Verificación del registro ICO: qué confirma y qué no

La respuesta corta: una verificación del registro ICO confirma si una organización está en el registro de sujetos obligados al pago de la Information Commissioner's Office (ICO) británica, es decir, si ha comunicado al ICO que trata datos personales y ha pagado la tasa de protección de datos correspondiente. No confirma que la organización sea financieramente sólida, que sea titular de la cuenta bancaria que figura en su factura ni que un pago a su favor sea seguro.

Esa distinción importa porque las dos preguntas llegan juntas. Un equipo de compras que evalúa a un nuevo proveedor quiere saber que la empresa existe y cumple la normativa. Un equipo de tesorería quiere saber que el dinero llega a la cuenta correcta. El registro ICO responde solo a la primera pregunta, y solo en la parte que afecta a la protección de datos.

Qué confirma realmente una verificación del registro ICO

El ICO es la autoridad independiente de protección de datos del Reino Unido. Según el Data Protection (Charges and Information) Regulations 2018, la mayoría de las organizaciones que tratan datos personales deben pagar una tasa anual al ICO, normalmente llamada tasa de protección de datos, salvo que se aplique una exención. El registro de sujetos obligados al pago es la lista pública de las organizaciones que lo han hecho.

Así que un resultado positivo confirma algo concreto y limitado: la organización aparece en ese registro, con un número de registro, un tramo de tasa y un estado. Es una señal de cumplimiento útil cuando entregas datos personales a un proveedor: gestoras de nóminas, agencias de marketing, proveedores de software, cualquiera que trate expedientes de clientes o de empleados por tu cuenta.

Cómo comprobar un registro ICO paso a paso

La comprobación es rápida y gratuita. Usa la búsqueda oficial del ICO en lugar de un sitio de consulta de terceros, porque el registro oficial es la fuente de la que copian todas las demás herramientas.

1. 1 Entra en la búsqueda del registro en el propio sitio del ICO, ico.org.uk: el buscador del registro de sujetos obligados al pago.
2. 2 Busca por la razón social de la organización tal como aparece en el contrato o en la factura, no por un nombre comercial ni por una marca.
3. 3 Si el nombre es habitual, acota los resultados con el número de registro si ya lo tienes, o con la dirección de la organización.
4. 4 Abre la entrada y lee tres cosas: el número de registro, el tramo de tasa y el estado.
5. 5 Guarda una captura de pantalla o una nota con fecha de lo que has encontrado, para que la comprobación se pueda auditar después.

Si no aparece nada, no saques conclusiones precipitadas. Prueba con la denominación social registrada en Companies House, prueba con la sociedad matriz y prueba variantes con y sin la forma jurídica. Muchas organizaciones operan con un nombre distinto del de la entidad que paga la tasa.

Un aviso que conviene repetir: varios sitios comerciales ofrecen un servicio de pago de «determinación ICO» o de «certificado de registro». La herramienta de autoevaluación y la búsqueda del registro del propio ICO son gratuitas, y pagar a un tercero no hace que un registro sea más válido.

Leer el resultado: número de registro, tramo y estado

Un número de registro ICO suele escribirse como ZA seguido de seis dígitos, por ejemplo ZA123456. Identifica la entrada en el registro. No es un número de sociedad, ni un número de IVA, ni una referencia de pago, y nunca debería usarse para identificar una cuenta bancaria.

El tramo de tasa describe el tamaño y el tipo de la organización según la definición del ICO. El ICO publica tres tramos, y la tasa sube con el tramo:

• El tramo 1 cubre a las organizaciones más pequeñas: las microorganizaciones, que se determinan sobre todo por el número de empleados y la facturación.
• El tramo 2 cubre a las pequeñas y medianas organizaciones.
• El tramo 3 cubre a las grandes organizaciones.

El tramo te indica a grandes rasgos el tamaño del sujeto obligado al pago. No es una valoración de seguridad, calidad o fiabilidad, y una entrada de tramo 3 no es «más segura» que una de tramo 1: solo significa una organización más grande que paga una tasa más alta.

El estado es la parte que se malinterpreta. Una entrada puede figurar como registrada o como en curso mientras se tramita un pago o una renovación. «En curso» no es una señal de alarma por sí sola: las renovaciones son anuales y hay un desfase entre el pago y la actualización del registro. Lo que importa es si la organización puede explicar ese estado y si la entrada está vigente y no caducada.

Qué no te dice una comprobación en el ICO

Aquí es donde falla la diligencia debida con proveedores. Una entrada limpia en el ICO acaba a menudo capturada en una página de confianza como si fuera un sello de legitimidad. No lo es. Una comprobación en el ICO no confirma:

• Quién es dueño de la empresa o la controla: eso es terreno de Companies House, donde puedes ver administradores, presentaciones de cuentas y cuentas anuales.
• Si la empresa es solvente o está en actividad: de nuevo las cuentas y el historial de presentaciones, no el registro ICO.
• Si la empresa es titular de la cuenta bancaria impresa en su factura: ningún registro público contiene ese dato.
• Si la factura en sí es auténtica, o si el correo que la entregó venía del proveedor real.
• Si la organización trata bien los datos: el registro es una tasa, no una auditoría.

Dicho de otro modo, el registro ICO responde a una pregunta de cumplimiento. La pregunta «¿es esta la cuenta correcta a la que pagar?» se responde en otro sitio: con una verificación de nombre e IBAN que ejecuta un proveedor de servicios de pago.

Registro ICO y Verification of Payee: dos verificaciones distintas

La Verification of Payee (VoP) es la verificación del nombre UE/SEPA que exige el Reglamento de Pagos Instantáneos. Antes de enviar una transferencia en euros, el proveedor de servicios de pago (PSP) del pagador pregunta al PSP del beneficiario si el nombre facilitado coincide con el titular de la cuenta, y recibe uno de cuatro resultados: coincidencia, coincidencia parcial, sin coincidencia o no disponible. El Reino Unido tiene su propia versión, la Confirmation of Payee, construida en torno a los sort codes y los números de cuenta.

Pon las dos una al lado de la otra y la diferencia salta a la vista:

• La comprobación en el ICO pregunta: ¿se ha registrado esta organización como responsable del tratamiento y ha pagado su tasa? Se responde desde un registro público, una sola vez, en el alta.
• La verificación del beneficiario pregunta: ¿esta cuenta pertenece a la parte que he indicado? La responde el banco del beneficiario, en el momento del pago.
• La comprobación en el ICO trata del cumplimiento en protección de datos. La verificación del beneficiario trata de dónde acaba el dinero.

Ninguna sustituye a la otra. Un estafador puede registrarse en el ICO (es una tasa, no un proceso de selección) y un proveedor perfectamente conforme puede sufrir igualmente el compromiso de su correo y el cambio de su factura por otra con datos bancarios distintos. Si quieres el contexto del esquema europeo, empieza por qué es la Verification of Payee; la mecánica de comprobar a un titular de cuenta se explica en cómo verificar el titular de un IBAN.

Dónde encaja la comprobación en el ICO dentro del alta de proveedores

La respuesta práctica es: como un paso más entre varios, en un orden fijo. Una secuencia que funciona para un nuevo proveedor es esta.

1. 1 Comprobación de la empresa: confirma la entidad jurídica, los administradores y el historial de presentaciones en Companies House, y haz que coincida el nombre del contrato.
2. 2 Comprobación de protección de datos: busca la entidad en el registro del ICO y anota el número de registro, el tramo y el estado.
3. 3 Comprobación de los datos bancarios: ejecuta una verificación de nombre e IBAN sobre la cuenta que vas a pagar y guarda el nombre verificado que devuelve.
4. 4 Control de cambios: vuelve a ejecutar la comprobación de los datos bancarios cada vez que cambien los datos de cuenta del proveedor, y confirma el cambio por teléfono en un número que ya tuvieras.

Los pasos tercero y cuarto son los que evitan que el dinero salga hacia la cuenta equivocada. Para el proceso completo, incluido cómo gestionar los datos de beneficiarios almacenados, consulta la guía de alta de proveedores y la página de Verification of Payee para empresas.

Confusiones habituales y respuestas rápidas

Casi toda la confusión en torno a las comprobaciones en el ICO viene de tres preguntas, así que aquí van con claridad.

• ¿Cuándo es obligatorio registrarse? La mayoría de las organizaciones que tratan datos personales deben pagar la tasa, pero existen exenciones, por ejemplo para algunas organizaciones pequeñas que solo tratan datos con fines limitados. La herramienta gratuita de autoevaluación del ICO te dice si tu propia organización necesita registrarse.
• ¿Cómo encuentro mi propio número de referencia del ICO? Busca en el registro por la razón social de tu organización o consulta la confirmación que envió el ICO cuando se pagó la tasa. El número figura en ese registro.
• ¿Un número del ICO es un número de registro de sociedad? No. Un número de sociedad procede de Companies House e identifica la entidad jurídica. Un número del ICO identifica una entrada de sujeto obligado al pago en el registro de protección de datos. Los emiten organismos distintos con finalidades distintas.

RoxPay presta la Verification of Payee sobre el esquema SEPA mediante una única API REST y un panel, y devuelve los resultados estandarizados (coincidencia, coincidencia parcial, sin coincidencia y no disponible) en mucho menos de un segundo, con el nombre verificado en caso de coincidencia parcial, para un único pago o para todo un fichero de pagos.