Phóng viên Báo Công lý có nội dung phỏng vấn Luật sư Nguyễn Văn Đồng, Trưởng Văn phòng Luật sư Nhân Chính (Đoàn Luật sư TP Hà Nội) về việc ban hành Thông tư số 63/2026/TT-BCT về Cơ sở dữ liệu thực phẩm.

Phóng viên: Thưa luật sư, việc ban hành Thông tư số 63/2026/TT-BCT về Cơ sở dữ liệu thực phẩm có ý nghĩa như thế nào đối với công tác quản lý an toàn thực phẩm và minh bạch thông tin trong hoạt động sản xuất, kinh doanh?

Luật sư: Theo tôi điểm đáng chú ý nhất của Thông tư số 63/2026/TT-BCT là Bộ Công Thương đang chuyển từ cách tiếp cận quản lý chủ yếu dựa trên hồ sơ, giấy tờ và hoạt động kiểm tra tại từng thời điểm sang một mô hình quản lý dựa nhiều hơn trên dữ liệu, khả năng kết nối và truy xuất nguồn gốc. Thông tư được ban hành ngày 30/9/2026 và có hiệu lực từ ngày 15/11/2026, quy định tương đối toàn diện về việc tạo lập, quản lý, cập nhật, kết nối, chia sẻ và khai thác Cơ sở dữ liệu thực phẩm thuộc phạm vi quản lý của Bộ Công Thương. Mục tiêu không chỉ phục vụ quản lý an toàn thực phẩm mà còn phục vụ quản lý chất lượng sản phẩm, truy xuất nguồn gốc và công tác cảnh báo, thu hồi, xử lý thực phẩm không bảo đảm an toàn.

Nếu nhìn dưới góc độ quản lý nhà nước, đây là một bước tiến quan trọng bởi Cơ sở dữ liệu không chỉ chứa thông tin về doanh nghiệp hay sản phẩm. Theo Điều 6, hệ thống còn bao gồm dữ liệu về điều kiện bảo đảm an toàn thực phẩm, hồ sơ công bố sản phẩm; hoạt động kiểm tra, thanh tra, hậu kiểm; xử lý vi phạm; cảnh báo, thu hồi; tiêu chuẩn, quy chuẩn, chất lượng sản phẩm; dữ liệu truy xuất nguồn gốc và các dữ liệu báo cáo, thống kê phục vụ quản lý nhà nước. Điều này tạo ra một thay đổi rất đáng kể về phương thức quản lý. Trước đây, khi xảy ra một vụ việc liên quan đến thực phẩm không an toàn, cơ quan quản lý có thể phải thu thập thông tin từ nhiều chủ thể, nhiều khâu và nhiều loại hồ sơ khác nhau. Khi cơ sở dữ liệu được xây dựng và vận hành hiệu quả, thông tin có thể được liên kết theo sản phẩm, lô hàng, cơ sở sản xuất, nguyên liệu và các công đoạn trong chuỗi cung ứng. Như vậy, thời gian xác định nguồn gốc và phạm vi ảnh hưởng của một sản phẩm có nguy cơ mất an toàn có thể được rút ngắn đáng kể.

Đặc biệt, Thông tư đặt ra nguyên tắc truy xuất theo hướng nhận diện được các công đoạn trước và sau trong chuỗi cung ứng. Đây chính là nguyên tắc thường được gọi là “một bước trước - một bước sau”, nhằm bảo đảm khi cần thiết có thể xác định sản phẩm đến từ đâu và đã được chuyển đến đâu. Tôi cho rằng giá trị lớn nhất của cơ chế này nằm ở khả năng phản ứng nhanh khi có rủi ro. Ví dụ, nếu một lô nguyên liệu được xác định có nguy cơ gây mất an toàn, cơ quan quản lý và doanh nghiệp có thể nhanh chóng khoanh vùng sản phẩm, xác định lô hàng liên quan, nhà cung cấp, các đại lý hoặc nhà phân phối đã nhận hàng, số lượng đã bán và số lượng còn tồn. Thông tin từ đó giúp việc cảnh báo và thu hồi có mục tiêu hơn, thay vì phải áp dụng biện pháp quá rộng.

Cơ sở dữ liệu thực phẩm chứa nhiều lớp thông tin khác nhau. Có thông tin cần công khai vì lợi ích của người tiêu dùng; có thông tin chỉ phục vụ cơ quan quản lý; có thông tin có thể liên quan đến bí mật kinh doanh của doanh nghiệp; và trong một số trường hợp còn có thể xuất hiện dữ liệu cá nhân. Vì vậy, việc xây dựng cơ sở dữ liệu phải đi cùng với cơ chế phân loại quyền truy cập, mục đích sử dụng và phạm vi chia sẻ dữ liệu. Nói cách khác, mục tiêu cuối cùng không phải là “càng nhiều thông tin công khai càng tốt”, mà là “đúng thông tin, đúng đối tượng, đúng mục đích và đúng thẩm quyền”.

Phóng viên: Từ những quy định, doanh nghiệp có trách nhiệm gì trong việc cung cấp, cập nhật và bảo đảm tính chính xác của dữ liệu? Doanh nghiệp cần chuẩn bị như thế nào trước khi Thông tư có hiệu lực ngày 15/11/2026 để hạn chế rủi ro pháp lý?

Luật sư: Tôi cho rằng doanh nghiệp không nên nhìn Thông tư 63/2026/TT-BCT đơn thuần như một yêu cầu “cung cấp thêm dữ liệu cho cơ quan quản lý”. Bản chất của quy định này là đặt trách nhiệm quản trị dữ liệu truy xuất nguồn gốc trực tiếp lên cơ sở sản xuất, kinh doanh thực phẩm. Thông tư quy định cơ sở sản xuất, kinh doanh thực phẩm phải thiết lập, lưu trữ và cập nhật đầy đủ thông tin về sản phẩm, nguồn gốc, nguyên liệu, quy trình sản xuất, chế biến, kinh doanh để phục vụ truy xuất nguồn gốc; đồng thời phải bảo đảm đủ nguồn lực để hoạt động truy xuất được thực hiện hiệu quả. Đặc biệt, doanh nghiệp chịu trách nhiệm trước pháp luật về tính kịp thời, hợp pháp, trung thực và chính xác của dữ liệu lưu trữ. Đây là quy định mà doanh nghiệp cần đặc biệt quan tâm. Bởi lẽ, trước đây doanh nghiệp có thể có tâm lý coi hồ sơ truy xuất nguồn gốc là một bộ phận của hệ thống quản lý chất lượng. Nhưng khi dữ liệu được kết nối và khai thác phục vụ quản lý nhà nước, sai sót trong dữ liệu có thể chuyển thành rủi ro pháp lý. Theo tôi, việc đầu tiên doanh nghiệp cần làm trước ngày 15/11/2026 là kiểm kê toàn bộ dữ liệu hiện có, thay vì chờ đến khi hệ thống chính thức vận hành mới bắt đầu chuẩn bị. Tôi đề xuất doanh nghiệp thực hiện ít nhất 06 nhóm công việc.

Thứ nhất, lập “bản đồ dữ liệu” của toàn bộ chuỗi cung ứng. Doanh nghiệp cần xác định mình đang có những dữ liệu nào về nhà cung cấp nguyên liệu, bao bì, sản phẩm, mã lô, ngày sản xuất, hạn sử dụng, kho hàng, khách hàng, đại lý, nhà phân phối và các công đoạn sản xuất. Sau đó xác định dữ liệu nào đang được lưu bằng phần mềm, dữ liệu nào ở dạng giấy và dữ liệu nào đang thiếu.

Thứ hai, chuẩn hóa mã sản phẩm và mã lô. Đây là công việc rất quan trọng. Một sản phẩm không nên tồn tại dưới nhiều cách định danh khác nhau trong các hệ thống khác nhau. Nếu hệ thống kế toán gọi một mã, hệ thống kho gọi một mã khác và hồ sơ chất lượng lại sử dụng tên khác thì khi có sự cố, việc truy xuất sẽ rất khó khăn.

Thứ ba, kiểm tra tính nhất quán giữa hồ sơ pháp lý và dữ liệu thực tế. Doanh nghiệp nên rà soát giấy tờ công bố sản phẩm, hồ sơ nguyên liệu, hợp đồng và hồ sơ nhà cung cấp, hồ sơ sản xuất, kiểm nghiệm, xuất nhập kho và hồ sơ phân phối. Mục tiêu là phát hiện những trường hợp “giấy tờ một đằng, dữ liệu vận hành một nẻo”.

Thứ tư, xác định rõ người chịu trách nhiệm về dữ liệu. Tôi không khuyến nghị doanh nghiệp để việc này hoàn toàn cho bộ phận công nghệ thông tin. IT có thể chịu trách nhiệm về hệ thống, nhưng tính đúng đắn của dữ liệu lại thuộc về các bộ phận nghiệp vụ. Doanh nghiệp nên có quy trình xác định rõ: ai tạo dữ liệu, ai kiểm tra, ai phê duyệt, ai được sửa và việc sửa dữ liệu phải để lại dấu vết như thế nào.

Thứ năm, xây dựng quy trình xử lý khi phát hiện dữ liệu sai. Sai dữ liệu không đáng sợ bằng việc doanh nghiệp phát hiện sai nhưng không biết phải xử lý thế nào. Cần có cơ chế khóa, chỉnh sửa, phê duyệt và lưu lịch sử thay đổi. Đặc biệt, không nên “xóa dấu vết” dữ liệu cũ để thay bằng dữ liệu mới nếu không có cơ chế kiểm soát phù hợp.

Thứ sáu, tổ chức diễn tập truy xuất nguồn gốc. Đây là cách kiểm tra thực tế tốt nhất. Doanh nghiệp có thể lựa chọn ngẫu nhiên một lô hàng và đặt câu hỏi: trong thời gian ngắn nhất có thể xác định được nguyên liệu đầu vào, quá trình sản xuất, số lượng sản xuất, số lượng tồn kho và những khách hàng hoặc nhà phân phối đã nhận sản phẩm hay không?

Phóng viên: Khi cơ sở dữ liệu được vận hành, việc khai thác và chia sẻ thông tin cần tuân thủ những giới hạn pháp lý nào để vừa hỗ trợ truy xuất nguồn gốc, bảo vệ người tiêu dùng, vừa bảo đảm bí mật kinh doanh và dữ liệu cá nhân?

Luật sư: Đây sẽ là vấn đề khó nhất khi Cơ sở dữ liệu thực phẩm đi vào vận hành. Một cơ sở dữ liệu càng lớn thì giá trị quản lý càng cao, nhưng đồng thời rủi ro về việc sử dụng sai mục đích, công khai quá mức hoặc truy cập trái thẩm quyền cũng càng lớn. Vì vậy, phải xác định rất rõ rằng quyền khai thác dữ liệu không đồng nghĩa với quyền sử dụng dữ liệu không giới hạn. Thông tư 63 thiết kế nhiều tầng khai thác dữ liệu. Cơ quan nhà nước có thẩm quyền có thể khai thác dữ liệu để phục vụ kiểm tra, hậu kiểm, cảnh báo, truy xuất nguồn gốc, thu hồi và xử lý thực phẩm không bảo đảm an toàn. Khi dữ liệu đã có sẵn và đáp ứng yêu cầu truy xuất, cơ quan nhà nước về nguyên tắc có thể khai thác, sử dụng dữ liệu đó thay vì yêu cầu tổ chức, cá nhân cung cấp lại, trừ trường hợp cần kiểm tra, xác minh hoặc pháp luật có quy định khác. Trong khi đó, tổ chức, cá nhân có thể khai thác dữ liệu mở và dữ liệu được công khai theo quy định pháp luật. Như vậy, cần phân biệt ít nhất ba loại dữ liệu: dữ liệu được công khai; dữ liệu được phép khai thác trong phạm vi, mục đích nhất định; và dữ liệu hạn chế tiếp cận hoặc không được công khai.

Đối với người tiêu dùng, những thông tin liên quan trực tiếp đến mức độ an toàn của sản phẩm, cảnh báo, thu hồi hoặc thông tin cần thiết để nhận diện sản phẩm có vấn đề cần được công khai ở mức phù hợp. Điều này giúp người tiêu dùng đưa ra quyết định và bảo vệ sức khỏe, quyền lợi của mình. Nhưng điều đó không có nghĩa là công khai toàn bộ hồ sơ nội bộ của doanh nghiệp. Chẳng hạn, công thức sản xuất, định lượng nguyên liệu, bí quyết kỹ thuật, thông tin giá mua nguyên liệu, chiến lược phân phối hoặc những dữ liệu khác có thể tạo lợi thế cạnh tranh cho doanh nghiệp không đương nhiên trở thành thông tin phải công khai chỉ vì chúng xuất hiện trong hệ thống dữ liệu. Ở đây cần áp dụng nguyên tắc phân quyền theo mục đích sử dụng. Cơ quan có thẩm quyền có thể cần tiếp cận dữ liệu đầy đủ để phục vụ thanh tra, hậu kiểm hoặc truy xuất; nhưng một người tiêu dùng chỉ cần tiếp cận những thông tin cần thiết để xác định sản phẩm, nguồn gốc và tình trạng an toàn của sản phẩm.

Đối với dữ liệu cá nhân, giới hạn pháp lý còn chặt chẽ hơn. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ ngày 1/1/2026, đặt ra khuôn khổ pháp lý riêng đối với việc xử lý và bảo vệ dữ liệu cá nhân. Do đó, nếu trong quá trình truy xuất nguồn gốc xuất hiện tên, số điện thoại, địa chỉ, thông tin định danh của cá nhân thì không thể mặc nhiên hiểu rằng vì dữ liệu nằm trong cơ sở dữ liệu phục vụ quản lý nhà nước nên mọi chủ thể đều được quyền khai thác và công khai. Nguyên tắc cần đặt ra là: chỉ xử lý, khai thác và chia sẻ dữ liệu cá nhân trong phạm vi có căn cứ pháp lý, đúng mục đích, đúng thẩm quyền và ở mức cần thiết.

Doanh nghiệp cần kiểm soát ai được truy cập dữ liệu, ai được xuất dữ liệu, ai được chỉnh sửa dữ liệu và trong trường hợp nào dữ liệu được chuyển cho bên thứ ba. Các hoạt động truy cập, thay đổi hoặc chia sẻ quan trọng nên có khả năng ghi nhận và kiểm tra lại.

Liên hệ tư vấn và mời luật sư: 0936683699 - 0983951338