Krótka odpowiedź: sprawdzenie rejestracji ICO potwierdza, czy organizacja widnieje w rejestrze podmiotów wnoszących opłaty brytyjskiego Urzędu Komisarza ds. Informacji (ICO) - czyli czy zgłosiła ICO, że przetwarza dane osobowe, i zapłaciła związaną z tym opłatę za ochronę danych. Nie potwierdza, że organizacja jest stabilna finansowo, że jest właścicielem rachunku bankowego z jej faktury ani że płatność na jej rzecz jest bezpieczna.
To rozróżnienie ma znaczenie, bo oba pytania pojawiają się razem. Zespół zakupowy sprawdzający nowego dostawcę chce wiedzieć, że firma istnieje i działa zgodnie z przepisami. Zespół treasury chce wiedzieć, że pieniądze trafią na właściwy rachunek. Rejestr ICO odpowiada tylko na pierwsze pytanie i tylko w części dotyczącej ochrony danych.
Co naprawdę potwierdza sprawdzenie rejestracji ICO
ICO to niezależny brytyjski regulator ochrony danych. Zgodnie z rozporządzeniem Data Protection (Charges and Information) Regulations 2018 większość organizacji przetwarzających dane osobowe musi wnosić do ICO roczną opłatę - zwykle nazywaną opłatą za ochronę danych - chyba że obowiązuje zwolnienie. Rejestr podmiotów wnoszących opłaty to publiczna lista organizacji, które to zrobiły.
Pozytywny wynik potwierdza więc wąską, faktyczną rzecz: organizacja widnieje w tym rejestrze, z numerem rejestracji, tierem opłaty i statusem. To przydatny sygnał zgodności, gdy powierzasz dane osobowe dostawcy - dostawcy usług kadrowo-płacowych, agencje marketingowe, dostawcy oprogramowania, każdy, kto przetwarza dane klientów lub pracowników w Twoim imieniu.
Rejestracja dotyczy danych, nie pieniędzy
Rejestr ICO odnotowuje, kto zapłacił opłatę za ochronę danych. Nie mówi nic o rachunkach bankowych, fakturach, własności ani wypłacalności. Traktuj go jako jedną pozycję w kartotece dostawcy, a nie jako mechanizm kontroli płatności.
Jak sprawdzić rejestrację ICO krok po kroku
Sprawdzenie jest szybkie i bezpłatne. Korzystaj z oficjalnej wyszukiwarki ICO, a nie z serwisu pośrednika, bo oficjalny rejestr jest źródłem, z którego kopiuje każde inne narzędzie.
- 1 Wejdź na wyszukiwarkę rejestru na stronie samego ICO, ico.org.uk - do pola wyszukiwania rejestru podmiotów wnoszących opłaty.
- 2 Szukaj po nazwie prawnej organizacji takiej, jak w umowie lub na fakturze, a nie po nazwie handlowej czy marce.
- 3 Jeśli nazwa jest popularna, zawęź wyniki numerem rejestracji, jeśli go już masz, albo adresem organizacji.
- 4 Otwórz wpis i odczytaj trzy rzeczy: numer rejestracji, tier opłaty i status.
- 5 Zapisz zrzut ekranu lub notatkę z datą tego, co znalazłeś, żeby sprawdzenie było później audytowalne.
Jeśli nic się nie pojawia, nie wyciągaj pochopnych wniosków. Spróbuj nazwy zarejestrowanej w Companies House, spróbuj spółki dominującej i wariantów z formą prawną oraz bez niej. Wiele organizacji działa pod nazwą inną niż podmiot, który wnosi opłatę.
Jedno ostrzeżenie warto powtórzyć: kilka komercyjnych serwisów oferuje płatną usługę „ICO determination” lub „certyfikat rejestracji”. Narzędzie samooceny ICO i wyszukiwarka rejestru są bezpłatne, a zapłata stronie trzeciej nie czyni rejestracji ważniejszą.
Jak czytać wynik: numer rejestracji, tier i status
Numer rejestracji ICO zapisuje się zwykle jako ZA i sześć cyfr - na przykład ZA123456. Identyfikuje wpis w rejestrze. To nie numer firmy, numer VAT ani referencja płatności i nigdy nie należy go używać do identyfikowania rachunku bankowego.
Tier opłaty opisuje wielkość i typ organizacji w rozumieniu ICO. ICO publikuje trzy tiery, a opłata rośnie wraz z tierem:
- Tier 1 obejmuje najmniejsze organizacje - mikroorganizacje, oceniane głównie po liczbie pracowników i obrotach.
- Tier 2 obejmuje małe i średnie organizacje.
- Tier 3 obejmuje duże organizacje.
Tier mówi z grubsza, jak duży jest podmiot wnoszący opłatę. To nie ocena bezpieczeństwa, jakości ani wiarygodności, a wpis w Tier 3 nie jest „bezpieczniejszy” niż wpis w Tier 1 - oznacza po prostu większą organizację wnoszącą wyższą opłatę.
Status to część, którą ludzie czytają błędnie. Wpis może pokazywać się jako zarejestrowany albo jako w toku, gdy trwa przetwarzanie płatności lub odnowienia. „W toku” samo w sobie nie jest sygnałem ostrzegawczym: odnowienia zdarzają się co roku, a między zapłatą a aktualizacją rejestru jest luka. Liczy się to, czy organizacja potrafi wyjaśnić status i czy wpis jest aktualny, a nie wygasły.
Czego sprawdzenie ICO Ci nie powie
I tu właśnie due diligence dostawców idzie w złą stronę. Czysty wpis w ICO jest często wrzucany jako zrzut ekranu na stronę zaufania, jakby był odznaką legalności. Nie jest. Sprawdzenie ICO nie potwierdza:
- Kto jest właścicielem firmy lub kto nad nią sprawuje kontrolę - to domena Companies House, gdzie widać członków zarządu, zgłoszenia i sprawozdania.
- Czy firma jest wypłacalna i czy prowadzi działalność - znowu sprawozdania i historia zgłoszeń, a nie rejestr ICO.
- Czy firma jest właścicielem rachunku bankowego wydrukowanego na jej fakturze - żaden publiczny rejestr tego nie zawiera.
- Czy sama faktura jest autentyczna i czy e-mail, który ją przyniósł, pochodzi od prawdziwego dostawcy.
- Czy organizacja dobrze obchodzi się z danymi - rejestracja to opłata, a nie audyt.
Innymi słowy, rejestr ICO odpowiada na pytanie o zgodność. Na pytanie „czy to właściwy rachunek do zapłaty?” odpowiada się zupełnie gdzie indziej - sprawdzeniem nazwy wobec numeru IBAN wykonywanym przez dostawcę usług płatniczych.
Rejestracja ICO a Verification of Payee: dwa różne sprawdzenia
Verification of Payee (VoP) to sprawdzenie nazwy w UE/SEPA wymagane przez rozporządzenie w sprawie płatności natychmiastowych. Zanim przelew w euro zostanie wysłany, dostawca usług płatniczych (PSP) płatnika pyta PSP odbiorcy, czy podana nazwa zgadza się z posiadaczem rachunku, i otrzymuje jeden z czterech wyników: zgodność, częściową zgodność, brak zgodności lub brak możliwości weryfikacji. Wielka Brytania ma własną wersję, Confirmation of Payee, opartą na sort code i numerach rachunków.
Postaw oba obok siebie, a różnica jest oczywista:
- Sprawdzenie ICO pyta: czy ta organizacja zarejestrowała się jako administrator danych i zapłaciła opłatę? Odpowiedź pochodzi z publicznego rejestru, raz, przy onboardingu.
- Sprawdzenie odbiorcy pyta: czy ten rachunek należy do podmiotu, który wskazałem? Odpowiada bank odbiorcy, w momencie płatności.
- Sprawdzenie ICO dotyczy zgodności w zakresie ochrony danych. Sprawdzenie odbiorcy dotyczy tego, gdzie trafiają pieniądze.
Żadne nie zastępuje drugiego. Oszust może zarejestrować się w ICO - to opłata, a nie proces weryfikacji - a całkowicie zgodny dostawca może mimo to mieć przejęty e-mail i fakturę podmienioną na taką z innymi danymi bankowymi. Jeśli chcesz poznać tło unijnego schematu, zacznij od tego, czym jest Verification of Payee; mechanikę sprawdzania posiadacza rachunku opisuje artykuł o weryfikacji posiadacza rachunku IBAN.
Gdzie sprawdzenie ICO pasuje do onboardingu dostawcy
Praktyczna odpowiedź brzmi: jako jeden z kilku kroków, w ustalonej kolejności. Działająca sekwencja dla nowego dostawcy wygląda tak.
- 1 Sprawdzenie firmy: potwierdź podmiot prawny, członków zarządu i historię zgłoszeń w Companies House i dopasuj nazwę z umowy.
- 2 Sprawdzenie ochrony danych: znajdź podmiot w rejestrze ICO i zapisz numer rejestracji, tier i status.
- 3 Sprawdzenie danych bankowych: wykonaj sprawdzenie nazwy wobec numeru IBAN na rachunku, na który zaraz zapłacisz, i zapisz zwróconą zweryfikowaną nazwę.
- 4 Kontrola zmian: ponawiaj sprawdzenie danych bankowych za każdym razem, gdy zmienią się dane rachunku dostawcy, i potwierdź zmianę telefonicznie na numerze, który już miałeś.
To trzeci i czwarty krok powstrzymują pieniądze przed wyjściem na niewłaściwy rachunek. Szerszy proces, w tym sposób postępowania z zapisanymi danymi odbiorców, opisuje przewodnik po onboardingu dostawców i dostawców zewnętrznych oraz strona Verification of Payee dla firm.
Nigdy nie traktuj wpisu w ICO jako dowodu danych bankowych
Numer rejestracji na papierze firmowym dostawcy mówi, że organizacja zapłaciła opłatę za ochronę danych. Nie mówi nic o numerze rachunku pod nim. Weryfikuj rachunek osobno, za każdym razem, gdy dane się zmieniają.
Częste nieporozumienia i szybkie odpowiedzi
Większość zamieszania wokół sprawdzeń ICO bierze się z trzech pytań, więc oto one wprost.
- Kiedy rejestracja jest wymagana? Większość organizacji przetwarzających dane osobowe musi wnosić opłatę, ale istnieją zwolnienia - na przykład niektóre małe organizacje, które przetwarzają dane wyłącznie w ograniczonych celach. Bezpłatne narzędzie samooceny ICO powie Ci, czy Twoja organizacja musi się zarejestrować.
- Jak znaleźć własny numer referencyjny ICO? Przeszukaj rejestr po nazwie prawnej swojej organizacji albo sprawdź potwierdzenie, które ICO wysłało po zapłacie opłaty. Numer jest w tym zapisie.
- Czy numer ICO to numer rejestracyjny firmy? Nie. Numer firmy pochodzi z Companies House i identyfikuje podmiot prawny. Numer ICO identyfikuje wpis podmiotu wnoszącego opłatę w rejestrze ochrony danych. Wydają je różne instytucje w różnych celach.
RoxPay dostarcza Verification of Payee w schemacie SEPA przez jedno API REST i panel, zwracając standaryzowane wyniki - zgodność, częściową zgodność, brak zgodności i brak możliwości weryfikacji - w znacznie mniej niż sekundę, ze zweryfikowaną nazwą przy częściowej zgodności, dla pojedynczej płatności lub całego pliku płatności.