Faux certificats de vaccination : comment les détecter en 2026

Un faux certificat de vaccination est un document falsifié, réutilisé ou entièrement fabriqué pour faire croire à une immunisation inexistante, contre l'hépatite B ou le DTP notamment. Quatre méthodes reviennent le plus souvent dans les dossiers RH du secteur santé : le carnet papier retouché, le QR code frauduleux généré sans acte vaccinal réel, la réutilisation d'un certificat authentique sous une autre identité, et depuis 2024-2025 le document entièrement produit par un générateur d'images ou de PDF piloté par IA.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique ou réglementaire. Les références normatives sont exactes à la date de publication. Consultez votre service juridique ou votre médecin du travail pour l'application à votre situation.

Ce que la loi impose encore aux établissements de santé en 2026

L'article L.3111-4 du Code de la santé publique impose toujours, pour les professionnels exerçant en établissement de soins ou en formation, une preuve d'immunisation contre l'hépatite B et une vaccination DTP (diphtérie, tétanos, poliomyélite) à jour. Sans ce justificatif, l'embauche ou la poursuite d'un stage en établissement de santé n'est légalement pas possible, selon le texte consolidé sur Légifrance.

L'obligation vaccinale spécifique contre la Covid-19, créée par la loi n° 2021-1040 du 5 août 2021, reste suspendue depuis le décret n° 2023-368 du 13 mai 2023, qui a suivi l'avis de la Haute Autorité de santé. Aucun texte n'est venu la réactiver depuis. La loi de financement de la sécurité sociale pour 2026 (loi n° 2025-1403 du 30 décembre 2025) a ajouté deux obligations conditionnelles — grippe pour certains libéraux, rougeole pour les professions de santé — mais les deux restent suspendues à un décret en Conseil d'État et à un avis de la HAS, non publiés à la date de cet article. Pour un établissement, cela signifie que le périmètre exact des vaccins à contrôler à l'embauche peut évoluer en cours d'année et doit être revérifié auprès de l'Agence régionale de santé (ARS) compétente ou de la médecine du travail.

Les quatre méthodes de fraude au certificat de vaccination

Chaque méthode laisse des traces différentes selon le canal utilisé pour transmettre le document.

Le gouvernement a estimé à 182 000 le nombre de faux passes sanitaires ayant circulé en France pendant la période Covid, un ordre de grandeur qui donne la mesure du marché noir de documents sanitaires falsifiés, rapporté par Le Club des Juristes. Une partie de cette filière impliquait des employés de centres de vaccination avec accès aux clés de signature des QR codes, comme l'a documenté un rapport transmis à l'Assemblée nationale — un rappel que la fraude ne vient pas toujours du candidat lui-même.

Pourquoi le carnet papier reste le point faible

Le carnet de vaccination papier n'a jamais été conçu comme un document sécurisé au sens où l'entend un service fraude. Il ne comporte ni élément infalsifiable, ni base centrale de vérification systématique côté employeur, contrairement au carnet électronique intégré à Mon espace santé.

Un tampon de cabinet peut être scanné puis réappliqué numériquement sur un autre document, une date de rappel peut être surchargée à la main, et une page peut être remplacée dans le carnet physique sans que la reliure trahisse la manipulation. Les recruteurs RH du secteur santé n'ont généralement ni la formation ni le temps de comparer une écriture manuscrite à un référentiel graphologique.

Ce que révèle un certificat numérique généré par IA

Un certificat produit par un générateur d'images ou un éditeur de PDF assisté par IA reproduit la mise en page d'un modèle officiel — en-tête, cachet, typographie — sans jamais en être une copie exacte au niveau des métadonnées du fichier. La cohérence visuelle trompe l'œil, mais la structure interne du document (police intégrée, historique d'édition, absence de couche de signature électronique valide) diverge souvent de l'original.

Ce type de fraude a émergé après la période des pass sanitaires, où les kits de génération automatisée de faux QR codes vendus sur les réseaux sociaux ont créé un savoir-faire réutilisable pour d'autres documents de santé, selon les constats de Haas Avocats. Les forums professionnels de soignants évoquent régulièrement des doutes sur des dossiers de candidats où le carnet scanné paraît « trop propre » ou dont la photo du QR code ne scanne pas correctement une fois imprimée — un signal empirique qui recoupe les indices techniques identifiés par les outils d'analyse documentaire.

Les signaux qui doivent déclencher une vérification manuelle

Trois familles de signaux justifient un contrôle approfondi avant validation du dossier.

• Incohérence de dates : rappel vaccinal antérieur à la primo-injection, ou calendrier vaccinal biologiquement impossible compte tenu de l'âge du candidat.
• Incohérence d'identité : nom, prénom ou numéro figurant sur le certificat différent de celui des autres pièces du dossier (carte d'identité, diplôme, contrat).
• Incohérence technique : QR code illisible ou pointant vers un identifiant déjà rattaché à une autre personne, métadonnées de fichier absentes sur un document présenté comme un scan récent d'original papier.

L'analyse manuelle de la fraude documentaire, tous secteurs confondus, ne détecte que 37 % des cas et prend en moyenne 87 jours, selon le ACFE 2024 Report to the Nations. Pour un établissement de santé qui recrute en tension, ce délai dépasse largement la période d'essai pendant laquelle une non-conformité vaccinale devrait être détectée.

RGPD et données de santé : ce que la CNIL autorise

Le certificat de vaccination est une donnée de santé au sens de l'article 9 du RGPD, une catégorie de données dont le traitement est interdit par principe, sauf exceptions strictement encadrées. Le respect d'une obligation légale de l'employeur — ici l'article L.3111-4 — fait partie des bases juridiques admises pour collecter et vérifier ce document, selon les précisions de la CNIL sur les traitements de données de santé.

Concrètement, cela signifie qu'un établissement peut demander et vérifier le certificat, mais doit limiter sa conservation à la durée nécessaire, restreindre l'accès aux seules personnes habilitées (RH, médecine du travail) et documenter la base légale dans son registre de traitement. La vérification d'authenticité du document ne dispense pas de ces obligations de minimisation.

Comment structurer un contrôle de vaccination fiable

Un contrôle fiable croise systématiquement trois éléments plutôt que de valider un document isolé : la cohérence interne du certificat (dates, tampon, numéro RPPS du professionnel signataire), sa cohérence avec les autres pièces du dossier candidat, et, pour les certificats numériques, la validité technique de la signature ou du QR code. Aucun de ces trois contrôles pris seul n'est suffisant.

Cette approche rejoint celle déjà documentée pour d'autres justificatifs de santé falsifiés, comme le détaille notre article sur la détection des fausses ordonnances médicales dans le remboursement santé, où la validation croisée entre plusieurs documents réduit sensiblement le taux de faux positifs par rapport à un examen isolé. Pour une méthodologie plus large de détection de documents falsifiés ou générés par IA, notre guide de détection de la fraude documentaire par IA détaille les couches d'analyse structurelle et de métadonnées applicables à l'ensemble des pièces d'un dossier.

Où la vérification automatisée apporte une valeur réelle

Une plateforme de vérification documentaire ne remplace pas le contrôle réglementaire de la médecine du travail, mais elle absorbe le volume que les équipes RH ne peuvent pas traiter manuellement à grande échelle. L'analyse multi-couche croise structure du document, métadonnées et cohérence entre les pièces d'un même dossier, avec une couverture optimisée par validation croisée sur plusieurs champs par document plutôt qu'un contrôle visuel unique.

Sur les certificats générés par IA en particulier, une couche additionnelle de signaux de génération synthétique, activable selon la configuration retenue par l'établissement, vient compléter — sans s'y substituer — les contrôles structurels déjà en place. Aucun système ne détecte l'intégralité des fraudes possibles ; l'objectif est de réduire le volume de dossiers nécessitant une revue humaine et de flagger en priorité ceux qui présentent plusieurs signaux cumulés.

Pour les recruteurs santé, cela s'inscrit dans nos solutions dédiées au secteur médical ; pour les équipes RH gérant des embauches à volume élevé (intérim médical, campagnes de recrutement EHPAD), voir nos solutions ressources humaines. Les établissements qui souhaitent évaluer spécifiquement l'exposition de leurs dossiers candidats aux documents générés par IA peuvent consulter notre page dédiée à la détection de deepfakes et de contenus générés par IA, qui présente ces signaux en complément des contrôles existants, sans prétendre remplacer une vérification humaine sur les cas sensibles.

Questions fréquemment posées

Un employeur du secteur santé peut-il refuser un candidat sur la seule base d'un doute sur son certificat de vaccination ?

Un doute documenté justifie une demande de justificatif complémentaire ou une vérification auprès du prescripteur, mais pas un refus automatique sans contradictoire. En pratique, l'établissement doit donner au candidat la possibilité de fournir une preuve alternative (attestation de sérologie, contact du centre de vaccination) avant toute décision définitive.

Le carnet de vaccination électronique via Mon espace santé est-il plus fiable que le carnet papier ?

Oui, dans la mesure où les données proviennent directement des professionnels de santé ayant réalisé l'acte et sont centralisées sur la plateforme Ameli, ce qui réduit la marge de manipulation manuelle propre au carnet papier. Il reste toutefois possible de présenter une capture d'écran ou un export falsifié, d'où l'intérêt de vérifier la cohérence du document plutôt que de se fier au seul format numérique.

Que risque un candidat qui présente un faux certificat de vaccination à un employeur ?

L'usage de faux est puni de trois ans d'emprisonnement et 45 000 euros d'amende au titre de l'article 441-1 du code pénal, une qualification confirmée dans plusieurs affaires liées aux pass sanitaires selon Village de la Justice. Un employé d'un centre de vaccination reconnu coupable d'avoir facilité la fraude a par ailleurs été condamné à dix-huit mois de prison, dont six avec sursis, et 10 000 euros d'amende.

Combien de temps un établissement doit-il conserver le certificat de vaccination d'un salarié ?

La durée doit être limitée à ce qui est nécessaire au suivi de l'obligation vaccinale et à la traçabilité en cas de contrôle de l'ARS, sans conservation indéfinie au-delà de la relation contractuelle. La CNIL recommande de documenter cette durée dans le registre de traitement de l'établissement plutôt que d'appliquer une durée par défaut non justifiée.

Comment vérifier rapidement un grand nombre de certificats lors d'une campagne de recrutement EHPAD ou intérim médical ?

Un contrôle manuel document par document devient impraticable au-delà de quelques dizaines de dossiers simultanés, ce qui pousse les services RH à s'appuyer sur des outils de vérification automatisée pour prioriser les cas suspects. Ces outils ne dispensent pas d'une validation finale par la médecine du travail, mais réduisent le volume soumis à revue manuelle.

Pour évaluer les besoins de vérification documentaire propres à votre établissement, consultez notre page sécurité ou nos tarifs, et retrouvez une vue d'ensemble des enjeux de vérification par secteur dans notre guide des industries et de la vérification documentaire.