Mã DataMatrix/QR Trên Bao Bì Thuốc Tại Việt Nam: Bắt Buộc Hay Không, Và Doanh Nghiệp Dược Cần Chuẩn Bị Gì

Chưa bắt buộc mọi hộp thuốc phải in DataMatrix: Thông tư 23/2023/TT-BYT chỉ cho phép bổ sung mã vạch, QR, DataMatrix lên nhãn thuốc mà không cần thông báo. Nhưng Nghị định 37/2026/NĐ-CP đã bắt buộc truy xuất nguồn gốc với hàng hóa rủi ro cao theo lộ trình từng bộ, nên doanh nghiệp dược nên chuẩn bị GTIN, serialization và dữ liệu chuẩn GS1 ngay.

Vì sao câu hỏi này đang khiến nhiều doanh nghiệp dược lúng túng

Câu hỏi hay gặp nhất của các nhà sản xuất thuốc rất cụ thể: "Bên mình có bắt buộc phải in mã DataMatrix lên hộp thuốc không, hay chỉ QR bình thường là đủ?". Câu hỏi tưởng đơn giản nhưng khi tra cứu thì thấy ngay vấn đề: phần lớn bài viết chỉ tóm tắt lại đúng một điều — Thông tư 23/2023/TT-BYT có hiệu lực từ 15/01/2024 cho phép bổ sung mã vạch, QR, DataMatrix lên nhãn thuốc. Hết. Ít ai nói rõ "cho phép" khác "bắt buộc" ở chỗ nào, ít ai giải thích DataMatrix theo chuẩn GS1 khác gì với một mã QR tự chế, và gần như không ai nhắc tới vế thứ hai của câu chuyện: khung pháp lý về mã số, mã vạch và truy xuất nguồn gốc do Bộ Khoa học và Công nghệ chủ trì, nay đã được nâng lên thành Nghị định 37/2026/NĐ-CP.

Bài viết này đi thẳng vào phần mà các trang tra cứu luật thường bỏ qua: bức tranh pháp lý đầy đủ, và một checklist chuẩn bị thực tế cho một doanh nghiệp dược — không phải để đối phó thanh tra, mà để không phải đập đi làm lại dây chuyền đóng gói vài năm sau.

Thông tư 23/2023/TT-BYT nói gì, và điều quan trọng nhất bị bỏ sót

Thông tư 23/2023/TT-BYT (ban hành ngày 30/11/2023, hiệu lực từ 15/01/2024) sửa đổi, bổ sung Thông tư 01/2018/TT-BYT về ghi nhãn thuốc, nguyên liệu làm thuốc và tờ hướng dẫn sử dụng thuốc. Điểm mới đáng chú ý nhất là điểm g được bổ sung vào khoản 2 Điều 35 của Thông tư 01/2018/TT-BYT: cơ sở được bổ sung mã vạch (Bar code), mã QR, mã DataMatrix Code (DMC) hoặc loại mã phù hợp trên nhãn thuốc "để thực hiện truy xuất hướng dẫn sử dụng điện tử của thuốc và thực hiện ghi nhãn hàng hóa bằng phương thức điện tử theo lộ trình của Bộ trưởng Bộ Y tế" — thuộc nhóm thay đổi không cần thông báo và không cần phê duyệt của cơ quan có thẩm quyền.

Từ khóa cần bám vào là "được bổ sung". Đây không phải là một quy định bắt buộc theo nghĩa mọi lô thuốc ra thị trường từ một ngày cụ thể phải có DataMatrix, giống như cách EU áp Delegated Regulation (EU) 2016/161 (áp dụng từ 09/02/2019, yêu cầu mã định danh duy nhất và thiết bị chống can thiệp trên bao bì ngoài) hay Mỹ áp Đạo luật DSCSA. Thông tư 23 chỉ mở đường pháp lý: doanh nghiệp muốn làm thì được làm, không cần xin phép trước, nhưng phải tự chịu trách nhiệm về tính chính xác của thông tin gắn trên đó. Nói cách khác, đây là một cánh cửa mở, không phải một cái hạn chót.

Nhiều doanh nghiệp đọc tin tức rồi hiểu nhầm thành "phải làm ngay", trong khi nhiều doanh nghiệp khác lại hiểu thành "chưa bắt buộc thì thôi để sau" — cả hai cách hiểu đều thiếu một nửa bức tranh.

Vòng pháp lý thứ hai ít ai nhắc tới: truy xuất nguồn gốc theo Nghị định 37/2026/NĐ-CP

Đây là phần quyết định câu trả lời thật sự cho câu hỏi "cần chuẩn bị gì".

Song song với quy định ghi nhãn thuốc của Bộ Y tế, Bộ Khoa học và Công nghệ là cơ quan quản lý nhà nước về mã số, mã vạch và truy xuất nguồn gốc. Thông tư 02/2024/TT-BKHCN (ban hành 28/3/2024, hiệu lực từ 01/6/2024) đã quy định hệ thống truy xuất nguồn gốc sản phẩm, hàng hóa bảo đảm kết nối, chia sẻ dữ liệu. Đến năm 2026, khung này được nâng lên cấp nghị định: Nghị định 37/2026/NĐ-CP (ban hành và có hiệu lực từ 23/01/2026, hướng dẫn Luật Chất lượng sản phẩm, hàng hóa đã sửa đổi bởi Luật số 78/2025/QH15) dành hẳn một mục cho ứng dụng mã số, mã vạch trong quản lý chất lượng và truy xuất nguồn gốc. Các điểm doanh nghiệp dược cần nắm:

• Bắt buộc theo mức rủi ro (Điều 22): với sản phẩm, hàng hóa có mức độ rủi ro cao, truy xuất nguồn gốc là bắt buộc. Các bộ quản lý ngành ban hành danh mục hàng hóa rủi ro cao và lộ trình bắt buộc áp dụng truy xuất nguồn gốc, công bố công khai và kết nối với Cổng thông tin truy xuất nguồn gốc sản phẩm, hàng hóa quốc gia. Với thuốc, đơn vị ban hành danh mục và lộ trình là Bộ Y tế — đến thời điểm viết bài, chúng tôi chưa xác minh được một danh mục và mốc bắt buộc riêng cho thuốc, nên doanh nghiệp cần theo dõi trực tiếp công bố của Bộ Y tế.
• Chuẩn mã và dữ liệu (Điều 23): mã truy vết sản phẩm, mã truy vết địa điểm phải phù hợp TCVN 13274; vật mang dữ liệu phải phù hợp TCVN 13275; dữ liệu truy xuất gồm tên, hình ảnh sản phẩm, đơn vị sản xuất kinh doanh và địa chỉ, xuất xứ, các sự kiện theo dõi trọng yếu theo TCVN 12850 hoặc tiêu chuẩn truy xuất toàn cầu của GS1, số lô/mẻ hoặc số sê-ri (nếu có), hạn sử dụng (nếu có) và các tiêu chuẩn áp dụng.
• Kết nối cổng quốc gia (Điều 23, 26): hàng hóa rủi ro cao thuộc danh mục bắt buộc phải kết nối, chia sẻ dữ liệu với Cổng thông tin truy xuất nguồn gốc quốc gia và cập nhật kịp thời theo các sự kiện trọng yếu; các trường hợp khác được đăng ký kết nối tự nguyện.
• Mã số mã vạch GS1 (Điều 28): nếu dùng mã theo chuẩn GS1 với tiền tố Việt Nam, doanh nghiệp đăng ký sử dụng trên Cổng dịch vụ công quốc gia, khai báo thông tin sản phẩm (tối thiểu GTIN, tên, mô tả, nhóm sản phẩm, tên doanh nghiệp, thị trường mục tiêu, hình ảnh) vào cơ sở dữ liệu do Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia quản lý trước khi đưa sản phẩm vào lưu thông, và chịu trách nhiệm về tính đơn nhất của mã.

Lưu ý thêm: phần ghi nhãn của Nghị định 37/2026/NĐ-CP (thay Nghị định 43/2017/NĐ-CP và 111/2021/NĐ-CP) có quy định chung về nhãn điện tử, nhưng Điều 35 của nghị định nêu rõ trường hợp pháp luật chuyên ngành có quy định khác thì áp dụng pháp luật chuyên ngành — với thuốc, đó vẫn là Thông tư 01/2018/TT-BYT đã được sửa đổi. Bộ Y tế cũng có thể tiếp tục sửa đổi quy định ghi nhãn thuốc cho khớp khung mới, nên cần kiểm tra văn bản hiện hành trước khi chốt thiết kế bao bì.

Điểm mấu chốt: các văn bản này không thay thế nhau, mà cộng dồn trách nhiệm lên vai doanh nghiệp dược. Thông tư 23/2023/TT-BYT cho phép về mặt ghi nhãn — tức là bạn được in mã lên bao bì. Nhưng để mã đó có ý nghĩa (tra cứu ra dữ liệu lô, hạn dùng, chuỗi cung ứng thật) và để dữ liệu đó kết nối được với cổng truy xuất quốc gia khi Bộ Y tế công bố lộ trình, doanh nghiệp cần một hệ thống serialization thật sự phía sau tấm nhãn, chứ không chỉ một hình ảnh QR trang trí. Thời điểm bắt buộc cụ thể cho thuốc chưa được công bố, nhưng thời gian đầu tư dây chuyền in mã thường dài hơn khoảng đệm giữa lúc công bố lộ trình và lúc áp dụng.

GS1 DataMatrix không phải là QR thường — hiểu sai chỗ này sẽ phải làm lại từ đầu

Đây là chỗ nhiều doanh nghiệp dược dễ vấp nhất, kể cả những đơn vị đã chủ động triển khai từ sớm: nhầm giữa một mã QR tự tạo (chỉ chứa một đường link) với mã DataMatrix theo chuẩn GS1 dùng cho dược phẩm.

GS1 DataMatrix là một ma trận 2D thường được dùng để mã hóa bốn nhóm dữ liệu theo chuẩn GS1, gọi là Application Identifier (AI): AI 01 là mã số thương phẩm toàn cầu (GTIN) — mỗi quy cách đóng gói, mỗi hàm lượng thuốc phải có một mã số riêng, không dùng chung; AI 17 là hạn sử dụng; AI 10 là số lô sản xuất; AI 21 là số serial duy nhất cho từng đơn vị đóng gói. Bốn nhóm dữ liệu này, mã hóa đúng chuẩn, chính là thứ cho phép một máy quét ở nhà thuốc, ở kho phân phối, hay ở cơ quan quản lý dược, đọc ra ngay: đây là thuốc gì, hãng nào, lô nào, còn hạn không, và — quan trọng nhất với bài toán chống hàng giả — mã này đã từng được quét bán ra chưa.

Mô hình mã định danh duy nhất trên từng hộp thuốc đã được nhiều thị trường lớn áp dụng, điển hình là EU (Delegated Regulation 2016/161) và Mỹ (DSCSA). Điều đó có nghĩa là nếu doanh nghiệp có tham vọng xuất khẩu, hoặc chỉ đơn giản là muốn dữ liệu tương thích lâu dài với cổng truy xuất nguồn gốc quốc gia (Nghị định 37/2026/NĐ-CP viện dẫn trực tiếp tiêu chuẩn truy xuất toàn cầu của GS1), thì một mã QR đơn giản chỉ trỏ về website bây giờ là khoản đầu tư sẽ phải làm lại. Ngược lại, làm đúng chuẩn GS1 DataMatrix ngay từ đầu, phần "ghi nhãn điện tử" theo Thông tư 23 và phần dữ liệu truy xuất theo Nghị định 37/2026/NĐ-CP gần như tự động khớp với nhau, vì cùng dùng chung một bộ dữ liệu gốc.

Checklist chuẩn bị thực tế cho doanh nghiệp dược

Dưới đây là những việc một doanh nghiệp sản xuất hoặc phân phối thuốc nên làm theo thứ tự, thay vì đợi văn bản bắt buộc chính thức mới bắt đầu.

Bước 1: Đăng ký mã doanh nghiệp GS1 và cấp GTIN cho từng quy cách đóng gói

Việc đầu tiên, và rẻ nhất, là đăng ký quyền sử dụng mã số, mã vạch GS1 (thủ tục trên Cổng dịch vụ công quốc gia) nếu chưa có. Sau đó, việc quan trọng hơn nhiều so với đăng ký là gán GTIN đúng cấp độ: một hộp 10 vỉ khác một vỉ lẻ, một hàm lượng 500mg khác 250mg — mỗi biến thể đóng gói cần một GTIN riêng, không được dùng chung một mã cho nhiều quy cách chỉ để tiết kiệm chi phí đăng ký. Đây là lỗi dữ liệu phổ biến ở các nhà sản xuất vừa và nhỏ.

Bước 2: Đầu tư dây chuyền in mã và hệ thống kiểm tra chất lượng mã

In được DataMatrix không khó, nhưng in được một DataMatrix mà máy quét ở nhà thuốc đọc ra ngay lần đầu tiên lại là chuyện khác. Cần máy in mã tốc độ cao (thường là in phun hoặc laser tùy vật liệu bao bì) tích hợp ngay trên dây chuyền đóng gói, cộng với một trạm kiểm tra chất lượng mã bằng camera (vision inspection) để loại ngay những đơn vị in lỗi, mờ, hoặc sai dữ liệu trước khi ra khỏi xưởng. Bỏ qua bước kiểm tra này là nguyên nhân phổ biến khiến mã "có in nhưng không quét được" ngoài thị trường.

Bước 3: Serialization và aggregation — đừng chỉ dừng ở hộp thuốc

Serialization đúng nghĩa không dừng ở việc gắn một số serial cho mỗi hộp thuốc bán lẻ. Nó còn cần bước aggregation: liên kết mã serial của từng hộp với mã của thùng carton chứa nó, và mã của thùng với mã của pallet vận chuyển. Thiếu bước này, khi có sự cố thu hồi, doanh nghiệp sẽ phải lần từng hộp thay vì chỉ cần biết lô hàng nằm trong những thùng, những pallet nào — chênh lệch giữa thu hồi trong vài giờ và thu hồi trong vài tuần.

Bước 4: Kết nối hệ thống truy xuất nguồn gốc và tờ hướng dẫn sử dụng điện tử

Dữ liệu serialization cần đổ về một nền tảng truy xuất nguồn gốc có khả năng: lưu vết từng lần quét theo chuỗi cung ứng, phát hiện mã bị quét trùng (dấu hiệu hàng giả hoặc hàng tuồn), và xuất dữ liệu đủ các trường mà Nghị định 37/2026/NĐ-CP yêu cầu để kết nối lên Cổng thông tin truy xuất nguồn gốc quốc gia khi thuốc thuộc danh mục bắt buộc hoặc khi doanh nghiệp đăng ký kết nối tự nguyện. Đây cũng là nơi tờ hướng dẫn sử dụng điện tử được gắn vào — người dùng quét mã trên hộp thuốc là ra ngay bản hướng dẫn mới nhất, thay vì tờ giấy gấp nhỏ dễ thất lạc, sai bản.

Bước 5: Kiểm tra thực tế khả năng đọc mã tại nhà thuốc, quầy thuốc bệnh viện

Một thực tế ít doanh nghiệp lường trước: không ít điểm bán vẫn có thể dùng máy quét mã vạch 1D đời cũ, không đọc được DataMatrix 2D. Trước khi triển khai đại trà, nên khảo sát nhanh một số điểm bán và nhà phân phối chính để biết tỷ lệ máy quét cần nâng cấp, tránh tình trạng in mã chuẩn nhưng chuỗi phân phối không đọc được.

Bước 6: Đào tạo nội bộ và truyền thông với nhà phân phối

Bộ phận QA, kho vận, và đội bán hàng cần hiểu rõ sự khác biệt giữa mã cũ và mã mới trong giai đoạn chuyển tiếp, vì hai loại bao bì (có và chưa có DataMatrix) sẽ tồn tại song song trên kệ một thời gian. Thiếu truyền thông nội bộ dễ dẫn tới nhầm lẫn khi xử lý khiếu nại hoặc thu hồi.

Những sai lầm phổ biến

Ba lỗi hay gặp nhất: một là nhầm "được phép" thành "đã bắt buộc" rồi vội vàng chọn giải pháp rẻ nhất, chắp vá, không theo chuẩn GS1, để rồi phải làm lại khi cổng truy xuất quốc gia yêu cầu định dạng dữ liệu chuẩn. Hai là dùng số tự đặt thay vì GTIN thật đăng ký theo chuẩn GS1 — nhìn giống hệt một mã DataMatrix hợp lệ nhưng vô nghĩa với bất kỳ hệ thống đối tác hay quốc tế nào; Nghị định 37/2026/NĐ-CP còn yêu cầu mã không theo chuẩn GS1 không được trùng lặp hoặc gây nhầm lẫn với mã GS1. Ba là tính toán chi phí và thời gian quá muộn — dây chuyền in mã, kiểm tra chất lượng, và tích hợp phần mềm serialization thường cần nhiều tháng để chạy ổn định, chưa kể thời gian đàm phán với nhà cung cấp thiết bị, phần lớn trong đó nhập khẩu và có thời gian giao hàng dài.

Chi phí và thời gian — nên bắt đầu từ bao giờ

Không có một con số chung cho mọi nhà máy, vì chi phí phụ thuộc vào số dây chuyền đóng gói hiện có, tốc độ sản xuất, và việc có sẵn hạ tầng công nghệ thông tin nội bộ hay không. Khoản đầu tư lớn nhất thường không nằm ở phần mềm mà ở phần cứng: máy in mã tốc độ cao tương thích với vật liệu bao bì dược (thường là màng nhôm, giấy tráng), camera kiểm tra chất lượng in, và chi phí tích hợp với hệ thống MES/ERP hiện có. Vì phần cứng có thời gian đặt hàng và lắp đặt dài, doanh nghiệp nào chờ đến khi Bộ Y tế công bố danh mục và lộ trình bắt buộc mới bắt đầu tìm nhà cung cấp gần như chắc chắn sẽ phải chạy đua với thời gian.

Lời khuyên hành động

Điều doanh nghiệp dược nên mang đi sau bài này không phải là nỗi lo bị phạt, mà là một góc nhìn thực dụng hơn: Thông tư 23/2023/TT-BYT hôm nay chỉ mở cửa, nhưng Nghị định 37/2026/NĐ-CP đã đặt sẵn khung để truy xuất nguồn gốc trở thành bắt buộc với hàng hóa rủi ro cao theo lộ trình của từng bộ. Doanh nghiệp nào chọn làm đúng chuẩn GS1 DataMatrix ngay từ bây giờ — thay vì một mã QR tạm bợ để "có cho có" — sẽ tiết kiệm được một lần đầu tư lại toàn bộ dây chuyền, đồng thời có sẵn dữ liệu sạch để kết nối bất kỳ nền tảng truy xuất nguồn gốc nào, kể cả khi yêu cầu pháp lý siết chặt hơn trong tương lai.

Câu hỏi thường gặp

In DataMatrix lên hộp thuốc tại Việt Nam đã bắt buộc chưa?

Theo các văn bản chúng tôi đối chiếu được đến tháng 10/2026, chưa có quy định buộc mọi hộp thuốc phải in DataMatrix. Thông tư 23/2023/TT-BYT (hiệu lực 15/01/2024) cho phép bổ sung mã vạch, QR, DataMatrix lên nhãn thuốc mà không cần thông báo hay phê duyệt.

Thêm mã QR hoặc DataMatrix lên nhãn thuốc có phải xin phép Bộ Y tế không?

Không. Điểm g khoản 2 Điều 35 Thông tư 01/2018/TT-BYT (bổ sung bởi Thông tư 23/2023/TT-BYT) xếp việc bổ sung các loại mã này vào nhóm thay đổi không cần thông báo và không cần phê duyệt, nhưng doanh nghiệp tự chịu trách nhiệm về tính chính xác của thông tin.

Nghị định 37/2026/NĐ-CP ảnh hưởng gì đến doanh nghiệp dược?

Nghị định có hiệu lực từ 23/01/2026, quy định truy xuất nguồn gốc là bắt buộc với hàng hóa rủi ro cao theo danh mục và lộ trình do bộ quản lý ngành công bố, kèm chuẩn mã (TCVN 13274, TCVN 13275) và các trường dữ liệu tối thiểu. Với thuốc, doanh nghiệp cần theo dõi danh mục và lộ trình do Bộ Y tế ban hành.

Mã QR thường và GS1 DataMatrix khác nhau thế nào?

Mã QR tự tạo thường chỉ chứa một đường link, còn GS1 DataMatrix mã hóa dữ liệu có cấu trúc như GTIN (AI 01), hạn dùng (AI 17), số lô (AI 10) và số serial (AI 21). Nhờ vậy máy quét ở mọi khâu đọc được ngay thuốc gì, lô nào, còn hạn không và mã đã từng bị quét bán chưa.

Thông tư 02/2024/TT-BKHCN có hiệu lực từ ngày nào?

Thông tư 02/2024/TT-BKHCN về quản lý truy xuất nguồn gốc sản phẩm, hàng hóa được ban hành ngày 28/3/2024 và có hiệu lực từ 01/6/2024. Từ năm 2026, khung truy xuất nguồn gốc ở cấp nghị định là Nghị định 37/2026/NĐ-CP.

Nguồn tham khảo

• Thông tư 23/2023/TT-BYT sửa đổi Thông tư 01/2018/TT-BYT về ghi nhãn thuốc (LuatVietnam)
• Thông tư 23/2023/TT-BYT — Cổng dịch vụ công Nghệ An
• Quy định mới về truy xuất nguồn gốc sản phẩm, hàng hóa — Thông tư 02/2024/TT-BKHCN (Tạp chí Công Thương)
• Nghị định 37/2026/NĐ-CP hướng dẫn Luật Chất lượng sản phẩm, hàng hóa — toàn văn
• Nghị định 37/2026/NĐ-CP — Điều 22: Nguyên tắc thực hiện truy xuất nguồn gốc
• Nghị định 37/2026/NĐ-CP — Điều 97: Hiệu lực thi hành
• European Commission — Falsified medicines, Delegated Regulation (EU) 2016/161
• U.S. FDA — Drug Supply Chain Security Act (DSCSA)