Faux certificats de vaccination : comment les détecter en Belgique en 2026

Un faux certificat de vaccination est un document falsifié, réutilisé ou entièrement fabriqué pour faire croire à une immunisation inexistante, contre l'hépatite B notamment. Quatre méthodes reviennent le plus souvent dans les dossiers RH du secteur santé belge : le carnet papier retouché, le QR code frauduleux généré sans acte vaccinal réel, la réutilisation d'un certificat authentique sous une autre identité, et depuis 2024-2025 le document entièrement produit par un générateur d'images ou de PDF piloté par IA.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique ou réglementaire. Les références normatives sont exactes à la date de publication. Consultez votre service juridique ou votre service externe de prévention et protection au travail (SEPPT) pour l'application à votre situation.

Ce que la loi impose encore aux établissements de santé en 2026

Le Code du bien-être au travail, Livre VII sur les agents biologiques, qui codifie l'ancien arrêté royal du 4 août 1996, impose toujours à l'employeur de faire vacciner contre l'hépatite B tout travailleur exposé au sang dans le cadre d'examens, de soins médicaux ou dentaires — le personnel administratif n'est pas concerné. Un contrôle d'immunisation (taux d'AcHBs ≥ 10 mUI/ml) est requis deux mois après la primo-vaccination, sous la responsabilité du service externe pour la prévention et la protection au travail (SEPPT) — CESI, Mensura, IDEWE ou l'un des dix organismes agréés en Belgique.

L'obligation vaccinale spécifique contre la Covid-19 pour les soignants, votée par le Parlement fédéral, n'a en revanche jamais pris effet : son entrée en vigueur était conditionnée à un arrêté royal délibéré en Conseil des ministres, motivé par un avis de la Taskforce Vaccination et du Conseil Supérieur de la Santé. Cet arrêté n'a jamais été pris, la situation épidémiologique n'étant plus jugée critique à partir de 2022. Aucune obligation Covid n'est donc aujourd'hui opposable à un candidat, contrairement à l'hépatite B, qui reste pleinement en vigueur et vérifiable à l'embauche.

Les quatre méthodes de fraude au certificat de vaccination

Chaque méthode laisse des traces différentes selon le canal utilisé pour transmettre le document.

La Belgique a connu son propre épisode de fraude massive pendant la période Covid Safe Ticket : un médecin wallon a encodé environ 2 000 faux certificats de vaccination via son accès au portail Vaccinnet, contre rémunération, selon RTBF. Un second dossier, à Wavre, impliquait des employés temporaires manipulant le portail régional pour délivrer des tickets à plus d'une centaine de personnes — la fraude vient parfois de l'intérieur du circuit de vaccination.

Pourquoi le carnet papier reste le point faible

Le carnet de vaccination papier n'a jamais été conçu comme un document sécurisé. Il ne comporte ni élément infalsifiable, ni base centrale de vérification côté employeur — la Belgique n'a pas d'équivalent à un carnet électronique national unique : les données sont réparties entre systèmes régionaux (e-vax et Vaccinnet côté flamand, DOCLR côté wallon) et le carnet de vaccination numérique VACCICARD de l'AVIQ, sans portail unique consultable par un employeur.

Un tampon de cabinet peut être scanné puis réappliqué numériquement sur un autre document, une date de rappel peut être surchargée à la main, et une page peut être remplacée dans le carnet physique sans que la reliure trahisse la manipulation. Les recruteurs RH n'ont généralement ni la formation ni le temps de comparer une écriture manuscrite à un référentiel graphologique, et la fragmentation régionale des registres rend un contre-appel systématique peu réaliste à grande échelle.

Ce que révèle un certificat numérique généré par IA

Un certificat produit par un générateur d'images ou un éditeur de PDF assisté par IA reproduit la mise en page d'un modèle officiel — en-tête, cachet, typographie — sans jamais en être une copie exacte au niveau des métadonnées. La cohérence visuelle trompe l'œil, mais la structure interne (police intégrée, historique d'édition, absence de signature électronique valide) diverge souvent de l'original.

Ce type de fraude a émergé après la période des Covid Safe Tickets, où des kits de génération automatisée de faux QR codes ont circulé sur les réseaux sociaux. Les affaires jugées en Belgique — Vaccinnet, Wavre — montrent que la fraude a d'abord exploité les systèmes officiels avant de se déplacer vers des documents entièrement synthétiques, plus difficiles à tracer côté employeur.

Les signaux qui doivent déclencher une vérification manuelle

Trois familles de signaux justifient un contrôle approfondi.

• Incohérence de dates : rappel vaccinal antérieur à la primo-injection, ou calendrier vaccinal biologiquement impossible compte tenu de l'âge du candidat.
• Incohérence d'identité : nom, prénom ou numéro de registre national figurant sur le certificat différent de celui des autres pièces du dossier (carte d'identité, diplôme, contrat).
• Incohérence technique : QR code illisible ou pointant vers un identifiant déjà rattaché à une autre personne, métadonnées de fichier absentes sur un document présenté comme un scan récent d'original papier.

L'analyse manuelle de la fraude documentaire, tous secteurs confondus, ne détecte que 37 % des cas et prend en moyenne 87 jours, selon le ACFE 2024 Report to the Nations. Pour un établissement qui recrute en tension — maison de repos, intérim médical — ce délai dépasse largement la période d'essai pendant laquelle une non-conformité vaccinale devrait être détectée.

RGPD et données de santé : ce que l'APD autorise

Le certificat de vaccination est une donnée de santé au sens de l'article 9 du RGPD, une catégorie dont le traitement est interdit par principe, sauf exceptions strictement encadrées. Le respect d'une obligation légale de l'employeur en matière de prévention des risques biologiques fait partie des bases admises pour collecter et vérifier ce document ; le consentement du travailleur, à l'inverse, n'est en principe pas une base valable, selon les précisions de l'Autorité de protection des données (APD), qui a succédé à la Commission de la protection de la vie privée depuis mai 2018.

Concrètement, l'établissement peut demander et vérifier le certificat, mais doit limiter sa conservation à la durée nécessaire, restreindre l'accès aux seules personnes habilitées (RH, SEPPT) et documenter la base légale dans son registre de traitement. La vérification d'authenticité ne dispense pas de ces obligations de minimisation.

Comment structurer un contrôle de vaccination fiable

Un contrôle fiable croise systématiquement trois éléments plutôt que de valider un document isolé : la cohérence interne du certificat (dates, tampon, identifiant du professionnel signataire), sa cohérence avec les autres pièces du dossier candidat, et, pour les certificats numériques, la validité technique de la signature ou du QR code. Aucun de ces trois contrôles pris seul n'est suffisant.

Cette approche rejoint celle déjà documentée pour d'autres justificatifs de santé falsifiés dans notre article sur la détection des fausses ordonnances médicales dans le remboursement santé, où la validation croisée réduit sensiblement le taux de faux positifs par rapport à un examen isolé. Pour une méthodologie plus large, notre guide de détection de la fraude documentaire par IA détaille les couches d'analyse structurelle et de métadonnées applicables à l'ensemble des pièces d'un dossier.

Où la vérification automatisée apporte une valeur réelle

Une plateforme de vérification documentaire ne remplace pas le contrôle réglementaire du SEPPT, mais elle absorbe le volume que les équipes RH ne peuvent pas traiter manuellement à grande échelle. L'analyse multi-couche croise structure du document, métadonnées et cohérence entre les pièces d'un même dossier, avec une couverture optimisée par validation croisée sur plusieurs champs par document plutôt qu'un contrôle visuel unique.

Sur les certificats générés par IA, une couche additionnelle de signaux de génération synthétique, activable selon la configuration retenue, vient compléter — sans s'y substituer — les contrôles structurels déjà en place. Aucun système ne détecte l'intégralité des fraudes possibles ; l'objectif est de réduire le volume de dossiers nécessitant une revue humaine et de flagger en priorité ceux qui cumulent plusieurs signaux.

Pour les recruteurs santé, cela s'inscrit dans nos solutions dédiées au secteur médical ; pour les équipes RH gérant des embauches à volume élevé, voir nos solutions ressources humaines. Les établissements souhaitant évaluer l'exposition de leurs dossiers candidats aux documents générés par IA peuvent consulter notre page dédiée à la détection de deepfakes et de contenus générés par IA, en complément des contrôles existants.

Questions fréquemment posées

Un employeur du secteur santé peut-il refuser un candidat sur la seule base d'un doute sur son certificat de vaccination ?

Un doute documenté justifie une demande de justificatif complémentaire ou une vérification auprès du prescripteur ou du SEPPT, pas un refus automatique. L'établissement doit donner au candidat la possibilité de fournir une preuve alternative (attestation de sérologie, contact du centre de vaccination) avant toute décision.

Le carnet de vaccination numérique est-il plus fiable que le carnet papier en Belgique ?

Oui, dans la mesure où les données proviennent directement du vaccinateur et sont enregistrées dans un système officiel (e-vax, Vaccinnet ou DOCLR selon la région), ce qui réduit la marge de manipulation manuelle propre au carnet papier. La Belgique ne dispose toutefois pas d'un portail national unique consultable par un employeur, et il reste possible de présenter une capture d'écran ou un export falsifié — d'où l'intérêt de vérifier la cohérence du document plutôt que de se fier au seul format numérique.

Que risque un candidat qui présente un faux certificat de vaccination à un employeur en Belgique ?

Le faux en écriture et l'usage de faux sont réprimés par les articles 193 à 197 du Code pénal belge : la peine de base pour un faux en écriture privée va de cinq à dix ans d'emprisonnement, le plus souvent ramenée par circonstances atténuantes à un mois à cinq ans, avec une amende légale de 26 à 2 000 euros majorée en pratique des décimes additionnels. Dans l'affaire de fraude au Covid Safe Ticket jugée à Mons, un prévenu a été condamné à 300 heures de travail et 16 000 euros d'amende ; un médecin poursuivi pour environ 2 000 faux certificats encodés en Wallonie risquait, outre des poursuites pénales, la radiation de l'Ordre des médecins.

Combien de temps un établissement doit-il conserver le certificat de vaccination d'un salarié ?

La durée doit être limitée à ce qui est nécessaire au suivi de l'obligation vaccinale et à la traçabilité en cas de contrôle du SEPPT, sans conservation au-delà de la relation contractuelle. L'APD recommande de documenter cette durée dans le registre de traitement plutôt que d'appliquer une durée par défaut non justifiée.

Comment vérifier rapidement un grand nombre de certificats lors d'une campagne de recrutement en maison de repos ou en intérim médical ?

Un contrôle manuel devient impraticable au-delà de quelques dizaines de dossiers simultanés, ce qui pousse les RH à s'appuyer sur des outils de vérification automatisée pour prioriser les cas suspects. Ces outils ne dispensent pas d'une validation finale par le SEPPT, mais réduisent le volume soumis à revue manuelle.

Pour évaluer les besoins de vérification documentaire propres à votre établissement, consultez notre page sécurité ou nos tarifs, et notre guide des industries et de la vérification documentaire.