比特与原子：信息时代的政治经济学

有了霍根强烈支持的游说文件在手，而且没有反对决议的文件流传，第二天，会议室里的ALP成员开始投票赞成一系列将“注册支持者”概念制度化的宪法细则，尽管支持者注册的机制一一无论是通过纸质签名(个人手动填写登记表，并由个人竞选者或ALP办公室工作人员将她或他的数据上传到一个通用数据库)，通过在线注册(一个人在网上输入个人联系方式，并在一个方框里打勾，声明遵守政党的原则，或者提供一个数字签名，将注册与他们的人格联系起来)，或者仅仅通过推荐或任意加入(竞选团队可以根据电话簿或该省选民名单上列出的人的姓名和地址提交姓名和地址进行登记，尽管没有与竞选团队进行个人或在线联系，但竞选团队认为谁会支持特定候选人)一一这是一个悬而未决的问题。然而，我们假设的是，这些机制一一无论它们在未来几个月如何展开—一必然会支持该党的发展，以及它与阿尔伯塔省各地社区和选民的双向沟通。

因此，在2011年6月1日，ALP成为加拿大第一个遵循“注册支持者”制度的政治实体：一种随意的政党关系，不依赖于会员费，也不受如何注册支持者的任何规则的约束。然而，由于媒体的积极报道和“更新”代理人先锋团体对“注册支持者”制度修正案的成功推崇，几乎没有人对这些问题提出质疑。

新支持者登记和电子投票管理方面的操作障碍

在操作层面，该党的三人工作人员(包括霍根、甘顿和一名兼职大学实习生)承担了管理、指导和制度化新登记支持者和数字化投票系统的所有方面的任务。到8月中旬，这个系统已经包含了近2万个姓名、地址和电话号码。几乎是必要的(因为工作人员少，登记的支持者名单需要许多任务)，ALP的选民“政策”与选民隐私和投票诚信有关(包括向姓名变化的人发放双重个人识别码，并发放

262 The Digital Democratic Deficit

10.15215/aupress/9781771991292.01

逝者的家庭个人识别码，或被错误或不情愿地加入ALP“支持者”名单的人(包括宠物和恶作剧的名字)，以及对数据所有权、数据安全、数据盗窃和数据操纵可能性的网络安全担忧，都是在5月29日特别大会之后立即特别制定的。对党内文件的事后分析(包括电子邮件、所有候选人会议记录、以及Cormican和我在2011年5月至9月间发布的决定信)表明，与“登记”选民和数字投票机制相关的人员不足和复杂的系统问题，在ALP的一系列重大操作、技术和哲学问题中表现出来。

作为竞选的主席，考米肯和我收到了正式的投诉，其中包括休·麦克唐纳对非阿尔伯塔人、死人和猫出现在“登记支持者”名单上的担忧，以及没有透明的方法来阻止向这些人或实体发放pin码。麦克唐纳竞选团队还抱怨说，那些注册支持他竞选的付费成员没有出现在发给所有竞选团队的数字化投票名单上。拉吉·谢尔曼的竞选团队正式抱怨提前公布“已登记的支持者”姓名，并要求提供书面记录或材料签名记录，将支持者姓名与现有个人联系起来，团队认为这是不必要的要求。比尔·哈维的竞选团队正式抱怨说，没有适当的审查程序来确保“注册支持者”—一他们应该至少年满18岁，名字出现在阿尔伯塔省的选民名单上，或者是阿尔伯塔省的居民，并且打算在自由党竞选中投票一一符合任何或所有这些要求。劳里·布莱克曼的竞选团队抱怨说，在竞选一开始就有一个商定的惯例，使用纸质系统来注册新的“注册支持者”，但纸质系统被临时抛弃了，没有正当化。这损害了那些花费时间和金钱收集纸质签名以向选民展示纸质踪迹的团队的利益。最后，在2011年9月竞选接近尾声的时候，麦克唐纳竞选团队抱怨说，在竞选的最后几周被退回给发送者的pin码没有得到妥善处理，或者没有已知的协议来安全处理这些pin码。如果泄露给不法分子，这些密码可能会被滥用于双重或三重选民。事实上，2011年整个夏天，每周通过电话召开的所有候选人会议的记录(其中

Josipa G. Petruni263

10.15215/aupress/9781771991292.01

Cormican和我(共同或单独主持)表明，所有五个竞选团队都在某种程度上抱怨了一个或多个与“注册支持者”缺乏材料(相对于数字)可追溯性有关的问题，以及与在线注册、在线PIN使用、以及在线投票制表和审计。

作为“注册支持者”和电子投票系统的执行董事和事实上的管理者，霍根对这些担忧的回应包括:关于滥用PIN码，霍根认为打开别人的邮件是非法的，所以家庭成员应该避免打开或使用孩子、老人或伴侣的PIN进行两次(或三次)投票。虽然在理想的情况下，现有的数字选民的书面记录是理想的，但ALP不能保证这样的书面记录，也不会强制要求对数字选民有实质性的书面记录，因为它没有资源这样做;退回给发件人的PIN码将由办公室工作人员(霍根、甘顿和大学实习生，尽管霍根没有解释如何处理)处理;第三方提供商可以安全地保存和存储数字投票(尽管霍根多次要求提供ALP与第三方提供商的合同细节，但没有得到答复)。

在最后的领导人投票日期(9月8日)之前的两周，Cormican和我要求对“已登记的支持者”进行正式的统计审计，以确保出现在(当时)25000多名姓名和地址上的名字中，有相当大比例的人确实是，属于18岁或以上的阿尔伯塔省居民(或付费的ALP成员，最小的可能只有14岁)，并且每个这样的居民都获得了一个PIN码，而且只有一个PIN码(由于名称变化而提前停用的任何额外PIN码)。霍根回应说，ALP没有预算(也没有预算)在投票前对潜在选民的登记支持者名单进行任何形式的统计审查或外部审计，该党主要依靠阿尔伯塔人的“荣誉制度”。希望他们不要通过双重或三重投票来滥用PIN码。

数字推广和选民参与的哲学局限性

鉴于这些情况，本章的其余部分将分析在ALP实验中出现的争论和争论的投票原则。在这一讨论中，出现了两个加拿大投票原则

264 The Digital Democratic Deficit

10.15215/aupress/9781771991292.01

值得详细考虑的是:一人一票原则的完整性和选民的平等;以及投票过程的完整性(和匿名性)。

一人一票原则的完整性与选民的平等性

在9月6日至9月10日期间，超过8000个个人识别号码(PIN码)被用于通过电话或在线登录ALP的投票系统，并使用一个专门的网站。这些选民的投票表和偏好(包括他们通过电话键盘输入或按偏好顺序在线编号选择的优先候选人名单)由第三方私人提供商收集、存储和托管。理论上，每个PIN都与一个人相关联，从而确保了ALP一人一票政策的保护。

电话和网上投票机制旨在方便那些不能或不愿前往实体投票站的成员和支持者投票，在那里，他们将获得一张铅笔和纸选票，在私人屏幕后投票。支持ALP电子投票机制的一个关键假设是，这些数字技术的用户在投票体验或投票实践方面与通过纸质选票进行的实物投票相比不会有任何显着差异。然而，这一假设应该接受批判性的调查，因为数字投票带来了一个不同的空间，该空间内不同的一组关系，不同的权力动态，以及基于其发生的背景的不同结果，与由中立投票职员监控的私人屏幕后面的纸质选票投票相比。

首先，让我们考虑一下国内的数字投票空间。在线和电话投票在特定参数定义的背景下进行。在一个平等主义的家庭中，假设每个家庭成员都持有自己的政治观点，每个家庭成员(有电话或互联网连接的家庭)都可以投自己的票，这样的假设可能在现实中体现出来。但是，阿尔伯塔省的许多家庭不能被描述为平等主义。所有艾伯塔省的家庭，或者至少所有参加ALP投票的家庭，都表现出潜在选民在政治观点和个人投票权上不受阻碍的平等，这种假设是站不住脚的。使用互联网或电话，或使用这些服务时的个人隐私，可能无法得到保证。不能保证使用自己的PIN。在键入投票偏好时，自己做出决定的能力可能无法得到保证。

Josipa G. Petruni265

10.15215/aupress/9781771991292.01

总而言之，当分析私人家庭内部的权力动态时，通过电话或互联网进行的数字投票与私人投票站和纸质选票的虚拟等同的信仰很快就会崩溃。家庭内部的权力动态决定并塑造了去中心化的电子投票过程。如果考虑到这些因素，从一人一票原则和选民之间基本平等的假设来看，电子投票还有很多不足之处，即没有任何一票比其他选民拥有更多的发言权、更大的“声音”或更多的选票。

考虑到家庭权力动态(配偶之间、父母与年轻人之间、成年人与长辈之间、健全者与残疾人之间、或认知能力者与认知残疾者之间，等等)的不平衡且往往不平等的本质，我们必须要问，国内数字投票场景中的一人一票原则能否得到保证一一在这方面，它与私人投票亭是否平等?这里的问题主要是权力问题—一在家庭内部、在工作场所内部、在家庭环境中的人与人之间，以及在任何分散地点的行动者(即选民)之间，在这些地方，私人的、不受阻碍的互联网或电话接入投票过程是先决条件。

其次，让我们考虑在平等或不平等的情况下投票的心理方面。让我们假设一个给定家庭中的每个人都收到一个PIN码，他们可以用它来登录在线投票或呼叫电话投票。就地使用数字选票(在一个人的家中，PIN通过邮寄到达)的先决条件是，家庭中的所有人都受到尊重，享有个人自由和思想自由，以及行使其投票权的平等能力。在起作用的首要假设是，一个家庭的成员，无论性别、经济地位、身体状况、认知状况或其他形式的地位如何，他们的投票行为同样不受家庭中其他选民或非选民(或去中心化的投票地点)的阻碍。一个基本的女权主义分析在这些假设周围竖起了警告信号。一人一票原则的完整性在父权制或母系家庭中完全被破坏——一个家庭成员之间存在着霸道或压迫的关系，在没有保护屏的情况下，当被要求投票时，PIN的接收者却没有必要的心理或身体能力。

PIN不仅可能被另一个已经投票的人、没有资格投票的人、或者根本不希望被支配的人投票的人征用和使用，而且可能被一些成员的心理支配

266 The Digital Democratic Deficit

10.15215/aupress/9781771991292.01

一个家庭对其他人(包括在精神疾病、衰老、认知障碍或青少年天真的情况下)的支配，允许家庭中强大的当局控制投票结果。当置于家庭环境的背景下时，电子投票可能无法提供针对心理支配和投票控制可能性的保护措施。

也许有人会说，选民在任何情况下都不可能完全平等(霸道的人可能不允许被征服的家庭成员亲自访问投票地点)，但现场投票确实避免了国内去中心化电子投票系统的问题，在这种系统中，霸道的权威人物可以控制投票的最终行为。那些生活在被征服关系中的选民，如果他们确实设法亲自前往投票地点，最终会受益于投票屏幕这一最后手段，他们可以在投票屏幕后面私下标记选票，而不受专横代理人的直接影响。

总而言之，家庭内部和其他分散的投票地点(如工作场所)的权力动态决定了投票结果。就数字投票消除了女人、男人、残疾人、老人或青年可以表达个人政治观点的私人屏幕而言，它无法确保“一人一票”，可能会加剧选民之间的不平等。电子投票将投票行为从纸张、铅笔和个性化屏幕确保平等主义保护的受监控网站，转移到一个不受监管、不受监控、潜在不平衡的网站，容易受到操纵和霸道的权力动态的影响。

投票过程的完整性和匿名性

想象一下，在2011年英国工党(ALP)领导人竞选中，数字投票将会发生什么。一个人(比方说一个ALP成员，或者一个新“注册的支持者”)会在邮件中收到一个PIN，信封上写着他或她的地址。信封里应该有一封来自ALP的信，信中说，选民可以使用随机分配的PIN登录在线投票或电话系统，进行优先投票。

在网上投票的情况下，这个人将把在线投票网站的URL输入网络浏览器的地址栏。她应该使用她的PIN登录投票。她会看到一张选票出现在屏幕上，选票上五位领导人候选人的名字按照从上到下的随机顺序出现(每个选民收到的都是被声称是随机分配的候选人名单，这样就不会有一个候选人的名字一直出现在名单的顶部)。投票人就会使用

Josipa G. Petruni

267

10.15215/aupress/9781771991292.01

她的鼠标在候选人的名字上滚动，并优先对候选人进行从1到5的评分(或1到5之间的任何数字，因为选民不需要使用所有五张优先票)。类似的音频过程会通过电话进行，但不是使用鼠标在名字上滚动并键入1到5的数字，选民会使用她的键盘为列出的特定候选人选择1到5。然后，选民就会确认她的选择，她的选票就会被登记为已投。

但是，在ALP的情况下，当成员单击“确认”或按\*键确认电话选择后会发生什么?该成员的PIN将以数字方式附在她的投票偏好上一一她对候选人的排名从1到5。这些数字信息将自动输入一个数据库，该数据库还记录了所有其他提交的优先选票，每次提交都附加到一个特定的PIN码，可能(或潜在)附加到一个计算机IP地址。电话数据将被记录在与成员的PIN和(可能的)电话号码类似的数字数据库中。

这里出现了许多问题。从理论上讲，pin可以与姓名以及IP地址或电话号码相关联，因此会员的姓名可以间接地与她的投票偏好相关联。为了表彰电子投票系统的第三方服务提供商，现代投票机制和匿名工具在实践中确实允许pin和选民身份之间的分离，以确保过程中的匿名性。然而，数字投票的匿名性(无论是在线投票还是电话投票)原则上总是依赖于作为服务提供给客户端的那些分离工具，在这种情况下是 $\mathrm { { A L P } _ { \circ } }$ 因此，投票匿名的哲学保证依赖于操作保证，即投票收集者、投票存储代理和投票计数器拥有可用的解关联(或打乱)工具，这些工具有效地发挥作用，服务提供商和客户(ALP)之间的合同包括购买这些服务，第三方提供商提供条款，确保在所有情况下使用这些解除关联工具，并提供透明的程序审计机制。

就ALP而言，这些业务保证无处可寻。如果它们确实以合同或内部形式存在，自由党党团不知情，它的执行委员会不知情，它的选区主席不知情，它的领导候选人(及其竞选团队)不知情，领导联合主席(如科米肯和我)不知情。事实上，要求获得与第三方提供商的服务提供合同副本的请求没有得到任何结果，因为从未与第三方共享过任何合同文件

268 The Digital Democratic Deficit

10.15215/aupress/9781771991292.01

霍根、甘顿的ALP员工之外的任何人，以及(可能的)兼职实习生。此外，2012年大选后聘请的取代霍根和甘顿的工作人员，以及新当选的党主席托德·范·弗利特(Todd vanVliet)，也无法根据这项研究的要求找到合同文件。总而言之，虽然电子投票系统的第三方提供商可能拥有上述技术能力，但ALP案例研究表明，没有证据表明该技术能力在原则上或详细地在该特定投票场景中得到了商定、支付或使用。这导致了关于技术能力的假设是否总是转化为实践的问题。

这方面的最后一个问题涉及电子投票系统产生的数据集的所有权。纸质选票可以在盒子里保存数年，它们的寿命取决于它们的重要性。物质纸质选票的处理有效地破坏了对投票结果的记忆。相比之下，在数字化投票中，投票表(收集和制表)以数字形式存在;销毁一份数据库副本几乎不意味着数据的销毁。投票数据库可以很容易地复制和共享—一相对容易地复制。选民及其投票偏好的长期匿名性的哲学保证取决于数字投票集的操作所有权以及投票数据集所有副本的有效和操作销毁。

就ALP而言，由于缺乏透明的服务合同，不可能知道这种保证是否到位。在2012年6月至2013年8月期间参与这项研究的ALP员工和高管报告称，他们无法找到任何信息、合同或书面记录，详细说明谁(或哪个实体)最终拥有ALP领导层投票数据、这些数据是如何管理的、如何共享的，以及这些数据是如何(如果是)销毁的。到目前为止，还不清楚与ALP签订合同的服务提供商是否创建了一个记录pin、IP地址、电话号码和投票结果的数据库，或者是否使用可接受的技术将投票聚合为不可分辨的组，从而对匿名数据进行了加密和呈现。第三方提供商以外的任何人(任何一方的高管或工作人员)是否查看过最终的计票结果和投票偏好数据库，也不得而知。最后，该数据库是否仍然存在，或者是否已被销毁，也不得而知。用一位长期自由党人的话来说，“我假设外面有人知道我是怎么投票的，而且有人有一个数据库，告诉他们每个人是怎么投票的。”这是否属实，在目前的案例研究中根本无法确定，但它确实提出了关于数字化所需的细节程度的问题

Josipa G. Petruni269

10.15215/aupress/9781771991292.01

投票系统，以确保未来在此类电子投票系统中投票的长期和永久匿名。

总而言之，ALP的操作故障导致了对电子投票过程哲学完整性的严重质疑，它突出了一个实体被确保自由、公平、透明的电子投票过程所需的财政和人力资源所压倒，可能会错过或忽视严重的条款。

基于联邦投票文化的比较

为了突出ALP电子投票案例研究中明显的操作差距的哲学影响，将该案例与加拿大选举在其1998年报告《技术与投票过程》中提出的一些更突出的问题进行比较是有用的。该报告探讨了数字投票过程和世纪之交潜在电子投票结构中体现的现实。在本节中，我们将回顾加拿大选举局(Elections Canada)在加拿大政治背景下所描述的关于被视为“民主”的正式联邦投票程序的三个最相关的投票实践标准。我们的目标是强调加拿大投票文化的关键特征以了解一个典型的阿尔伯塔选民会习惯做什么，以及一个典型的阿尔伯塔人会有什么合理的期望，在根据他们在加拿大(联邦)选举中的投票经验进行政治投票时(无论是在大选还是党派选举中)。

根据加拿大选举局的说法，数字投票机制存在很大问题;由于缺乏网络安全机制来确保选举中投票的私密性、匿名性和可销毁性，它们很容易受到欺诈性操纵(加拿大选举，1998)。加拿大选举委员会对数字投票的审查强调了七个值得关注的领域:登记确认;选票;投出决定;选民验票和匿名;提交选票;选票统计;保留和存储。下面，我们将探讨ALP案例研究，以分析登记确认、投票和投票决定的具体原则。

选民登记确认

加拿大选举报告说，“有效识别合格选民的问题(例如，PIN号码、指纹、声纹、视网膜扫描)”是电子投票技术的一个重大障碍(加拿大选举，1998年)。

270 The Digital Democratic Deficit

10.15215/aupress/9781771991292.01

在ALP的案例研究中，该党依靠两个数据库进行选民身份识别：ALP成员名单和2008年阿尔伯塔选民名单。在第一个例子中，阿尔伯塔自由党的成员包括任何14岁及以上的人，并支付5美元的费用成为该党成员。“会员”不必是加拿大公民，但必须是阿尔伯塔省的居民。“支持者”包括在2008年阿尔伯塔选民名单上作为合格选民出现的任何人。这意味着支持者必须年满18岁，拥有加拿大公民身份，并居住在阿尔伯塔省。如果一个“支持者”声称有资格投票，但她或他的名字没有出现在选民名单上，ALP的审查系统应该确定该人是否a)加拿大公民b)居住在阿尔伯塔省c)年满18岁。但是，根据由我和科米肯主持的所有候选人会议的记录，在ALP工作人员和领导小组志愿者出席的情况下，ALP显然缺乏足够的人力和财政资源来手动检查个人的姓名和资格。工党无法给出现在潜在选民名单上的数百(然后是数千)户家庭打电话，这些家庭被领导团队指定为潜在问题。

到2011年8月，随着“支持者”名单增长到超过1.5万人，ALP工作人员和领导竞选团队进一步透露，这些名字中的大多数已被添加到“注册支持者”名单中，没有任何书面记录或个人数字记录;也就是说，所谓的“支持者”已经完成了一张“注册支持者”卡，既没有手工填写，也没有数字填写。霍根指出，机构没有能力阻止这种现象的发生，也没有能力检查这些个人是否表示有意被列入ALP的潜在选民名单(从而邮寄个人密码进行投票)，因此，对任何一种“注册支持者”的补贴成为ALP工作人员制定的一项临时政策。

由于缺乏将“注册支持者”与实际人士联系起来的文件或个人数字记录，霍根向科米肯和我介绍了ALP正在制定的选民身份识别协议:出现在选民名单上的“登记支持者”（即那些名字和地址已被某个竞选团队作为“登记支持者”提交给政党办公室的人)首先要与阿尔伯塔省2008年的选民名单进行交叉核对。根据霍根和我的一次电话交谈的记录(后来报告给了科米肯)，ALP提议的“交叉核对”和“清除”过程涉及使用至少两个数据点来根据2008年选民名单核实一个人的名字。要么是姓名加地址，要么是姓名加

Josipa G. Petruni271

10.15215/aupress/9781771991292.01