Certificados de Vacinação Falsos: Como Detectar a Fraude no Brasil

Um certificado de vacinação falso apresentado a um empregador do setor de saúde é qualquer documento — cartão de vacinação em papel, certificado digital com QR code emitido pelo Meu SUS Digital ou declaração de saúde ocupacional — que não corresponde a uma dose efetivamente aplicada e registrada no sistema oficial. O fenômeno não é hipotético no Brasil: durante a pandemia, esquemas organizados fraudaram cartões diretamente no sistema do SUS e revenderam o resultado no Telegram, com anúncios de certificados falsos por valores entre R$ 200 e R$ 500, segundo levantamento do Aos Fatos. Essa pressão não desapareceu com o fim da emergência sanitária: deslocou-se para o cartão exigido na admissão de profissionais em hospitais, clínicas privadas, asilos e creches.

Este artigo tem caráter meramente informativo e não constitui aconselhamento jurídico. As referências normativas são exatas na data de publicação. Consulte seu departamento jurídico ou médico do trabalho para o seu caso concreto.

Por que empregadores do setor de saúde exigem prova de vacinação

A exposição ocupacional a agentes biológicos obriga o empregador a organizar vigilância médica e vacinação para quem trabalha em contato com pacientes, sangue ou fluidos biológicos. A NR-32 (Norma Regulamentadora nº 32, do Ministério do Trabalho e Emprego), no seu item 2.2.4.17.1, determina que a todo trabalhador dos serviços de saúde deve ser fornecido, gratuitamente, programa de imunização ativa contra tétano, difteria, hepatite B e os agentes estabelecidos no PCMSO, conforme o texto oficial disponibilizado pelo Ministério do Trabalho e Emprego. É essa obrigação legal, e não uma preferência administrativa, que torna o cartão de vacinação um documento de admissão nessas instituições.

A vacinação contra a hepatite B é o caso mais direto: profissionais de saúde são grupo de risco acrescido de exposição percutânea ou mucosa a sangue e outros fluidos biológicos, e a NR-32 estende a mesma lógica a gripe, tríplice viral, coqueluche em neonatologia e pediatria, hepatite A e outras vacinas conforme o risco do setor. Quando um trabalhador recusa a vacinação prevista no PCMSO, a norma exige documento comprobatório da recusa, arquivado junto ao serviço de saúde ocupacional e à disposição da fiscalização. A jurisprudência trabalhista tende a considerar que o interesse coletivo em segurança sanitária prevalece sobre a recusa individual em funções de risco biológico elevado, desde que a empresa tenha cumprido o dever de informação — a via mais lenta, mas mais transparente, do que apresentar um cartão fabricado.

Quatro formas de certificado de vacinação fraudulento nas equipes de RH

As equipes de recursos humanos e de compliance de hospitais, clínicas, asilos e creches se deparam, na prática, com quatro tipologias distintas de fraude documental relacionada à vacinação.

Cartão de vacinação em papel falsificado ou alterado

O cartão de vacinação tradicional, ainda em uso a par do registro eletrônico integrado ao Sistema de Informação do Programa Nacional de Imunizações (SI-PNI), é vulnerável a alteração manual de datas, lotes de vacina e carimbos. Caligrafia inconsistente entre entradas do mesmo posto de saúde ou um lote que não corresponde à distribuição oficial do PNI são sinais estruturais típicos.

Certificado digital ou QR code fraudulento

O certificado emitido pelo aplicativo Meu SUS Digital (que incorporou o antigo ConecteSUS) inclui um código de 16 dígitos e um QR code verificável pelo próprio aplicativo. Uma imagem estática do certificado, gerada fora do sistema oficial ou com QR code que remete a um domínio que imita o gov.br, falha na validação — o mesmo alerta que motivou o Ministério da Saúde a avisar sobre sites falsos que cobram indevidamente pela emissão de certificados de vacinação digitais.

Certificado autêntico reutilizado com outra identidade

Um cartão ou certificado genuíno, de outra pessoa, é apresentado com fotografia ou dados substituídos. Este vetor depende menos da qualidade da falsificação e mais da ausência de verificação cruzada entre a identidade do portador (CPF, nome) e os dados registrados.

Certificado gerado por ferramentas de IA generativa

Um modelo de geração de imagem produz um cartão com aspecto plausível, carimbo e lotes coerentes entre si, sem qualquer dose real aplicada — a mesma lógica descrita em nosso artigo sobre técnicas de detecção de fraude documental com IA, aqui aplicada a documentos de saúde ocupacional.

Sinais de fraude por tipo de documento

Proteção de dados de saúde na verificação de certificados

Os dados de saúde constituem dado pessoal sensível nos termos do artigo 11 da LGPD (Lei nº 13.709/2018), disponível no texto compilado pelo Planalto, e a Autoridade Nacional de Proteção de Dados (ANPD) orienta que o empregador não deve conhecer nem registrar diretamente dados clínicos dos trabalhadores: o tratamento deve passar pelo médico do trabalho responsável pelo PCMSO e assentar em base jurídica específica, como obrigação legal prevista na NR-32, conforme orientações no site da ANPD. Na prática, a verificação documental de um certificado de vacinação deve se limitar à autenticidade estrutural — datas, formato, correspondência de identidade — sem que o RH acumule informação clínica além do necessário para a admissão.

Como as equipes de RH e compliance detectam certificados falsos

A detecção eficaz combina controle automatizado de primeiro nível com investigação humana nos casos sinalizados como risco elevado, seguindo uma lógica em três níveis.

Nível 1 — controle automatizado sistemático. A análise multicamada, que combina verificação estrutural, de metadados e de coerência entre documentos, permite distinguir um cartão de vacinação em papel ou um certificado digital autêntico de uma versão falsificada, alterada ou gerada por uma ferramenta de IA. A primeira camada analisa os metadados do arquivo digitalizado ou fotografado; a segunda avalia a coerência tipográfica e artefatos de manipulação em nível de pixel; a terceira cruza a identidade declarada com os dados visíveis no documento.

Nível 2 — detecção de conteúdo gerado por IA. A detecção de conteúdo sintético funciona como complemento aos controles estruturais existentes, acrescentando uma camada de sinais de geração por IA configurável de acordo com as necessidades de cada empregador do setor de saúde. Essa camada é particularmente relevante para cartões fabricados do zero, onde não existe alteração de um documento real, mas criação integral de um arquivo plausível.

Nível 3 — investigação manual e verificação de risco elevado. Os casos sinalizados nos níveis anteriores são encaminhados para revisão humana, incluindo, quando necessário, confirmação junto ao serviço de saúde ocupacional. A análise contextual que distingue variações legítimas de sinais de fraude mantém a taxa de falsos positivos baixa, o que evita recusar cartões de vacinação autênticos apenas por terem sido preenchidos à mão ou digitalizados em condições diferentes. Essa automatização tem justificativa estatística: segundo o ACFE 2024 Report to the Nations, métodos de detecção puramente manuais identificam apenas 37% dos casos de fraude documental, com atraso médio de 87 dias.

O que perguntam responsáveis de RH sobre a verificação de certificados de vacinação

Em fóruns de recursos humanos e de saúde ocupacional é comum encontrar duas perguntas recorrentes sobre esse tema, muitas vezes formuladas em torno de casos concretos de admissão em asilos ou clínicas privadas.

"Podemos exigir o cartão de vacinação do candidato antes da contratação, ou isso fere a LGPD?" A resposta habitual passa por distinguir a exigência do documento, legítima quando decorre de uma obrigação de segurança do trabalho como a da NR-32, do armazenamento de informação clínica detalhada, que deve ficar confinada ao médico do trabalho responsável pelo PCMSO e não ao processo de RH corrente.

"Como confirmo se um cartão de vacinação em papel é verdadeiro sem contatar a unidade de saúde do candidato?" A verificação não depende de contatar o posto de saúde, algo que levanta suas próprias questões de sigilo clínico, mas da análise do próprio documento: coerência de carimbos, formato dos lotes de vacina e correspondência entre a identidade do portador e os dados registrados.

Verificação documental como complemento aos controles de admissão

A solução de detecção de documentos sintéticos e sinais de geração por IA da CheckFile cobre os dois primeiros níveis desse protocolo como complemento aos controles de admissão existentes, sem substituir a investigação humana nem as obrigações de registro junto ao serviço de saúde ocupacional. Não se trata de uma garantia de detecção de toda e qualquer falsificação, mas de um filtro adicional que reduz o volume de documentos que chegam à revisão manual sem qualquer triagem prévia.

Esse tipo de análise se aplica tanto à verificação de certificados de vacinação quanto a outros documentos clínicos sensíveis, como descrevemos no artigo sobre detecção de receitas médicas falsas em pedidos de reembolso de plano de saúde. Para outros setores regulados, veja nosso guia de verificação setorial. As equipes de RH de instituições de saúde podem consultar as soluções de verificação para recursos humanos, a segurança no tratamento de dados sensíveis e os planos de preços, ou contatar a equipe CheckFile para avaliação do caso concreto.

Perguntas frequentes

Um empregador do setor de saúde pode recusar a admissão de um candidato com cartão de vacinação incompleto?

Pode condicionar a admissão a funções de risco biológico elevado à conclusão do esquema vacinal recomendado pela NR-32, mas não pode impedir genericamente o exercício de funções apenas por recusa, desde que o trabalhador assine a declaração de recusa prevista para arquivamento junto ao serviço de saúde ocupacional.

Que risco corre quem apresenta um certificado de vacinação falso a um empregador?

Arrisca-se a responsabilidade criminal por falsificação de documento público ou particular (artigos 297 e 298 do Código Penal, penas de dois a seis anos e de um a cinco anos, respectivamente) ou por falsidade ideológica (artigo 299, um a cinco anos), além de rescisão por justa causa ou revogação da oferta de admissão assim que a fraude for identificada. Em casos de venda organizada, tribunais brasileiros já mantiveram condenações por falsificação de documento público, como registrado pelo TJSP.

A verificação automatizada de certificados de vacinação é compatível com a LGPD?

Sim, desde que se limite à análise estrutural e de metadados do documento, sem tratar ou armazenar o conteúdo clínico detalhado além do necessário. Os dados de saúde constituem dado pessoal sensível nos termos do artigo 11 da LGPD, de modo que o tratamento deve se apoiar em base legal válida, como o cumprimento de uma obrigação legal de segurança do trabalho prevista na NR-32.

Como distinguir um certificado digital genuíno de uma imagem fraudulenta?

O certificado genuíno emitido pelo Meu SUS Digital inclui um código de 16 dígitos e um QR code verificável pelo próprio aplicativo, vinculado ao SI-PNI. Uma imagem estática ou impressa sem essa verificação válida, ou com um QR code que remete a um domínio externo ao sistema oficial, não confirma autenticidade mesmo que o leiaute visual seja semelhante ao original.

O que fazer diante da suspeita de um cartão de vacinação com identidade trocada?

Deve-se confrontar os dados de identificação do documento com os dados oficiais do candidato ou colaborador, incluindo fotografia quando disponível, e escalar o caso para revisão manual antes de concluir a admissão. Casos confirmados devem ser reportados internamente conforme a política de detecção de fraude da instituição e, quando aplicável, às autoridades competentes.