Protección de datos en el mercadillo: listas de adjudicatarios, censo y puesto

Por qué el ayuntamiento puede tratar estos datos

El ayuntamiento no necesita el consentimiento de los vendedores para gestionar el mercadillo: trata sus datos en el ejercicio de una competencia pública (RGPD, art. 6.1.e). Pero esa base solo vale si la competencia la atribuye una norma con rango de ley (Ley Orgánica 3/2018, art. 8.2), y aquí la atribuyen las leyes de comercio que encargan al ayuntamiento autorizar la venta ambulante. Algunas normas, además, obligan a llevar un registro municipal de vendedores, como el Decreto 65/2012 valenciano (art. 19) o la Ley 3/2014 de Murcia (art. 19).

Qué hay que publicar

La adjudicación de puestos es un procedimiento de concurrencia competitiva, y sus actos se publican: la publicación sustituye a la notificación, y la convocatoria debe indicar dónde se harán las publicaciones; las que se hagan en otro sitio no son válidas (Ley 39/2015, art. 45.1.b). Lo mismo vale para la lista de admitidos, la de excluidos, la puntuación y la adjudicación.

Cómo identificar a cada persona

La Ley Orgánica 3/2018 fija la regla (disposición adicional séptima): se publica el nombre y apellidos más cuatro cifras del documento de identidad. Nunca el nombre junto con el número completo. Si la persona no tiene documento, solo el nombre. Y cuando se notifica por anuncio porque no se ha podido notificar en persona (Ley 39/2015, art. 44), solo el número completo, sin el nombre.

Así lo proponen la Agencia Española de Protección de Datos y las autoridades catalana, vasca y andaluza: siempre las posiciones cuarta a séptima. Si cada ayuntamiento publicara cifras distintas, cruzando listas se podría recomponer el número entero.

• Publicad solo lo necesario para el procedimiento: nombre, cifras del documento, puntuación, puesto adjudicado. Ni domicilio, ni teléfono, ni datos de salud o familiares que se hayan aportado para puntuar.
• Si publicar el acto completo puede lesionar derechos, se publica una indicación breve y el lugar donde consultarlo (Ley 39/2015, art. 46). Pensad en las causas de exclusión o en situaciones personales.
• Retirad las listas de la web cuando ya no hagan falta: un PDF antiguo con nombres sigue apareciendo en los buscadores durante años.

Lo que se ve en el puesto

El vendedor debe tener a la vista sus datos personales, la autorización y una dirección para reclamaciones (Ley 7/1996, art. 55; Real Decreto 199/2010, art. 3.5). Algunas normas detallan más. En la Comunitat Valenciana, el documento expuesto lleva nombre, NIF y foto del titular y de sus colaboradores, el lugar, los productos y la vigencia (Decreto 65/2012, art. 11.2). Es un tratamiento que impone la norma. Aun así, si la ordenanza diseña el distintivo, decidid si hace falta el documento de identidad entero o basta con el número de autorización.

Lo que se queda dentro

• Minimización (RGPD, art. 5.1.c): pedid solo los datos que necesitáis para autorizar, puntuar y cobrar.
• Información: el formulario de solicitud debe explicar quién trata los datos, para qué, cuánto tiempo y cómo ejercer los derechos (RGPD, art. 13).
• Registro de actividades: el censo del mercadillo es un tratamiento más y debe figurar en el registro de actividades del ayuntamiento (RGPD, art. 30).
• Acceso limitado: que solo vea el censo el personal que gestiona el mercado, y cada uno lo de su municipio.
• Proveedores: si una empresa aloja el censo, es encargada del tratamiento y hace falta un contrato con el contenido del artículo 28 del RGPD.