LOS SISTEMAS DE VOTO ELECTRNICO: REQUISITOS Y EXPERIENCIAS

Autores: Feierherd Guillermo De Giusti Armando Depetris Beatriz

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 63

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 64

2. LOS SISTEMAS DE VOTO ELECTRNICO: REQUISITOS Y EXPERIENCIAS Feierherd Guillermo1, De Giusti Armando2, Depetris Beatriz3
If you think technology can solve our voting problems, then you dont understand the problems and you dont understand the technology.
Citado por Rebecca Mercuri en A Better Ballot Box? IEEE Spectrum October 2002

RESUMEN El sistema electoral es un sistema de informacin. En consecuencia, como ha ocurrido en muchos otros casos, la actual implementacin puede ser reemplazada por otras que recurran a las ms modernas tecnologas de la computacin y las comunicaciones. La instancia del voto (el momento puntual en el que el elector manifiesta su decisin y a la que se refiere especficamente la idea de voto electrnico) constituye uno de los subsistemas de un sistema que abarca todo el proceso electoral (desde la confeccin de los padrones hasta el escrutinio y la agregacin de las decisiones individuales). Desde hace tiempo otros subsistemas ya han sido objeto de implementaciones que recurren a las tecnologas mencionadas. El presente artculo discute la expresin voto electrnico, establece el significado de la misma, la ubica en el contexto de las elecciones destinadas a elegir representantes o resolver otras cuestiones de inters pblico y, a partir de all discute los distintos requerimientos que debe satisfacer. Finalmente se comentan las experiencias masivas de voto electrnico realizadas en Sudamrica (Brasil y Venezuela) y muy brevemente las puntuales llevadas a cabo en nuestro pas.

Profesor Titular (Facultad de Ciencias Econmicas) y Profesor Asociado (Facultad de Ingeniera). UNPSJB. Sede Ushuaia. feierherdge@ciudad.com.ar 2 Investigador Principal CONICET. Profesor Titular (Facultad de Informtica) UNLP. Profesor Visitante (Facultad de Ingeniera). UNPSJB. Sede Ushuaia. degiusti@lidi.info.unlp.edu.ar 3 Profesora Asociada (Facultad de Ciencias Econmicas) y Profesora Asociada (Facultad de Ingeniera). UNPSJB. Sede Ushuaia. depetrisb@ciudad.com.ar ANUARIO 2004 F.C.E. U.N.P.S.J.B. 65

1. INTRODUCCION 1.1. Consideraciones generales El sistema electoral es, desde nuestro punto de vista, un sistema de informacin. En consecuencia, como ha ocurrido en otros campos, los sistemas de computacin pueden aplicarse con xito para mejorar su eficiencia. Esta afirmacin puede lcitamente trasladarse al conjunto de subsistemas que componen el sistema electoral. Independientemente de los distintos puntos de vista respecto de cuales son los subsistemas que componen el sistema electoral, puede observarse que las computadoras han sido utilizadas desde hace mucho tiempo en varios de ellos. As ha ocurrido, por ejemplo, con los relacionados con la creacin y el mantenimiento de los registros de electores (padrones electorales), con la preparacin de una eleccin en particular (distribucin del conjunto de electores en mesas) y con la acumulacin de los resultados parciales para obtener los subtotales y totales necesarios que permiten determinar los vencedores de las contiendas electorales. Pese a esos avances la computadora se mantuvo alejada del momento en el que el elector expresa su opinin respecto de las cuestiones sometidas a su consideracin, es decir, el momento en el que vota. Esta instancia sigui, hasta no hace demasiado tiempo, acotada a la aplicacin de un conjunto de tecnologas ms o menos tradicionales: la muy clsica de urnas y boletas electorales y las ms modernas (utilizadas fundamentalmente en EE. UU.) de mquinas de palanca o de tarjetas perforadas. Con la aparicin de las microcomputadoras y la posterior difusin masiva de las mismas basada en el permanente incremento de sus potencialidades y la acelerada disminucin de su costo surge la idea de utilizarlas para reemplazar las tecnologas de votacin que se venan aplicando hasta el momento. No obstante las experiencias realizadas han sido ms o menos limitadas. La principal excepcin est dada probablemente por Brasil, cuya Justicia Electoral concluy en el 2000 un plan que haba iniciado casi 10 aos antes, logrando en las Elecciones Municipales de ese ao que el 100% del electorado emitiera su voto utilizando un sistema de computacin. En nuestro pas se sigue utilizando el clsico sistema de urnas y boletas electorales. Salvo las experiencias puntuales de algunos municipios de la provincia de Buenos Aires en setiembre de 2003 (oportunidad en la que se utilizaron equipos suministrados por Brasil) y de la ciudad de Ushuaia en octubre de 2003 (donde se utilizaron sistemas suministrados por la empresa espaola INDRA) no se han producido otros casos de votacin electrnica para elecciones de representantes. De todos modos es imposible negar que el tema se ha instalado en el centro del debate. Es parte de la Reforma Poltica propuesta desde el gobierno nacional y est en la agenda de muchas provincias. Unas pocas (a la fecha slo Buenos Aires, Chaco y Santiago del Estero) han avanzado sobre su legislacin electoral a fin de habilitar la aplicacin de mecanismos de votacin electrnica. 1.2 Voto digital y voto electrnico Las expresiones voto digital y voto electrnico se han utilizado inicialmente para referirse a la emisin del voto utilizando computadoras. No obstante en la actualidad las mismas parecen diferenciarse. As, la primera de ellas suele reservarse a aquellas situaciones en las que el voto puede emitirse a travs de Internet, que en condiciones ideales permitira votar en cualquier momento (dentro del plazo fijado para la eleccin) y desde cualquier lugar. Por su parte la ltima se utiliza para casos menos innovadores, en los que el elector debe concurrir dentro de un horario limitado a un lugar previamente determinado y en el que muchos de los procedimientos actuales que integran el protocolo de votacin, como por ejemplo el de identificacin del elector, se mantienen sin modificaciones. En estos casos alguna forma de computadora reemplaza a la tecnologa utilizada hasta ese momento. Existe coincidencia, tanto en los mbitos polticos como en los cientficos y acadmicos, en cuanto a que el voto a travs de Internet no est todava en condiciones de aplicarse a una eleccin masiva. De hecho, hasta el momento el mismo slo se ha utilizado en
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 66

algunas experiencias sumamente acotadas. En consecuencia nos concentraremos en los mecanismos a los que se aplica la expresin voto electrnico. A su vez, en la bsqueda de mayores precisiones sobre la expresin voto electrnico, debe atenderse a la forma en la que las computadoras son empleadas as como a las caractersticas del contexto. 1.3 Formas de aplicacin Son dos las formas mayoritarias en las que las computadoras se aplican. La primera consiste en el uso de dispositivos capaces de reconocer la informacin volcada por el elector en algn soporte (preferentemente papel). Se trata de dispositivos conocidos como LOV (Lectores Opticos de Voto). La lectura ptica de los documentos, en los que el elector selecciona previamente las opciones de su preferencia, puede hacerse en su presencia (dndole as la posibilidad de corregir el documento en caso de errores en la lectura o inconsistencias en su confeccin) o una vez agotado el plazo fijado para la votacin. En esta ltima variante la computadora se aplica ms a la etapa de contabilizacin de los votos emitidos que a la de emisin del voto propiamente dicha. En nuestro sistema correspondera a los escrutinios provisorio y definitivo. La segunda de las alternativas, que en funcin de su mayor flexibilidad promete la posibilidad de obtener las mayores ventajas, es la denominada RED (Registro Electrnico Directo). En esta modalidad el elector se enfrenta directamente con una computadora y va seleccionando las opciones de su preferencia. Una vez que completa el procedimiento el voto que ha emitido puede guardarse en alguna forma de memoria del sistema de computacin o simplemente acumularse a los contadores de cada una de las opciones elegidas. Cada una de las alternativas (registro de los votos individuales o slo acumulacin en los contadores de opciones) tiene ventajas y desventajas. A su vez, debe destacarse que el empleo de este tipo de sistemas ha desatado fuertes polmicas respecto de la conveniencia de producir o no un comprobante fsico del voto (tal como una impresin del mismo), verificable por el elector y que permita la realizacin de auditoras posteriores. Por nuestra parte adelantamos la opinin de que tal requisito resulta indispensable. 1.4 Contextos de aplicacin La expresin voto electrnico ha sido empleada, fundamentalmente en la prensa, para referirse al empleo de computadoras para emitir el voto en las ms diversas situaciones, incluyendo algunas en los que los requerimientos resultan contradictorios. Limitndonos a la experiencia en Argentina podemos mencionar, entre otros, los siguientes casos: a) en la experiencia de votacin realizada con electores extranjeros en algunos municipios de la provincia de Buenos Aires durante las elecciones del 14 de setiembre de 2003; b) en las elecciones para elegir intendente y concejales municipales en la ciudad de Ushuaia el 26 de octubre de 2003; c) al hacer referencia al mecanismo implementado en el Senado de la Nacin para facilitar el escrutinio de los votos de los senadores y la asociacin del senador con la opcin elegida, que comenz a utilizarse el 24 de febrero de 2004; d) en ocasin de la nominacin a los premios Martn Fierro otorgados por la APTRA (Asociacin de Periodistas de Televisin y Radio de Argentina); e) en la eleccin de la Reina de la Nieve realizada en Mendoza entre el 9 y el 10 de julio de 2004; etc. Es evidente que el tratamiento del tema a un nivel ms formal exige precisiones al respecto. A modo de ejemplo consideremos la cuestin del secreto del voto. Analizando las experiencias mencionadas resulta evidente que los requerimientos respecto de este aspecto difieren (a veces fundamentalmente) en cada una de ellas. En el caso del Senado de la Nacin el sistema busca, lisa y llanamente, eliminar el secreto, facilitando el registro y la publicacin de lo que cada senador ha votado (al menos en las oportunidades en las que se aplica el mecanismo de voto nominal). En el otro extremo, como en los casos de los municipios de la provincia de Buenos Aires o de Ushuaia, mantener el secreto del voto es uno de los requisitos fundamentales de la aplicacin. Este requisito, establecido normalmente mediante clusulas constitucionales, obliga a arbitrar todos los mecanismos necesarios para evitar que alguien incluso el mismo elector pueda asociar la persona del elector con la opcin elegida. Finalmente, en el caso de
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 67

los premios Martn Fierro o la eleccin de la Reina de la Nieve, el secreto puede o no constituir un requerimiento, pero an en el caso de serlo no podemos atribuirle la misma importancia. Por otra parte la importancia de lo que se decide, que como se deduce de los ejemplos es muy dispar, no puede dejar de tener consecuencias y de hecho lo tiene en los requerimientos de seguridad, disponibilidad, etc., de las respectivas implementaciones. Esto es as con independencia de que las computadoras utilizadas puedan ser las mismas, como ha sido el caso de las empleadas primero en Ushuaia y luego en la eleccin de la Reina de la Nieve en Mendoza. Obviamente estamos interesados en la aplicacin de tecnologa a aquellas situaciones en las que el nivel de exigencia es el mximo posible, como es el caso de una eleccin de representantes. En dichas situaciones el voto electrnico forma parte de un Sistema Electoral. 3. LOS SUBSISTEMAS DEL SISTEMA ELECTORAL Como afirmamos anteriormente, la expresin voto electrnico se refiere a uno de los subsistemas del sistema electoral. Para determinar con mayor precisin los alcances del mismo es conveniente plantear una posible divisin del sistema en subsistemas. Sin olvidar que la divisin de cualquier sistema en un conjunto de subsistemas suele no ser nica no slo es posible ms de una visin del mismo problema sino que muchas veces la tecnologa puede forzar diferencias sustanciales debemos buscar una que pueda aplicarse a la mayora de los actuales sistemas electorales. Proponemos, por entender que resulta lo suficientemente abarcativa, la divisin del sistema en los siguientes subsistemas: preparar padrn, distribuir electores, votar, escrutar mesas, comunicar escrutinios parciales, agregar escrutinios parciales, determinar ganadores y publicitar resultados. En cada eleccin los subsistemas se ejecutan en el orden mencionado, repitindose en algunos casos las ltimas etapas (desde escrutar mesas hasta publicitar resultados), en correspondencia con los denominados escrutinios provisorio y definitivo. Sucintamente, la funcin principal de cada uno de ellos es la siguiente: Preparar padrn: Si fuera necesario construir, y posteriormente mantener, el padrn de electores habilitados para emitir el voto en una instancia y en una jurisdiccin particular. Puede tratarse de un padrn nico a nivel nacional (caso Brasil) o distintos padrones a nivel de jurisdicciones menos inclusivas (por ejemplo las provincias en Argentina). La exactitud de los padrones es una condicin necesaria para poder dar cumplimiento a algunos de los requisitos exigidos. A su vez, la existencia de un padrn nico suele facilitar el cumplimiento de varios requisitos del sistema. Es comn que el padrn en un soporte capaz de ser tratado por una computadora haya sido construido hace tiempo y las tareas que resta llevar a cabo sean slo las necesarias para mantenerlo actualizado. Normalmente esto implica una actividad continua del subsistema. Haciendo salvedad de los recaudos que deben adoptarse antes de proceder a cualquier modificacin y la posibilidad de que el padrn contenga datos sensibles y deban tomarse los recaudos para proteger los mismos, el subsistema es ejemplo del clsico problema de altas, bajas y modificaciones. Distribuir electores: Esta se hace siguiendo el criterio geogrfico de domicilio de residencia registrado, para lo cual se llevan a cabo particiones sucesivas de la jurisdiccin en unidades geogrficas ms pequeas. No hay acuerdo ni en los nombres de las distintas particiones ni en la cantidad de niveles (secciones, circuitos, circunscripciones, distritos) salvo en la ltima, constituida por la mesa a la que el elector debe concurrir para emitir su voto. A su vez, los criterios utilizados para realizar la divisin geogrfica son motivo de permanente discusin, fundamentalmente en aquellos casos en que existen cargos asociados a las mismas. Votar: Es el subsistema que se pone en funcionamiento en cada una de las mesas en el momento de la eleccin. Normalmente funciona slo durante algunas horas. Lo trataremos en detalle ya que la expresin voto electrnico, utilizada en un sentido restringido, se vincula a la
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 68

totalidad o parte de este subsistema. Obviamente, tambin puede ser descompuesto en subsistemas de menor complejidad. Escrutar mesas: Al final del acto electoral se deben establecer los resultados de cada mesa. En algunos casos existen dos instancias: una provisoria y otra, posterior, definitiva. En determinados lugares, como por ejemplo Argentina, la primera debe llevarse a cabo al finalizar la eleccin, en presencia de las autoridades de la mesa y los fiscales partidarios. Suelen quedar cuestiones pendientes (votos impugnados y recurridos) que son posteriormente resueltos en el escrutinio definitivo. La aplicacin de voto electrnico a la instancia de voto tiene consecuencias severas sobre el modo de escrutinio. Dependiendo del sistema empleado estas consecuencias se concentran en la instancia provisoria o pueden extenderse a la definitiva. Comunicar escrutinios parciales: Los resultados parciales de cada mesa deben ser comunicados a aquellos lugares en los que se producir su agregacin. Tambin aqu, la aplicacin de mecanismos electrnicos para la votacin afecta la forma en la que se transmiten los resultados. Agregar escrutinios parciales: Los resultados correspondientes a cada mesa deben ser agregados a fin de determinar los totales correspondientes a cada una de las partes mayores en las que se ha dividido la jurisdiccin. Si hubiera dos instancias debe hacerse en cada una de ellas. Determinar ganadores: Agregados los resultados de cada mesa hasta el nivel que corresponda a los cargos en disputa deben establecerse los electos en cada uno de ellos. Cada sistema electoral puede contemplar condiciones especiales para cada cargo, como por ejemplo mayoras especiales, criterios para distribuir los cargos en forma proporcional, posibilidad de aplicar tachas o preferencias a los integrantes de las listas a cuerpos colegiados, posibilidad de incorporar nombres que no figuren en las listas, etc. Publicitar resultados: A fin de contribuir a la transparencia de la eleccin, los resultados de cualquiera de las instancias mencionadas deben ser puestos en conocimiento del pblico por todos los medios posibles en forma inmediata. A fin de contribuir a la transparencia del sistema deben mostrarse los resultados con el mayor nivel de desagregacin posible y a medida que se van determinando, sin esperar a tener los resultados definitivos. En distintos lugares algunos de estos subsistemas han sido objeto de informatizacin desde hace tiempo. En particular los correspondientes a la preparacin de padrones, la distribucin de los electores y la agregacin de los resultados parciales de cada mesa (tanto en la etapa provisoria como definitiva) se realizan utilizando algn tipo de sistema informtico. La aparicin de Internet ha tenido un fuerte impacto tanto sobre la publicidad de los resultados provisorios y definitivos, como en etapas previas del proceso. Por ejemplo, es comn, desde hace unos aos, que en distintas jurisdicciones los electores puedan consultar a travs de este medio si estn o no incluidos en el padrn de una eleccin particular y, en caso afirmativo, el lugar al que deben concurrir a votar y la mesa en la que debern hacerlo. 4. LOS ASPECTOS LEGALES Cabe discutir la forma en la que hasta ahora se ha aplicado la informtica a los procesos electorales. Podemos afirmar que, en general, se la ha utilizado para seguir haciendo lo mismo con una nueva tecnologa. Obviamente esto se debe a las limitaciones que imponen a las posibles modificaciones tanto las clusulas constitucionales como las leyes y dems disposiciones de orden inferior que regulan la materia. Por otra parte, las suspicacias de todo tipo de los distintos actores del proceso se han constituido tambin en una fuerte barrera a la innovacin. Una incorporacin innovadora del voto electrnico debe estar acompaada de una reforma de todo el sistema electoral, incluyendo obviamente sus componentes legales y administrativos, en vez de limitarse a, una vez ms, aplicar la tecnologa para seguir haciendo lo mismo que antes con distintas herramientas.

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 69

Es por ello que el actual parece ser un momento adecuado para advertir a la clase poltica de todas las posibilidades que las distintas tecnologas pueden ofrecer para mejorar el sistema, aumentar la participacin de los ciudadanos y dotar de mayor contenido a los sistemas democrticos. La reforma poltica que se est discutiendo en el pas parece atender a algunas de estas cuestiones. No obstante, desconociendo cuanto tiempo puede insumir la implementacin tantas veces anunciada de la reforma poltica (al menos en sus aspectos electorales), y las presiones observadas para imponer el voto electrnico, el presente artculo discutir la aplicacin de mecanismos de voto electrnico en las condiciones actuales. En tales circunstancias se debe estar plenamente consciente que el voto electrnico no puede resolver todas las deficiencias de los sistemas electorales nacionales y provinciales, por cuanto las mismas quedan fuera de su alcance. Eventualmente deber discutirse si se justifica o no la inversin que se requiere para aplicar nuevas tecnologas limitndolas a actuar exclusivamente sobre la etapa del voto tal como est concebida hasta ahora desaprovechando los beneficios que se obtendran de una revisin de todo el sistema. 5. REQUISITOS DE UN SISTEMA ELECTORAL El primer requisito del sistema electoral en su conjunto (y del de votacin en particular) es cuantificar con exactitud (sin sesgos, sin modificaciones) las voluntades de los electores reflejadas en sus intenciones de voto. Pero, adems de este, existen otros que deben respetarse. Muchos de ellos suelen estar establecidos en las respectivas Constituciones y en las leyes que rigen la materia (electorales o de consulta popular o referndum). Algunos de los requisitos, explcitos o implcitos en las leyes de mayor jerarqua, son los siguientes: Universal: Implica que deben estar habilitados para votar todos los ciudadanos que cumplan con un conjunto de condiciones (edad, nacionalidad, perodo de residencia en una determinada jurisdiccin, etc.) y solamente ellos. Igual: Todos los ciudadanos que componen el universo de una eleccin deben poder votar slo una vez. Todos los votos tienen el mismo valor: un ciudadano, un voto. Secreto: Debe asegurarse que la identidad de los ciudadanos no pueda ser vinculada, de ninguna forma, al voto que emiti. Es ms, debe garantizarse que ni siquiera el mismo elector tiene posibilidades de demostrar que vot de determinada manera. Personal: El voto debe ser emitido en forma personal por el ciudadano. Salvo el caso particular de los ciudadanos con alguna discapacidad especial la tarea de votar es indelegable. Obligatorio: En las elecciones el ciudadano debe votar obligatoriamente. Otros, como la condicin de que el elector pueda emitir su voto libre de todo tipo de coercin, es consecuencia de los ms elementales principios democrticos. De hecho, el secreto del voto apunta entre otros objetivos a garantizar esta situacin. En cuanto al recuento de los votos en algunos casos se exige el escrutinio pblico e inmediato en cada mesa. Esto tiene fuertes consecuencias sobre las caractersticas de los sistemas a implementar. Otros requerimientos corresponden a la categora de esperados o implcitos. Es as que el sistema debe ser, como mnimo, flexible, auditable y conveniente. Asignamos a cada uno de estos requisitos el siguiente significado: Flexible: El sistema debe ser capaz de adaptarse a distintos tipos de elecciones. Dado que la flexibilidad de un sistema basado en computadoras se logra fundamentalmente a travs de su software, el mismo debe ser capaz de adaptarse a distintos tipos de elecciones. Existen, en este sentido, un par de alternativas de solucin. La primera es construir un sistema totalmente parametrizable, de modo que sin modificar el cdigo, pueda utilizarse para distintas elecciones. Esto presenta la ventaja de que el software se audita una nica vez. En tal caso el software ser seguramente complejo y siempre quedarn dudas de si todas las alternativas posibles estn
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 70

contempladas. La segunda es disear un sistema sencillo para cada eleccin, que contemple exclusivamente las situaciones contempladas en la misma. La desventaja es que, aunque sencillo, el software deber ser auditado en cada oportunidad. Teniendo en cuenta la complejidad y los costos de una auditora, esta alternativa puede presentar algunas desventajas para los partidos con menores recursos. Auditable: Hay dos alternativas. Una es la de auditar todos los niveles de software. La segunda, que no necesariamente excluye la anterior y que debera ser obligatoria, es disear el sistema de tal modo que permita auditar los resultados de cada mesa. Para que la auditora del software empleado en una eleccin sea efectiva deben poder auditarse la totalidad de los niveles de software y no slo el correspondiente al nivel de las aplicaciones de emisin del voto, contabilizacin de votos y agregacin de resultados parciales. Esto significa que el software debe basarse en el uso de sistemas no propietarios, es decir, sistemas open source. Este es el criterio que ha seguido Australia, donde se ha puesto a disposicin del pblico en general el software utilizado en sus elecciones. La segunda variante implica que la computadora utilizada para emitir el voto debe imprimir un comprobante, verificable por el elector, en el que conste su voto. Este comprobante puede ser entregado al elector para que lo deposite en una urna (como si fuera el equivalente a una boleta confeccionada en el momento) o volcado en ella automticamente por el sistema luego de haber sido aceptado por el elector. En cualquier caso, posteriormente puede ser utilizado para verificar los totales emitidos por la computadora. Esta verificacin puede hacerse sobre el total de las mesas o slo sobre algunas elegidas al azar. Debe destacarse que si nos atenemos estrictamente al significado del trmino escrutinio, un comprobante de este tipo resulta imprescindible en aquellas jurisdicciones en las que las normativas constitucionales o legales exigen el escrutinio pblico e inmediato en cada mesa. Hacer pasar por escrutinio la firma por parte de las autoridades de mesa y los fiscales del comprobante de totales emitido por la computadora, es forzar a extremos inaceptables el significado del verbo escrutar. Conveniente: El sistema debe facilitar su uso an a aquellos que no estn habituados al empleo de herramientas computacionales. Hay aqu una tarea fundamental de la interfase (tanto del hardware como del software de la misma). A su vez la interfase debe ser construida de tal manera que no induzca ninguna opcin en particular. An cuando no se trataba de un DRE (pero podra haberlo sido), la famosa boleta mariposa utilizada en el condado de Palm Beach en la Florida, durante las elecciones del ao 2000, es un ejemplo ya clsico de interfases mal diseadas que contribuyen a desvirtuar la voluntad del elector. Un ltimo conjunto de requisitos (esperados o implcitos) estn vinculados a la confiabilidad. En primer lugar cabe destacar que si bien estamos interesados en el software del sistema, la confiabilidad es un concepto que involucra a ste pero se extiende al conjunto, incluyendo tanto el hardware como los operadores humanos del sistema. Dado que en funcin de la importancia de las cuestiones a las que el sistema se aplica el mismo puede ser considerado como un sistema crtico, todos los aspectos tendentes a garantizar la confiabilidad deben ser tenidos en cuenta. Mencionamos, entre dichos aspectos, a los siguientes: Disponibilidad: Si bien en el rgimen de nuestro pas el sistema se utiliza espordicamente y por escasas horas, deben extremarse los cuidados para asegurar que durante las mismas el sistema se encuentra operativo y prestando los servicios para los que fue diseado. Si bien en razn de la distribucin del sistema la cada de uno de los elementos afecta a un nmero reducido de electores, el simple hecho de que alguien no pueda votar, o que su voto sea perdido por una falla del sistema, atenta contra derechos constitucionalmente establecidos. Distintos mecanismos (por ejemplo redundancia del hardware) se utilizan para asegurar que los votos emitidos no se pierden. Otros deben ser contemplados para que, en el caso de una falla del sistema instalado en una mesa, o sta pueda ser resuelta en un tiempo mnimo (incluyendo la alternativa de reemplazar el equipamiento) o, si fuera irrecuperable, los electores de esa mesa puedan ser derivados a otra.
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 71

Fiabilidad: El sistema debe ser fiable. La cuantificacin que el sistema hace de la intencin de voto de los electores debe ser un reflejo fiel de la misma. Dicho en otros trminos, todos los votos emitidos vlidamente deben ser correctamente contabilizados. A su vez, ningn voto invlidamente emitido debe ser contabilizado. El margen de error admitido debe ser cero. Muchos de los sistemas hasta ahora utilizados tienen mrgenes de error elevados. La excusa de que en las experiencias realizadas los errores detectados no cambiaron el resultado de la eleccin no debe ni puede ser admitida. Otra vez, las pasadas elecciones del ao 2000 en Estados Unidos son un ejemplo de lo que ocurre cuando las elecciones son ajustadas y unos pocos votos pueden cambiar el resultado de la eleccin. Durante mucho tiempo fueron conocidos los problemas del sistema de tarjetas perforadas. Desde 1988 el National Institute of Standards and Technology (NIST) recomend la eliminacin de los sistemas de tarjetas perforadas Votomatic debido al problema de los chads (el trozo de tarjeta que debera desprenderse al perforarla pero que en algunos casos queda adherido a la misma por alguno de los bordes) que provocaban que cada vez que las tarjetas eran contadas se obtuvieran totales distintos. Nada se hizo, amparndose adems de la de los costos en la excusa de que el nivel de error no cambiaba los resultados. As fue hasta que, la ajustada eleccin presidencial del 2000 en el estado de Florida termin en un escndalo que finalmente fue resuelto (ante la imposibilidad del sistema de hacerlo) en los estrados judiciales. Seguridad: Asociamos la seguridad a los daos que el sistema puede producir a las personas o al medio ambiente. En general la posibilidad de que el sistema pueda producir daos est asociada a las fallas del sistema. Si bien la terminologa en este campo suele diferir, entenderemos que las fallas del sistema se producen como consecuencia de defectos en el mismo. As, siempre una falla est producida por un defecto, aunque existen defectos que pueden permanecer ocultos durante mucho tiempo sin concretarse en una falla (en funcin, por ejemplo, del modo de uso). Una falla puede, a su vez, provocar o no una cada del sistema. Las fallas y las eventuales cadas del sistema pueden provocar la prdida o alteracin de los datos que el mismo administraba. Para resolver este problema se recurre a mecanismos de prevencin de defectos (procesos de desarrollo organizados de modo de evitar introducir defectos en el software), deteccin y eliminacin de defectos (mediante pruebas del producto) y construccin de sistemas tolerantes a falla (normalmente a travs de la redundancia del hardware y el uso de mdulos redundantes o recursos de autoverificacin incorporados en el software). Proteccin: El sistema debe estar protegido contra intrusiones accidentales o intencionales. Distintas dimensiones de esta proteccin se vinculan con la proteccin fsica (evitar que el sistema sea fsicamente destruido) y lgica (la posibilidad de que los datos del sistema sean accedidos y eventualmente modificados ms all de las formas explcitamente previstas. La proteccin fsica debe garantizarse por mecanismos similares a los empleados para proteger las urnas en el sistema manual, tanto durante su traslado (hacia y desde la mesa de votacin) como durante el tiempo que dura la eleccin. Lo que hemos denominado proteccin lgica tiene que ver con distintos factores, entre los que debe destacarse la distribucin del sistema y la manera en el que los sistemas individuales se conectan al centro concentrador a fin de transferir los resultados de las mesas. Las conexiones permanentes, si bien contribuyen a asegurar que los datos no se perdern, aumentan la vulnerabilidad del sistema a los ataques de posibles intrusos. La conexin al final del acto electoral, a fin de transferir los resultados una vez completado el escrutinio provisorio, disminuye los riesgos de intrusin, pero hace que el resguardo de los datos quede bajo la total responsabilidad del sistema de la mesa. 6. BREVE RESEA DE EXPERIENCIAS EN SUDAMERICA Si bien son varios los pases de la regin que han utilizado (y an ms los que planean utilizar) sistemas de votacin electrnica, entendemos que las dos experiencias ms significativas son las de Brasil y Venezuela.
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 72

BRASIL Antecedentes En el caso de Brasil la implementacin del voto electrnico (que en las ltimas elecciones alcanz al 100% del electorado) fue el resultado de un plan de varios aos diseado y concretado aproximadamente en los tiempos previstos y que abarc todos los aspectos del sistema incluyendo, fundamentalmente, los legislativos (sancin de las leyes necesarias para implementar el voto electrnico en un marco de absoluta legalidad). Luego de algunas iniciativas aisladas en materia de automatizacin de procesos electorales (la primera de las cules ocurri ya en 1978 cuando el Tribunal Regional Electoral de Minas Gerais present al Tribunal Superior Electoral un prototipo para mecanizar el proceso de eleccin), las actividades orientadas a informatizar distintas etapas del proceso electoral se produjeron en forma organizada. Hubo, de todos modos, xitos y fracasos. Respecto de estos ltimos no puede dejar de mencionarse que uno de los primeros intentos de informatizacin de la etapa de acumulacin de votos, realizado en el Estado de Ro de Janeiro en oportunidad de las elecciones directas para gobernador en 1982, termin en el escndalo conocido como el caso Proconsult, nombre que deriva del de la empresa privada contratada por la Justicia Electoral de Ro de Janeiro para totalizar los votos. Es probable que el desagradable acontecimiento que constituy el caso Proconsult, producto en gran medida de una tercerizacin sin mayores controles, haya marcado para siempre la poltica del Tribunal Superior Electoral de Brasil, ya que a partir de ese momento mantuvo un estricto control de las soluciones y los procesos de informatizacin de todos los aspectos electorales. Como resulta razonable, las primeras etapas del proceso electoral en ser informatizadas fueron las previas y las posteriores a la que corresponde estrictamente a la emisin del voto. Una de las primeras, por otra parte base indispensable para poder avanzar sobre las otras etapas, es la informatizacin del registro de electores (padrn electoral). A partir del lanzamiento en 1983 de un plan de modernizacin de la Justicia Electoral, se comienza a trabajar en el reempadronamiento de los electores sobre la base de un nmero nico de carcter nacional. Esta actividad, llevada a cabo simultneamente en todas las circunscripciones y zonas electorales, tena como objetivo crear registros computarizados de los electores que facilitaran su mantenimiento (inscripcin de nuevos electores, transferencias, etc.). Debe destacarse que en esta oportunidad los servicios de procesamiento de datos requeridos podan tercerizarse en tanto y en cuanto se recurriera a convenios o contratos con entidades administradas directamente o indirectamente por la Nacin, los Estados, el Distrito Federal, los Municipios o los Territorios constituidas por capital enteramente nacional. La etapa siguiente en ser informatizada, ya con las estructuras operativas y el desarrollo de los sistemas administrados por la Justicia Electoral, fue la correspondiente a la totalizacin de los votos. En 1989, en oportunidad de realizarse las Elecciones Presidenciales, los resultados de cada mesa eran recibidos va mdem en los Tribunales Regionales Electorales y retransmitidos al Tribunal Superior Electoral. All se consolidaban los resultados parciales y se difundan a la prensa. Luego de avanzar en distintos aspectos en las Elecciones Estatales de 1990, las Municipales de 1992 y el Plebiscito Nacional para definir la Forma de Gobierno en 1993, las Elecciones Generales de 1994 encuentran a la Justicia Electoral equipada en forma completa y moderna. En esa oportunidad se realiza el cmputo de los resultados electorales de todo el pas recurriendo por primera vez a recursos informticos (equipos y redes) no tercerizados. Una estructura de 27 computadoras RISC (una en cada Tribunal Regional Electoral) y ms de 4000 microcomputadoras permitieron informatizar 1760 regiones electorales (66% del total a ese momento) y atender a los casi 78 millones de electores que efectivamente emitieron su voto (un 82% del padrn electoral compuesto por casi 95 millones de electores). Producidos estos avances restaba nicamente avanzar sobre la etapa especfica del voto y as lo determina el Ministro Carlos Velloso al asumir la presidencia del Tribunal Superior

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 73

Electoral en diciembre de 1994. En esa ocasin se propone comenzar a utilizarlo en las Elecciones Municipales de 1996. La legislacin en vigencia para las Elecciones Municipales de 1996 era la ley 9100, sancionada el 25 de setiembre de 1995. La ley define el sistema electrnico de emisin del voto y del escrutinio, las formas de fiscalizacin de las elecciones y los nuevos delitos electorales que surgen de considerar la implementacin del sistema electrnico de votacin. De acuerdo a la legislacin vigente en ese momento, la totalidad de las urnas electrnicas utilizadas en las elecciones de 1996 dispona de una urna de plstico en la que se depositaba, sin intervencin del elector, el comprobante fsico del voto. En las Elecciones Municipales de 1996 votaron en forma electrnica los electores de los Municipios de ms de 200.000 habitantes utilizando 77.969 urnas electrnicas. El 30 de setiembre de 1997 se sanciona la ley 9504 que establece el voto electrnico como mecanismo habitual de votacin y le otorga carcter excepcional al tradicional voto en papel. Al contrario de la ley 9100 en esta ya no se establece la obligatoriedad de emitir un comprobante fsico del voto. Cabe destacar que actualmente existen varios proyectos de ley que contemplan el retorno a la obligatoriedad de emitir un comprobante impreso del voto que pueda ser confirmado por el elector y depositado, automticamente o por el mismo elector, en una urna, permitiendo una posterior auditora de los resultados en caso de discrepancia con los informados por el sistema computarizado. Los proyectos determinan, asimismo, que una muestra aleatoria de entre el dos y el tres por ciento de las urnas debern ser auditadas al finalizar la eleccin. En la Eleccin General de 1998, en la que se eligieron diputados estatales, distritales y federales, Senadores, Gobernadores y Presidente, votaron electrnicamente los electores de localidades con ms de 40.000 electores, lo que represent un 75% del electorado. Posteriormente, en las Elecciones Municipales del ao 2000, el 100% del electorado vot utilizando el sistema de votacin electrnica, situacin que se repiti en las Elecciones Generales del 2002. Evaluacin General Debe destacarse que, si bien la aplicacin de dispositivos electrnicos puede ser considerada exitosa y de hecho es esa la imagen que ha prevalecido son numerosos los grupos de intelectuales brasileros que denuncian fallas en el sistema y reclaman fuertemente por la existencia de un comprobante fsico del voto verificable por el elector. Asimismo, sostienen la necesidad de limitar las funciones del Tribunal Superior Electoral que, actualmente, detenta la totalidad de los poderes (legislativo, ejecutivo y judicial) en materia electoral. Equipamiento El equipamiento de votacin brasilero est compuesto por dos pequeas computadoras. Una de ellas, denominada unidad de control, es operada por el Presidente de Mesa permitindole abrir y cerrar la mesa, suspender la votacin en los casos excepcionales previstos, verificar que el elector est habilitado para votar en esa mesa y habilitar la urna para que el elector emita su voto. La otra es la urna electrnica propiamente dicha, equipada con un teclado numrico, tres teclas (confirma, corrige y voto en blanco) y una pantalla para soportar el dilogo con el elector. VENEZUELA Antecedentes Al contrario de lo ocurrido en Brasil la implementacin del voto electrnico ha seguido un camino ms bien errtico y caracterizado por la dependencia casi absoluta de distintos proveedores de tecnologa. Desde las primeras experiencias realizadas en las elecciones presidenciales de 1998, hasta el ao 2003, los venezolanos utilizaron una mquina de Lectura Optica del Voto. En trminos generales las mquinas empleadas en las distintas elecciones fueron provistas por la
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 74

empresa estadounidense ES&S (Election Systems & Software) y a cargo del resto del proceso estuvo la empresa espaola INDRA. Las elecciones en las que se utilizaron dichas mquinas se caracterizaron por un clima tormentoso que se extendi desde las etapas previas a la eleccin hasta las posteriores a la misma. Frecuentemente, como consecuencia de las dificultades encontradas por los electores que demoraron el proceso de cada boleta individual, debi extenderse en varias horas el horario de votacin. Un ejemplo del origen de estas dificultades lo constituye el hecho de que, debido a las particularidades del sistema electoral venezolano y las limitaciones del equipamiento, en algunos casos las boletas electorales que deban ser ledas tenan ms de un metro de largo!!! Como consecuencia inevitable de las demoras individuales los respectivos escrutinios tambin se vieron fuertemente demorados, generando suspicacias de todo tipo. Estos y otros fueron los motivos que llevaron a introducir un cambio radical. Para las elecciones de 2004, en un escenario caracterizado por un fuerte conflicto con la empresa INDRA que haba suministrado los sistemas utilizados en las ltimas elecciones se decidi reemplazar el sistema de Lectura Optica del Voto (LOV) por un sistema de Registro Electrnico Directo. Esta nueva implementacin estuvo a cargo de un consorcio integrado por las empresas Smartmatic (a quienes muchos atribuyen una marcada inexperiencia en la materia), Bizta y Cantv. Los equipos utilizados para la votacin fueron adquiridos a la empresa italiana Olivetti. Lamentablemente, para el estreno del nuevo sistema efectuado en oportunidad del plebiscito del 15 de agosto de 2004 en el que se decida la continuidad del Presidente Chvez se resolvi adems depurar y actualizar, en forma simultnea con la eleccin, el padrn electoral. En pos de este objetivo se adquirieron equipos que fueron denominados por los venezolanos como cazahuellas, debido, bsicamente a la segunda funcin asignada a los mismos: impedir a los electores votar ms de una vez. Las previsiones para conseguir este ltimo objetivo contemplaban la captura de las huellas dactiloscpicas de cada ciudadano que concurra a votar, su transmisin inmediata a un sistema central en el que deban ser comparadas con las que ya haban sido aceptadas y el rechazo (tanto de la huella como la del voto del elector que estaba siendo validado en ese momento) o la incorporacin (tanto de la identificacin del elector como de su voto) dependiendo de que existieran o no huellas similares en la base de datos. Todo esto en tiempo real. Tal como haba sido previsto por la mayora de los tcnicos que opinaron sobre la factibilidad del sistema (con excepcin de los de los organismos electorales y de las empresas proveedoras), los sistemas de comunicacin y el sistema centralizado de comparacin se vieron rpidamente saturados, provocando demoras que una vez ms forzaron a prolongar la votacin durante largas horas. A pesar de que los veedores internacionales aseguraron la inexistencia de fraude electoral, lo cierto es que muchos venezolanos no han quedado convencidos de ello. Evaluacin General Es evidente que la implementacin del voto electrnico no ha seguido en Venezuela un plan ordenado. Tratar de establecer un sistema de votacin electrnica sin antes haber constituido un registro de electores confiable es condenar la experiencia al fracaso. Por otra parte, queda demostrado que no puede dejarse la implementacin de este tipo de cuestiones, sumamente sensibles, a merced de empresas proveedoras. Finalmente, cabe destacar que deben analizarse y respetarse los lmites de la tecnologa. El fracaso de intentar actualizar una base de datos de electores simultneamente con la votacin, posibilidad que haba sido objetada por los tcnicos independientes, es un claro ejemplo de las consecuencias que se sufren cuando se intenta forzar al mximo las posibilidades de una tecnologa. Equipamiento Segn informes de la empresa Olivetti los equipos utilizados en la eleccin venezolana eran los denominados MAEL 205, que hasta ese momento haban sido vendidos con destino a
ANUARIO 2004 F.C.E. U.N.P.S.J.B. 75

agencias de lotera. En un contexto plagado de contradicciones la empresa Olivetti celebr la nueva aplicacin de sus equipos en tanto que la empresa Smartmatic, en un intento que no alcanz para disminuir las crticas sobre la adquisicin, los rebautiz como S-AES 300. Se trataba, por lo dicho, de equipos que no haban sido diseados para atender las exigencias de una situacin electoral. ARGENTINA Las nicas experiencias realizadas en Argentina han tenido un alcance sumamente acotado. La primera de ellas se llev a cabo en la Provincia de Buenos Aires el 14 de setiembre de 2003 y abarc exclusivamente a los electores extranjeros de algunos municipios. Dado que en esa oportunidad se realizaban en forma simultnea elecciones nacionales y provinciales era de aplicacin la legislacin nacional que no contemplaba (y an no contempla) la posibilidad de voto electrnico. En consecuencia slo se permiti votar a los extranjeros que, de acuerdo a la legislacin provincial y municipal vigente, pueden hacerlo para elegir intendentes y concejales municipales pero no estn habilitados para votar en elecciones nacionales. Los equipos que se utilizaron en dicha oportunidad fueron suministrados por Brasil. La segunda de las experiencias tuvo lugar pocos das despus y se llev cabo en la austral ciudad de Ushuaia, provincia de Tierra del Fuego. En esa oportunidad la totalidad de los electores de la localidad (aproximadamente 30.000) eligieron intendente y concejales para el perodo 2004 2007. Los sistemas utilizados, del tipo de RED, fueron suministrados por la empresa espaola INDRA. La utilizacin de sistemas electrnicos de votacin favoreci la aplicacin del sistema de preferencias previsto en la legislacin electoral municipal, que permite al elector preferir a uno o ms candidatos de una lista de candidatos a cuerpos colegiados, modificando as el orden en el que sern adjudicados los cargos obtenidos por la lista. Las principales crticas al sistema radican en que no todas las terminales disponan del hardware necesario para emitir un comprobante fsico del voto verificable por el elector. 7. CONCLUSIONES Al analizar los requisitos de los sistemas de votacin as como las experiencias mencionadas de Brasil, Venezuela y las puntuales de Argentina surgen algunas conclusiones preliminares: A pesar de la simplicidad algortmica del sistema el mismo acumula un conjunto de complejidades provenientes de la necesidad de satisfacer los restantes requisitos El Estado, a travs de sus distintos poderes, y en lo posible manteniendo la divisin de los mismos en materia electoral, debe asumir la responsabilidad de disear e implementar el plan destinado a aplicar voto electrnico Los sistemas electrnicos (hardware y software) son slo una parte del sistema. Las otras partes (marco legal, procedimientos y operadores humanos entre otros) deben recibir tanta atencin como los sistemas electrnicos El sistema debe resolver exitosamente cualquier disputa electoral con independencia de las diferencias entre la cantidad de votos que reciban los candidatos. En consecuencia el margen de error del sistema debe ser cero. Un voto puede definir una eleccin. El requisito que exige permitir distintos tipos de auditora determina algunas caractersticas de los sistemas. As, las auditoras de caja blanca obligan a utilizar software open source en todos los niveles. Por su parte las auditoras de caja negra fuerzan la produccin de un comprobante fsico del voto verificable por el elector (normalmente impreso). Ambas auditoras deberan tener carcter obligatorio, aunque

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 76

en ausencia de controversias la ltima puede restringirse a una muestra aleatoria de las mesas en las que se vot. 8. REFERENCIAS

Cdigo Nacional Electoral Decreto 2135/83 Ley 19.945 / 20.175 / 22.838 / 22.864 y sus
modificatorias. www.mininterior.gov.ar Experiencias de Voto Electrnico a nivel nacional en Argentina. www.gba.gov.ar Experiencias de Voto Electrnico a nivel Provincia de Bs. As. www.buenosaires.gov.ar Voto Electrnico en la Capital Federal. Proyecto. El voto informatizado - Paulo C. Bhering Camarao Superior Tribunal Electoral de Brasil Cdigo electoral de Brasil Ley Nro. 4737 /65 Voto Informatizado en la Facultad de Informtica UNLP Pesado P., De Giusti A., Pasini A., Estrebou C. Reporte Tcnico Interno Dic. 2003 Anlisis del voto informatizado en Tierra del Fuego Prof. Guillermo Feierherd Reporte Tcnico Facultad de Ingeniera UNPSJB Sede Ushuaia 2003 Proveedores de equipos de voto electrnico (entre otros) www.aitechnology.com/votetrakker, www.diebold.com, www.indra.es, www.election.com/us, www.sequoiavote.com, www.microvote.com, www.safevote.com, www.guardianvoting.com/gvs

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 77

ANUARIO 2004 F.C.E. U.N.P.S.J.B. 78