Hộ chiếu số sản phẩm theo Luật Chất lượng sản phẩm sửa đổi: khác gì Digital Product Passport của EU?

Câu hỏi bắt đầu từ một email của khách hàng châu Âu

Một anh bạn làm xưởng dệt may xuất khẩu ở Nam Định gọi cho tôi hỏi một câu tưởng đơn giản: "Bên nhập khẩu Đức họ hỏi sản phẩm có Digital Product Passport chưa, mà bên Sở Khoa học Công nghệ tỉnh tháng trước vừa tập huấn về hộ chiếu số theo luật mới, có phải là một cái không?" Câu hỏi đó không hiếm. Từ giữa năm 2025 đến nay, hai cụm từ "hộ chiếu số sản phẩm" và "Digital Product Passport" (DPP) xuất hiện gần như cùng lúc trên truyền thông, và phần lớn bài báo tiếng Việt tôi đọc được đều mô tả chúng như thể là hai tên gọi của cùng một thứ. Không phải vậy. Chúng xuất phát từ hai hệ thống pháp lý khác nhau, phục vụ hai mục tiêu khác nhau, và quan trọng hơn với người làm sản xuất: một cái không tự động thỏa mãn cái kia.

Bài này tôi viết lại đúng những gì đã tra cứu và giải thích cho vài khách hàng làm hàng xuất khẩu của mình trong mấy tháng qua, để bất kỳ ai đang loay hoay với câu hỏi tương tự có thể đọc một lần là hiểu rõ nên chuẩn bị gì trước, thay vì chạy theo từng đợt tập huấn rời rạc.

"Hộ chiếu số của sản phẩm" theo luật Việt Nam là gì

Định nghĩa trong Luật số 78/2025/QH15

Ngày 18/6/2025, Quốc hội thông qua Luật sửa đổi, bổ sung một số điều của Luật Chất lượng sản phẩm, hàng hóa năm 2007, có hiệu lực từ 1/1/2026. Đây là lần đầu tiên khái niệm "hộ chiếu số của sản phẩm" xuất hiện chính thức trong văn bản luật Việt Nam. Định nghĩa được luật đưa ra khá ngắn gọn: đó là tập hợp thông tin về sản phẩm và chuỗi cung ứng của nó, được lưu trữ dưới dạng mã vạch hoặc phương thức phù hợp khác, hoặc thông qua một cơ sở dữ liệu có liên kết, sao cho có thể đọc hoặc truy cập được bằng thiết bị phù hợp.

Đọc kỹ thì thấy luật cố tình viết mở — không chốt cứng công nghệ, không chốt cứng định dạng dữ liệu. Đây là điểm khác với cách EU làm, tôi sẽ nói ở phần sau.

Đến ngày 23/1/2026, Nghị định 37/2026/NĐ-CP quy định chi tiết thi hành luật này có hiệu lực, cụ thể hóa thêm vài điểm quan trọng: hộ chiếu số có thể dùng thay thế nhãn điện tử nếu nội dung trong đó đáp ứng đủ các thông tin ghi nhãn bắt buộc theo quy định hiện hành. Nói cách khác, với nhiều doanh nghiệp, hộ chiếu số không phải một nghĩa vụ chồng thêm lên nhãn hàng hóa, mà có thể gộp chung vào một mã QR duy nhất — đỡ phải in hai loại tem.

Công nghệ được khuyến khích, không bị ép buộc một chuẩn

Nghị định khuyến khích doanh nghiệp dùng mã một chiều, mã hai chiều (QR, Datamatrix), RFID, NFC hoặc công nghệ phù hợp khác, ưu tiên kết hợp với AI, dữ liệu lớn và IoT để thu thập, lưu trữ, chia sẻ dữ liệu chất lượng trong toàn chuỗi cung ứng. Chữ "khuyến khích" ở đây quan trọng: phần lớn sản phẩm không bị bắt buộc phải có hộ chiếu số ngay từ 2026. Luật chuyển cách quản lý từ hành chính sang quản lý theo mức độ rủi ro, chia sản phẩm thành ba nhóm thấp — trung bình — cao. Truy xuất nguồn gốc chỉ bắt buộc với nhóm rủi ro cao (thực phẩm, dược phẩm, một số vật liệu xây dựng, sản phẩm ảnh hưởng trực tiếp sức khỏe...). Bộ Khoa học và Công nghệ sẽ trình Thủ tướng lộ trình áp dụng hộ chiếu số theo từng nhóm ngành cụ thể — tức là tại thời điểm tôi viết bài này, lộ trình chi tiết theo ngành vẫn chưa được ban hành, chỉ có khung nguyên tắc.

Tóm gọn phần luật Việt Nam: hộ chiếu số là một khung dữ liệu mở, gắn với mục tiêu chống hàng giả, minh bạch chuỗi cung ứng và hỗ trợ thương mại điện tử, bắt buộc dần theo mức rủi ro, và có thể tích hợp luôn vào nhãn điện tử.

Digital Product Passport của EU: xuất phát điểm hoàn toàn khác

Không phải luật chống hàng giả, mà là luật môi trường

DPP của EU ra đời từ Quy định về thiết kế sinh thái cho sản phẩm bền vững (ESPR), ban hành tháng 6/2024, bổ sung thêm nghĩa vụ an toàn từ Quy định an toàn sản phẩm chung (GPSR). Điểm khác biệt lớn nhất mà tôi nghĩ nhiều bài viết tiếng Việt đang lướt qua quá nhanh: DPP không sinh ra để chống hàng giả hay minh bạch xuất xứ như hộ chiếu số Việt Nam. Nó sinh ra để phục vụ kinh tế tuần hoàn. Nội dung bắt buộc trong DPP xoay quanh: thành phần vật liệu, khả năng sửa chữa, khả năng tái chế, dấu chân carbon, hướng dẫn tháo rời và xử lý cuối vòng đời, cùng với tuyên bố hợp quy (Declaration of Conformity) và thông tin nhà sản xuất/nhà nhập khẩu.

Nói cách khác, một sản phẩm có DPP đầy đủ không chỉ cho người tiêu dùng biết "hàng này ở đâu ra" như hộ chiếu số kiểu Việt Nam, mà còn buộc nhà sản xuất công khai "sản phẩm này làm từ gì, sửa được không, tái chế được bao nhiêu phần trăm" — những dữ liệu mà phần lớn doanh nghiệp sản xuất trong nước hiện chưa hề thu thập một cách hệ thống.

Data carrier phải nằm vật lý trên sản phẩm, và có sổ đăng ký trung tâm

EU quy định rõ: mã truy cập DPP (QR code, NFC, mã vạch...) phải hiện diện vật lý trên sản phẩm, bao bì hoặc tài liệu đi kèm — không được chỉ tồn tại trên một trang landing page rời rạc không gắn với vật phẩm thật. Ngoài ra một sổ đăng ký trung tâm cấp EU (central registry) dự kiến vận hành giữa 2026, nghĩa là dữ liệu DPP không chỉ nằm trong hệ thống nội bộ của doanh nghiệp mà còn phải đồng bộ lên một registry chung để cơ quan quản lý và các bên liên quan tra cứu chéo được.

Lộ trình áp dụng đi theo từng ngành, ưu tiên pin, dệt may, điện tử, đồ nội thất trước — thí điểm từ 2024, bắt buộc dần trong giai đoạn 2027-2030. Và một điều cần nhấn mạnh vì hay bị hiểu nhầm: DPP áp dụng cho MỌI sản phẩm thuộc nhóm ngành liên quan bán vào thị trường EU, bất kể sản xuất ở đâu. Một xưởng dệt ở Nam Định bán áo cho nhà nhập khẩu Đức, dù chưa hề nghe tới ESPR, vẫn nằm trong phạm vi điều chỉnh nếu ngành hàng đó đến lượt áp dụng.

So sánh trực diện: khác nhau ở đâu

Gộp lại, khác biệt cốt lõi nằm ở năm điểm sau, và đây là chỗ tôi thấy hầu hết bài viết đang so sánh hộ chiếu số với DPP chỉ dừng ở mức "đều là mã QR chứa thông tin sản phẩm" — quá sơ sài để một doanh nghiệp dựa vào đó ra quyết định đầu tư hệ thống.

Về mục tiêu: hộ chiếu số Việt Nam thiên về chống hàng giả, minh bạch xuất xứ và bảo vệ người tiêu dùng nội địa; DPP châu Âu thiên về kinh tế tuần hoàn và trách nhiệm môi trường mở rộng của nhà sản xuất.

Về tính bắt buộc: hộ chiếu số Việt Nam hiện là khuyến khích, chỉ bắt buộc với nhóm rủi ro cao theo lộ trình sẽ công bố sau; DPP là bắt buộc theo luật cứng (ESPR) với lộ trình đã có khung thời gian theo ngành, không còn ở giai đoạn khuyến khích.

Về nội dung dữ liệu: hộ chiếu số Việt Nam tập trung vào nguồn gốc, nhà sản xuất, quy trình, tiêu chuẩn chất lượng; DPP bắt buộc thêm một lớp dữ liệu mà luật Việt Nam hiện chưa yêu cầu — thành phần vật liệu chi tiết, khả năng sửa chữa, dấu chân carbon, tỷ lệ tái chế.

Về nơi đặt mã và lưu trữ: luật Việt Nam cho phép linh hoạt (mã vạch, cơ sở dữ liệu liên kết, không bắt buộc gắn vật lý); EU bắt buộc data carrier phải hiện diện vật lý trên sản phẩm hoặc bao bì, và có sổ đăng ký trung tâm cấp liên minh.

Về phạm vi áp dụng: hộ chiếu số Việt Nam áp dụng cho hàng lưu thông trong nước và xuất khẩu nói chung; DPP chỉ áp dụng cho các nhóm ngành cụ thể bán vào thị trường EU, nhưng áp dụng bất kể nơi sản xuất.

Phần mà gần như không bài nào nhắc tới: một hộ chiếu số không tự động là một DPP

Đây là chỗ tôi nghĩ quan trọng nhất với người đọc là chủ doanh nghiệp sản xuất, và cũng là phần các bài báo phổ thông bỏ sót gần như hoàn toàn vì họ viết theo hướng tin tức chính sách, không viết theo hướng doanh nghiệp cần làm gì.

Nếu bạn làm đúng hộ chiếu số theo luật Việt Nam — có mã QR, có thông tin nguồn gốc, nhà sản xuất, lô hàng — sản phẩm đó vẫn CHƯA có DPP hợp lệ để bán vào EU khi đến lượt ngành hàng của bạn bị áp dụng ESPR. Vì DPP đòi thêm dữ liệu về vật liệu, khả năng sửa chữa, carbon, tái chế mà hộ chiếu số Việt Nam không yêu cầu. Ngược lại, nếu bạn xây hẳn một hệ thống DPP đầy đủ theo chuẩn EU, gần như chắc chắn nó thỏa mãn luôn yêu cầu hộ chiếu số của Việt Nam, vì DPP là tập superset về mặt dữ liệu.

Cái bẫy thực tế tôi thấy vài doanh nghiệp đang mắc: nghe tập huấn về hộ chiếu số trong nước xong yên tâm là "xong rồi, sau này bán châu Âu chắc cũng dùng được luôn". Không hẳn. Cấu trúc dữ liệu, mức độ bắt buộc gắn vật lý, và đặc biệt là các trường dữ liệu môi trường là những thứ phải thiết kế thêm từ đầu, không phải thêm sau bằng cách vá.

Lớp hạ tầng có thể dùng chung: GS1 Digital Link và EPCIS

Điểm may mắn là bạn không cần xây hai hệ thống riêng biệt cho hai bộ luật. Cả hai đều hướng tới một mã định danh duy nhất gắn với sản phẩm, đọc được qua QR/mã vạch, trỏ tới một nguồn dữ liệu có thể mở rộng. Chuẩn GS1 Digital Link — cách mã hóa một URL chuẩn hóa vào QR code, cho phép cùng một mã quét ra các tập dữ liệu khác nhau tùy ngữ cảnh (người tiêu dùng thấy thông tin sản phẩm, cơ quan quản lý thấy thêm dữ liệu tuân thủ) — cùng với EPCIS để ghi lại các sự kiện trong chuỗi cung ứng (sản xuất, đóng gói, vận chuyển, giao nhận), chính là lớp hạ tầng mà cả nghị định Việt Nam lẫn ESPR của EU đều tương thích về mặt kỹ thuật. Nếu bạn thiết kế hộ chiếu số của mình trên nền GS1 Digital Link/EPCIS ngay từ đầu thay vì một mã QR trỏ tới một trang tĩnh tự chế, sau này mở rộng thêm các trường dữ liệu môi trường để đạt chuẩn DPP sẽ là việc thêm trường, không phải đập đi xây lại.

Câu hỏi trách nhiệm dữ liệu ít ai đặt ra

Một điều nữa gần như không thấy bài viết nào đề cập: ai chịu trách nhiệm khi dữ liệu trong hộ chiếu số sai — do nhà sản xuất khai gian, do bên vận chuyển cập nhật nhầm, hay do lỗi hệ thống? Luật Việt Nam hiện quy trách nhiệm về tổ chức, cá nhân sản xuất kinh doanh sản phẩm đó, tương tự cách quy trách nhiệm ghi nhãn hàng hóa. Với DPP, EU đi xa hơn bằng cơ chế Declaration of Conformity gắn trực tiếp vào hộ chiếu, nghĩa là sai lệch dữ liệu có thể kéo theo trách nhiệm pháp lý về hợp quy, không chỉ là lỗi ghi nhãn. Nếu chuỗi cung ứng của bạn có nhiều bên tham gia — nhà cung cấp nguyên liệu, xưởng gia công, đơn vị đóng gói — càng cần một hệ thống ghi log có dấu vết ai nhập liệu gì, lúc nào, thay vì một file Excel dùng chung mà ai sửa cũng được.

Doanh nghiệp sản xuất nên chuẩn bị gì từ bây giờ

Với hàng chỉ tiêu thụ nội địa và không thuộc nhóm rủi ro cao, việc làm hộ chiếu số hiện vẫn ở mức khuyến khích, có thể triển khai từ từ theo tốc độ chuyển đổi số của doanh nghiệp. Nhưng với hàng xuất khẩu, đặc biệt sang châu Âu, dệt may, điện tử, đồ gỗ nội thất, pin và linh kiện — những ngành nằm trong đợt áp dụng ESPR sớm — thì việc chờ đến khi có văn bản bắt buộc mới bắt tay làm là quá muộn, vì xây dữ liệu vòng đời sản phẩm, đo dấu chân carbon, đánh giá khả năng sửa chữa không phải việc làm trong một tháng.

Tôi thường gợi ý khách hàng ba việc làm trước, bất kể ngành nào: một là gắn mã định danh duy nhất cho từng lô sản phẩm ngay từ khâu sản xuất, dùng chuẩn GS1 thay vì tự đặt mã nội bộ, để sau này liên thông được cả với hệ thống trong nước lẫn đối tác quốc tế. Hai là bắt đầu ghi lại dữ liệu chuỗi cung ứng theo dạng sự kiện (ai làm gì, ở đâu, khi nào) thay vì chỉ lưu thông tin tĩnh về sản phẩm, vì cả truy xuất nguồn gốc kiểu Việt Nam lẫn DPP kiểu EU đều cần lịch sử sự kiện, không chỉ cần một bảng thông tin tĩnh. Ba là với hàng xuất khẩu, chủ động thu thập thêm dữ liệu về thành phần vật liệu và khả năng tái chế ngay cả khi luật trong nước chưa yêu cầu, vì đây chính là phần dữ liệu tốn thời gian nhất để bổ sung về sau.

Một ví dụ để dễ hình dung

Một doanh nghiệp thủy sản xuất khẩu tôi biết ở Cà Mau đã làm hộ chiếu số cho tôm xuất khẩu từ trước khi luật sửa đổi có hiệu lực, ban đầu chỉ để phục vụ yêu cầu truy xuất của một vài thị trường khó tính. Mã QR trên bao bì cho biết vùng nuôi, ngày thu hoạch, cơ sở chế biến, kết quả kiểm định. Khi đối tác Hà Lan sau này hỏi thêm về carbon footprint của lô hàng để chuẩn bị cho DPP thủy sản chế biến trong tương lai, họ chỉ cần bổ sung thêm vài trường dữ liệu vào hệ thống sẵn có — vì mã định danh, cấu trúc sự kiện chuỗi cung ứng đã theo chuẩn GS1/EPCIS từ đầu. Nếu ban đầu họ làm một hệ thống mã QR tự chế trỏ tới một trang giới thiệu tĩnh, phần việc bổ sung này gần như phải làm lại từ đầu.

Kết luận

Hộ chiếu số theo Luật Chất lượng sản phẩm, hàng hóa sửa đổi và Digital Product Passport của EU không phải hai tên gọi của cùng một nghĩa vụ, mà là hai bộ yêu cầu chồng lấn một phần, xuất phát từ hai mục tiêu chính sách khác nhau — một cái để chống hàng giả và minh bạch nguồn gốc, một cái để phục vụ kinh tế tuần hoàn. Với doanh nghiệp chỉ bán nội địa, làm đúng khung luật Việt Nam là đủ trong giai đoạn này. Nhưng với doanh nghiệp có tham vọng xuất khẩu sang châu Âu, cách khôn ngoan là xây hệ thống dữ liệu sản phẩm trên một nền tảng đủ mở để mở rộng thêm các trường dữ liệu môi trường sau này, thay vì coi hộ chiếu số trong nước là đích đến cuối cùng rồi phải làm lại khi DPP trở thành bắt buộc với ngành hàng của mình.