Faux certificats de vaccination : comment les détecter en 2026

Un faux certificat de vaccination est un document falsifié, réutilisé ou entièrement fabriqué pour faire croire à une immunisation inexistante, contre l'hépatite B notamment. Quatre méthodes reviennent le plus souvent dans les dossiers RH du secteur santé au Québec : le carnet papier retouché, le code QR frauduleux généré sans acte vaccinal réel, la réutilisation d'un certificat authentique sous une autre identité, et depuis 2024-2025 le document entièrement produit par un générateur d'images ou de PDF piloté par IA.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique ou réglementaire. Les références normatives sont exactes à la date de publication. Consultez votre service des ressources humaines ou l'équipe de santé au travail de votre établissement pour l'application à votre situation.

Ce que la loi impose — et n'impose pas — aux établissements de santé québécois en 2026

Contrairement à la France, le Québec n'a pas d'équivalent direct de l'article L.3111-4 du Code de la santé publique imposant légalement une preuve d'immunisation à l'embauche. La LSST impose plutôt une obligation générale de protection des travailleurs exposés à des risques biologiques, sur laquelle la CNESST a bâti un programme de vaccination contre l'hépatite B offert et payé par l'employeur — un droit du travailleur, pas une obligation généralisée d'être vacciné.

Le Protocole d'immunisation du Québec (PIQ) du MSSS et les recommandations de l'INSPQ fixent les indications cliniques, mais ce sont les établissements — CISSS, CIUSSS, hôpitaux universitaires — qui décident, par politique interne, d'exiger une preuve d'immunité pour accéder à certaines unités (néonatalogie, oncologie, stages cliniques). Un service RH doit donc vérifier la politique de son propre établissement, pas une obligation légale nationale uniforme.

Sur la Covid-19, l'obligation vaccinale annoncée à l'été 2021 n'est jamais entrée en vigueur : Québec y a renoncé début novembre 2021, au profit d'un dépistage obligatoire lui-même levé en novembre 2022, comme l'a rapporté La Presse. Aucune obligation vaccinale Covid-19 n'est en vigueur pour le personnel de santé québécois à ce jour.

Les quatre méthodes de fraude au certificat de vaccination

Chaque méthode laisse des traces différentes selon le canal de transmission.

Le Québec a connu l'un des cas les plus documentés de fraude organisée en Amérique du Nord : au Stade olympique de Montréal, des employés du réseau de la santé ont fabriqué 5 000 à 10 000 codes QR frauduleux inscrits directement dans le registre gouvernemental, un stratagème rapporté par La Presse et détecté via des entrées anormales — vaccins saisis en retard, en pleine nuit, ou en double — selon Le Devoir. Ces documents se sont vendus 200 $ à 2 000 $ sur Snapchat, Telegram et Instagram — un rappel que la fraude vient parfois d'un employé disposant d'un accès légitime, pas seulement du candidat.

Pourquoi le carnet papier reste le point faible

Le carnet de vaccination papier n'a jamais été conçu comme un document sécurisé au sens où l'entend un service fraude. Il ne comporte ni élément infalsifiable, ni base centrale de vérification côté employeur, contrairement au Registre de vaccination du Québec (RVQ), qui centralise les actes vaccinaux saisis par le réseau.

Un tampon de clinique peut être scanné puis réappliqué numériquement, une date de rappel surchargée à la main, une page remplacée sans que la reliure trahisse la manipulation. Les recruteurs RH du secteur santé n'ont généralement ni la formation ni le temps de comparer une écriture manuscrite à un référentiel graphologique.

Ce que révèle un certificat numérique généré par IA

Un certificat produit par un générateur d'images ou un éditeur de PDF assisté par IA reproduit la mise en page d'un modèle officiel — en-tête, tampon, typographie — sans jamais en être une copie exacte au niveau des métadonnées du fichier. Le code QR gouvernemental québécois est en principe signé cryptographiquement, difficile à falsifier isolément ; mais Radio-Canada a documenté des failles permettant de générer de fausses identités valides, les données encodées n'étant pas chiffrées.

La cohérence visuelle d'un certificat généré par IA trompe l'œil, mais la structure interne (police intégrée, historique d'édition, absence de signature valide) diverge souvent de l'original. Ce type de fraude a émergé après la période des passeports vaccinaux, où des kits de génération automatisée de faux codes QR ont créé un savoir-faire réutilisable pour d'autres documents de santé — un dossier « trop propre » ou un code QR qui ne scanne pas une fois imprimé recoupent souvent les indices techniques identifiés par les outils d'analyse documentaire.

Les signaux qui doivent déclencher une vérification manuelle

Trois familles de signaux justifient un contrôle approfondi avant validation du dossier.

• Incohérence de dates : rappel vaccinal antérieur à la primo-injection, ou calendrier biologiquement impossible compte tenu de l'âge du candidat.
• Incohérence d'identité : nom, prénom ou numéro différent de celui des autres pièces du dossier (permis de conduire, carte RAMQ, diplôme, contrat).
• Incohérence technique : code QR illisible ou rattaché à une autre personne, métadonnées absentes sur un document présenté comme un scan récent d'original papier.

L'analyse manuelle de la fraude documentaire, tous secteurs confondus, ne détecte que 37 % des cas et prend en moyenne 87 jours, selon le ACFE 2024 Report to the Nations — un délai qui, pour un établissement québécois recrutant en tension, dépasse largement la période de probation.

Loi 25 et données de santé : ce que la CAI autorise

Le certificat de vaccination constitue un renseignement de santé, catégorie de renseignement personnel sensible au sens de la Loi 25. Un consentement exprès est requis pour sa collecte, avec des mesures de sécurité renforcées (chiffrement, accès restreint), sous la surveillance de la Commission d'accès à l'information du Québec (CAI), qui peut imposer des sanctions allant jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial.

Concrètement, un établissement peut demander et vérifier le certificat lorsque sa politique interne le justifie, mais doit limiter sa conservation à la durée nécessaire, restreindre l'accès aux personnes habilitées (RH, santé au travail) et documenter cette pratique dans sa politique de gouvernance des renseignements personnels. La vérification d'authenticité ne dispense pas de ces obligations de minimisation.

Comment structurer un contrôle de vaccination fiable

Un contrôle fiable croise trois éléments plutôt que de valider un document isolé : la cohérence interne du certificat (dates, tampon, numéro de permis du professionnel signataire — Collège des médecins du Québec, OIIQ ou autre ordre concerné), sa cohérence avec les autres pièces du dossier, et, pour les certificats numériques, la validité technique de la signature ou du code QR. Aucun de ces trois contrôles pris seul n'est suffisant.

Cette approche rejoint celle déjà documentée pour d'autres justificatifs de santé falsifiés, comme le détaille notre article sur la détection des fausses ordonnances médicales dans le remboursement santé, où la validation croisée réduit le taux de faux positifs par rapport à un examen isolé. Pour une méthodologie plus large, notre guide de détection de la fraude documentaire par IA détaille les couches d'analyse structurelle et de métadonnées applicables à un dossier complet.

Où la vérification automatisée apporte une valeur réelle

Une plateforme de vérification documentaire ne remplace pas le contrôle réglementaire de la santé au travail, mais elle absorbe le volume que les équipes RH ne peuvent pas traiter manuellement. L'analyse multi-couche croise structure, métadonnées et cohérence entre les pièces d'un même dossier, plutôt qu'un contrôle visuel unique.

Sur les certificats générés par IA en particulier, une couche additionnelle de signaux de génération synthétique, activable selon la configuration retenue par l'établissement, vient compléter — sans s'y substituer — les contrôles structurels déjà en place. Aucun système ne détecte l'intégralité des fraudes possibles ; l'objectif est de réduire le volume de dossiers nécessitant une revue humaine et de flagger en priorité ceux présentant plusieurs signaux cumulés.

Pour les recruteurs santé, cela s'inscrit dans nos solutions dédiées au secteur médical ; pour les équipes RH gérant des embauches à volume élevé (agences de placement en soins infirmiers, campagnes de recrutement en CHSLD), voir nos solutions ressources humaines. Les établissements souhaitant évaluer l'exposition de leurs dossiers candidats aux documents générés par IA peuvent consulter notre page détection de deepfakes et de contenus générés par IA, en complément des contrôles existants, sans remplacer une vérification humaine sur les cas sensibles.

Questions fréquemment posées

Un employeur du secteur santé québécois peut-il refuser un candidat sur la seule base d'un doute sur son certificat de vaccination ?

Un doute documenté justifie une demande de justificatif complémentaire, mais pas un refus automatique sans échange préalable. L'établissement doit permettre une preuve alternative (attestation de sérologie, contact de la clinique vaccinatrice) avant toute décision, surtout lorsque l'exigence découle d'une politique interne plutôt que d'une obligation légale nationale.

Le Registre de vaccination du Québec (RVQ) est-il plus fiable que le carnet papier ?

Oui pour la fiabilité des données elles-mêmes, puisqu'elles proviennent directement des professionnels ayant réalisé l'acte — sous réserve, comme l'a montré l'épisode du Stade olympique, d'un accès frauduleux par un employé du réseau. Le RVQ reste un outil clinique, pas un service de vérification pour employeurs : un établissement ne peut pas y interroger le statut vaccinal d'un candidat et doit continuer à examiner la cohérence du document présenté.

Que risque un candidat qui présente un faux certificat de vaccination à un employeur au Québec ?

La fabrication d'un faux document et son usage relèvent des articles 366 à 368 du Code criminel du Canada : infractions mixtes passibles d'un maximum de dix ans d'emprisonnement par mise en accusation, ou de deux ans moins un jour et une amende par procédure sommaire. Pendant la crise du passeport vaccinal, une directive du directeur des poursuites criminelles et pénales a exclu tout traitement non judiciaire pour ce type de faux, comme l'illustre le dossier d'un résident de Gatineau inculpé. Narcity rapporte qu'au-delà d'une trentaine d'enquêtes criminelles, des poursuites distinctes ont visé le simple usage d'une fausse preuve.

Combien de temps un établissement doit-il conserver le certificat de vaccination d'un employé ?

La durée doit être limitée à ce qui est nécessaire au suivi de l'exigence de santé au travail et à la traçabilité en cas de vérification interne, sans conservation indéfinie au-delà de la relation d'emploi. La CAI recommande de documenter cette durée dans la politique de gouvernance des renseignements personnels plutôt que d'appliquer une durée par défaut non justifiée.

Comment vérifier rapidement un grand nombre de certificats lors d'une campagne de recrutement en CHSLD ou en agence de soins infirmiers ?

Un contrôle manuel document par document devient impraticable au-delà de quelques dizaines de dossiers simultanés, ce qui pousse les services RH à s'appuyer sur des outils de vérification automatisée pour prioriser les cas suspects. Ces outils ne dispensent pas d'une validation finale par le service de santé au travail, mais réduisent le volume soumis à revue manuelle.

Pour évaluer les besoins de vérification documentaire propres à votre établissement, consultez notre page sécurité ou nos tarifs, et retrouvez une vue d'ensemble des enjeux de vérification par secteur dans notre guide des industries et de la vérification documentaire.