Rétt­mæt kjör­skrár­vinnsla

Landskjörstjórn getur ekki staðfest réttmæti kosninga ef vinnsla kjörskrár verður rafræn – þ.e. að einkvæm og rétt samsvörun sé milli kjósenda og atkvæða. Gildir einu þótt fjöldi þeirra stemmi.

Þjóðskrá, í samvinnu við Landskjörstjórn, virðist vera að þróa rafræna kjörskrá og ætlar að sannreyna notkun hennar í þjóðaratkvæðagreiðslunni 29. ágúst næstkomandi. Hér eru gerðar alvarlegar athugasemdir við þessar fyrirætlanir.

Einhverra hluta vegna hefur Þjóðskrá ekki kynnt þjóðinni út á hvað rafræn kjörskrá gengur nákvæmlega. Hins vegna birtist stutt tilkynning um þessa prófun í fjölmiðlum fyrir síðustu helgi. Nú eru kosningar ekki einkamál Þjóðskrár og Landskjörstjórnar og full ástæða til að hvetja þær stofnanir til að kynna almenningi hvað til stendur. Rafræn kjörskrá – sem fer oftast saman við rafrænar kosningar – hefur ekki sannað sig, þrátt fyrir tilraunir víða, slík kerfi skapa jafnan tortryggni og óvissu um réttmæti. Því meiri ástæða er til að leita eftir sjónarmiðum samfélagsins gagnvart þessari breytingu. Upplýst umræða um málið leiðir væntanlega til þess að fyrirætlanirnar verða dregnar til baka.

Rafræn kjörskrá er heimil

Mér er auðvitað ljóst að lagaheimild er fyrir þessari vinnslu, óhappabreyting í þá veru var gerð á kosningalögum fyrir nokkrum misserum. Þá heimild er ekki sjálfgefið að nýta, enda þrýstingurinn á rafrænar kosningar og rafræna kjörskrá ekki lengur fyrir hendi frá kjósendum, þetta var tískubóla fyrir tveimur áratugum og vinsældir hugmyndanna náðu hámarki hér á landi eftir hrunið með draumum Pírata um beint lýðræði. Nú er flestum ljóst að þær hugmyndir eru óraunhæfar og sumar hættulegar.

Umræðuefnið

Áður en langra er haldið er ástæða til að minna á að rafræn kjörskrárvinnsla við kosningar varðar atkvæðisréttinn og hagnýtingu hans og við erum að tala um hana einvörðungu – meðan rafrænar kosningar/netkosningar varða vinnslu í kringum atkvæðið. Í umræðu er þessum vinnslum oft ruglað saman.

En ef kjörskrá er rafræn getur Landskjörstjórn enn síður en annars væri innleitt rafrænar kosningar/netkosningar. Svikamöguleikarnir margfaldast við slíka samtvinnaða vinnslu. Landskjörstjórn getur jafnvel ekki notað strikamerki á kjörseðlum ef kjörskrá er rafræn, því þá má við ákveðnar aðstæður sjá hvernig hver og einn kaus.

Grundvallaratriði breytast

Það sem gerist við notkun rafrænnar kjörskrár er að yfirvöld, Landskjörstjórn, getur ekki lengur staðfest réttmæti kosninga. Af því að sýnileikinn hverfur inn í myrkur tölvuvinnslunnar, engin vitni eru að kjörskrárvinnslunni og rekjanleiki verður marklaus. Hér er átt við það sem gerist í kjördeildinni: (i) sönnunarfærslu kjósandans á því hver hann er, (ii) það að finna nafnið hans í útprentaðri kjörskrá og (iii) merkja við það og sjá kjósandann (iv) setja atkvæðið í kjörkassann – þar sem (v) fulltrúar kjörstjórnar og flokksframboðanna horfa á. Rekjanleikinn hverfur með því að gögnin verða rafræn, því þá eru ekki fyrir hendi fýsísk, óbreytanleg frumgögn.

Formaður Landskjörstjórnar getur því ekki lengur – ef nota á rafræna kjörskrá – komið fram fyrir þjóðina og sagt að kosningar hafi farið vel og snurðulaust fram, af því að hann veit það ekki. Hann getur ekki með nokkru móti vitað það.

Nú kann einhver að segja að ef fjöldi kjósenda sem mætir á kjörstað samsvari fjölda atkvæða sé Landskjörstjórn óhætt, en svo er ekki. Mögulegt er að framkvæma svik í vinnslu kjörskrár sem hafa áhrif á niðurstöður kosninga þannig að þær fjöldatölur stemmi.

Ytri umgjörð er í hættu

Kjörskrá er haldin til að stjórna því hverjir mega kjósa og hverjir ekki. Síðan tilheyrir hver kjósandi ákveðinni kjördeild. Þessir umgjörð um kosningar skapar mikið öryggi. Hún er í uppnámi í rafrænni kjörskrá. Ekki þarf endilega svik til. Sennilegt er að Þjóðskrá og Landskjörstjórn ætli að heimila kjósendum að kjósa í hvaða kjördeild sem er. Þá er líka sennilegt að til standi að hver og einn geti kosið hvað eftir annað meðan á kjörfundi stendur. Um þetta verður ekki fullyrt meðan fyrirhugað kerfi Þjóðskrár og Landskjörstjórnar hefur ekki verið kynnt. En slík niðurfelling ytri umgjarðar ein og sér opnar fyrir nýja svikamöguleika.

Stærðargráða svika margfaldast

Mikilvægt er að hafa í huga að við vinnslu rafrænnar kjörskrár breyta svikamöguleikar um eðli. Í stað þess að geta við hefðbundna vinnslu átt sér stað í kjördeildum og því skipt litlu máli fyrir kosninguna í heild, geta svik orðið á landsvísu. Á fagmáli er talað um að rafræn kjörskrá og rafrænar kosningar geri svik á heildsölustigi möguleg, meðan núverandi handunnið kerfi gefur aðeins möguleika á svikum á smásölustigi. Svik í núverandi kerfi kalla því ekki endilega á ógildingu kosningar eða hafa mikil áhrif á niðurstöðu.

Hvað getur gerst?

Alltaf er hætta á innbrotum í tölvukerfi. Þau geta verið bæði ósýnileg og órekjanleg eða sýnileg og rekjanleg. Ósýnileg svik geta breytt niðurstöðu kosninga, þannig að niðurstaðan endurspegli ekki vilja kjósenda. Sýnileg innbrot munu hins vegar valda usla og ógildingu kosninga, hvort sem þau uppgötvast meðan á kjörfundi stendur eða eftir á.

Innbrotahættan er bæði innri hætta, þ.e. vegna starfsfólks sem að málinu kemur, og ytri hætta, þ.e. frá netinu eða í gegnum einhverjar nettengingar. Enda þótt kerfi verði alveg lokað frá netinu þarf það ekki að vera öruggt og þótt það hafi verið innsiglað getur svikakóða hafa verið plantað inn í það á fyrri stigum. En ljóst er að kerfi sem nota á í kjördeildum um allt land verður alltaf á neti sem margir geta tengst.

Hér verður ekki rakið í smáatriðum hvað hakkari getur gert – það er einkum hugmyndaflugið sem takmarkar hans möguleika – enda tilgangur þessarar greinar að benda stjórnendum hjá ríkinu og almenningi á aðalatriði málsins. Það skiptir miklu máli hvort hakkari hefur samverkamenn í raunheimum eða ekki og hvernig ytri umgjörð kosninganna verður. Því meira frjálsræði því meiri svikamöguleikar. En aðalatriði málsins er að enda þótt rafræn kjörskrá sé ekki eins hættuleg lýðræðinu og rafrænar kosningar getur innbrot í hana breytt niðurstöðum kosninga án þess að ummerki um það sjáist.

Er hættan mikil og yfirvofandi?

Enginn getur sagt fyrir um hvað hættan á svikum er mikil, hún er kannski lítil, jafnvel mjög lítil, kosningar eru líka mismunandi mikilvægar. En miði er möguleiki. Hins vegar er hættan á tortryggni og óvissu um réttmæti kosninga ekki aðeins möguleiki heldur óhjákvæmilegur fylgifiskur rafrænnar kjörkrár. Svikabrigsl, dómsmál og tilraunir til ógildingar munu fylgja breytingunni.

Og ekki alveg að ástæðulausu, innbrot í svona kerfi er ekki langsótt hugmynd. Í hverri viku heyrum við af innbrotum gervigreindarinnar í kerfi sem áttu að vera alveg örugg. Það er einfaldlega ekki í mannlegu valdi að gera kerfi sem ekki er hægt að brjótast inn í. Gervigreindin er farin fram úr getu manna að þessu leyti, eins og flestum er ljóst.

Rafræn kjörskrá er fordæmalaus veiking öryggismála hér á landi

Það er ekki hægt að tölvuvæða alla vinnslu sem fram fer í raunheimum. Stundum þarf sýnileika og þá kemur myrkur tölvuvinnslu ekki til greina. Stundum þarf rekjanleika og þá þarf að vera fyrir hendi slóð. Og stundum þarf vitni að vinnslu. Allt þetta er nauðsynlegt í vinnslu kjörskrár.

Hér á landi erum við með eitthvert besta kosningakerfi sem fundið hefur verið upp. Það er úthugsað og tryggir rekjanleika og öryggi eins vel og möguleiki er á. Lítil ástæða er til að ætla að starfsmenn stofnana ríkisins eða aðrir sem að málinu koma – enda þótt mikilhæfir séu – geti gert betur. Landskjörstjórn ætti fremur að sjá til þess að framkvæmd kosninga sé nákvæmlega eftir bókinni, en gefa afslátt á öryggi og breyta forsendum. Þetta varðar sjálfa tiltrúna á lýðræðið.

Höfundur er doktor í rafrænni stjórnsýslu.