DPP là gì, và vì sao nó không phải chuyện "để sau"
Có một câu tôi nghe lặp lại ở gần như mọi buổi làm việc với các nhà máy xuất khẩu sang EU trong nửa năm qua: "Cái DPP này, nghe nói còn lâu mới tới lượt ngành mình." Câu đó đúng một nửa. Đúng ở chỗ ngành của bạn có thể chưa nằm trong đợt đầu. Sai ở chỗ "còn lâu" trong ngôn ngữ của Ủy ban châu Âu nghĩa là 12-18 tháng chuẩn bị dữ liệu, không phải một dòng thông báo rồi bắt tay vào làm ngay được.
Digital Product Passport, hay hộ chiếu số sản phẩm, về bản chất là một hồ sơ điện tử gắn liền với từng sản phẩm (hoặc từng lô, tùy ngành), lưu thông tin về thành phần vật liệu, nguồn gốc, dấu chân carbon, khả năng sửa chữa, tái chế và tuân thủ pháp lý — truy cập được qua một mã QR hoặc mã vạch 2D dán trên sản phẩm hoặc bao bì. Nó nằm trong khung pháp lý Ecodesign for Sustainable Products Regulation (ESPR, Regulation EU 2024/1781), và với riêng pin thì có thêm EU Battery Regulation (2023/1542) đi trước một bước.
Điều khiến DPP khác với hàng chục quy định "xanh" khác mà doanh nghiệp Việt đã quen nghe (CBAM, EUDR, CSRD) là nó không chỉ đánh vào một khâu — carbon, gỗ, hay báo cáo tài chính — mà đòi bạn phải số hóa toàn bộ vòng đời sản phẩm và để dữ liệu đó công khai, có thể kiểm chứng, cho bất kỳ ai quét mã. Đây là lần đầu tiên EU biến truy xuất nguồn gốc từ một lợi thế cạnh tranh thành một điều kiện vào cửa.
2027 không phải một ngày — đó là một chuỗi ngày
Phần lớn bài viết tôi đọc được, kể cả những bài tiếng Việt khá kỹ, đều gộp chung "DPP bắt buộc từ 2027" như thể có một ngày duy nhất. Không có ngày duy nhất nào cả. Có một chuỗi mốc, và thứ tự của chuỗi đó quyết định bạn còn bao nhiêu thời gian thật sự.
Pin đi trước: 18/2/2027
Đây là mốc chắc chắn nhất, vì nó nằm trong Battery Regulation đã có hiệu lực từ 2023, không còn chờ văn bản hướng dẫn (delegated act) nào nữa. Từ ngày này, pin công nghiệp trên 2kWh, pin xe điện và pin phương tiện giao thông hạng nhẹ (xe đạp điện, xe máy điện) bán vào EU bắt buộc có Battery Passport, ghi lại toàn bộ chuỗi từ khai thác nguyên liệu, sản xuất, đến tái chế cuối vòng đời. Nếu nhà máy của bạn làm linh kiện, pack pin, hoặc là nhà cung cấp cell cho các thương hiệu xe điện, tủ điện, thiết bị lưu trữ năng lượng xuất sang EU — đây không còn là chuyện "chuẩn bị", mà là chuyện đang chạy nước rút.
Dệt may, giày dép: ngành Việt Nam đặt cược nhiều nhất
Văn bản hướng dẫn (delegated act) cho ngành dệt may đã được hoàn tất đầu năm 2025, với các trường dữ liệu bắt buộc đã ổn định: thành phần sợi cho mọi loại sợi chiếm trên 1% khối lượng, quốc gia sản xuất theo từng công đoạn, dấu chân carbon tính bằng kg CO2e, hướng dẫn tái chế, điểm số khả năng sửa chữa, dữ liệu chất nguy hại theo REACH, và thông tin nhà cung cấp tầng 1 (Tier 1). Thời điểm áp dụng thực tế được nhiều nguồn dự đoán rơi vào cuối 2027 đến 2029, tùy tốc độ EU công bố văn bản thực thi cuối cùng. Với một nước có kim ngạch dệt may và da giày sang EU thuộc nhóm lớn nhất thế giới như Việt Nam, đây là ngành có nhiều thứ để mất nhất nếu chậm chân — không phải vì phạt tiền, mà vì sản phẩm không đủ hồ sơ sẽ đơn giản là không được thông quan.
Nhóm tiếp theo: nội thất, lốp xe, điện tử, sắt thép
Cùng nằm trong danh sách ưu tiên của ESPR, dự kiến có văn bản thực thi và áp dụng rải trong 2027-2028, là đồ nội thất, lốp xe, thiết bị điện tử tiêu dùng và các sản phẩm sắt thép, hóa chất tẩy rửa. Sau 2028-2030, phạm vi được cho là sẽ mở rộng sang bao bì, nhựa, đồ chơi, mỹ phẩm. Nếu nhà máy bạn xuất đồ gỗ nội thất hoặc linh kiện điện tử, đừng đợi văn bản chính thức mới bắt đầu đọc — vì khoảng cách từ lúc văn bản ban hành đến lúc có hiệu lực thường chỉ 18 tháng, và 18 tháng không đủ để xây một hệ thống dữ liệu từ số 0.
Nhà máy Việt Nam có thực sự "bắt buộc", hay chỉ nhãn hàng EU mới bị?
Đây là câu hỏi tôi bị hỏi nhiều nhất, và câu trả lời hay bị hiểu sai theo hướng có lợi cho sự trì hoãn. Về mặt pháp lý, nghĩa vụ tuân thủ ESPR đặt lên "economic operator" — nhà sản xuất, nhà nhập khẩu, hoặc nhà phân phối đưa sản phẩm ra thị trường EU. Nếu bạn là nhà máy Việt Nam bán trực tiếp dưới thương hiệu của chính mình vào EU, bạn là economic operator, nghĩa vụ nằm thẳng trên vai bạn.
Nhưng phần lớn nhà máy Việt Nam làm OEM/ODM cho các thương hiệu châu Âu, và ở mô hình này, nghĩa vụ pháp lý formally nằm ở phía nhãn hàng. Vấn đề là nhãn hàng không tự có dữ liệu — họ cần bạn cung cấp: thành phần vật liệu chính xác đến từng nhà cung cấp sợi, dữ liệu phát thải theo từng công đoạn sản xuất, hồ sơ hóa chất theo REACH. Nếu bạn không có sẵn dữ liệu này ở định dạng chuẩn hóa, có thể xác minh được, nhãn hàng sẽ chuyển đơn hàng sang nhà máy khác đã có. Tôi đã thấy điều này xảy ra thật với một xưởng dệt ở Bình Dương cuối 2025 — không phải vì họ vi phạm gì, mà vì đối thủ của họ nộp được bộ dữ liệu DPP thử nghiệm còn họ thì không, và khách hàng chọn bên chuẩn bị sẵn.
Nói cách khác: bạn không nằm trong danh sách bị EU phạt trực tiếp, nhưng bạn nằm trong danh sách bị loại khỏi chuỗi cung ứng nếu không chuẩn bị. Với một thị trường mà biên lợi nhuận gia công đã mỏng, mất một khách hàng lớn vì thiếu hồ sơ dữ liệu là một rủi ro kinh doanh thật, không phải rủi ro pháp lý trừu tượng.
DPP đòi hỏi gì cụ thể — không phải khẩu hiệu "minh bạch"
Rất nhiều bài viết dừng ở mức "doanh nghiệp cần minh bạch hóa chuỗi cung ứng", nghe hay nhưng không giúp ai làm được việc gì cụ thể vào thứ Hai tuần sau. Dữ liệu DPP, ở mức tối thiểu mà các văn bản hướng dẫn đã công bố yêu cầu, xoay quanh bốn nhóm.
Nhóm thứ nhất là định danh sản phẩm — mã GTIN chuẩn GS1, số lô hoặc số serial, nhà sản xuất, địa điểm sản xuất theo từng công đoạn. Nhóm thứ hai là thành phần và nguồn gốc — vật liệu, tỷ lệ phần trăm, nhà cung cấp tầng 1 và trong nhiều trường hợp cả tầng 2. Nhóm thứ ba là dữ liệu môi trường — carbon footprint tính theo phương pháp PEF (Product Environmental Footprint) của EU, không phải theo cách tính nội bộ tùy ý của doanh nghiệp. Nhóm thứ tư là dữ liệu vòng đời — hướng dẫn sửa chữa, điểm khả năng tái chế, hướng dẫn xử lý cuối vòng đời.
Điểm mấu chốt hay bị bỏ qua: EU nói rõ dữ liệu tự khai báo (self-declared) không đủ điều kiện. Dữ liệu phải được xác minh bởi bên thứ ba hoặc bởi hệ thống có khả năng đối chiếu ngược lại tới nguồn — nghĩa là bạn không thể điền một file Excel rồi gọi đó là DPP. Đây chính là lý do một hộ chiếu số không thể tách rời khỏi một hệ thống truy xuất nguồn gốc vận hành thật, ghi nhận sự kiện thật theo thời gian thực, chứ không phải một bản khai hồ sơ làm một lần rồi để đó.
Sai lầm phổ biến nhất: chờ nhãn hàng gửi bảng yêu cầu rồi mới làm
Tôi hiểu tâm lý này — ngân sách có hạn, quy định còn đang hoàn thiện, làm sớm sợ làm sai rồi phải làm lại. Nhưng có hai lý do khiến chiến lược "chờ rồi làm" thua chắc.
Thứ nhất, dữ liệu vòng đời sản phẩm không thể tạo hồi tố. Carbon footprint của một lô hàng sản xuất tháng trước, nếu bạn không đo lúc đó, thì tháng sau đo lại cũng chỉ là ước lượng, không phải dữ liệu xác thực. DPP yêu cầu dữ liệu theo lô thực tế, nên hệ thống ghi nhận phải chạy trước khi lô hàng đó cần hồ sơ, không phải chạy sau.
Thứ hai, và quan trọng hơn với vị thế thương lượng của bạn: khi nhãn hàng bắt đầu siết yêu cầu, họ sẽ hỏi cùng lúc hàng chục nhà cung cấp. Ai trả lời được trong một tuần với dữ liệu có thể kiểm chứng sẽ giữ được đơn hàng, sản lượng, và cả đòn bẩy đàm phán giá — vì lúc đó bạn không còn là một trong nhiều lựa chọn thay thế được, mà là nhà cung cấp đã sẵn sàng cho luật chơi mới.
Đừng xây DPP tách rời khỏi EUDR, CBAM và FSMA 204 bạn đã hoặc sắp phải làm
Một sai lầm kỹ thuật tôi thấy lặp lại: doanh nghiệp coi mỗi quy định là một dự án riêng, thuê một đơn vị tư vấn riêng, dựng một hệ thống báo cáo riêng cho EUDR (chống phá rừng), một cho CBAM (carbon biên giới), một cho FSMA 204 nếu có xuất Mỹ, và giờ định làm thêm một hệ thống thứ tư cho DPP. Kết quả là bốn hệ thống rời rạc, bốn lần nhập liệu thủ công cho cùng một lô hàng, và không hệ nào nói chuyện được với hệ nào.
Sự thật là cả bốn quy định này đều cần cùng một loại dữ liệu nền: sự kiện sản xuất gắn với địa điểm, thời gian, nguồn nguyên liệu, và khả năng truy vết ngược từ thành phẩm về từng lô đầu vào. Đây chính xác là mô hình dữ liệu mà chuẩn EPCIS (Electronic Product Code Information Services) của GS1 được thiết kế để xử lý — ghi sự kiện "cái gì, ở đâu, khi nào, tại sao" một lần, rồi tái sử dụng cho bất kỳ báo cáo tuân thủ nào cần đến nó. Xây một lớp dữ liệu sự kiện chuẩn hóa ngay từ đầu, thay vì bốn silo riêng lẻ, là khoản đầu tư trả lãi kép — DPP hôm nay, quy định tiếp theo mà EU hay Mỹ ban hành sang năm cũng dùng lại được nền đó.
Bộ ba kỹ thuật đứng sau mỗi tấm DPP
Về mặt hạ tầng, DPP không đòi hỏi công nghệ gì kỳ lạ, nhưng đòi hỏi ba mảnh ghép phải khớp với nhau đúng chuẩn.
Mảnh thứ nhất là định danh — GTIN cho sản phẩm và GLN (Global Location Number) cho từng địa điểm sản xuất, cấp bởi GS1. Đây là nền tảng bắt buộc, không có định danh chuẩn thì không hồ sơ nào liên kết được với nhau qua các hệ thống khác nhau của khách hàng, hải quan, cơ quan kiểm định.
Mảnh thứ hai là mã hiển thị — ESPR yêu cầu điểm truy cập DPP tuân theo chuẩn ISO/IEC (15459 cho định danh, 18004 cho QR code), và dù văn bản không chỉ đích danh, GS1 Digital Link đang nổi lên là lựa chọn thực tế được EU và ngành khuyến nghị, vì một mã QR Digital Link vừa phục vụ được quét thanh toán tại quầy, vừa dẫn thẳng đến trang hộ chiếu sản phẩm cho người tiêu dùng cuối — không cần hai mã riêng biệt trên cùng một sản phẩm.
Mảnh thứ ba là lớp sự kiện — EPCIS ghi lại chuỗi "sản xuất tại đâu, đóng gói khi nào, giao cho ai" theo thời gian thực, để khi có ai quét mã, hệ thống trả về dữ liệu lấy từ sự kiện thật đã xảy ra, chứ không phải một trang tĩnh soạn sẵn một lần. Đây cũng là phần khiến dữ liệu "xác minh được" theo đúng nghĩa EU yêu cầu, vì có dấu vết thời gian và địa điểm đối chiếu ngược lại được.
Lộ trình 12-18 tháng cho nhà máy chưa có gì trong tay
Với một nhà máy hiện đang quản lý sản xuất bằng Excel và sổ tay — tình trạng phổ biến hơn nhiều người nghĩ, kể cả ở các nhà máy quy mô vài trăm công nhân — đây là trình tự tôi khuyên làm theo, không phải làm tất cả cùng lúc.
Sáu tháng đầu nên dồn vào việc đăng ký mã GS1 (GTIN cho sản phẩm, GLN cho từng xưởng, kho, cảng xuất) nếu chưa có, và song song, chọn ra một dòng sản phẩm thí điểm — không làm toàn bộ danh mục cùng lúc — để bắt đầu ghi nhận sự kiện sản xuất số hóa thay vì giấy tờ. Đây là giai đoạn tốn công nhất vì phải thay đổi thói quen ghi chép tại xưởng, nhưng lại là giai đoạn rẻ nhất về công nghệ.
Sáu tháng tiếp theo dành cho việc kết nối dữ liệu vật liệu từ nhà cung cấp tầng 1 — đây thường là điểm nghẽn thực sự, vì nhà cung cấp của bạn cũng chưa số hóa. Đồng thời tính toán carbon footprint theo phương pháp PEF cho dòng sản phẩm thí điểm, và dựng trang hộ chiếu số truy cập qua mã QR chuẩn Digital Link.
Giai đoạn còn lại là mở rộng từ dòng sản phẩm thí điểm ra toàn bộ danh mục xuất khẩu, và quan trọng không kém — làm việc với khách hàng EU để họ xác nhận định dạng dữ liệu bạn cung cấp khớp với hệ thống họ dùng, vì mỗi nhãn hàng có thể có yêu cầu tích hợp hơi khác nhau dù cùng tuân theo một khung ESPR.
Chi phí thực tế, và khoản dễ bị đội lên nhất
Chi phí đăng ký mã GS1 và dựng hạ tầng QR/Digital Link cơ bản không lớn, thường tính bằng vài chục triệu đồng cho một nhà máy quy mô vừa. Khoản tốn kém thật sự nằm ở hai chỗ khác mà ít bài viết nhắc tới.
Một là chi phí tính toán carbon footprint theo chuẩn PEF — nếu thuê đơn vị kiểm định quốc tế làm từ đầu cho toàn bộ danh mục, chi phí có thể lên đến hàng trăm triệu đồng mỗi năm. Cách tiết kiệm hợp lý là tính cho dòng sản phẩm đại diện trước, dùng làm mẫu, rồi mở rộng dần thay vì làm toàn bộ cùng lúc.
Hai, và đây là khoản hay bị đánh giá thấp nhất, là chi phí thay đổi quy trình nội bộ — đào tạo công nhân, quản đốc ghi nhận dữ liệu đúng lúc thay vì cuối ngày hoặc cuối tuần mới nhập bù. Một hệ thống truy xuất chỉ tốt bằng chất lượng dữ liệu đầu vào tại xưởng, và đây là phần công nghệ không giải quyết được — nó cần quản lý con người và quy trình song song với đầu tư hệ thống.
Không làm thì sao?
Không có DPP không đồng nghĩa hàng bị chặn ở biên giới ngay lập tức trong năm đầu tiên áp dụng — thường có giai đoạn chuyển tiếp cho các lô hàng đã sản xuất trước mốc hiệu lực. Nhưng về trung hạn, sản phẩm thuộc nhóm bắt buộc mà không có DPP hợp lệ sẽ không được đưa ra thị trường EU, tương tự cách sản phẩm không đạt CE marking không được bán tại đây. Với nhà máy OEM, hậu quả đến sớm hơn nhiều — mất đơn hàng vào tay đối thủ đã chuẩn bị, trước khi luật thật sự có hiệu lực.
Vài điều rút ra sau khi ngồi cạnh vài nhà máy làm việc này
Điều khiến tôi bất ngờ nhất không phải là độ phức tạp của quy định — văn bản EU vốn luôn dài và rối. Điều bất ngờ là các nhà máy chuẩn bị tốt nhất không phải nhà máy lớn nhất hay có ngân sách nhiều nhất, mà là nhà máy đã có sẵn thói quen ghi nhận dữ liệu sản xuất có hệ thống từ trước, dù ban đầu chỉ để phục vụ kiểm soát chất lượng nội bộ hoặc đáp ứng một chứng nhận khác như BSCI, GOTS. DPP với họ chỉ là thêm một lớp đầu ra trên nền dữ liệu đã có, không phải xây từ số 0.
Nếu có một việc nên làm ngay trong quý này, dù ngành của bạn còn cách mốc bắt buộc hai, ba năm, đó là bắt đầu ghi nhận sự kiện sản xuất số hóa cho ít nhất một dòng sản phẩm — không cần hoàn chỉnh, không cần đúng chuẩn ngay từ đầu. Thói quen dữ liệu cần thời gian để hình thành trong một nhà máy, còn phần mềm và mã QR thì có thể dựng trong vài tuần khi bạn đã sẵn dữ liệu để đưa vào.
