documentos previstos) para admitir alegações de violação.
• Risco de litigação política: narrativas que apresentem a parada da urna como “falha” podem gerar contestações eleitorais e pedidos de recontagem ou investigação; a resposta técnica e documental será decisiva para a resolução judicial.

Em síntese, a analogia do "castelo de cartas" traduz uma opção arquitetural: sacrificar a continuidade operacional diante de qualquer alteração suspeita para preservar a integridade global do processo eleitoral. Para operadores jurídicos, isso desloca o centro da prova para registros de integridade, assinaturas digitais e observância das formalidades previstas na regulamentação eleitoral, mais do que para a mera constatação de funcionamento ou parada do equipamento.