Certificados de Vacinação Falsos: Como Detetar a Fraude

Um certificado de vacinação falso apresentado a um empregador do setor da saúde é qualquer documento — boletim de vacinas em papel, certificado digital com QR code ou declaração de saúde ocupacional — que não corresponde a uma vacinação efetivamente administrada e registada. O fenómeno não é hipotético em Portugal: chegaram a estar à venda no Telegram certificados digitais de vacinação contra a COVID-19 por cerca de 85 euros, numa altura em que a oferta deste tipo de documento no mercado negro aumentou 500% num único semestre, segundo o Observador. Essa pressão não desapareceu com o fim da emergência sanitária: deslocou-se para o boletim de vacinas exigido na admissão de profissionais em hospitais, clínicas privadas, lares de idosos e creches.

Este artigo tem carácter meramente informativo e não constitui aconselhamento jurídico. As referências normativas são exatas à data de publicação. Consulte o seu departamento jurídico ou de conformidade para o seu caso concreto.

Por que motivo os empregadores do setor da saúde exigem prova de vacinação

A exposição ocupacional a agentes biológicos obriga o empregador a organizar vigilância médica e vacinação para quem trabalha em contacto com doentes, sangue ou fluidos biológicos. O Decreto-Lei n.º 84/97, de 16 de abril, que transpõe as regras de proteção contra riscos biológicos no trabalho, determina no seu artigo 13.º que, sempre que exista uma vacina eficaz, o empregador deve assegurar a vacinação gratuita dos trabalhadores não imunizados, seguindo as recomendações da Direção-Geral da Saúde (DGS), com registo no boletim individual de saúde do trabalhador, conforme o texto do diploma disponibilizado pela Ordem dos Engenheiros da Região Norte. É esta obrigação legal, e não uma preferência administrativa, que torna o certificado de vacinação um documento de admissão nestas instituições.

A vacinação contra a hepatite B é o caso mais direto: os profissionais de saúde são identificados pela DGS como grupo de risco acrescido de exposição percutânea ou mucosa a sangue e a outros fluidos biológicos, no âmbito do Programa Nacional de Vacinação. Um trabalhador que recusa a vacinação não fica automaticamente impedido de exercer funções — a orientação divulgada pela Ordem dos Enfermeiros prevê a assinatura de uma declaração de recusa, arquivada no serviço de saúde ocupacional — a via mais lenta, mas mais transparente, do que apresentar um boletim fabricado.

Quatro formas de certificado de vacinação fraudulento nas equipas de RH

As equipas de recursos humanos e de compliance de hospitais, clínicas, lares de idosos e creches deparam-se, na prática, com quatro tipologias distintas de fraude documental relacionada com vacinação.

Boletim de vacinas em papel falsificado ou alterado

O Boletim Individual de Saúde tradicional, ainda usado a par da versão eletrónica do SNS 24, é vulnerável a alteração manual de datas, lotes de vacina e carimbos de unidades de saúde. Um carimbo fotocopiado, uma caligrafia inconsistente entre entradas do mesmo profissional de saúde ou um número de lote que não corresponde ao histórico de distribuição da DGS são sinais estruturais típicos.

Certificado digital ou QR code fraudulento

O Certificado Digital COVID emitido através do SNS 24 e do Espaço Cidadão inclui um QR code assinado digitalmente, verificável através da aplicação oficial. Uma imagem estática do certificado, gerada fora do sistema oficial ou com um QR code que remete para um domínio que imita o SNS, falha na validação da assinatura.

Certificado autêntico reutilizado com outra identidade

Um boletim ou certificado genuíno, pertencente a outra pessoa, é apresentado com uma fotografia ou dados de identificação substituídos. Este vetor depende menos da qualidade da falsificação em si e mais da ausência de verificação cruzada entre a identidade do portador e os dados registados no certificado.

Certificado gerado por ferramentas de IA generativa

Um modelo de geração de imagem consegue produzir um boletim de vacinas com aspeto plausível, carimbo e lotes de vacina coerentes entre si, sem qualquer episódio de vacinação real subjacente. Esta técnica aproxima-se da lógica já descrita no nosso artigo sobre técnicas de deteção de fraude documental com IA, aplicada aqui especificamente a documentos de saúde ocupacional.

Sinais de fraude por tipo de documento

Proteção de dados de saúde na verificação de certificados

Os dados de saúde constituem categoria especial ao abrigo do artigo 9.º do RGPD, e a CNPD tem sublinhado que, por regra, o empregador não deve conhecer nem registar diretamente dados clínicos dos trabalhadores, devendo o tratamento passar preferencialmente pelo serviço de saúde ocupacional e assentar numa base jurídica específica, como o cumprimento de uma obrigação legal de segurança no trabalho, segundo orientações compiladas pela CNPD. Na prática, isto significa que a verificação documental de um certificado de vacinação deve limitar-se à autenticidade estrutural do documento — datas, formato, correspondência de identidade — sem que a equipa de RH acumule ou partilhe informação clínica além do estritamente necessário para confirmar a admissão.

Como as equipas de RH e compliance detetam certificados falsos

A deteção eficaz combina controlo automatizado de primeiro nível com investigação humana nos casos assinalados como risco elevado, seguindo uma lógica em três níveis.

Nível 1 — controlo automatizado sistemático. A análise multicamada, que combina verificação estrutural, de metadados e de coerência entre documentos, permite distinguir um boletim de vacinas ou um certificado digital autêntico de uma versão falsificada, alterada ou gerada por uma ferramenta de IA. A primeira camada analisa os metadados do ficheiro digitalizado ou fotografado; a segunda avalia a coerência tipográfica e artefactos de manipulação ao nível do píxel; a terceira cruza a identidade declarada com os dados visíveis no documento.

Nível 2 — deteção de conteúdo gerado por IA. A deteção de conteúdo sintético funciona como complemento aos controlos estruturais existentes, acrescentando uma camada de sinais de geração por IA configurável de acordo com as necessidades de cada empregador do setor da saúde. Esta camada é particularmente relevante para boletins fabricados de raiz, onde não existe alteração de um documento real mas criação integral de um ficheiro plausível.

Nível 3 — investigação manual e verificação de risco elevado. Os processos assinalados nos níveis anteriores são encaminhados para revisão humana, incluindo, quando necessário, confirmação junto do serviço de saúde ocupacional ou da unidade de cuidados de saúde primários que consta do documento. A análise contextual que distingue variações legítimas de sinais de fraude mantém a taxa de falsos positivos baixa, o que evita recusar boletins de vacinas autênticos apenas por terem sido preenchidos à mão ou digitalizados em condições diferentes. A automatização deste primeiro filtro tem justificação estatística: segundo o ACFE 2024 Report to the Nations, os métodos de deteção puramente manuais identificam apenas 37% dos casos de fraude documental, com um atraso médio de deteção de 87 dias.

O que perguntam responsáveis de RH sobre a verificação de certificados de vacinação

Em fóruns de recursos humanos e de saúde ocupacional é comum encontrar duas perguntas recorrentes sobre este tema, muitas vezes formuladas em torno de casos concretos de admissão em lares de idosos ou clínicas privadas.

"Posso pedir a um candidato o boletim de vacinas antes de o contratar, ou isso viola o RGPD?" A resposta habitual passa por distinguir a exigência do documento, legítima quando decorre de uma obrigação de segurança no trabalho como a do Decreto-Lei n.º 84/97, do armazenamento de informação clínica detalhada, que deve ficar confinada ao serviço de saúde ocupacional e não ao processo de RH corrente.

"Como confirmo se um boletim de vacinas em papel é verdadeiro sem contactar o centro de saúde do candidato?" A verificação não depende de contactar o prestador de cuidados, algo que levanta as suas próprias questões de sigilo clínico, mas da análise do próprio documento: coerência de carimbos, formato dos lotes de vacina e correspondência entre a identidade do portador e os dados registados.

Verificação documental como complemento aos controlos de admissão

A solução de deteção de documentos sintéticos e sinais de geração por IA da CheckFile cobre os dois primeiros níveis deste protocolo como complemento aos controlos de admissão existentes, sem substituir a investigação humana nem as obrigações de registo junto do serviço de saúde ocupacional. Não se trata de uma garantia de deteção de toda e qualquer falsificação, mas de um filtro adicional que reduz o volume de documentos que chegam à revisão manual sem qualquer triagem prévia.

Este tipo de análise aplica-se tanto à verificação de certificados de vacinação como a outros documentos clínicos sensíveis, como descrevemos no artigo sobre deteção de receitas médicas falsas em pedidos de reembolso de saúde. Para outros setores regulados, consulte o nosso guia de verificação setorial. As equipas de RH de instituições de saúde que pretendam industrializar este controlo podem consultar as soluções de verificação para recursos humanos e a informação sobre segurança no tratamento de dados sensíveis, ou contactar a equipa CheckFile para uma avaliação do caso concreto.

Perguntas frequentes

Um empregador do setor da saúde pode recusar a admissão de um candidato com boletim de vacinas incompleto?

Pode condicionar a admissão a funções de risco biológico elevado à conclusão do esquema vacinal recomendado, mas não pode impedir genericamente o exercício de funções apenas por recusa, desde que o trabalhador assine a declaração de recusa prevista para o serviço de saúde ocupacional.

Que risco corre quem apresenta um certificado de vacinação falso a um empregador?

Arrisca-se a responsabilidade criminal por falsificação de documento nos termos do Código Penal, além da rescisão do contrato de trabalho ou da revogação da oferta de admissão assim que a fraude seja identificada. Em casos de venda organizada de certificados falsos, as autoridades têm instaurado processos-crime autónomos contra os vendedores.

A verificação automatizada de certificados de vacinação é compatível com o RGPD?

Sim, desde que se limite à análise estrutural e de metadados do documento, sem tratar ou armazenar o conteúdo clínico detalhado além do necessário. Os dados de saúde constituem categoria especial ao abrigo do artigo 9.º do RGPD, pelo que o tratamento deve assentar numa base jurídica válida, como o cumprimento de uma obrigação legal de segurança no trabalho.

Como distinguir um certificado digital COVID genuíno de uma imagem fraudulenta?

O certificado genuíno inclui uma assinatura digital verificável através do QR code, ligada ao sistema do SNS 24. Uma imagem estática ou impressa sem essa assinatura válida, ou com um QR code que remete para um domínio externo ao sistema oficial, não confirma autenticidade mesmo que o layout visual seja semelhante ao original.

O que fazer perante a suspeita de um boletim de vacinas com identidade trocada?

Deve confrontar os dados de identificação do documento com os dados oficiais do candidato ou colaborador, incluindo fotografia quando disponível, e escalar o caso para revisão manual antes de concluir a admissão. Casos confirmados devem ser reportados internamente segundo a política de deteção de fraude da instituição e, quando aplicável, às autoridades competentes.