Kính gửi Bộ Tài Chính và Tổng Cục Thuế.
Tôi là cá nhân, có một công việc chính ở Việt Nam. Công việc này có hợp đồng, được trả lương hàng tháng do đó tôi đang đóng thuế TNCN lũy tiến cho tiền lương nhận được từ công việc này.
Hiện tại, ngoài giờ làm của công việc chính, tôi còn làm thêm một công việc phụ theo hình thức trực tuyến (online), được mô tả như sau:
1. Nội dung công việc: Nhiệm vụ của tôi là tìm kiếm các lỗ hổng bảo mật trong phần mềm của nhiều công ty ở nước ngoài. Khi tìm ra một lỗ hổng bảo mật, tôi sẽ báo cáo nội dung của lỗ hổng đó cho công ty tương ứng để họ kịp thời khắc phục. Nếu như lỗ hổng bảo mật đó là hợp lệ theo quy định của công ty thì công ty đó sẽ trả tiền cho tôi. Công việc này gọi là "Săn lỗi nhận thưởng" (Bug Bounty Hunter).
2. Hình thức tìm kiếm công việc và liên lạc với công ty: Có 2 hình thức:
- Hình thức 1 (trực tiếp): Công ty nào có mong muốn phần mềm của họ được kiểm tra về mặt bảo mật sẽ đăng thông tin về nội dung chương trình săn lỗ hổng bảo mật lên trang chủ của họ. Khi tìm được lỗ hổng bảo mật, tôi gửi báo cáo trực tiếp tới một công ty cụ thể (ví dụ: qua email).
- Hình thức 2 (trung gian): Có một nền tảng trung gian (chẳng hạn như hackerone.com) đứng giữa các công ty và tôi. Những công ty nào có mong muốn phần mềm của họ được kiểm tra về mặt bảo mật thì sẽ đăng yêu cầu lên nền tảng Hackerone. Tương tự, những người có nhu cầu tìm kiếm lỗ hổng bảo mật trong phần mềm (như tôi) sẽ nhận các yêu cầu do các công ty đã đăng lên ở Hackerone. Khi tôi tìm được một lỗ hổng bảo mật, tôi và công ty sẽ liên lạc với nhau qua nền tảng trung gian Hackerone.
3. Về hợp đồng:
- Đây là một công việc không có hợp đồng. Tôi hoàn toàn có thể làm việc cho nhiều công ty cùng cùng một lúc, không nhất thiết phải cố định một công ty.
- Các công ty không chủ động tìm đến tôi mà tôi chủ động gửi báo cáo đến các công ty khi phát hiện ra một lỗ hổng bảo mật trong phần mềm của họ.
- Đây là một khoản thu nhập không đều đặn, tôi chỉ nhận được tiền khi tôi tìm ra được lỗ hổng bảo mật trong phần mềm của một công ty và lổ hổng đó phải hợp lệ với quy định của công ty đó. Ngược lại, nếu tôi không tìm được lỗ hổng nào, tôi không nhận được tiền.
4. Hình thức nhận tiền:
- Tôi cần cung cấp số tài khoản ngân hàng ở Việt Nam, sau đó công ty sẽ chuyển tiền cho tôi vào số tài khoản mà tôi đã cung cấp cho từng lỗ hổng mà tôi tìm được.
Tôi xin được Bộ Tài chính và Tổng Cục Thuế hướng dẫn và giải đáp ba vấn đề sau:
1. Với mô tả như trên, tôi muốn hỏi rằng thu nhập từ công việc phụ này có hợp lệ để đóng thuế dưới dạng cá nhân kinh doanh được hay không? Vì theo tôi hiểu, đây là một dạng kinh doanh dịch vụ phần mềm trên nền tảng số chứ không phải là tiền lương / tiền công. Hay là tôi vẫn phải đóng thuế cho khoản thu nhập này theo dạng thuế TNCN lũy tiến theo tiền lương / tiền công?
2. Nếu khoản thu nhập đó phù hợp để đóng thuế dưới dạng cá nhân kinh doanh thì tôi có cần tạo mã số thuế với đuôi 888 không? Và khi đăng ký mã số thuế đó, tôi cần điền nhóm ngành là gì? Và thuế suất trong trường hợp của tôi được tính như thế nào?
3. Khi một công ty trả tiền cho lỗ hổng bảo mật mà tôi tìm được, thường sẽ mất vài ngày để tiền được chuyển về tài khoản ngân hàng ở Việt Nam của tôi. Vậy tôi phải kê khai khoản thu nhập đó theo thời điểm mà công ty công nhận rằng tôi sẽ nhận được tiền hay thời điểm mà tôi thực nhận số tiền đó trong tài khoản ngân hàng của tôi ở Việt Nam? Ví dụ: Vào ngày 31/12/2026, công ty xác nhận rằng lỗ hổng bảo mật mà tôi tìm được là hợp lệ nên tôi sẽ nhận được tiền. Nhưng đến ngày 07/01/2027 thì tiền mới được chuyển vào tài khoản ngân hàng của tôi ở Việt Nam. Vậy tôi phải khoản tiền đó theo ngày 31/12/2026 hay ngày 07/01/2027?
Kính mong Bộ Tài Chính và Tổng Cục Thuế xem xét, trả lời để tôi có thể thực hiện nghĩa vụ thuế một cách chính xác.
Trân trọng cảm ơn.
30/09/2026
