Кто такой субъект персональных данных

Субъект персональных данных — юридическое обозначение человека, с которым связана информация. Пункт 1 ст. 3 152-ФЗ связывает это понятие с физическим лицом. Ответ на вопрос, кто является субъектом персональных данных, нужно искать среди людей, о которых имеются сведения. Само название организации или информационной системы не делает их субъектами: закон говорит именно о человеке.

Чтобы понять, что значит субъект персональных данных, полезно начать с самих сведений. По п. 1 ст. 3 152-ФЗ это может быть любая информация, относящаяся к человеку, которого уже определили или могут определить. Здесь существенна связь информации с конкретным лицом. Определение не сводится к одному заранее названному виду сведений: оно охватывает информацию через возможность понять, к кому она относится.

Причём установить человека можно не только прямо, но и косвенно. Отсутствие имени само по себе ещё не отвечает на вопрос, есть ли субъект персональных данных. Нужно учитывать, позволяют ли сведения определить человека иным способом. Если информация обозначена условно, но её принадлежность человеку можно установить с помощью дополнительных сведений, одного условного обозначения недостаточно, чтобы сделать вывод о невозможности его определения.

Кто относится к субъектам персональных данных, а кто — к операторам? Разница состоит в роли лица по отношению к сведениям. Субъект — тот, о ком информация. Оператор, согласно п. 2 ст. 3 152-ФЗ, организует или осуществляет обработку и определяет её цели, состав данных и действия с ними. Оператором может быть и физическое лицо. Само слово «человек» ещё не описывает его роль в конкретной обработке: нужно выяснить, о чьих данных идёт речь и кто распоряжается процессом.

Слово «обработка» тоже имеет широкое значение. Пункт 3 ст. 3 152-ФЗ относит к ней, в частности, сбор, хранение, использование и удаление сведений. Человек остаётся тем, к кому относятся данные, независимо от того, какое из этих действий совершается. Для понимания, что означает субъект персональных данных, не требуется сводить обработку только к передаче информации: хранение также входит в это понятие.

Отдельно ст. 3 152-ФЗ определяет обезличивание. По п. 9 после него без дополнительной информации нельзя установить, какому конкретному субъекту принадлежат сведения. Это помогает понять отличие обезличивания от простого отсутствия имени в записи: определение закона обращено к возможности установить принадлежность данных человеку. Субъект и запись о нём — разные вещи, а связь между ними позволяет понять, о ком именно идёт речь.