Vì sao câu hỏi này đang khiến nhiều doanh nghiệp dược lúng túng
Cách đây không lâu, một doanh nghiệp sản xuất thuốc generic ở khu vực phía Nam nhắn hỏi tôi một câu rất cụ thể: "Bên mình có bắt buộc phải in mã DataMatrix lên hộp thuốc từ năm sau không, hay chỉ QR bình thường là đủ?". Câu hỏi tưởng đơn giản nhưng khi tra cứu thì thấy ngay vấn đề: hầu hết bài viết đang xếp hạng cao trên Google chỉ tóm tắt lại đúng một điều — Thông tư 23/2023/TT-BYT có hiệu lực từ 15/1/2024 cho phép bổ sung mã vạch, QR, DataMatrix lên nhãn thuốc. Hết. Không ai nói rõ "cho phép" khác "bắt buộc" ở chỗ nào, không ai giải thích DataMatrix theo chuẩn GS1 khác gì với một mã QR tự chế, và gần như không ai nhắc tới vế thứ hai của câu chuyện: một văn bản khác, ở một bộ khác, đang âm thầm biến việc này thành chuyện sống còn trước năm 2027.
Bài viết này sẽ đi thẳng vào phần mà các trang tra cứu luật thường bỏ qua: bức tranh pháp lý đầy đủ, và một checklist chuẩn bị thực tế cho một doanh nghiệp dược — không phải để đối phó thanh tra, mà để không phải đập đi làm lại dây chuyền đóng gói sau hai năm nữa.
Thông tư 23/2023/TT-BYT nói gì, và điều quan trọng nhất bị bỏ sót
Thông tư 23/2023/TT-BYT sửa đổi, bổ sung Thông tư 01/2018/TT-BYT về ghi nhãn thuốc, nguyên liệu làm thuốc và tờ hướng dẫn sử dụng. Điểm mới đáng chú ý nhất là điểm g được bổ sung vào Điều 35: cơ sở đăng ký, sản xuất, kinh doanh thuốc được phép bổ sung mã vạch (bar code), mã QR, mã DataMatrix (DMC) hoặc mã phù hợp khác lên nhãn thuốc, nhằm phục vụ việc tra cứu tờ hướng dẫn sử dụng điện tử và thực hiện ghi nhãn điện tử theo lộ trình do Bộ Y tế quy định.
Từ khóa cần bám vào là "được phép". Đây không phải là một quy định bắt buộc theo nghĩa mọi lô thuốc ra thị trường từ một ngày cụ thể phải có DataMatrix, giống như cách EU áp Delegated Regulation 2016/161 hay Mỹ áp DSCSA. Thông tư 23 chỉ mở đường pháp lý: doanh nghiệp muốn làm thì được làm, không cần xin phép trước, không cần thẩm định nội dung mã, nhưng phải tự chịu trách nhiệm về tính chính xác của thông tin gắn trên đó. Nói cách khác, đây là một cánh cửa mở, không phải một cái hạn chót.
Nhiều doanh nghiệp đọc tin tức rồi hiểu nhầm thành "phải làm ngay", trong khi nhiều doanh nghiệp khác lại hiểu thành "chưa bắt buộc thì thôi để sau" — cả hai cách hiểu đều thiếu một nửa bức tranh.
Vòng pháp lý thứ hai ít ai nhắc tới: hệ thống truy xuất nguồn gốc quốc gia
Đây là phần mà gần như không trang nào đang xếp hạng cho từ khóa này đề cập, và cũng là phần quyết định câu trả lời thật sự cho câu hỏi "cần chuẩn bị gì".
Song song với Thông tư 23 của Bộ Y tế, Bộ Khoa học và Công nghệ (nay là Bộ Khoa học, Công nghệ và Môi trường sau hợp nhất) đang vận hành một đề án riêng: hệ thống truy xuất nguồn gốc sản phẩm, hàng hóa quốc gia, với văn bản hướng dẫn kỹ thuật ban hành từ tháng 4/2023 và Thông tư 02/2024/TT-BKHCN có hiệu lực từ 28/3/2024. Lộ trình đặt ra giai đoạn tự nguyện kết nối, khai báo dữ liệu truy xuất từ 1/5/2023, tiến tới hoàn thiện việc kết nối, công khai thông tin trên cổng dữ liệu truy xuất nguồn gốc quốc gia trước mốc 31/12/2026 đối với các nhóm sản phẩm ưu tiên — trong đó dược phẩm, đặc biệt là sinh phẩm, thuốc mới và thuốc chứa dược chất thuộc danh mục kiểm soát đặc biệt, luôn nằm trong nhóm được nhắc tên đầu tiên.
Điểm mấu chốt: hai văn bản này không thay thế nhau, mà cộng dồn trách nhiệm lên vai doanh nghiệp dược. Thông tư 23/2023/TT-BYT cho phép về mặt ghi nhãn — tức là bạn được in mã lên bao bì. Nhưng để mã đó có ý nghĩa (tra cứu ra dữ liệu lô, hạn dùng, chuỗi cung ứng thật) và để dữ liệu đó khai báo được lên hệ thống quốc gia theo Thông tư 02/2024/TT-BKHCN, doanh nghiệp buộc phải có một hệ thống serialization thật sự phía sau tấm nhãn, chứ không chỉ một hình ảnh QR trang trí. Nói thẳng: cái mà thị trường gọi là "chưa bắt buộc" thực chất chỉ còn cách ngưỡng bắt buộc khoảng hai năm, và hai năm là khoảng thời gian rất ngắn nếu tính luôn thời gian đầu tư dây chuyền.
GS1 DataMatrix không phải là QR thường — hiểu sai chỗ này sẽ phải làm lại từ đầu
Đây là chỗ tôi thấy nhiều doanh nghiệp dược Việt Nam vấp phải nhất, kể cả những đơn vị đã chủ động triển khai từ sớm: nhầm giữa một mã QR tự tạo (chỉ chứa một đường link) với mã DataMatrix theo chuẩn GS1 dùng cho dược phẩm toàn cầu.
GS1 DataMatrix là một ma trận 2D được thiết kế để nhét vừa bốn nhóm dữ liệu bắt buộc theo chuẩn quốc tế, gọi là Application Identifier: AI 01 là mã định danh thương phẩm toàn cầu (GTIN) — tương đương với việc mỗi quy cách đóng gói, mỗi hàm lượng thuốc phải có một mã số riêng, không dùng chung; AI 17 là hạn sử dụng; AI 10 là số lô sản xuất; AI 21 là số serial duy nhất cho từng đơn vị đóng gói nhỏ nhất. Bốn nhóm dữ liệu này, mã hóa đúng chuẩn, chính là thứ cho phép một máy quét ở nhà thuốc, ở kho phân phối, hay ở cơ quan quản lý dược, đọc ra ngay lập tức: đây là thuốc gì, hãng nào, lô nào, còn hạn không, và — quan trọng nhất với bài toán chống hàng giả — mã này đã từng được quét bán ra chưa.
Chuẩn này hiện đang được hơn 75 quốc gia áp dụng cho ngành dược, từ EU (Delegated Regulation 2016/161), Mỹ (DSCSA), Nga, Ả Rập Saudi, đến Ấn Độ. Điều đó có nghĩa là nếu doanh nghiệp của bạn có tham vọng xuất khẩu, hoặc chỉ đơn giản là muốn hệ thống dữ liệu tương thích lâu dài với cổng truy xuất nguồn gốc quốc gia (vốn cũng được xây trên nền tảng khuyến nghị GS1), thì đầu tư một mã QR đơn giản chỉ trỏ về website bây giờ là một khoản đầu tư sẽ phải làm lại. Ngược lại, làm đúng chuẩn GS1 DataMatrix ngay từ đầu, phần "ghi nhãn điện tử" theo Thông tư 23 và phần "khai báo truy xuất" theo Thông tư 02/2024/TT-BKHCN gần như tự động khớp với nhau, vì cùng dùng chung một bộ dữ liệu gốc.
Checklist chuẩn bị thực tế cho doanh nghiệp dược
Dưới đây là những việc tôi khuyên một doanh nghiệp sản xuất hoặc phân phối thuốc nên làm theo thứ tự, thay vì đợi văn bản bắt buộc chính thức mới bắt đầu.
Bước 1: Đăng ký mã doanh nghiệp GS1 và cấp GTIN cho từng quy cách đóng gói
Việc đầu tiên, và rẻ nhất, là đăng ký mã doanh nghiệp GS1 tại GS1 Việt Nam (thuộc Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia) nếu chưa có. Sau đó, việc quan trọng hơn nhiều so với đăng ký là gán GTIN đúng cấp độ: một hộp 10 vỉ khác một vỉ lẻ, một hàm lượng 500mg khác 250mg — mỗi biến thể đóng gói cần một GTIN riêng, không được dùng chung một mã cho nhiều quy cách chỉ để tiết kiệm chi phí đăng ký. Đây là lỗi tôi gặp nhiều nhất khi rà lại dữ liệu của các nhà sản xuất vừa và nhỏ.
Bước 2: Đầu tư dây chuyền in mã và hệ thống kiểm tra chất lượng mã
In được DataMatrix không khó, nhưng in được một DataMatrix mà máy quét ở nhà thuốc đọc ra ngay lần đầu tiên lại là chuyện khác. Cần máy in mã tốc độ cao (thường là in phun hoặc laser tùy vật liệu bao bì) tích hợp ngay trên dây chuyền đóng gói, cộng với một trạm kiểm tra chất lượng mã bằng camera (vision inspection) để loại ngay những đơn vị in lỗi, mờ, hoặc sai dữ liệu trước khi ra khỏi xưởng. Bỏ qua bước kiểm tra này là nguyên nhân phổ biến nhất khiến mã "có in nhưng không quét được" ngoài thị trường.
Bước 3: Serialization và aggregation — đừng chỉ dừng ở hộp thuốc
Serialization đúng nghĩa không dừng ở việc gắn một số serial cho mỗi hộp thuốc bán lẻ. Nó còn cần bước aggregation: liên kết mã serial của từng hộp với mã của thùng carton chứa nó, và mã của thùng với mã của pallet vận chuyển. Thiếu bước này, khi có sự cố thu hồi, doanh nghiệp sẽ phải lần từng hộp thay vì chỉ cần biết lô hàng nằm trong những thùng, những pallet nào — chênh lệch giữa thu hồi trong vài giờ và thu hồi trong vài tuần.
Bước 4: Kết nối hệ thống truy xuất nguồn gốc và tờ hướng dẫn sử dụng điện tử
Dữ liệu serialization cần đổ về một nền tảng truy xuất nguồn gốc có khả năng: lưu vết từng lần quét theo chuỗi cung ứng, phát hiện mã bị quét trùng (dấu hiệu hàng giả hoặc hàng tuồn), và xuất dữ liệu tương thích để khai báo lên cổng thông tin truy xuất nguồn gốc quốc gia khi hệ thống này chính thức yêu cầu kết nối bắt buộc. Đây cũng là nơi tờ hướng dẫn sử dụng điện tử được gắn vào — người dùng quét mã trên hộp thuốc là ra ngay bản HDSD mới nhất, thay vì tờ giấy gấp nhỏ dễ thất lạc, sai bản.
Bước 5: Kiểm tra thực tế khả năng đọc mã tại nhà thuốc, quầy thuốc bệnh viện
Một thực tế ít doanh nghiệp lường trước: rất nhiều nhà thuốc đạt chuẩn GPP hiện vẫn dùng máy quét mã vạch 1D đời cũ, không đọc được DataMatrix 2D. Trước khi triển khai đại trà, nên khảo sát nhanh một số điểm bán và nhà phân phối chính để biết tỷ lệ máy quét cần nâng cấp, tránh tình trạng in mã chuẩn nhưng chuỗi phân phối không đọc được.
Bước 6: Đào tạo nội bộ và truyền thông với nhà phân phối
Bộ phận QA, kho vận, và đội bán hàng cần hiểu rõ sự khác biệt giữa mã cũ và mã mới trong giai đoạn chuyển tiếp, vì hai loại bao bì (có và chưa có DataMatrix) sẽ tồn tại song song trên kệ một thời gian. Thiếu truyền thông nội bộ dễ dẫn tới nhầm lẫn khi xử lý khiếu nại hoặc thu hồi.
Những sai lầm phổ biến tôi thấy lặp lại
Ba lỗi hay gặp nhất: một là nhầm "được phép" thành "đã bắt buộc" rồi vội vàng chọn giải pháp rẻ nhất, chắp vá, không theo chuẩn GS1, để rồi phải làm lại khi cổng truy xuất quốc gia yêu cầu định dạng dữ liệu chuẩn. Hai là dùng số tự đặt thay vì GTIN thật đăng ký qua GS1 — nhìn giống hệt một mã DataMatrix hợp lệ nhưng vô nghĩa với bất kỳ hệ thống đối tác hay quốc tế nào, vấn đề chỉ lộ ra khi doanh nghiệp cần xuất khẩu hoặc khi cơ quan quản lý đối chiếu dữ liệu. Ba là tính toán chi phí và thời gian quá muộn — dây chuyền in mã, kiểm tra chất lượng, và tích hợp phần mềm serialization thường mất từ sáu tháng đến hơn một năm để chạy ổn định, chưa kể thời gian đàm phán với nhà cung cấp thiết bị, phần lớn trong đó nhập khẩu và có thời gian giao hàng dài.
Chi phí và thời gian — nên bắt đầu từ bao giờ
Không có một con số chung cho mọi nhà máy, vì chi phí phụ thuộc vào số dây chuyền đóng gói hiện có, tốc độ sản xuất, và việc có sẵn hạ tầng công nghệ thông tin nội bộ hay không. Nhưng theo kinh nghiệm làm việc với các doanh nghiệp sản xuất trong lĩnh vực có yêu cầu truy xuất tương tự, khoản đầu tư lớn nhất thường không nằm ở phần mềm mà ở phần cứng: máy in mã tốc độ cao tương thích với vật liệu bao bì dược (thường là màng nhôm, giấy tráng), camera kiểm tra chất lượng in, và chi phí tích hợp với hệ thống MES/ERP hiện có. Vì phần cứng có thời gian đặt hàng và lắp đặt dài, doanh nghiệp nào chờ đến khi có văn bản bắt buộc chính thức mới bắt đầu tìm nhà cung cấp gần như chắc chắn sẽ chạy đua với thời gian ở giai đoạn cuối lộ trình 2026.
Lời khuyên hành động
Điều tôi muốn doanh nghiệp dược mang đi sau bài này không phải là nỗi lo bị phạt, mà là một góc nhìn thực dụng hơn: Thông tư 23/2023/TT-BYT hôm nay chỉ mở cửa, nhưng cánh cửa đó đang dẫn thẳng tới một ngưỡng bắt buộc gắn liền với hệ thống truy xuất nguồn gốc quốc gia trong vài năm tới. Doanh nghiệp nào chọn làm đúng chuẩn GS1 DataMatrix ngay từ bây giờ — thay vì một mã QR tạm bợ để "có cho có" — sẽ tiết kiệm được một lần đầu tư lại toàn bộ dây chuyền, đồng thời có sẵn dữ liệu sạch để kết nối bất kỳ nền tảng truy xuất nguồn gốc nào, kể cả khi yêu cầu pháp lý siết chặt hơn trong tương lai.
