A resposta curta: uma verificação do registo ICO confirma se uma organização consta do registo de sujeitos obrigados ao pagamento da Information Commissioner's Office (ICO) do Reino Unido - ou seja, se comunicou ao ICO que trata dados pessoais e pagou a taxa de proteção de dados correspondente. Não confirma que a organização seja financeiramente sólida, que seja titular da conta bancária indicada na fatura ou que um pagamento a seu favor seja seguro.
Esta distinção importa porque as duas perguntas chegam juntas. Uma equipa de compras que avalia um novo fornecedor quer saber que a empresa existe e cumpre as regras. Uma equipa de tesouraria quer saber que o dinheiro chega à conta certa. O registo ICO responde apenas à primeira pergunta, e só na parte que diz respeito à proteção de dados.
O que uma verificação do registo ICO confirma realmente
O ICO é a autoridade independente de proteção de dados do Reino Unido. Ao abrigo do Data Protection (Charges and Information) Regulations 2018, a maioria das organizações que tratam dados pessoais tem de pagar uma taxa anual ao ICO - habitualmente designada taxa de proteção de dados - salvo se se aplicar uma isenção. O registo de sujeitos obrigados ao pagamento é a lista pública das organizações que o fizeram.
Um resultado positivo confirma, portanto, algo estreito e factual: a organização consta desse registo, com um número de registo, um nível de taxa e um estado. É um sinal de conformidade útil quando entrega dados pessoais a um fornecedor - processadores de salários, agências de marketing, fornecedores de software, qualquer pessoa que trate registos de clientes ou de trabalhadores por sua conta.
O registo é sobre dados, não sobre dinheiro
O registo ICO regista quem pagou uma taxa de proteção de dados. Não diz nada sobre contas bancárias, faturas, propriedade ou solvência. Trate-o como uma linha no processo de um fornecedor, não como um controlo de pagamentos.
Como verificar um registo ICO passo a passo
A verificação é rápida e gratuita. Use a pesquisa oficial do ICO em vez de um site de consulta de terceiros, porque o registo oficial é a fonte de onde todas as outras ferramentas copiam.
- 1 Vá à pesquisa do registo no próprio site do ICO, ico.org.uk - a caixa de pesquisa do registo de sujeitos obrigados ao pagamento.
- 2 Pesquise pela designação legal da organização tal como aparece no contrato ou na fatura, não por um nome comercial ou uma marca.
- 3 Se o nome for comum, restrinja os resultados com o número de registo, se já o tiver, ou com a morada da organização.
- 4 Abra a entrada e leia três coisas: o número de registo, o nível da taxa e o estado.
- 5 Guarde uma captura de ecrã ou uma nota com data do que encontrou, para que a verificação possa ser auditada mais tarde.
Se não aparecer nada, não tire conclusões precipitadas. Experimente a designação social registada no Companies House, experimente a empresa-mãe e experimente variantes com e sem forma jurídica. Muitas organizações atuam com um nome diferente da entidade que paga a taxa.
Um aviso que vale a pena repetir: vários sites comerciais oferecem um serviço pago de «determinação ICO» ou de «certificado de registo». A ferramenta de autoavaliação e a pesquisa do registo do próprio ICO são gratuitas, e pagar a um terceiro não torna um registo mais válido.
Ler o resultado: número de registo, nível e estado
Um número de registo ICO escreve-se habitualmente como ZA seguido de seis dígitos - por exemplo ZA123456. Identifica a entrada no registo. Não é um número de empresa, um número de IVA ou uma referência de pagamento, e nunca deve ser usado para identificar uma conta bancária.
O nível da taxa descreve a dimensão e o tipo de organização, tal como o ICO as define. O ICO publica três níveis, e a taxa aumenta com o nível:
- O nível 1 abrange as organizações mais pequenas - as micro-organizações, avaliadas sobretudo pelo número de trabalhadores e pelo volume de negócios.
- O nível 2 abrange as pequenas e médias organizações.
- O nível 3 abrange as grandes organizações.
O nível diz-lhe aproximadamente qual é a dimensão de quem paga a taxa. Não é uma classificação de segurança, qualidade ou fiabilidade, e uma entrada de nível 3 não é «mais segura» do que uma de nível 1 - significa apenas uma organização maior a pagar uma taxa maior.
O estado é a parte que as pessoas interpretam mal. Uma entrada pode aparecer como registada, ou como em curso enquanto um pagamento ou uma renovação está a ser processado. «Em curso» não é, por si só, um sinal de alarme: as renovações são anuais e há um intervalo entre o pagamento e a atualização do registo. O que importa é se a organização consegue explicar o estado e se a entrada está atualizada em vez de caducada.
O que uma verificação ICO não lhe diz
É aqui que a diligência devida sobre fornecedores corre mal. Uma entrada ICO impecável é muitas vezes capturada em imagem para uma página de confiança como se fosse um selo de legitimidade. Não é. Uma verificação ICO não confirma:
- Quem detém ou controla a empresa - esse é o terreno do Companies House, onde pode ver administradores, depósitos e contas.
- Se a empresa é solvente ou está em atividade - de novo as contas e o histórico de depósitos, não o registo ICO.
- Se a empresa é titular da conta bancária impressa na sua fatura - nenhum registo público contém isso.
- Se a fatura em si é genuína, ou se o email que a entregou veio do fornecedor real.
- Se a organização trata bem os dados - o registo é uma taxa, não uma auditoria.
Por outras palavras, o registo ICO responde a uma pergunta de conformidade. A pergunta «é esta a conta certa para pagar?» responde-se noutro lugar - através de uma verificação do nome face ao IBAN feita por um prestador de serviços de pagamento.
Registo ICO vs Verification of Payee: duas verificações diferentes
A Verification of Payee (VoP) é a verificação do nome da UE/SEPA exigida pelo Regulamento dos Pagamentos Instantâneos. Antes de uma transferência a crédito em euros ser enviada, o prestador de serviços de pagamento (PSP) do pagador pergunta ao PSP do beneficiário se o nome indicado corresponde ao titular da conta, e recebe um de quatro resultados: correspondência, correspondência parcial, sem correspondência ou verificação não possível. O Reino Unido tem a sua própria versão, a Confirmation of Payee, construída em torno de sort codes e números de conta.
Coloque as duas lado a lado e a diferença é óbvia:
- A verificação ICO pergunta: esta organização registou-se como responsável pelo tratamento e pagou a sua taxa? A resposta vem de um registo público, uma vez, no acolhimento.
- A verificação do beneficiário pergunta: esta conta pertence à parte que indiquei? A resposta vem do banco do beneficiário, no momento do pagamento.
- A verificação ICO diz respeito à conformidade em proteção de dados. A verificação do beneficiário diz respeito a onde o dinheiro chega.
Nenhuma substitui a outra. Um fraudador pode registar-se no ICO - é uma taxa, não um processo de seleção - e um fornecedor perfeitamente conforme pode ainda assim ter o email comprometido e a fatura trocada por outra com dados bancários diferentes. Se quiser o contexto sobre o esquema da UE, comece por saber o que é a Verification of Payee; a mecânica da verificação de um titular de conta está explicada em como verificar o titular de um IBAN.
Onde encaixa uma verificação ICO no acolhimento de fornecedores
A resposta prática é: como um passo entre vários, numa ordem fixa. Uma sequência exequível para um novo fornecedor é esta.
- 1 Verificação da empresa: confirme a entidade legal, os administradores e o histórico de depósitos no Companies House, e confira o nome que consta do contrato.
- 2 Verificação de proteção de dados: procure a entidade no registo ICO e registe o número de registo, o nível e o estado.
- 3 Verificação dos dados bancários: faça uma verificação do nome face ao IBAN na conta que está prestes a pagar e guarde o nome verificado que é devolvido.
- 4 Controlo de alterações: repita a verificação dos dados bancários sempre que os dados da conta do fornecedor mudarem, e confirme a alteração por telefone num número que já tinha.
O terceiro e o quarto passos são os que impedem o dinheiro de sair para a conta errada. Para o processo mais amplo, incluindo como tratar dados de beneficiários guardados, veja o guia de acolhimento de fornecedores e prestadores e a página Verification of Payee para empresas.
Nunca trate uma entrada ICO como prova dos dados bancários
Um número de registo no papel timbrado de um fornecedor diz-lhe que a organização pagou uma taxa de proteção de dados. Não lhe diz nada sobre o número de conta que está por baixo. Verifique a conta em separado, sempre que os dados mudarem.
Confusões comuns e respostas rápidas
A maior parte da confusão em torno das verificações ICO vem de três perguntas, por isso aqui ficam com clareza.
- Quando é obrigatório o registo? A maioria das organizações que tratam dados pessoais tem de pagar a taxa, mas existem isenções - por exemplo, algumas organizações pequenas que tratam dados apenas para finalidades limitadas. A ferramenta de autoavaliação gratuita do ICO diz-lhe se a sua própria organização precisa de se registar.
- Como encontro o meu próprio número de referência ICO? Pesquise no registo pela designação legal da sua organização, ou consulte a confirmação que o ICO enviou quando a taxa foi paga. O número está nesse documento.
- Um número ICO é um número de registo de empresa? Não. O número de empresa vem do Companies House e identifica a entidade legal. Um número ICO identifica uma entrada de sujeito obrigado ao pagamento no registo de proteção de dados. São emitidos por organismos diferentes para finalidades diferentes.
A RoxPay disponibiliza a Verification of Payee no esquema SEPA através de uma única API REST e de um painel, devolvendo os resultados normalizados - correspondência, correspondência parcial, sem correspondência e verificação não possível - em bem menos de um segundo, com o nome verificado numa correspondência parcial, para um único pagamento ou para um ficheiro de pagamentos inteiro.