Valse vaccinatiecertificaten: fraude herkennen in de zorg

Een vals vaccinatiecertificaat is een document dat wordt aangeboden als bewijs van vaccinatie zonder dat de vermelde vaccinatie(s) daadwerkelijk hebben plaatsgevonden, of een echt certificaat dat onder een andere identiteit wordt hergebruikt. Voor ziekenhuizen, klinieken, verpleeghuizen en kinderopvangorganisaties is dit geen theoretisch risico: vaccinatiestatus bepaalt vaak of iemand risicovolle handelingen mag verrichten of met kwetsbare groepen mag werken. Dit artikel behandelt specifiek de detectie van documentfraude — vervalsing, wijziging en AI-generatie — niet het bredere KYC/AML-kader.

Dit artikel is uitsluitend informatief bedoeld en vormt geen juridisch of medisch advies. De genoemde regelgeving is actueel op de publicatiedatum. Raadpleeg uw juridische afdeling, bedrijfsarts of compliance-team voor uw specifieke situatie.

Waarom vaccinatiecertificaten een nieuw controlepunt zijn voor zorg-HR

Vaccinatiecertificaten vormen een blinde vlek in de meeste onboardingprocessen van zorginstellingen, omdat de controle historisch bij de bedrijfsarts lag en niet bij HR of compliance. Zorgorganisaties richtten hun documentcontrole van oudsher op diploma's en de Verklaring Omtrent het Gedrag (VOG), niet op vaccinatiebewijs. In een oproep uit februari 2023 meldde de Inspectie Gezondheidszorg en Jeugd dat zorgorganisaties het voorgaande jaar 95 meldingen deden van zorgverleners met een vals diploma of vervalst certificaat, plus 11 meldingen van een vervalste VOG — meer dan een verdubbeling ten opzichte van eerdere jaren, aldus de IGJ over valse diploma's en VOG's. Diezelfde fraudepatronen — namaak, kopiëren, digitale manipulatie — gelden evengoed voor vaccinatiebewijs, alleen wordt daar tot dusver minder specifiek naar gekeken.

Handmatige steekproefcontrole van individuele documenten mist bovendien patronen die pas zichtbaar worden bij vergelijking tussen meerdere dossiers, zoals hergebruik van hetzelfde certificaatnummer bij verschillende sollicitanten. Handmatige controle detecteert wereldwijd slechts 37 procent van alle fraudegevallen, met een gemiddelde ontdekkingsvertraging van 87 dagen wanneer detectie afhangt van toeval of een klacht van een derde, aldus het ACFE 2024 Report to the Nations. Voor een verpleeghuis dat een nieuwe medewerker binnen enkele dagen wil laten starten, is die vertraging niet acceptabel.

Vier vormen van fraude met vaccinatiecertificaten

Fraude met vaccinatiebewijs neemt in de praktijk vier herkenbare vormen aan, elk met een ander detectieprofiel. Meerlaagse documentanalyse — structurele controles, metadata-analyse en consistentie tussen documenten — onderscheidt een authentiek vaccinatiecertificaat van een vervalst, gewijzigd of volledig AI-gegenereerd exemplaar.

Vervalst papieren vaccinatieboekje

Het gele boekje is een fysiek document zonder ingebouwde authenticatie: geen chip, geen barcode die naar een centraal register verwijst. Een pagina met vaccinatiestempels kan worden nagemaakt, gekopieerd of overgeschreven zonder dat de instelling die het boekje bijhield hiervan op de hoogte is. Afwijkende stempelvormen, inconsistente inkt tussen entries op dezelfde pagina, of een handschrift dat niet overeenkomt met de vermelde GGD-locatie zijn structurele signalen die bij visuele controle vaak worden gemist.

Frauduleus digitaal certificaat of QR-code

Een gemanipuleerde QR-code of een geëxporteerde schermafbeelding van een app kan overtuigend ogen zonder dat de onderliggende data koppelt aan een echte registratie. Tijdens de coronapandemie circuleerden al vervalste digitale certificaten waarvan de QR-code bij scannen geen geldige koppeling opleverde of naar andermans gegevens verwees — hetzelfde principe geldt voor elk toekomstig digitaal vaccinatiebewijs. Een QR-code die visueel correct oogt maar niet naar een levende, verifieerbare bron herleidt, is een rood signaal ongeacht het onderwerp van het certificaat.

Een echt certificaat hergebruikt onder een andere identiteit

Een authentiek, geldig certificaat van persoon A wordt aangeboden door persoon B, waarbij enkel de naam wordt aangepast of het document zonder wijziging wordt ingediend in de hoop dat niemand de naam controleert tegen een identiteitsbewijs. Cross-validatie tussen de naam op het certificaat, de geboortedatum en het aangeleverde identiteitsdocument legt dit patroon bloot, terwijl een losse visuele beoordeling van het certificaat op zichzelf volledig legitiem oogt. Dit type fraude vraagt dus niet om betere documentanalyse van het certificaat zelf, maar om koppeling met een tweede brondocument.

Door AI gegenereerde certificaten

Beeldgeneratoren en documentgeneratoren maken het mogelijk een compleet vaccinatiecertificaat te produceren — met logo, stempel en een plausibel ogend certificaatnummer — zonder dat er ooit een vaccinatie heeft plaatsgevonden. Een aanvullende laag AI-generatiesignalen, ingezet naast de bestaande structurele controles, helpt volledig gefabriceerde certificaten te herkennen die geen spoor achterlaten in een officieel register. Zulke documenten missen doorgaans een consistente digitale herkomst: metadata die niet overeenkomt met het gestelde uitgiftekanaal, of lay-outdetails die net niet overeenkomen met de huisstijl van de uitgevende instelling.

Regelgevend kader in Nederland

Vier regelingen en toezichthouders bepalen samen hoe vaccinatiecontrole en fraude daarmee in de Nederlandse zorg worden benaderd, en geen enkele daarvan geeft een werkgever direct inzagerecht in gezondheidsgegevens. Vaccinatie tegen hepatitis B is voor risicovormend zorgpersoneel verplicht onder het Arbeidsomstandighedenbesluit, met titerbepaling ter controle van de respons, aldus het RIVM over hepatitis B-vaccinatie voor medewerkers in de gezondheidszorg en de LCI-richtlijn hepatitis B-vaccinatieprogramma risicogroepen.

Vaccinatiestatus is een gezondheidsgegeven onder artikel 9 AVG, wat betekent dat een werkgever dit in beginsel niet zelf mag beoordelen of registreren zonder wettelijke grondslag — de beoordeling hoort bij de bedrijfsarts of arbodienst, niet bij HR rechtstreeks, aldus de Autoriteit Persoonsgegevens over gezondheidsgegevens. Dit onderscheidt vaccinatiecertificaten fundamenteel van diploma's of een VOG: de documentcontrole zelf (is dit certificaat authentiek?) kan wel bij HR of compliance liggen, maar de koppeling met een medisch dossier hoort elders thuis.

De vergewisplicht uit de Wkkgz verplicht zorgaanbieders om bij een nieuwe zorgverlener het arbeidsverleden na te gaan via navraag bij vorige werkgevers, het BIG-register, het Waarschuwingsregister of de IGJ, en eventueel een VOG op te vragen, aldus Rijksoverheid.nl over de vergewisplicht. Vaccinatiebewijs valt strikt genomen buiten deze verplichting, maar instellingen die het toch als onboardingvoorwaarde stellen, moeten dezelfde zorgvuldigheid rond documentauthenticiteit toepassen.

Voor kinderopvang bestaat op dit moment geen algemene wettelijke vaccinatieplicht voor medewerkers; individuele organisaties kunnen wel eigen beleid voeren, en de Raad van State oordeelde dat vaccinatie als toelatingsvoorwaarde bij een kritiek lage vaccinatiegraad een aanvaardbare maatregel kan zijn. Een wetsvoorstel dat dit bij een vaccinatiegraad onder 92 procent mogelijk maakt, ligt bij de Tweede Kamer, aldus Kinderopvangtotaal over het oordeel van de Raad van State.

Geaccepteerde documenttypen en hun fraudegevoeligheid

Niet elk vaccinatiebewijs kent hetzelfde risicoprofiel — onderstaand overzicht laat zien welk documenttype het meeste controle-inspanning verdient.

Deze tabel maakt zichtbaar dat het papieren boekje het enige documenttype is zonder enige vorm van externe koppeling, en dus verreweg de meeste aandacht verdient bij documentcontrole. Instellingen die evenveel controle-inspanning verdelen over alle vier de kanalen, besteden relatief te veel tijd aan de al goed beveiligde titerbepaling en te weinig aan het papieren boekje.

Wat HR- en compliance-teams vragen over vaccinatiecertificaatfraude

Op gespecialiseerde HR- en zorgforums, waaronder discussies die raken aan personeelsverificatie in de zorg, keren een aantal vragen structureel terug, ook al zijn concrete publieke meldingen over vervalste vaccinatieboekjes schaars omdat het onderwerp gevoelig ligt.

Een terugkerend punt is de onzekerheid over wie een vaccinatiecertificaat eigenlijk mag beoordelen: HR-medewerkers vragen zich af of zij zelf naar het document mogen kijken, of dat dit uitsluitend bij de bedrijfsarts hoort te liggen vanwege de AVG. Een tweede terugkerend punt betreft het gele boekje specifiek: gebruikers vragen hoe ze kunnen verifiëren of stempels van een GGD-locatie echt zijn, aangezien het boekje zelf geen enkele beveiligingskenmerk bevat. Een derde vraag gaat over sollicitanten die een certificaat op naam van een ander aanleveren — vooral bij spoedaanstellingen waarbij weinig tijd is voor grondige identiteitscontrole.

Deze drie knelpunten wijzen stuk voor stuk naar dezelfde oplossingsrichting: een gestructureerd proces waarin documentauthenticiteit (HR/compliance) en medische inhoud (bedrijfsarts) gescheiden blijven, met cross-validatie tegen een identiteitsdocument als vaste stap.

Aanbevolen detectieprotocol voor zorg- en kinderopvangorganisaties

Niveau 1 — Geautomatiseerde documentcontrole: structurele validatie van het certificaat of boekje, metadata-analyse bij digitale documenten, detectie van AI-generatiesignalen, zonder dat medische inhoud wordt beoordeeld.

Niveau 2 — Cross-validatie met identiteitsdocumenten: vergelijking van naam, geboortedatum en foto tussen het vaccinatiecertificaat en het aangeleverde identiteitsbewijs, signalering van hergebruikte certificaatnummers tussen meerdere sollicitanten. Contextuele analyse over meerdere velden van een certificaat houdt het aantal fout-positieven laag, doordat legitieme variatie tussen instellingen wordt onderscheiden van daadwerkelijke fraudesignalen.

Niveau 3 — Doorverwijzing naar bedrijfsarts of arbodienst: medische beoordeling en eventuele titerbepaling blijven exclusief bij de bedrijfsarts, conform artikel 9 AVG; HR ontvangt enkel een ja/nee-uitkomst, geen medische details.

CheckFile's detectie van AI-gegenereerde documenten ondersteunt niveau 1 en 2 van dit protocol met AI-generatiesignalen als aanvulling op uw bestaande controles — het vervangt geen medische beoordeling door de bedrijfsarts en claimt niet elke vervalsing op te sporen. Onze oplossing voor de gezondheidszorg richt zich op documentcontrole bij onboarding van zorgpersoneel, terwijl onze oplossing voor HR-teams hetzelfde detectieprincipe toepast op de bredere aannameprocedure.

Voor gerelateerde fraudepatronen, zie onze bespreking van de vergelijkbare aanpak bij recept- en factuurfraude in de zorgverzekeringssector en onze uitleg van bredere technieken voor het opsporen van AI-gegenereerde documentfraude. Voor een sectorbrede aanpak van documentverificatie, raadpleeg onze gids voor sectorverificatie.

Meer informatie over tarieven voor documentverificatie en over beveiliging bij de verwerking van gevoelige documenten is beschikbaar voor teams die deze controle willen industrialiseren zonder de onboarding te vertragen.

Juridische gevolgen bij vervalsing

Het aanbieden van een vervalst vaccinatiecertificaat heeft meerdere juridische gevolgen, die los van elkaar kunnen optreden. De volledige wettekst is te raadplegen via Wetten.overheid.nl — Wetboek van Strafrecht.

• Valsheid in geschrift (art. 225 Wetboek van Strafrecht): vervalsing of gebruik van een document bedoeld om als bewijs te dienen, met een maximale gevangenisstraf van zes jaar.
• Identiteitsmisbruik: het aanbieden van eens anders certificaat onder de eigen naam kan, afhankelijk van de omstandigheden, samenlopen met oplichting (art. 326 Sr) wanneer daarmee een aanstelling of vergoeding wordt verkregen.
• Arbeidsrechtelijke gevolgen: intrekking van een arbeidsaanbod, ontslag op staande voet bij een bestaand dienstverband, en een IGJ-melding wanneer het een BIG-geregistreerde zorgverlener betreft.

Veelgestelde vragen

Wat is het verschil tussen een vervalst vaccinatieboekje en een vervalst digitaal certificaat?

Een vervalst papieren boekje is fysiek nagemaakt of gewijzigd zonder enige centrale koppeling om tegen te controleren. Een vervalst digitaal certificaat bevat een QR-code of app-registratie die bij verificatie geen geldige koppeling oplevert of naar andermans gegevens verwijst, wat het in theorie makkelijker detecteerbaar maakt mits er daadwerkelijk gescand wordt.

Is vaccinatie tegen hepatitis B verplicht voor zorgmedewerkers?

Voor risicovormend zorgpersoneel dat handelingen verricht met kans op bloed-bloedcontact is hepatitis B-vaccinatie verplicht onder het Arbeidsomstandighedenbesluit, met een titerbepaling om de respons te bevestigen. Voor overig zorgpersoneel geldt een aanbiedingsplicht vanuit de werkgever, geen individuele vaccinatieplicht.

Mag een werkgever het vaccinatiebewijs van een medewerker zelf beoordelen onder de AVG?

Vaccinatiestatus is een gezondheidsgegeven onder artikel 9 AVG, dus de medische beoordeling hoort bij de bedrijfsarts of arbodienst, niet bij HR rechtstreeks. HR of compliance kan wel de authenticiteit van het document zelf controleren — is het niet vervalst, gewijzigd of hergebruikt — zolang daarbij geen medische inhoud wordt beoordeeld of opgeslagen.

Wat moet ik doen als ik een vervalst vaccinatiecertificaat vermoed bij een sollicitant?

Vraag de sollicitant zich te legitimeren en vergelijk naam en geboortedatum op het certificaat met het identiteitsdocument. Bij een bevestigd vermoeden van vervalsing kan de instelling aangifte doen bij de politie, en wanneer het een BIG-geregistreerde zorgverlener betreft, is een melding bij de IGJ aangewezen.

Is vaccinatie verplicht voor medewerkers in de kinderopvang?

Er bestaat op dit moment geen algemene wettelijke vaccinatieplicht voor kinderopvangmedewerkers. Individuele organisaties kunnen eigen vaccinatiebeleid voeren als aanstellingsvoorwaarde, en een wetsvoorstel dat dit bij een kritiek lage vaccinatiegraad wettelijk mogelijk maakt, ligt bij de Tweede Kamer.