Desde sua primeira utilização nas eleições municipais de 1996, a urna eletrônica passou por diferentes gerações de hardware, atualizações de software e mudanças nos procedimentos de fiscalização. A estrutura central, porém, continua baseada na ideia de registrar digitalmente a escolha do eleitor, preservar o sigilo do voto e permitir que os resultados de cada seção sejam conferidos.

Por trás da tela e do teclado numérico existe uma cadeia tecnológica que envolve sistemas eleitorais, mídias de armazenamento, assinaturas digitais, códigos de verificação, mecanismos de isolamento e diferentes etapas de auditoria. A urna também não trabalha sozinha. Ela faz parte de um processo maior, que começa na preparação dos equipamentos e termina com a totalização dos boletins de urna.

Como a urna eletrônica surgiu no Brasil

O primeiro Código Eleitoral brasileiro, de 1932, já mencionava a possibilidade de utilizar uma máquina de votar. Nas décadas seguintes, diferentes experiências tentaram aplicar recursos eletrônicos à coleta e à apuração dos votos.

O avanço mais consistente ocorreu a partir dos anos 1980, com a informatização do cadastro eleitoral e o desenvolvimento de sistemas capazes de apoiar a totalização. Em 1989, Santa Catarina realizou experiências com votação em microcomputadores. Outras iniciativas ocorreram em 1994 e 1995, inclusive em plebiscitos municipais no estado de São Paulo.

Em 1995, o Tribunal Superior Eleitoral (TSE) publicou o edital que deu origem ao projeto do chamado Coletor Eletrônico de Voto, equipamento que posteriormente ficaria conhecido como urna eletrônica. No ano seguinte, o modelo foi utilizado pela primeira vez em uma eleição municipal.

A adoção ocorreu de forma gradual. Nas eleições de 1996, cerca de um terço do eleitorado votou por meio eletrônico. A expansão continuou nos pleitos seguintes, até que o sistema se tornasse o padrão da votação brasileira.

A urna foi concebida para atender a uma operação eleitoral de grande escala, com milhões de eleitores distribuídos por milhares de locais de votação. Por isso, seus requisitos não se limitam à velocidade de processamento. O equipamento também precisa funcionar em locais com infraestrutura limitada, preservar o sigilo e permitir procedimentos de conferência.

O que existe dentro da urna eletrônica

Embora tenha elementos familiares a um computador convencional, como processador, memória e dispositivos de armazenamento, a urna é um equipamento computacional dedicado à votação e não foi projetada para executar aplicações de uso geral.

Sua operação é controlada por sistemas desenvolvidos especificamente para as eleições. O equipamento conta com uma interface que utiliza recursos visuais e sonoros para orientar o eleitor durante o preenchimento da escolha.

Entre os componentes envolvidos no funcionamento estão:

Hardware: conjunto de componentes físicos da urna, incluindo processador, memória, tela e dispositivos de armazenamento.

Software de votação: programa responsável por apresentar os candidatos, receber a digitação e registrar a escolha.

Dados eleitorais: informações sobre eleitoras, eleitores, candidaturas, cargos e divisões territoriais.

Mídias de armazenamento: dispositivos utilizados na preparação, carga e coleta dos dados da seção eleitoral.

Mecanismos de segurança: recursos de assinatura digital, verificação de integridade, criptografia e controle de acesso.

Sistemas de totalização: programas que recebem os resultados das seções e calculam a totalização oficial.

A urna não precisa acessar a internet para executar sua função principal. Ela recebe previamente os programas e os dados necessários para a votação. Durante o funcionamento, o equipamento opera de maneira isolada, sem conexão por Wi-Fi, Bluetooth ou internet.

Esse isolamento reduz a superfície de exposição a ataques remotos. Em vez de depender de uma conexão permanente, o processo utiliza mídias e procedimentos controlados para preparar os equipamentos e transportar os resultados ao final da votação.

Como o voto é registrado e armazenado

Quando o eleitor digita o número de uma candidatura, a urna apresenta na tela as informações correspondentes. O eleitor pode conferir os dados, corrigir a escolha ou confirmar o voto. Depois da confirmação, o sistema registra a informação no chamado Registro Digital do Voto, conhecido pela sigla RDV.

O RDV funciona como uma estrutura digital destinada a armazenar os votos registrados pela urna. Ele não contém a identificação do eleitor associada à escolha. Essa separação é essencial para preservar o sigilo da votação.

O registro não é uma lista convencional com o nome de cada eleitor e o respectivo candidato. A arquitetura foi desenvolvida para permitir a contabilização das escolhas sem revelar a ordem individual em que os votos foram digitados.

Em termos simplificados, o processo pode ser descrito assim:

1. O eleitor digita o número da candidatura.

2. A urna apresenta a opção correspondente.

3. O eleitor confere os dados na tela.

4. A confirmação registra a escolha.

5. O voto é armazenado digitalmente no sistema da urna.

6. Ao final da votação, os dados necessários para a apuração são consolidados no resultado da seção.

O RDV também tem uma função importante de auditoria. Após o encerramento dos trabalhos, os registros podem ser utilizados em procedimentos de conferência e recontagem, quando previstos nas regras eleitorais. Eles podem ser comparados com os resultados apresentados nos boletins de urna.

É importante não confundir o RDV com o Boletim de Urna. O primeiro está relacionado ao armazenamento digital dos votos registrados. O segundo apresenta o resultado consolidado daquela seção eleitoral, com a quantidade de votos atribuída a cada candidatura, além dos votos brancos e nulos.

Zerésima, Boletim de Urna e transmissão dos resultados

Antes do início da votação, a urna emite a zerésima, documento que demonstra que não há votos computados no equipamento naquele momento. A emissão ocorre na presença de mesários e fiscais, permitindo verificar a condição inicial da máquina.

A zerésima não apresenta o resultado da eleição. Sua função é registrar que a urna está sem votos contabilizados antes da abertura da seção.

Ao longo do dia, os votos são armazenados no sistema. Quando a votação termina, a urna encerra o processo e produz o Boletim de Urna, conhecido como BU. Esse documento apresenta o resultado daquela seção, incluindo:

• votos por candidatura;

• votos de legenda, quando aplicável;

• votos brancos;

• votos nulos;

• identificação da seção e da urna;

• informações de controle do resultado.

Uma via do boletim é afixada no local de votação. Outras podem ser destinadas às entidades fiscalizadoras, como representantes partidários. Com isso, os dados da seção podem ser conferidos antes mesmo da divulgação da totalização nacional.

A urna também gera os arquivos necessários para a transmissão dos resultados. Esses dados são levados por meios próprios até os pontos de transmissão definidos pela Justiça Eleitoral. A transmissão e a totalização ocorrem em sistemas distintos da máquina utilizada pelo eleitor.

Essa separação é relevante porque o equipamento que registra o voto não é o mesmo sistema responsável por somar os resultados de todo o país. Cada urna produz o resultado de sua seção. A totalização reúne os boletins das diversas seções eleitorais para formar o resultado oficial.

O modelo também permite uma conferência independente. Como os boletins são disponibilizados nos locais de votação e os resultados são publicados pela Justiça Eleitoral, partidos, entidades fiscalizadoras e interessados podem comparar os dados de cada seção com aqueles apresentados na totalização.

Assinatura digital, hashes e isolamento físico

A segurança da urna combina mecanismos digitais e medidas físicas. Uma das etapas mais importantes ocorre antes da eleição, quando os sistemas eleitorais passam por procedimentos de assinatura digital e lacração.

A assinatura digital permite verificar a origem e a autenticidade dos programas. Já o hash é um resumo matemático gerado a partir de um arquivo ou conjunto de dados. Ele funciona como uma espécie de impressão digital do conteúdo analisado.

Se o conteúdo de um programa for alterado, o hash correspondente tende a mudar. A comparação dos resumos permite identificar divergências entre o material aprovado e aquele que está sendo verificado.

Durante a preparação das urnas, os sistemas são apresentados às entidades fiscalizadoras, assinados digitalmente e lacrados. Depois, os programas e os dados eleitorais são carregados nos equipamentos conforme os procedimentos definidos pela Justiça Eleitoral.

A proteção não depende apenas do software. As portas de acesso físico da urna são lacradas com selos de segurança produzidos pela Casa da Moeda. Esses lacres ajudam a evidenciar tentativas de abertura ou manipulação do equipamento.

A segurança do processo depende da combinação entre arquitetura do equipamento, controle de acesso, assinatura dos sistemas, verificação de integridade, procedimentos operacionais e auditorias realizadas em diferentes momentos.

Como funcionam as auditorias do sistema eleitoral?

A fiscalização começa antes do dia da votação e continua depois do encerramento das urnas. O modelo brasileiro prevê a participação de partidos políticos, Ministério Público, Polícia Federal, universidades, entidades técnicas e outros grupos habilitados a acompanhar etapas específicas do processo.

Um dos principais mecanismos é a abertura do código-fonte dos sistemas eleitorais. O código reúne as instruções que definem como os programas funcionam. Ao disponibilizar esse material para inspeção, o TSE permite que entidades fiscalizadoras analisem a estrutura dos sistemas, identifiquem possíveis problemas e apresentem questionamentos ou sugestões.

Para as Eleições 2026, o ciclo de transparência começou em 2025, com a abertura dos códigos-fonte um ano antes do pleito. O período ampliado permite que as instituições tenham mais tempo para examinar os programas e preparar testes.

Outro procedimento é o Teste Público de Segurança dos Sistemas Eleitorais, conhecido como Teste da Urna. A iniciativa reúne especialistas que apresentam planos de teste para tentar identificar vulnerabilidades nos sistemas. Os achados são analisados pela Justiça Eleitoral, que pode implementar correções ou aperfeiçoamentos quando necessário.

A existência de um achado em um teste não significa automaticamente que uma fraude tenha ocorrido ou que o resultado de uma eleição esteja comprometido. O objetivo desse tipo de procedimento é justamente encontrar possíveis fragilidades em ambiente controlado e verificar se elas podem afetar a segurança do processo.

No dia da votação, são realizados ainda testes de integridade e autenticidade.

Teste de Integridade: simula uma votação com cédulas de papel e compara os votos registrados na simulação com aqueles contabilizados pela urna. O procedimento é acompanhado publicamente e busca verificar se o equipamento registra corretamente as escolhas realizadas.

Em determinadas localidades, também é realizado o Teste de Integridade com Biometria. Nesse caso, eleitoras e eleitores voluntários participam da abertura da urna por meio da identificação biométrica, seguindo as regras do procedimento.

Teste de Autenticidade: verifica se os programas instalados na urna correspondem aos sistemas que foram previamente assinados e lacrados. A auditoria envolve a conferência de mídias, assinaturas digitais e resumos criptográficos.

Enquanto o Teste de Integridade observa o comportamento da urna ao registrar votos simulados, o Teste de Autenticidade concentra-se na identificação e na correspondência dos sistemas instalados.

As duas verificações cumprem funções diferentes e complementares.

O que acontece depois que a votação termina?

Quando a votação é encerrada, a urna finaliza os registros da seção e emite o Boletim de Urna. O resultado fica disponível para conferência no próprio local, por meio da via impressa afixada na seção.

A partir daí, os dados são encaminhados para a estrutura de transmissão e totalização da Justiça Eleitoral. O processo reúne os resultados de milhares de seções, respeitando as regras de cada cargo e território.

A totalização não depende de uma única urna. Ela é construída a partir dos boletins produzidos individualmente por cada equipamento. Essa organização permite verificar a origem de cada parcela do resultado.

Os dados divulgados pelo TSE também podem ser comparados com os boletins coletados por partidos, entidades fiscalizadoras e outros interessados. Uma totalização própria pode ser feita a partir dos resultados das seções, desde que sejam utilizados os documentos e os dados oficiais correspondentes.

A arquitetura distribuída também reduz a dependência de um único ponto de registro. Cada seção produz seu próprio resultado, que pode ser confrontado com os dados publicados posteriormente.

FAQ: dúvidas comuns sobre a urna eletrônica

A urna eletrônica tem acesso à internet?

Não. Durante a votação, a urna não utiliza internet, Wi-Fi ou Bluetooth. O equipamento funciona de forma isolada e recebe previamente os programas e dados necessários para a eleição.

O voto fica armazenado no nome do eleitor?

Não. O Registro Digital do Voto armazena a escolha realizada, mas não associa o voto à identidade do eleitor. Essa separação é necessária para preservar o sigilo da votação.

O que é a zerésima?

A zerésima é o documento emitido antes do início da votação para demonstrar que a urna não possui votos computados. Ela é apresentada na presença de mesários e fiscais.

O que o eleitor pode levar para a cabine de votação?

O eleitor pode levar uma cola eleitoral, preferencialmente em papel, com os números das candidaturas em que pretende votar. O uso dessa anotação ajuda a evitar erros de digitação.

Não é permitido levar o celular para a cabine de votação. O aparelho deve ser deixado no local indicado pelos mesários. Também não se deve fotografar ou filmar o voto, porque isso pode comprometer o sigilo da escolha.