Uma procuração controversa e a doutrina da remediação proporcional

Resumo

• O registro público apoia um grave problema de autorização na eleição da AFRINIC em 23 de junho de 2025: o ICANN posteriormente se referiu a pelo menos um documento de procuração não autorizado, enquanto o administrador descreveu suspeitas sobre procurações usadas por alguns eleitores e admitiu que a extensão das irregularidades ainda não era conhecida.
• Essas declarações não comprovam que apenas um voto estava com defeito ou que todos os canais eleitorais e todos os assentos estavam contaminados. Uma resposta proporcional deve rastrear o erro desde a autoridade do membro até o instrumento, o portador, o token da cédula, a contagem, a vantagem do candidato e quaisquer fraquezas de validação comuns antes de determinar o escopo da remediação.
• A suspensão imediata e a preservação de provas podem ser justificadas com base em um risco crível. A anulação permanente de todo o procedimento tem um limiar mais elevado: deve demonstrar a injustiça substancial, os limites da reconstrução, as alternativas consideradas e explicar por que a rejeição, reavaliação, recontagem ou repetição apenas da parte afetada não protegeria suficientemente a integridade nem os votos válidos dos membros.

O erro conhecido e a extensão desconhecida

O problema de governança crucial na eleição do conselho da AFRINIC em junho de 2025 pode ser apresentado sem acusação. Um instrumento de votação foi contestado como não autorizado. A eleição foi suspensa perto do seu fim. O administrador posteriormente anulou o procedimento, embora a apuração dos fatos ainda estivesse incompleta. A questão restrita não é se um instrumento não autorizado é grave. Trata-se de como uma instituição pode ir de um erro grave conhecido a um remédio cujo escopo é maior do que o erro atualmente demonstrado.

Essa distinção é importante porque uma eleição corporativa converte vários tipos de autoridade em uma contagem. O membro de recursos da AFRINIC é uma pessoa jurídica. Um humano pode atuar como contato registrado, representante eletrônico designado, representante pessoal autorizado ou procurador. Cada função tem uma fonte e escopo diferentes. Um documento pode ser autêntico, mas assinado por alguém sem autoridade para vincular o membro. Um signatário pode ter autoridade corporativa, mas nomear um portador fora da forma permitida. Um portador válido pode apresentar mais instrumentos do que as regras permitem.

Uma autorização válida ainda pode estar vinculada a um voto duplicado. Nenhum desses erros prova automaticamente os outros.

O material público também contém duas descrições que não devem ser resumidas. A carta aberta do ICANN de 16 de julho de 2025 listou a descoberta de pelo menos um documento de procuração não autorizado e um relatório policial. O anúncio do administrador de 15 de julho usou uma linguagem mais ampla: suspeita de irregularidades, particularmente em relação a procurações usadas por alguns eleitores, queixas às autoridades, uma investigação policial e nenhuma determinação final sobre a extensão. A primeira fornece um mínimo público. A segunda descreve uma possível amplitude não resolvida.

Nenhuma fornece uma contagem completa dos instrumentos ou cédulas inválidas.

A frase "uma procuração controversa" é, portanto, uma disciplina, não uma conclusão factual de que pode ter havido apenas um problema. Ela direciona a atenção para a menor unidade publicamente identificável da disputa. A análise deve começar aí e se expandir apenas se as evidências mostrarem um portador comum, signatário repetido, entrada de membro comprometida, erro de validação compartilhado, erro de votação duplicada, lote de cédulas misturado ou outro mecanismo pelo qual o erro possa se propagar. A alternativa é deixar a incerteza fazer o trabalho da prova.

Quando isso acontece, qualquer anomalia localizada pode ser vista como contaminante de tudo porque a instituição não mediu seu próprio processo.

O que aconteceu entre a autorização e a anulação

A sequência pode ser reconstruída a partir do próprio material eleitoral da AFRINIC. A página eleitoral de 2025 planejou votação eletrônica de 16 a 23 de junho e um dia de votação presencial em 23 de junho. Após o levantamento de uma liminar, um comunicado de 18 de junho informou que a votação eletrônica começaria naquele dia e fecharia em 23 de junho ao meio-dia, enquanto a votação presencial ocorreria em um local em Maurício. O comunicado estabeleceu requisitos de documentos físicos para procuradores nomeados e representantes pessoais autorizados.

O design publicado oferecia três maneiras para um membro votar: um representante eletrônico designado, um procurador nomeado ou um representante pessoal autorizado. Também afirmava que o uso de múltiplos métodos era proibido. Esperava-se que um procurador trouxesse uma carta de autorização assinada, um formulário de procuração preenchido ou cópia autenticada, e identificação. Um representante pessoal autorizado precisava de uma carta assinada, certidão notarial ou outro documento legalmente autorizado, dependendo da jurisdição, além de identificação.

A instrução permitia explicitamente que vários membros escolhessem o mesmo representante pessoal autorizado, desde que a coleção de documentos estivesse presente para cada membro.

Às 17h41 de 23 de junho, o comitê de nomeação emitiu seu aviso de suspensão. Afirmou que tomou conhecimento de circunstâncias que necessitavam de investigação, observou que o presidente havia suspenso a eleição às 17h32, e congelou a votação online e presencial. O aviso invocou o dever estatutário do comitê e disposições das diretrizes eleitorais, mas não identificou nenhum membro, documento, portador, cédula, assento, candidato, vantagem numérica ou etapa de validação. Uma suspensão naquele momento foi um ato de contenção. Preservou a possibilidade de investigação antes da confirmação e anúncio.

Dois dias depois, a carta do ICANN de 25 de junho descreveu relatos, não fatos julgados. Disse que alguns membros de recursos alegaram que procurações apresentadas em seu nome não foram autorizadas, e alguns descobriram o problema quando compareceram para votar. Também destacou uma distinção estrutural: o caminho formal da procuração limitava uma pessoa a cinco procurações, enquanto o design eleitoral parecia permitir que uma pessoa portando procurações atuasse como representante autorizada para um número ilimitado de membros. O ICANN exigiu que nenhum resultado fosse certificado até que as preocupações fossem esclarecidas.

Em 26 de junho, o aviso de anulação do administrador referiu-se a feedback de múltiplas partes interessadas e potenciais irregularidades na documentação dos eleitores. Declarou que essas preocupações foram relatadas às autoridades competentes e anunciou a anulação imediata do processo eleitoral em andamento. Também disse que o administrador solicitaria uma prorrogação limitada ao Supremo Tribunal de Maurício para organizar novas eleições totalmente verificadas. Uma atualização de 30 de junho relatou que o tribunal concedeu um novo prazo até 30 de setembro.

A sequência mostra urgência e consequência. Não revela a ponte probatória entre elas. A suspensão baseou-se em circunstâncias que exigiam investigação. A anulação ocorreu enquanto os relatos públicos ainda descreviam potenciais irregularidades. O comunicado posterior afirmou expressamente que a investigação não havia feito determinações finais sobre sua extensão. Essa lacuna não prova que a anulação foi errada. Identifica a questão que um remédio fundamentado deve responder.

Uma procuração, um representante e uma cédula são objetos diferentes

A disputa tornou-se mais difícil de conter porque as regras de junho criaram categorias adjacentes de ação delegada. A Constituição da AFRINIC de 2020 permite votação pessoal, eletrônica ou por procuração. O Artigo 12.12 exige uma nomeação por escrito, trata a autoridade sob a qual um instrumento é assinado, limita uma pessoa votante a cinco procurações e impede um candidato ao conselho de atuar como procurador. Essas disposições definem uma cadeia familiar: membro, nomeação, titular da procuração e voto.

As diretrizes eleitorais de junho de 2025 adicionaram o caminho do representante pessoal autorizado. Um membro de recursos que não havia concluído os acordos eletrônicos ou de procuração poderia apresentar um representante com prova de autoridade corporativa no dia da eleição. Vários membros podiam usar a mesma pessoa. O propósito óbvio era a inclusão: um membro que perdeu uma etapa de registro anterior não deveria necessariamente perder seu voto. A consequência foi um problema de fronteira.

Uma pessoa que portava autoridade para muitas entidades poderia ser tratada como uma série de representantes corporativos e não como um único titular de procuração sujeito ao limite de cinco procurações.

Essa distinção pode ser legalmente defensável em um caso particular. Um diretor pode geralmente autorizar um representante a agir para uma empresa, e um representante corporativo nem sempre é a mesma categoria legal que um procurador. Mas um controle eleitoral não pode parar nos rótulos. Se a mesma pessoa chega com uma pilha de instrumentos e deposita uma cédula de um membro, o sistema de integridade precisa saber por que cada autoridade é aceita, como a capacidade da pessoa difere do status de procurador, se a constituição permite a distinção para esta votação e como a votação duplicada é bloqueada.

O registro mínimo não é simplesmente um documento digitalizado. É uma cadeia de autorização vinculada. O membro deve existir no registro de eleitores elegíveis. O signatário deve ter o poder de vincular esse membro no momento relevante. O instrumento deve autorizar o representante específico e a ação. A identidade do representante deve corresponder. O membro não deve ter votado eletronicamente ou por outro canal. O direito à cédula deve ser emitido uma vez. O token depositado deve entrar na contagem uma vez. Cada elo deve ser verificável sem revelar a escolha do candidato do eleitor.

É por isso que um contato de banco de dados não pode substituir tacitamente a autoridade corporativa. Contatos de registro são mantidos para funções operacionais e podem estar desatualizados, delegados ou com propósito limitado. O acesso de um contato pode ser indicativo, mas não prova conclusiva de autoridade atual para nomear um representante eleitoral. Por outro lado, um diretor com autoridade legal pode não aparecer nos campos de contato usuais do registro. O administrador eleitoral deve equilibrar a autoridade corporativa e a identidade do registro, em vez de assumir que uma responde a ambas as perguntas.

Contaminação tem uma direção e um raio

Contaminação só é útil se descrever um mecanismo. Um documento contestado pode afetar uma eleição por vários caminhos cada vez mais amplos. O primeiro é um erro de instrumento único. Um membro não autorizou um documento, e um direito de voto foi liberado indevidamente. Se o token da cédula puder ser identificado sem revelar sua escolha, o escopo imediato é essa cédula e qualquer assento para o qual ela registrou uma preferência.

O segundo caminho é um cluster de portadores. A mesma pessoa pode ter apresentado vários instrumentos. Um documento não autorizado não prova que os outros são inválidos, mas dá uma razão para reautenticar cada instrumento na custódia dessa pessoa. O cluster é definido pelo controle compartilhado, não por suspeita sobre eleitores não relacionados. Pode ser expandido se signatários repetidos, modelos de documentos, notários, origens de contas, dados de contato ou rotas de submissão conectarem mais instrumentos.

O terceiro caminho é um erro no método de validação. A equipe pode ter aceitado o tipo errado de prova, omitido a confirmação direta, interpretado mal a distinção entre procurador e representante, ou aplicado padrões diferentes em mesas diferentes. Se o erro é processual e geral, cada instrumento processado por esse método se torna verificável. Mas mesmo assim, verificável não significa inválido. Significa que a instituição deve estabelecer a autorização por uma fonte alternativa confiável.

O quarto caminho é um erro de canal. Se direitos de voto em papel foram emitidos sem uma verificação única contra a votação eletrônica, ou se a conexão entre autorização e token de cédula anônimo não foi mantida, pode ser impossível isolar votos inválidos retroativamente. Isso cria um argumento mais forte para repetir o canal ou as disputas afetadas. A evidência relevante seria arquitetura, logs de emissão, verificações de duplicatas, custódia de cédulas, reconciliação de contagem e testes independentes. Uma declaração geral de que a confiança foi perdida não substitui esses fatos.

O quinto caminho é um erro no corpo eleitoral ou no sistema. Listas de membros comprometidas, alterações não autorizadas em eleitores designados, abuso compartilhado de credenciais, falha em congelar o registro ou incapacidade generalizada de membros legítimos de votar podem questionar todo o procedimento. Nesse nível, as vantagens dos candidatos podem não capturar o dano porque o erro influenciou quem pôde participar. Um remédio para todo o procedimento pode se tornar proporcional, mas somente após o mecanismo sistêmico ser identificado e fundamentado.

Esses caminhos mostram por que a disputa não pode ser resolvida contando alegações. Dez reclamações não relacionadas podem ser contidas. Um comprometimento comprovado do sistema de emissão de direitos não pode. O escopo segue a causa comum, a propagação e a reparabilidade. Não segue o tamanho emocional da disputa.

Cada cédula pode conter múltiplas disputas, mas isso não é a eleição inteira

A AFRINIC tentou preencher todos os oito assentos do conselho eleitos. O estatuto prevê seis assentos regionais e dois assentos não regionais. Uma cédula de papel ou eletrônica de um membro poderia, portanto, afetar várias disputas de candidatos separadas. Se uma cédula não autorizada expressou uma preferência em cada disputa, seu alcance numérico poderia ser um voto por assento. Isso é mais amplo do que uma única disputa de candidato, mas mais restrito do que cada cédula válida.

A análise correta do resultado é específica do assento. Para cada assento, um investigador identificaria o candidato aparentemente líder, o segundo colocado, a vantagem, o número de tokens de cédula contestados que incluíam essa disputa e o número de membros elegíveis cujos votos foram erroneamente excluídos. Se a correção máxima plausível for menor que a vantagem e o processo for confiável, o argumento de risco de resultado para uma repetição desse assento é fraco. Se a população contestada atingir ou exceder a vantagem, o resultado não pode ser certificado com segurança sem esclarecer esses votos.

Se nenhuma contagem foi anunciada, o mesmo cálculo ainda deve ser possível a partir de registros eleitorais mantidos sob supervisão independente.

Números não são a única consideração. Um erro pode ser qualitativamente fundamental, mesmo que não possa ser provado que inverte uma vantagem. Exclusão sistemática de uma classe de membros, adição administrativa secreta de eleitores ou perda de integridade da cédula podem tornar os números declarados não confiáveis. Mas isso é uma declaração diferente de um instrumento não autorizado único. Requer evidências da regra, da população afetada e da extensão da falha.

O registro público revisado para este artigo não contém a contagem por candidato, as vantagens, uma reconciliação de cédulas eletrônicas e de papel, o número de procurações submetidas, o número contestado, o número verificado por reclamação ou o número de membros impedidos de votar. Portanto, não permite uma conclusão externa de que uma cédula poderia ou não ter mudado um assento. A ausência desses números não é prova de que todos os assentos estavam contaminados. É prova de que os membros não puderam avaliar a proporcionalidade com base na declaração publicada.

Suspensão é uma medida protetiva; anulação é uma atribuição final de perda

Um administrador eleitoral não precisa de prova final antes de parar um processo que pode estar ativamente comprometido. Se um membro alega de forma crível que outra pessoa está votando sob uma autoridade que nunca concedeu, o administrador deve evitar mais ações irreversíveis, proteger documentos, preservar registros e logs, identificar o direito contestado e notificar os tomadores de decisão relevantes. Uma suspensão curta pode ser proporcional ao risco porque é reversível e preserva evidências.

A anulação distribui os custos de forma diferente. Ela apaga o efeito de cada voto válido já depositado, encerra a confiança dos candidatos no processo anunciado, exige que os membros repitam a autorização e a participação, e prolonga a governança interina. Na AFRINIC, o atraso também estendeu o período em que um administrador, em vez de um conselho eleito, controlava o caminho de volta à autoridade corporativa ordinária. A medida ainda pode ser justificada, mas sua consequência requer uma explicação mais completa do que a parada de emergência.

Essa diferença é central para o devido processo. Uma parada protetiva pergunta se o risco crível torna a continuação insegura. A invalidação final pergunta o que as evidências mostram, quais direitos foram afetados e se um remédio mais restrito pode reparar o dano. Tratar ambos os estágios como idênticos permite que um limiar de emergência se torne uma decisão de mérito permanente. Também cria um incentivo perverso: quanto menos uma instituição sabe sobre seus próprios registros, mais fácil se torna dizer que nada pode ser preservado com segurança.

Uma resposta disciplinada explicaria, portanto, duas decisões. A decisão de suspensão identificaria o gatilho imediato, os registros preservados, o acesso congelado, o investigador responsável e o prazo de revisão. A decisão de remediação identificaria as conclusões comprovadas, os riscos materiais não resolvidos, a população de cédulas afetada, os impactos nos resultados, as alternativas consideradas e a autoridade para o remédio escolhido. Relatórios públicos podem proteger nomes, assinaturas, identidades e o sigilo do voto, enquanto ainda fornecem esse quadro aos membros.

A lei societária de Maurício aponta para remediação antes da anulação em massa

A AFRINIC está registrada em Maurício, e o quadro legal nacional é mais específico do que apelos gerais à legitimidade eleitoral. A Seção 351 da Lei das Sociedades de Maurício de 2001 trata de irregularidades em procedimentos corporativos. Ela afirma que um procedimento não é inválido devido a um erro, irregularidade ou defeito na notificação ou prazo, a menos que o tribunal considere que uma injustiça substancial foi ou pode ser causada e não pode ser remediada por uma ordem.

A mesma seção dá ao tribunal uma série de opções de resposta. Onde uma omissão, erro, engano ou irregularidade afetou a administração da sociedade ou procedimentos relacionados a uma assembleia geral, o tribunal pode corrigir, anular, modificar ou confirmar as consequências legais. Antes de emitir uma ordem, deve assegurar-se de que a ordem não causará injustiça à sociedade ou a um membro ou credor. Também pode fazer disposições acessórias e lidar com prazos.

Essas disposições não devem ser apresentadas como uma decisão judicial sobre a eleição de junho. O material público revisado aqui não mostra uma sentença publicada aplicando a Seção 351 às procurações contestadas ou determinando que a anulação pelo administrador foi legal ou ilegal sob esta seção. A lei também não responde a todas as questões sobre os poderes do administrador sob as ordens judiciais separadas. Ela fornece um princípio legislativo relevante: irregularidades corporativas convidam a uma investigação corretiva, e a invalidação não é a consequência automática apenas do erro.

Esse princípio é particularmente importante quando um remédio onera membros que cumpriram as regras. "Injustiça substancial" não pode ser julgada apenas da perspectiva do reclamante ou administrador. Um voto não autorizado pode prejudicar o membro cuja autoridade foi tomada, os candidatos afetados pelo voto e a legitimidade da instituição. A anulação pode prejudicar todos os membros cujos votos válidos são descartados, candidatos que confiaram no processo e a sociedade cujo retorno à governança ordinária é atrasado.

Proporcionalidade significa comparar ambos os lados e perguntar se uma ordem pode eliminar a primeira lesão sem criar uma segunda desnecessária.

O episódio judicial pré-eleitoral reforça a necessidade de argumentação direcionada. O comunicado da AFRINIC de 19 de junho, que relatou o procedimento judicial, informou que o tribunal considerou uma classificação defeituosa do registro da sociedade, uma vez corrigida e explicada, não como motivo suficiente para reter a eleição e reiniciar todo o procedimento. Este evento envolveu uma suposta irregularidade diferente e não decide a disputa de autorização posterior. Sua relevância é metodológica: correção, explicação, continuidade e o efeito particular de um erro foram ponderados antes de ordenar um reinício.

Casos eleitorais comparativos oferecem testes, não direito aplicável

Decisões eleitorais públicas de outras jurisdições não podem ser transferidas para a eleição corporativa da AFRINIC como autoridade mauriciana vinculante. Seu valor é analítico. Elas revelam questões recorrentes que cada instituição deve responder antes de descartar votos válidos.

Em Opitz v. Wrzesnewskyj, a Suprema Corte do Canadá examinou irregularidades estatutárias em uma eleição federal. A maioria enfatizou tanto a inclusão quanto a integridade, exigiu que o requerente provasse irregularidades que afetaram o resultado e advertiu contra anular eleições levianamente. Sua conhecida abordagem quantitativa comparou votos inválidos com a margem de vitória. O tribunal também reconheceu que repetir uma eleição tem seus próprios custos democráticos e pode envolver um corpo eleitoral diferente agindo com base em informações diferentes.

Essa abordagem ilumina um assento da AFRINIC onde tokens de cédula contestados podem ser contados e comparados com uma vantagem. Ela não responde a um caso em que o próprio sistema de direitos não pode ser examinado. Também se baseia na lei canadense e nos direitos de voto constitucionais, não na constituição da AFRINIC ou na lei mauriciana. A lição útil é mais restrita: o não cumprimento técnico não deve anular a vontade válida do eleitor, a menos que a regra aplicável e as evidências tornem o erro consequente.

Em Kham v. Electoral Commission, o Tribunal Constitucional da África do Sul decidiu que erros afetando o registro de eleitores e a justiça de certas eleições suplementares poderiam justificar a anulação desses resultados, mesmo sem prova de que o resultado numérico mudou. O remédio ainda assim permaneceu limitado aos distritos afetados e exigiu novas eleições lá. A integridade processual era importante independentemente, mas o remédio geográfico seguiu a violação comprovada.

O Supremo Tribunal do Quênia, nos fundamentos completos do julgamento da eleição presidencial de 2017, distinguiu entre impactos quantitativos no resultado e violações qualitativas substanciais dos princípios eleitorais constitucionais. Não disse que toda violação invalida uma eleição; exigiu um erro substancial. Novamente, o contexto constitucional está muito distante de uma empresa privada de responsabilidade limitada.

A percepção transferível é que a opacidade ou a não verificabilidade em nível de sistema pode ser importante, mesmo quando uma subtração precisa de votos é impossível, mas um erro trivial ou isolado não se torna sistêmico apenas porque é descrito como uma preocupação de integridade.

Juntos, esses casos rejeitam dois absolutismos. Uma eleição não é simplesmente válida porque o administrador não pode provar um vencedor alterado. Nem todo erro grave é uma licença para extinguir todo o corpo eleitoral. Um tomador de decisão deve classificar o erro: participação inválida isolada, resultado afetado, erro processual substancial ou sistema não verificável. O remédio deve seguir essa classificação.

O ônus da prova não pode ser transferido para cada eleitor válido.

Quando um documento não autorizado aparece, a instituição possui grande parte das evidências cruciais. Ela projetou os canais, recebeu os instrumentos, verificou identidades, emitiu direitos de voto, operou ou contratou os sistemas eleitorais e manteve os logs de reconciliação. Os membros possuem evidências de sua própria autoridade, mas não podem reconstruir toda a eleição. O administrador deve, portanto, suportar o ônus da prova para mapear o escopo uma vez que confie em um erro para descartar votos válidos.

O primeiro ônus é a produção. O administrador ou autoridade eleitoral deve declarar quantos instrumentos foram submetidos em cada categoria, quantas pessoas portavam mais de um, quantos foram verificados antecipadamente, quantos foram aceitos no dia, quantos foram contestados e quantos estavam ligados a cédulas depositadas. Deve explicar se a confirmação direta foi tentada e se as entradas dos membros foram alteradas pouco antes da eleição.

O segundo ônus é causal. Qual erro permitiu a ação não autorizada? A assinatura era falsa, o signatário não autorizado, o portador identificado incorretamente, o documento fora de seu escopo, o limite de procuração contornado por classificação ou o controle de votação duplicada ineficaz? Sem uma conclusão causal, uma repetição pode reproduzir o mesmo problema sob uma nova data.

O terceiro ônus é corretivo. Por que a cédula específica não pôde ser excluída? Por que o cluster de portadores não pôde ser reautenticado? Por que uma recontagem não poderia proteger cédulas não afetadas? Por que um assento não poderia ser repetido se apenas sua vantagem era incerta? Por que o canal de papel não poderia ser repetido enquanto os votos eletrônicos verificados independentemente eram preservados? Cada resposta pode revelar um obstáculo técnico ou legal legítimo. O ponto é documentá-lo.

O quarto ônus é distributivo. Quantos membros válidos perdem seu voto em cada opção? Quantos candidatos perdem uma disputa concluída? Quanto atraso a empresa sofre? Que nova oportunidade estratégica uma repetição cria para candidatos, blocos eleitorais organizados ou partes processuais que já viram a primeira disputa? Um remédio não é neutro só porque todos são convidados a votar novamente.

Eleitores válidos não devem ter que provar que toda a eleição foi limpa. Isso responsabilizaria cada membro por sistemas que não controlou. Nem o membro reclamante deve ter que provar toda a extensão oculta antes de uma suspensão protetiva. A instituição deve examinar a ponte entre essas posições.

O sigilo do voto não deve tornar a autorização impossível de verificar.

Um argumento prático para uma anulação ampla é que cédulas secretas não podem ser extraídas após o depósito. Se o administrador sabe que uma pessoa não autorizada recebeu uma cédula, mas não pode identificar qual cédula anônima entrou na contagem, pode não ser capaz de subtrair o voto inválido. Isso é um verdadeiro problema de design. Não justifica vincular a identidade à escolha do candidato, mas mostra por que privacidade e auditabilidade devem ser projetadas juntas.

Um sistema robusto separa os registros de autorização do conteúdo da cédula, enquanto preserva a retirada controlada. O serviço de elegibilidade pode emitir um direito anônimo único após verificar o membro. O sistema de cédula pode registrar que o direito foi usado sem revelar a escolha do membro ao serviço de elegibilidade. Se a autoridade for posteriormente revogada antes da certificação, um administrador independente pode invalidar o token de cédula criptografado ou lacrado correspondente sob um procedimento documentado, sem revelar como foi votado.

Criptografia de limiar, cartões de token lacrados ou controles de série física podem servir a esse propósito, dependendo do escopo e orçamento.

Na votação em papel, um livro de registro pode registrar o direito do membro e um número de série de cédula sem semântica. A contagem não deve revelar a conexão com as escolhas na operação normal. Um mapeamento protegido pode permitir que um auditor independente, sob condições estritamente definidas, coloque uma cédula em quarentena sem publicar a preferência do eleitor. Se as cédulas de papel, uma vez misturadas, eram completamente não rastreáveis, a instituição deve dizer isso e explicar por que esse design foi escolhido para uma eleição contestada e administrada.

O sigilo também não pode ocultar a votação agregada. Os membros devem saber o denominador elegível, os direitos eletrônicos emitidos, as cédulas eletrônicas depositadas, os direitos de papel emitidos, as cédulas de papel depositadas, as duplicatas bloqueadas, os instrumentos contestados, as cédulas em quarentena, as cédulas perdidas e o total válido final para cada disputa. Nenhum desses números identifica a escolha de um eleitor. Sua ausência torna um erro localizado aparentemente indetectável porque o sistema escondeu suas próprias somas de verificação.

Uma remediação graduada para uma autorização contestada

O primeiro remédio disponível é a correção antes do depósito. Se um membro relatar uma nomeação não autorizada enquanto a votação ainda está aberta, revogue o direito não utilizado, restaure a capacidade do membro de nomear um representante legítimo ou votar diretamente, proteja o documento contestado e registre o incidente. Isso protege tanto a integridade quanto a inclusão.

O segundo é a quarentena da cédula. Se o direito contestado foi depositado, mas a certificação ainda não ocorreu, isole o token de cédula correspondente. Verifique a autoridade legal do membro por um canal independente. Se a autorização for confirmada, devolva a cédula para contagem. Se for recusada, exclua-a e permita que o membro um voto substituto, se os controles de tempo e sigilo permitirem. A decisão deve ser revisada por alguém que não aceitou o instrumento original.

O terceiro é a reautenticação do cluster. Se um portador portava autoridade para vários membros, entre em contato com cada principal por um canal corporativo previamente verificado, não por dados de contato fornecidos apenas nos papéis contestados. Confirme signatário, escopo, eleição, portador e ausência de revogação. Trate cada instrumento separadamente enquanto examina características comuns. Um instrumento forjado eleva o nível de escrutínio; não apaga procurações genuínas por associação.

O quarto é a correção da contagem. Onde cédulas inválidas podem ser identificadas, remova-as sob supervisão independente, reconcilie cada canal e recalcule cada assento. Publique o ajuste agregado e as vantagens sem identificar a escolha dos membros. Se nenhum resultado mudar e não houver erro sistêmico, a certificação pode permanecer possível.

O quinto é uma repetição parcial. Se a vantagem de um assento estiver dentro da população de cédulas não resolvidas, repita esse assento. Se apenas as autorizações em papel não são auditáveis, considere repetir o componente de papel ou as disputas afetadas, preservando as cédulas eletrônicas verificadas, desde que o sistema eleitoral e as regras aplicáveis permitam uma combinação justa. Se um cluster de portadores definido não puder ser desembaraçado, uma nova eleição direcionada para direitos de membros afetados pode ser possível.

O sexto é a anulação de todo o procedimento. Isso é proporcional se as evidências mostrarem que o corpo eleitoral, o canal de autorização, a emissão de cédulas, a custódia, o sigilo, a contagem ou a certificação não podem ser processualmente reconstruídos; se o número e a distribuição de cédulas não resolvidas comprometerem todos os resultados dos assentos; ou se as regras foram aplicadas de forma tão inconsistente que a participação válida e inválida não podem ser separadas. A explicação deve identificar qual condição se aplica. "Confiança" descreve a consequência das evidências, não um substituto para elas.

A escada não é rígida. Uma investigação criminal pode exigir retenção que limite a divulgação. Uma ordem judicial pode restringir a medida disponível. Uma plataforma técnica pode impossibilitar uma remediação parcial. O tempo pode ser importante se uma empresa está sem um conselho funcional há anos. Esses fatores podem mover a decisão para cima na escada, mas cada um deve ser tornado visível.

O argumento mais forte para uma anulação é uma falha sistêmica, não um escândalo

Há um caso sério para uma repetição completa se o design de junho tornou a autorização impossível de verificar. As regras permitiam múltiplas formas de representação, algumas registradas antes da votação, outras documentadas no dia da eleição. Canais eletrônicos e de papel se sobrepunham. Um portador podia, segundo relatos, apresentar autoridade para muitos membros sob uma categoria diferente de procuração.

Se o administrador não tinha um único livro de direitos, confirmação direta do principal, um registro de documentos imutável e uma maneira de isolar tokens depositados, um instrumento não autorizado pode revelar um erro de controle compartilhado e não uma falsificação isolada.

Esta é a justificativa mais forte porque identifica a propagação. A instituição não anularia a eleição porque um ator foi acusado ou porque a disputa foi embaraçosa. Ela anularia porque o controle que separava cédulas autorizadas de não autorizadas não fornecia evidências confiáveis em uma população definida. Sob essa conclusão, mesmo instrumentos de aparência genuína não poderiam ser certificados sem reautenticação, e a mistura secreta de cédulas poderia impedir a remediação.

A declaração pública não atingiu esse nível. O comunicado de 26 de junho referiu-se a potenciais irregularidades na documentação do eleitor. O anúncio de 15 de julho disse que não havia conclusões finais sobre a extensão. A carta do ICANN de 16 de julho exigiu a publicação de um relatório de investigação completo e repetiu preocupações sobre a diferença entre o limite de cinco procurações e procurações ilimitadas. Esses materiais apoiam a investigação de uma possível falha estrutural. Eles não publicam uma conclusão de que o livro de direitos, a contagem ou todos os canais de autorização falharam.

Uma declaração pública incompleta pode ser compreensível durante uma investigação policial. Nomes, assinaturas, métodos de investigação e evidências de supostos crimes podem precisar ser protegidos. A confidencialidade, no entanto, não impede a publicação de uma conclusão em nível de controle. O administrador poderia ter dito, por exemplo, que os tokens de cédula não podiam ser confiavelmente vinculados a autorizações contestadas; que as verificações de duplicatas não conseguiam reconciliar os canais; que um certo número de instrumentos compartilhava um método não verificável; ou que cédulas não resolvidas excediam cada vantagem de assento.

Tais declarações não acusariam ninguém. Elas explicariam o remédio.

O argumento mais forte contra a anulação é o valor dos votos válidos

O contrapeso não é a pureza processual. É o direito de voto dos membros. A constituição da AFRINIC concede a membros de recursos e membros registrados poderes na governança da empresa, incluindo a eleição de diretores. Os membros investiram tempo para se tornarem elegíveis, nomear representantes, examinar candidatos, autenticar e votar. Os candidatos participaram de acordo com as regras publicadas. Descartar essas ações é uma decisão de governança substancial.

Uma repetição não é um reinício. Os participantes sabem quais candidatos ganharam apoio, quais alianças se mobilizaram, onde a verificação foi fraca e quais ações legais foram bem-sucedidas. Alguns eleitores não retornarão. Outros mudarão seu voto porque a disputa alterou a campanha. Novos procedimentos podem incluir ou excluir uma população diferente. Os custos recaem desigualmente sobre membros menores, participantes remotos e organizações cujas autorizações internas levam tempo. O administrador interino permanece no cargo por mais tempo.

É por isso que votos válidos não podem ser tratados como descartáveis em nome da proteção eleitoral. O mesmo princípio de integridade que condena uma cédula não autorizada protege uma autorizada de exclusão desnecessária. Se a instituição pode identificar e remover a primeira, deve preservar a segunda. Se não puder, deve explicar por que seu próprio design de controle torna a perda mais ampla inevitável.

A responsabilidade de continuidade do administrador opera em ambas as direções. Uma anulação rápida pode proteger a organização de certificar um conselho contestado. Também pode atrasar a restauração do conselho que a administração judicial deveria facilitar. Uma decisão proporcional deve comparar o perigo de um resultado manchado com o perigo de prolongar o controle extraordinário e repetir a disputa.

A confiança não pode ser ordenada exigindo um resultado indiscutível

O aviso de anulação pretendia garantir "legitimidade indiscutível". Nenhuma eleição pode resistir a esse padrão literal. Processos legítimos sobrevivem a perguntas porque preservam evidências, respondem a desafios, corrigem erros e fornecem razões. Um padrão de liberdade de perguntas cria um veto: qualquer alegação não resolvida pode tornar um resultado inadequado por definição.

O limiar melhor é a confiança justificada. Os membros devem ser capazes de verificar se as regras de elegibilidade foram publicadas, a autoridade foi autenticada de forma consistente, cada membro recebeu um direito, cada direito foi usado no máximo uma vez, as cédulas permaneceram secretas, as contagens foram reconciliadas, os desafios foram decididos de forma independente e os remédios corresponderam a erros comprovados. Algumas pessoas ainda podem discordar do resultado. No entanto, a instituição pode demonstrar por que é confiável.

Essa distinção também protege os investigadores. Uma investigação policial pergunta se um crime ocorreu e quem pode ser responsável. Um administrador eleitoral pergunta se um direito de voto e cédula específicos podem ser aceitos. Os padrões, evidências e prazos diferem. A eleição não precisa esperar pela culpa criminal se a autoridade corporativa puder ser revogada. Por outro lado, uma reclamação sozinha não estabelece que toda cédula associada é inválida. O administrador não deve terceirizar a decisão sobre o escopo eleitoral para a mera existência de uma investigação.

A carta do ICANN de 16 de julho foi cautelosa em um aspecto: disse que suas ideias para uma eleição justa não eram diretivas. Propôs uma revisão completa, um fórum de membros, autoridade mais clara e outras medidas com base em seu entendimento. A mesma distinção deve orientar o debate público. A preocupação institucional pode justificar o escrutínio. Não determina fatos ou remédios sem o tomador de decisão relevante e o registro.

O processo substituto deve mostrar o que faltou ao primeiro processo

Uma repetição só é corretiva se abordar o mecanismo que invalidou a primeira eleição. Mudar data, candidatos, comitê ou plataforma sem identificar o erro de autorização pode criar uma nova disputa com a mesma vulnerabilidade antiga. O substituto deve, portanto, publicar um mapa de controles.

O registro de membros deve ser congelado em um momento definido, com cada correção posterior registrada com motivo e autoridade. Cada pessoa jurídica elegível deve receber uma notificação direta por canais mantidos independentemente. Um membro deve nomear um eleitor por um caminho definido, com a autoridade corporativa verificada antes da emissão de direitos de voto.

Se a votação por procuração for mantida, as categorias de procurador e representante corporativo devem ser explicitamente distinguidas, seus limites numéricos fixados, e cada caminho que permite que uma pessoa atue para vários membros deve estar sujeito a controles equivalentes de concentração e verificação.

A autoridade eleitoral deve confirmar nomeações de alto risco diretamente com o principal. Uma resposta para os dados de contato fornecidos no instrumento não é verificação independente. A confirmação deve usar listas de membros existentes, registros corporativos quando aplicável e um segundo diretor autorizado para mandatos contestados ou concentrados. Qualquer alteração de e-mail, diretor, eleitor ou representante perto da eleição deve desencadear verificação reforçada e notificação do contato anterior.

A emissão de cédulas deve ser feita por um único serviço de elegibilidade em todos os canais eletrônicos e presenciais. O sistema deve bloquear duplicatas em tempo real e produzir uma reconciliação assinada por auditores independentes. Deve haver uma janela de contestação antes da certificação, com notificação urgente ao membro afetado, preservação do token contestado, uma decisão por escrito e um caminho de recurso. Os candidatos devem receber garantias agregadas suficientes para contestar a contagem sem obter identidades ou escolhas dos membros.

O relatório final deve publicar denominadores e exceções: membros elegíveis, eleitores designados, procurações aceitas, representantes corporativos aceitos, direitos emitidos, cédulas depositadas por canal, duplicatas bloqueadas, contestações abertas, cédulas em quarentena, cédulas rejeitadas, cédulas perdidas e totais válidos por assento. Deve identificar quaisquer desvios das regras e seu tratamento. O relatório não precisa divulgar documentos pessoais. Deve mostrar que cada voto válido sobreviveu a uma cadeia controlada.

As perguntas não respondidas são elas mesmas limitadas

Vários fatos importantes permanecem fora do registro público revisado aqui. As procurações contestadas não estão disponíveis para exame independente. A identidade e autoridade dos signatários não são avaliadas. Registros policiais e quaisquer relatórios confidenciais do administrador não são públicos. Os logs completos do sistema eleitoral, o livro de eleitores em papel, o design do token de cédula, as contagens de candidatos, as vantagens, as reclamações dos membros, as decisões da equipe e os documentos judiciais sobre a anulação não foram reconstruídos.

Portanto, esta análise não decide se uma pessoa nomeada cometeu fraude, se um determinado membro autorizou um representante, se houve apenas um instrumento defeituoso, se o administrador possuía evidências confidenciais adicionais ou se toda a eleição era legalmente nula. Também não presume que cada preocupação relatada pelo ICANN estava correta. Declarações oficiais estabelecem o que seus autores disseram e fizeram; elas não provam independentemente as alegações subjacentes.

Os limites não impedem uma análise de governança. O mínimo público e o remédio são conhecidos. Pelo menos uma autorização não autorizada foi relatada publicamente; suspeitas mais amplas ainda estavam sob investigação; a eleição foi suspensa e depois completamente anulada. A ponte faltante é o escopo mensurável entre esses fatos. É exatamente aí que a disciplina da remediação proporcional opera.

Se as evidências confidenciais mostrassem um comprometimento sistêmico, a instituição poderia publicar essa conclusão em nível de controle sem divulgar as próprias evidências. Se as evidências permanecessem muito incompletas para certificação, ela poderia explicar por que a preservação e a reavaliação direcionada falharam. Se o administrador agiu sob uma instrução judicial específica, as condições operacionais e a fundamentação corretiva poderiam ser divulgadas, sujeitas a expurgos legais. Os membros não precisam de um registro criminal para entender por que seus próprios votos foram anulados.

Uma doutrina para futuras eleições de registro

A doutrina da remediação proporcional pode ser reduzida a sete perguntas. Qual regra ou autoridade exata falhou? A qual membro, instrumento, portador, direito, cédula, canal ou assento o erro se estendeu? Que evidências estabelecem esse escopo? A ação afetada poderia ser corrigida, colocada em quarentena, reautenticada ou recontada? Uma repetição parcial poderia eliminar o risco restante? Que injustiça cada opção causaria à empresa e aos membros válidos? Quem tem autoridade legal para escolher e revisar o remédio?

As perguntas devem ser feitas nessa ordem. Começar com o resultado institucional desejado incentiva a coleta de evidências em torno dele. Começar com o erro mantém o remédio ligado às evidências. Também permite expandir o escopo se os fatos justificarem a expansão. Proporcionalidade não é indulgência com a votação não autorizada. É um método para garantir que a resposta seja forte onde as evidências são fortes e não mais ampla do que o necessário onde as evidências terminam.

Para um registro regional, essa disciplina tem valor além das eleições. A instituição controla registros e serviços nos quais os operadores de rede confiam. Uma falha de conformidade, uma autorização contestada, uma conta comprometida ou um documento falsificado podem exigir intervenção urgente. A mesma escada se aplica: conter o risco, proteger evidências, identificar o objeto afetado, testar a propagação, usar medidas reversíveis primeiro, proteger direitos não afetados e reservar medidas em todo o sistema para evidências em todo o sistema.

A eleição da AFRINIC em junho de 2025 não é instrutiva porque uma procuração contestada era trivial. Não era. É instrutiva porque o evento revelou a rapidez com que um problema probatório restrito pode se tornar um problema de remediação em toda a instituição. O administrador precisava proteger o membro cuja autoridade pode ter sido tomada, os candidatos cujas disputas podem ter sido afetadas, o eleitorado válido cujos votos foram depositados e a empresa que aguardava um conselho.

O caso público para a suspensão era claro: preocupações críveis de autorização exigiam investigação antes da certificação. O caso público para a anulação completa era menos completo porque o escopo permanecia não resolvido e as razões não identificavam por que um remédio mais restrito era impossível. Essa lacuna não deve ser preenchida com uma acusação contra o administrador ou uma presunção a favor do voto contestado. Deve ser preenchida com arquitetura de prova, decisões fundamentadas e remédios que divulguem seu próprio escopo.

Uma procuração controversa pode ser o primeiro sinal visível de uma eleição quebrada. Também pode ser um erro administrável dentro de um voto de outra forma reparável. A diferença está nos registros, na causa comum, nas vantagens e na reparabilidade. Uma instituição responsável prova qual condição se aplica antes de pedir a cada eleitor válido que arque com os custos.