Urna eletrônica: segurança técnica e controles do TSE para evitar alteração do voto

A mensagem central do TSE é direta: o desenho técnico e os procedimentos a que o sistema eletrônico de votação é submetido visam a tornar inviável a execução de software adulterado nas urnas, de modo que o voto digitado pelo eleitor seja o voto contabilizado. A análise a seguir examina a arquitetura de proteção, os ritos processuais e a consecução prática desses mecanismos, avaliando seus limites e implicações para o direito ao sufrágio consagrado na Constituição.

Contexto

O tema da segurança das urnas eletrônicas tem longo histórico de controvérsia pública e técnica no Brasil. Trata-se de um assunto que mistura confiança institucional, auditoria técnica e transparência perante a sociedade. A norma que organiza grande parte das práticas do Tribunal Superior Eleitoral repousa atualmente na Resolução TSE nº 23.673/2021, com atualizações recentes inseridas pela Resolução TSE nº 23.758/2026, que disciplinaram procedimentos de auditoria para as Eleições 2026.

A controvérsia é relevante porque envolve o direito de voto previsto no art. 14 da Constituição Federal de 1988 e a necessidade de garantir integridade, sigilo e lisura do processo eleitoral. Em ambientes com alta desinformação, a segurança técnica das urnas passa também a ser matéria de debate público e jurídico, com impactos sobre a legitimidade dos resultados e eventual judicialização das eleições.

O que foi decidido

O posicionamento institucional do TSE, objeto desta análise, não é uma decisão jurisdicional, mas uma afirmação técnica: o aparato de proteção da urna eletrônica — composto por assinatura digital, lacração, disponibilização de resumos digitais (hashes), inspeção de código-fonte por entidades fiscalizadoras, cerimônia pública e testes — funciona de forma integrada para impedir que software não autorizado seja executado e para identificar qualquer alteração nos programas oficiais.

O Tribunal destaca ainda a exigência de mídias não regraváveis e o armazenamento lacrado em cofre da Secretaria de Tecnologia da Informação, bem como a obrigatoriedade de que a cerimônia pública de assinatura digital e lacração ocorra antes do pleito, com divulgação dos hashes e dos programas utilizados para verificação. Na prática, se um arquivo sofrer alteração, o resumo digital muda e a urna reconhece a inconsistência na inicialização, bloqueando a execução.

Além disso, o TSE apresenta ferramentas de verificação em três momentos: (i) inspeção prévia do código-fonte pelas entidades fiscalizadoras; (ii) Teste Público de Segurança, com tentativas de intrusão controladas por especialistas externos; e (iii) Teste de Integridade no dia da votação, que compara votos digitados com o resultado impresso no Boletim de Urna.

Base normativa e precedentes

• Art. 14, CF/88 — consagra o direito de voto e a legitimidade do processo eleitoral como manifestação da soberania popular.
• Resolução TSE nº 23.673/2021 — disciplina procedimentos técnicos, de fiscalização e auditoria dos sistemas eleitorais, incluindo lacração e armazenamento das mídias.
• Resolução TSE nº 23.758/2026 — trouxe atualizações relativas às regras para auditorias aplicáveis às Eleições 2026.
• Normas de tecnologia digital (assinatura digital e hashes) — princípios técnicos adotados para garantir integridade e autenticidade dos arquivos (conceitos de assinatura digital e resumo criptográfico).
• Jurisprudência consolidada do tribunal — orienta práticas de transparência e auditoria do processo eleitoral, conferindo segurança jurídica às cerimônias públicas de verificação.

Impacto prático

• Para advogados e partidos: diminui a probabilidade de êxito em alegações de fraude por alteração de software sem prova técnica robusta; demandas contestatórias precisarão demonstrar autoria e violação dos controles de lacração e assinaturas.
• Para peritos e especialistas técnicos: confirma o foco em auditorias prévias e públicas; incentiva atuação na inspeção de código-fonte e participação nos Testes Públicos de Segurança para identificar vulnerabilidades passíveis de correção antes do pleito.
• Para eleitores e sociedade civil: reforça a importância de mecanismos públicos de fiscalização e compreensão dos testes (Teste de Integridade e Teste Público da Urna) para legitimar o resultado.
• Para a administração pública e gestores do processo eleitoral: sustenta a prática de procedimentos formais e documentados (mídias não regraváveis, lacração, cofre), cuja observância é condição para a validade técnica do sistema.

O que observar

• Limites da afirmação técnica: nenhum sistema é absolutamente invulnerável; a proteção é baseada na combinação de controles preventivos, detectivos e corretivos. A análise de risco precisa ser contínua.
• Provas em juízo: em contestações judiciais, alegações sobre adulteração exigirão prova pericial qualificada que demonstre violação das assinaturas, hashes ou da cadeia de custódia das mídias lacradas.
• Fiscalização efetiva: a disponibilidade do código-fonte e a participação de fiscalizadores externos são medidas importantes, mas dependem de cronogramas, acesso qualificado e capacidade técnica para detectar fragilidades sofisticadas.
• Modulação e comunicação: eventuais achados em Testes Públicos de Segurança demandam resposta técnica rápida e transparente, com revalidação por Teste de Confirmação, sob pena de abalar a confiança pública.
• Recursos e ações futuras: as partes interessadas podem usar os instrumentos previstos nas resoluções para requerer esclarecimentos e acompanhar as auditorias; ações judiciais devem ser lastreadas em elementos técnicos, não em conjecturas.

Em síntese, o arcabouço de medidas técnicas e processuais apresentado pelo TSE reforça a defesa da integridade do voto diante de argumentos sobre alteração de software. A eficácia prática dessas medidas depende, porém, da continuidade da fiscalização independente, da capacitação técnica dos peritos e da transparência nas etapas de verificação, elementos que serão decisivos caso a disputa sobre a segurança das urnas migre para o terreno contencioso.