Wybory internetowe: dlaczego Razem mówi nie | Razem dla uczciwej polityki

Rada Krajowa Partii Razem zajęła w sprawie głosowania przez internet stanowisko negatywne już 16 lutego 2018 roku, a argumentacja z tamtego dokumentu trzyma się mocno do dziś. Powód sprowadza się do zaufania: w wyborach prowadzonych tradycyjnie wyborca może w zasadzie prześledzić drogę własnego głosu, bo papierowa karta wpada do przezroczystej urny, a liczy ją kolektywna komisja, której członków wystarczy nie mieć w jednej zmowie, żeby wynikowi ufać. Głosowanie internetowe tę weryfikowalność likwiduje, przenosząc zliczanie do oprogramowania, którego ogromna większość wyborców nie jest w stanie sprawdzić. Zostaje jeszcze koronny argument zwolenników i-votingu — że internet podniesie frekwencję — którego estoński eksperyment po prostu nie potwierdza. Ten artykuł należy do naszego hubu jawne państwo, w którym pilnujemy procedur odpornych na manipulację.

Zaufanie oparte na papierze i kolektywnej komisji

Zaufanie do tradycyjnych wyborów opiera się w polskim systemie na dwóch filarach, które stanowisko Rady Krajowej opisuje wprost. Pierwszym jest procedura spisana w powszechnie dostępnym prawie: Kodeks wyborczy z 2011 roku reguluje każdy etap, od druku kart po ustalanie wyników, językiem, który — przy odrobinie cierpliwości — może przeczytać każdy obywatel. Drugim filarem są komisje: obwodowe, terytorialne, okręgowe. To ciała kolektywne złożone z ludzi zgłoszonych przez różne komitety, więc żeby zaufać ich pracy, wystarczy założyć, że nie wszyscy jej członkowie działają w porozumieniu.

Ta konstrukcja ma tę zaletę, że błędy są w niej wykrywalne. Pomyłka przy liczeniu kart bywa realna, ale wychodzi na jaw przy porównaniu protokołów z różnych szczebli, a w razie wątpliwości głosy przelicza się jeszcze raz — fizyczne karty wciąż leżą w urnie. Istnieją zresztą metody statystyczne pozwalające potwierdzić prawidłowość wyniku, sprawdzając ręcznie tylko niewielki ułamek kart; w literaturze funkcjonują jako audyty ograniczające ryzyko. Karta papierowa daje w tym wszystkim jedną rzecz, której ekran nie odtworzy: trwały ślad, do którego można wrócić po fakcie, niezależnie od tego, co pokazał wcześniej komputer.

Estonia: internet nie wyleczył frekwencji

Estonia głosuje przez internet od 2005 roku i jest w tym względzie światowym rekordzistą, więc jej dane najlepiej testują obietnice zwolenników i-votingu. W wyborach do Riigikogu w marcu 2023 roku po raz pierwszy większość głosów oddano zdalnie — 313 514 głosów internetowych, czyli 51,1 procent wszystkich oddanych. Udział ten rósł systematycznie: z 3,4 procent uprawnionych w 2007 roku do 32,5 procent w 2023.

Popularność narzędzia nie przełożyła się jednak na to, czym się je najczęściej reklamuje. Frekwencja w wyborach parlamentarnych 2023 wyniosła 63,5 procent — w granicach estońskiej normy z poprzednich dekad, mimo że co drugi głos padł już przez internet. Badacze z Uniwersytetu w Tartu, którzy prześledzili estońskie głosowania od 2005 roku, doszli do wniosku, że i-voting nie zwiększył frekwencji w kraju, w którym głosowanie i tak było łatwo dostępne — wyborcy głównie zamieniają wizytę w lokalu na klik, zamiast pojawiać się ci, którzy wcześniej zostawali w domach. Sama estońska komisja wyborcza przyznaje, że trudno wykazać, by głosowanie internetowe bezpośrednio podnosiło frekwencję. Wysoka partycypacja bierze się z poczucia sprawczości, a nie z tego, o ile sekund skróci się droga do oddania głosu.

Ryzyko wpisane w architekturę

Najtrudniejszy do odparcia jest argument o bezpieczeństwie, bo dotyka samej konstrukcji systemu, a nie sposobu jego obsługi. Zespół badaczy pod kierunkiem J. Alexa Haldermana z Uniwersytetu Michigan przeanalizował estoński system w pracy z 2014 roku, opartej na obserwacji wyborów samorządowych z 2013 roku, przeglądzie kodu i testach na wiernej kopii infrastruktury. Wnioski były poważne: system ma architektoniczne ograniczenia i luki proceduralne, które mogą zagrozić integralności wyborów, a autorzy zademonstrowali eksperymentalne ataki pozwalające zmienić wynik albo podważyć jego wiarygodność, atakując serwery wyborcze lub komputery samych głosujących. Estońska komisja odpierała te ustalenia, ale spór o tak zwaną weryfikowalność end-to-end trwa do dziś — a to znaczy, że po dwóch dekadach eksploatacji najlepiej rozwinięty system i-votingu na świecie wciąż nie rozwiał wątpliwości niezależnych specjalistów.

Polska ma zresztą własne doświadczenie z zaufaniem powierzonym oprogramowaniu wyborczemu, i to bez żadnego zdalnego głosowania. Podczas wyborów samorządowych w 2014 roku system informatyczny Państwowej Komisji Wyborczej do zliczania głosów odmówił posłuszeństwa: nie przyjmował danych, nie drukował protokołów, a przy próbie jednoczesnego dostępu kilku tysięcy użytkowników po prostu się wykładał. Aplikację zbudowano w trzy miesiące za niespełna 430 tysięcy złotych, testując ją — jak ujął to jeden z ekspertów — na żywym organizmie. Skutek: pełne wyniki ogłoszono z tygodniowym opóźnieniem, komisje przeliczały głosy ręcznie, a sekretarz PKW podał się do dymisji. Ta awaria dotyczyła tylko liczenia gotowych, papierowych kart — i pokazała, jak kruchym punktem bywa warstwa cyfrowa nawet tam, gdzie fizyczny dowód głosu leżał bezpiecznie w urnie. Przy pełnym i-votingu takiego dowodu by nie było.

Do tego wszystkiego dochodzi skala potencjalnego interesu. Wpływem na wynik wyborów byłyby zainteresowane partie i ich elektoraty, obce służby specjalne, a nawet korporacje, którym niektóre rozstrzygnięcia mogą zagrażać. Mówimy o graczach zdolnych przeznaczyć na atak poważne środki, wiedzę i technologię — a scentralizowany system głosowania daje im jeden cel, którego skuteczne trafienie podważa całe wybory naraz, zamiast pojedynczego obwodu.

Co proponuje Razem

Stanowisko Rady Krajowej z lutego 2018 roku nie zostawia miejsca na półśrodki i kończy się jednoznaczną oceną:

To fundamentalny powód, dla którego wybory przez internet nie mogą zostać uznane za bezpieczne i nie mają racji bytu.— Stanowisko Rady Krajowej Partii Razem w sprawie wyborów internetowych, 16 lutego 2018 r., partiarazem.pl

To stanowisko Rady Krajowej z 2018 roku, a nie punkt Deklaracji programowej z 2025. Zapisana w nim logika daje się jednak streścić w kilku zasadach, które Razem traktuje jako trwałe:

Głos musi być weryfikowalny. Wyborca ma prawo, przynajmniej w zasadzie, prześledzić drogę swojego głosu i zaufać wynikowi bez wiary w nieznany kod. Papierowa karta i kolektywna komisja to zapewniają, oprogramowanie zamknięte przed obywatelem — nie.
Otwartość kodu nie wystarcza. Nawet publicznie dostępne źródła systemu wyborczego potrafią zweryfikować wyłącznie nieliczni specjaliści, więc realna kontrola nad procesem trafia w ręce wąskiej grupy programistów i administratorów. Podmiotowość wyborcy tego nie znosi.
Frekwencji nie leczy się interfejsem. Skoro udział w wyborach wynika z poczucia sprawczości, a estońskie dane pokazują, że i-voting go nie podnosi, to sięganie po ryzykowną technologię dla obietnicy, która się nie spełnia, jest złym interesem.

Weryfikowalność systemów, którym powierzamy decyzje o wspólnych sprawach, to problem szerszy niż same wybory i domena, w której głos środowiska naukowego bywa rozstrzygający — piszemy o niej także w siostrzanym serwisie o nauce i otwartym dostępie do wiedzy, bo dopiero niezależni badacze, mający wgląd w kod i dane, potrafią odróżnić system godny zaufania od takiego, który tylko udaje bezpieczny. W przypadku wyborów Razem woli oprzeć zaufanie na czymś, co każdy obywatel może zobaczyć na własne oczy: na papierowej karcie i jawnej pracy komisji.

Zaufanie oparte na papierze i kolektywnej komisji

Estonia: internet nie wyleczył frekwencji

Ryzyko wpisane w architekturę

Co proponuje Razem

Źródła i dalsza lektura