Certificados de vacunación falsos: cómo detectarlos en RRHH

Un certificado de vacunación falso es un documento —cartilla de papel, PDF digital con QR o certificado de app autonómica— fabricado, alterado o reutilizado con datos de otra persona para acreditar una inmunización inexistente. En el sector sociosanitario español (hospitales, clínicas, residencias y guarderías) se exige al incorporar personal, para justificar la protección frente a hepatitis B, sarampión-rubeola-parotiditis, varicela o gripe estacional, y también a estudiantes en prácticas.

El fenómeno no se limita a la COVID-19. Durante la pandemia, Check Point Research documentó que los vendedores de certificados falsos en Telegram pasaron de mil a diez mil en un mes, apoyados en bots que generan PDF a partir de un nombre y un número de documento. Esa cadena —sellos escaneados, QR que redirigen a webs clonadas, cartillas generadas automáticamente— sigue activa para cualquier vacuna que un empleador exija acreditar.

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Las referencias normativas son exactas a la fecha de publicación. Consulte con su asesoría legal o con el servicio de prevención de riesgos laborales de su organización para su caso concreto.

Por qué hospitales, residencias y guarderías son un objetivo específico del fraude de vacunación

El sector sociosanitario concentra el riesgo porque combina alta rotación de personal, obligaciones de acreditación frente a terceros y ausencia de un registro único al que RRHH pueda acceder. El certificado se revisa en papel o PDF adjunto, sin verificación contra el sistema emisor.

A diferencia de Francia, en España no existe una obligación legal general de vacunarse para trabajar en el sector sanitario: el artículo 22 de la LPRL exige que la vigilancia de la salud, incluida la vacunación asociada, cuente con consentimiento del trabajador, según el Anuario de Derecho del BOE. El Ministerio de Sanidad recomienda la hepatitis B para el personal expuesto a riesgo biológico, pero como recomendación, no requisito legal, según la ficha de hepatitis B para profesionales sanitarios.

El centro no puede imponer la vacuna, pero sí pedir la acreditación documental dentro de la evaluación de riesgos del puesto. En ese punto de acreditación —no de obligación— se concentra el incentivo para presentar un certificado falso.

Cuatro tipos de certificado de vacunación y su nivel de exposición al fraude

No todos los formatos ofrecen el mismo nivel de verificabilidad.

El Certificado COVID Digital de la UE es el único de los cuatro formatos que incorpora verificación de firma y de revocación de forma nativa, según el propio Ministerio de Sanidad en su sede electrónica; la cartilla en papel y buena parte de los certificados privados aún dependen de la revisión visual.

Cinco señales que delatan un certificado de vacunación falso, alterado o reutilizado

Incoherencias en sellos, firmas y numeración del centro vacunador

Una cartilla auténtica mantiene un sello con tipografía y tinta consistentes entre dosis, y una firma que varía de forma natural entre visitas. El análisis estructural detecta sellos duplicados de forma idéntica en distintas páginas del mismo documento, algo imposible en un sellado manual legítimo.

Ausencia o invalidez del código QR o de verificación digital

Los certificados digitales autonómicos y el Certificado COVID Digital de la UE incorporan un QR que remite a un registro válido en el sistema emisor. Un certificado sin ese código, o cuyo QR redirige a una web ajena a la Consejería de Sanidad, es indicio directo de generación fuera del circuito oficial, el mismo patrón documentado por Check Point Research en Telegram.

Fechas de dosis incompatibles con el calendario oficial de vacunación

Un intervalo entre dosis inferior al mínimo recomendado, o una pauta completa registrada en un plazo irreal, delata una cartilla rellenada de una sola vez y no a lo largo de varias visitas reales. Este patrón es habitual en falsificaciones manuales: se calcula qué dosis debería tener la persona y se rellenan de golpe con sellos y firmas imitadas.

Reutilización de un certificado auténtico con otra identidad

Un documento genuino, emitido para otra persona, se altera solo en nombre y número de documento, conservando el resto del aspecto oficial. La validación cruzada entre los datos de identidad del documento y el expediente de RRHH detecta estas reutilizaciones, el mismo enfoque descrito en nuestro análisis sobre detección de fraude documental mediante inteligencia artificial.

Anomalías tipográficas y de metadatos propias de documentos generados por IA

Los generadores de imágenes y PDF con IA producen certificados de apariencia convincente pero con inconsistencias en metadatos: fuentes ajenas a cualquier software clínico, espaciados irregulares en fecha y lote de vacuna, o ausencia de la capa de texto seleccionable típica de un PDF sanitario oficial. El análisis multicapa —estructural, de metadatos y de coherencia entre documentos— amplía la cobertura de detección mediante la validación cruzada de varios campos del mismo certificado, incluso cuando el resultado visual engaña a un revisor con poca experiencia.

Marco regulatorio aplicable en España

El tratamiento del estado de vacunación implica datos de salud, categoría especial bajo el artículo 9 del RGPD, y el consentimiento no es base jurídica válida cuando existe un desequilibrio claro entre las partes, como cuando está condicionado al acceso a un empleo, según la Agencia Española de Protección de Datos. El centro debe fundamentar la recogida en la evaluación de riesgos del puesto o la vigilancia de la salud del artículo 22 de la LPRL, y limitar el tratamiento a lo necesario.

El Informe a las Naciones 2024 de la ACFE sitúa en el 37% la proporción de fraudes documentales detectados mediante controles manuales, con un retraso medio de 87 días hasta el descubrimiento. Ese desfase es especialmente relevante en un centro sanitario, donde un certificado falso no detectado puede mantener a una persona no inmunizada en contacto con pacientes vulnerables durante meses.

Lo que preguntan RRHH y prevención de riesgos laborales en foros del sector

Los equipos de selección y prevención de riesgos laborales plantean dudas que van más allá de la comprobación visual.

"¿Podemos pedir el certificado de vacunación a un candidato antes de contratarlo, o solo una vez incorporado?" La recogida debe estar justificada por la evaluación de riesgos del puesto; en la práctica, la mayoría lo solicita en el reconocimiento médico de incorporación, no como filtro previo, para evitar que el dato de salud condicione el acceso al empleo.

"¿Qué hacemos si la cartilla tiene sellos que no reconocemos o fechas que no cuadran?" Ante indicios razonables, el servicio de prevención puede pedir el certificado digital equivalente o contactar con el emisor, sin acceder a más datos clínicos de los necesarios.

"Recibimos decenas de cartillas al mes y no podemos verificar cada sello por teléfono." Este es el argumento a favor de automatizar el primer nivel: una plataforma de verificación revisa estructura y metadatos en segundos, y reserva la comprobación manual para los casos de riesgo elevado, un enfoque comparable al de nuestro artículo sobre detección de recetas y facturas médicas fraudulentas.

Protocolo de verificación recomendado para centros sanitarios y sociosanitarios

Nivel 1 — Control automatizado: estructura del documento, sellos duplicados, anomalías tipográficas y señales de generación por IA en cada certificado recibido.

Nivel 2 — Score de riesgo: validación cruzada entre identidad del certificado y expediente de RRHH, y verificación del QR contra el sistema emisor si es digital.

Nivel 3 — Revisión del servicio de prevención: comprobación directa con el centro vacunador para los casos de mayor riesgo, con comunicación a Inspección de Trabajo o Fiscalía si la falsedad queda acreditada.

Una capa adicional de señales de generación por IA, desplegada según la configuración del cliente, actúa como complemento a los controles estructurales existentes, sin sustituir la revisión humana del expediente, relevante en un sector donde el ENISA Threat Landscape 2024 señala el contenido sintético como vector de amenaza en expansión en Europa. La solución de CheckFile para detección de deepfakes y contenido sintético aporta esa capa como complemento, sin sustituir la revisión del servicio de prevención ni garantizar la detección de toda falsificación.

CheckFile ofrece una solución para el sector sanitario y para recursos humanos, con información sobre tarifas y seguridad de datos sensibles. El análisis contextual que distingue variaciones legítimas entre centros vacunadores de auténticas señales de fraude mantiene baja la tasa de falsos positivos en la revisión automatizada, clave cuando el volumen de incorporaciones es alto. Para un marco comparado por sector, consulte nuestra guía de verificación por sectores.

Preguntas frecuentes

¿Es obligatorio vacunarse para trabajar en un hospital o una residencia en España?

No existe una obligación legal general de vacunarse para el personal sanitario en España. El artículo 22 de la LPRL exige el consentimiento del trabajador para la vigilancia de la salud, aunque el Ministerio de Sanidad recomienda vacunas como la de hepatitis B para el personal con exposición a riesgo biológico.

¿Puede un centro sanitario pedir el certificado de vacunación a un candidato?

Sí, siempre que la recogida esté justificada por la evaluación de riesgos del puesto y se limite a los datos necesarios (art. 9 RGPD). El consentimiento simple no basta como base jurídica cuando existe desequilibrio entre candidato y empleador.

¿Cómo se detecta una cartilla de vacunación falsificada en papel?

Revisando la coherencia de sellos y firmas entre dosis, comprobando que las fechas respetan los intervalos mínimos del calendario oficial, y contrastando, si es posible, con el certificado digital equivalente. Los sellos idénticos entre páginas o las pautas completas en un plazo irreal son indicios claros de falsificación.

¿Qué hacer si se sospecha que un empleado presentó un certificado de vacunación falso?

El servicio de prevención debe solicitar el certificado digital equivalente o contactar con el emisor antes de validar la acreditación. Si la falsedad se confirma, puede constituir un delito de falsedad documental (arts. 390-392 del Código Penal), con las consecuencias laborales que correspondan según el convenio aplicable.

¿La verificación automatizada de certificados de vacunación es compatible con el RGPD?

Sí, siempre que se limite al análisis estructural y de metadatos, sin acceder a más información clínica de la necesaria. Los datos de vacunación son categoría especial bajo el artículo 9 del RGPD, por lo que la base jurídica debe fundamentarse en la evaluación de riesgos del puesto, nunca en un consentimiento genérico condicionado al empleo.