Субъект персональных данных: кто это такой и какие права имеет по российскому законодательству

Субъект персональных данных — это физическое лицо, информация о котором обрабатывается операторами. В статье разберем, кто относится к субъектам ПД, какие права они имеют по закону и как бизнесу правильно работать с персональными данными.

Отложенная загрузка рекламы

В современном цифровом мире персональные данные граждан стали одним из наиболее ценных ресурсов для бизнеса. Каждый день компании собирают, обрабатывают и хранят огромные объемы информации о своих клиентах, сотрудниках и партнерах. При этом российское законодательство устанавливает строгие требования к работе с такой информацией, а центральной фигурой в системе защиты персональных данных является субъект персональных данных.

Понимание того, что означает субъект персональных данных это, кто относится к субъектам персональных данных и что значит субъект персональных данных в контексте российского права, критически важно для любого бизнеса. Неправильная работа с персональными данными может обернуться серьезными штрафами — с 30 мая 2025 года максимальные суммы выросли до 20 миллионов рублей для организаций.

Что такое субъект персональных данных

Субъект персональных данных это физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных. Проще говоря, это любой человек, информация о котором собирается, обрабатывается или хранится операторами персональных данных.

Важно понимать, что закон 152-ФЗ не содержит прямого определения термина «субъект персональных данных». Однако из статьи 3 федерального закона следует, что персональные данные — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Ключевые характеристики субъекта персональных данных

Кто относится к субъектам персональных данных:

Физическое лицо — только живые люди могут быть субъектами персональных данных, юридические лица под это определение не подпадают
Возможность идентификации — человека можно определить по имеющейся информации прямо или косвенно
Независимость от гражданства — субъектами могут быть как граждане России, так и иностранные граждане
Независимость от возраста — к субъектам персональных данных относятся люди любого возраста, включая несовершеннолетних

Точка Банк

Тип организации

Все типы организаций, ИП, ООО

Форма налогообложения

Все, ОСНО, ПСН, УСН

Оформление онлайн

Да

Отправить заявку

Кто относится к субъектам персональных данных

При определении того, что относится к субъектам персональных данных, операторы обычно выделяют различные категории в зависимости от характера взаимоотношений:

Основные категории субъектов персональных данных:

Сотрудники организации — действующие работники, бывшие сотрудники, кандидаты на трудоустройство
Клиенты и покупатели — физические лица, заключающие договоры или пользующиеся услугами
Контрагенты — индивидуальные предприниматели, представители юридических лиц
Посетители — лица, находящиеся на территории организации и попадающие в поле зрения систем видеонаблюдения
Участники мероприятий — лица, принимающие участие в конференциях, семинарах, акциях

Специальные категории субъектов

Для целей определения уровня защищенности информационных систем персональных данных, законодательство выделяет две основные категории субъектов:

Лица, не являющиеся сотрудниками организации — клиенты, контрагенты, посетители
Лица, связанные с организацией трудовыми отношениями — работники, включая внештатных сотрудников

Дополнительно учитывается количественный критерий — менее или более 100 000 субъектов персональных данных.

Права субъектов персональных данных

Российское законодательство наделяет субъектов персональных данных широким спектром прав, закрепленных в главе 3 закона 152-ФЗ. Кто относится к субъектам персональных данных автоматически получает следующие права:

Право на информацию об обработке персональных данных включает получение сведений о:

Подтверждении факта обработки персональных данных оператором
Правовых основаниях и целях обработки
Применяемых способах обработки персональных данных
Наименовании и местонахождении оператора
Сроках обработки и хранения данных
Информации о трансграничной передаче данных

Право на доступ к своим персональным данным предоставляет возможность:

Получить информацию о наличии персональных данных
Ознакомиться с обрабатываемыми данными
Требовать уточнения неточных данных
Требовать блокирования или уничтожения данных при нарушениях

Специальные права субъектов персональных данных

Право на отказ от автоматизированной обработки защищает субъектов от решений, принимаемых исключительно на основе автоматизированной обработки данных, если такие решения порождают юридические последствия.

Право на отказ от рекламы и политической агитации позволяет субъекту требовать прекращения обработки его персональных данных в маркетинговых целях.

Право на защиту и обжалование включает возможность:

Обжаловать действия оператора в Роскомнадзоре или суде
Требовать возмещения материального ущерба
Получить компенсацию морального вреда

Право на отзыв согласия

Одним из ключевых прав субъекта является возможность отозвать согласие на обработку персональных данных. При этом оператор вправе продолжить обработку данных при наличии иных законных оснований, предусмотренных статьей 6 закона 152-ФЗ.

Обязанности операторов перед субъектами персональных данных

Операторы персональных данных несут множество обязанностей перед субъектами, главными из которых являются:

При сборе персональных данных оператор обязан:

Предоставить субъекту информацию о целях и правовых основаниях обработки
Получить согласие субъекта (при необходимости)
Сообщить о сроках обработки и хранения данных
Уведомить о правах субъекта персональных данных

Обеспечение безопасности данных включает:

Назначение ответственного за организацию обработки персональных данных
Разработку политики обработки персональных данных
Применение технических и организационных мер защиты
Ограничение доступа к персональным данным

Обязанности при обращениях субъектов

При получении запросов от субъектов персональных данных оператор обязан:

Предоставить информацию о наличии и содержании персональных данных в течение 30 дней
Внести изменения в персональные данные в течение 7 рабочих дней при подтверждении их неточности
Уничтожить данные в течение 7 рабочих дней, если они получены незаконно или не нужны для заявленных целей
Уведомить третьих лиц о внесенных изменениях или уничтожении данных

Организация работы с субъектами персональных данных

Для эффективного взаимодействия с субъектами персональных данных бизнесу следует:

Провести инвентаризацию обрабатываемых данных:

Определить все категории субъектов персональных данных в организации
Составить перечень обрабатываемых персональных данных для каждой категории
Установить правовые основания для обработки данных каждой категории
Определить сроки обработки и хранения данных

Назначить ответственных лиц:

Назначить ответственного за организацию обработки персональных данных
Определить сотрудников, имеющих доступ к персональным данным
Провести обучение персонала требованиям законодательства
Организовать контроль за соблюдением требований 152-ФЗ

Документооборот и локальные акты при работе с субъектами персональных данных

Разработать необходимые документы:

Политику обработки персональных данных
Положение об обработке и защите персональных данных работников
Согласия на обработку персональных данных
Инструкции по работе с персональными данными

Организовать процедуры реагирования на запросы:

Создать порядок приема и обработки обращений субъектов
Установить сроки и процедуры рассмотрения запросов
Подготовить шаблоны ответов на типовые обращения
Вести журнал учета обращений субъектов персональных данных

Меры безопасности

Технические меры защиты включают:

Использование средств антивирусной защиты
Применение системы разграничения доступа
Резервное копирование персональных данных
Контроль целостности персональных данных

Организационные меры предусматривают:

Ограничение состава лиц, имеющих доступ к персональным данным
Учет и хранение носителей информации с персональными данными
Контроль за действиями с персональными данными
Обучение сотрудников требованиям законодательства

Пример согласия на обработку персональных данных

Согласие на обработку персональных данных должно содержать следующие обязательные элементы:

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Я, _____________________ (Ф.И.О. полностью)

Паспорт серия _______ № _________, выдан _________________

(кем и когда выдан)

Адрес регистрации: _____________________________________

действуя свободно, своей волей и в своем интересе, а также подтверждая свою дееспособность, даю согласие ООО «_____________» (ИНН ____________, ОГРН ____________, адрес: ___________________) на обработку моих персональных данных на следующих условиях:

Перечень персональных данных, на обработку которых дается согласие:

— фамилия, имя, отчество

— дата и место рождения

— паспортные данные (серия, номер, дата выдачи, орган, выдавший документ)

— адрес регистрации и фактического проживания

— контактный телефон, адрес электронной почты

— [другие данные в зависимости от целей обработки]

Цель обработки персональных данных:

[указать конкретную цель, например: «для исполнения договора оказания услуг»]

Перечень действий с персональными данными:

сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), блокирование, удаление, уничтожение.

Срок действия согласия: до достижения цели обработки персональных данных либо до отзыва настоящего согласия.

Согласие может быть отозвано путем направления письменного заявления по адресу оператора.

Дата: __________ Подпись: _____________ Расшифровка подписи: _____________

Особенности оформления согласия

При составлении согласия важно учитывать:

Конкретность целей — избегать общих формулировок типа «для повышения качества обслуживания»
Соответствие перечня данных целям — не запрашивать избыточную информацию
Четкие сроки действия — указать конкретный срок или условия прекращения обработки
Способ отзыва согласия — обязательно указать порядок отзыва согласия

Автоматизация под ключ
— экономьте время и ресурсы

Подберем CRM, ERP или систему электронного документооборота под ваши задачи.

Оставьте заявку — расскажем о решениях, которые окупятся в первые месяцы использования.

Ответственность за нарушения прав субъектов персональных данных

Административная ответственность

С 30 мая 2025 года действуют значительно увеличенные штрафы за нарушения в области персональных данных:

За незаконную обработку персональных данных:

Граждане: 10 000 — 15 000 рублей (при повторном нарушении 15 000 — 30 000 рублей)
Должностные лица: 50 000 — 100 000 рублей (при повторном нарушении 100 000 — 200 000 рублей)
Организации: 150 000 — 300 000 рублей (при повторном нарушении 300 000 — 500 000 рублей)

За обработку без письменного согласия:

Граждане: 10 000 — 15 000 рублей (при повторном нарушении 15 000 — 30 000 рублей)
Должностные лица: 100 000 — 300 000 рублей (при повторном нарушении 300 000 — 500 000 рублей)
Организации: 300 000 — 700 000 рублей (при повторном нарушении 1 000 000 — 1 500 000 рублей)

Особо крупные штрафы за утечки

За утечку персональных данных 1 000 — 10 000 субъектов:

Организации: от 3 до 5 миллионов рублей

За утечку персональных данных более 100 000 субъектов:

Организации: от 10 до 15 миллионов рублей

За утечку биометрических персональных данных:

Организации: от 15 до 20 миллионов рублей

Уголовная ответственность

С 11 декабря 2024 года введена уголовная ответственность за незаконные действия с персональными данными (статья 272.1 УК РФ):

За незаконное использование, сбор и хранение персональных данных:

Штраф до 300 000 рублей
Принудительные работы до 4 лет
Лишение свободы до 4 лет

За действия с биометрическими данными или данными несовершеннолетних:

Штраф до 700 000 рублей
Принудительные работы до 5 лет
Лишение свободы до 5 лет

Контроль и проверки Роскомнадзора

Виды проверок

Роскомнадзор осуществляет контроль за соблюдением прав субъектов персональных данных через различные виды проверок:

Документарные проверки — запрос и анализ документов без посещения организации

Выездные проверки — инспекция непосредственно в организации с осмотром помещений и оборудования

Контрольные мероприятия без взаимодействия — мониторинг сайтов и интернет-ресурсов

Основания для внеплановых проверок

Роскомнадзор может провести внеплановую проверку в следующих случаях:

Более 10 жалоб на организацию в течение календарного года
Предоставление неправдивой информации в ответ на запросы РКН
Утечка персональных данных в интернете
Неустранение ранее выявленных нарушений

Подготовка к проверке Роскомнадзора

Документы, которые может запросить Роскомнадзор:

Политика обработки персональных данных
Перечень лиц, имеющих доступ к персональным данным
Согласия субъектов на обработку персональных данных
Приказ о назначении ответственного за обработку ПД
Журналы учета обращений субъектов персональных данных

Рекомендации по подготовке к проверке:

Провести внутренний аудит соответствия требованиям 152-ФЗ
Актуализировать локальные нормативные акты
Проверить наличие и актуальность согласий на обработку ПД
Организовать обучение сотрудников требованиям законодательства
Подготовить процедуры реагирования на обращения субъектов

Понимание концепции субъекта персональных данных является фундаментальным для любой организации, работающей с информацией о физических лицах. Субъект персональных данных это не просто юридический термин, а живой человек с конкретными правами, которые защищаются российским законодательством.

Кто относится к субъектам персональных данных ответ охватывает всех физических лиц, чья информация обрабатывается операторами — от сотрудников и клиентов до посетителей и участников мероприятий. При этом что значит субъект персональных данных в практическом смысле — это необходимость обеспечения высокого уровня защиты прав этих лиц.