Субъект персональных данных — всегда физическое лицо, которое прямо или косвенно определено или определяемо на основании относящейся к нему информации. Юридические лица, органы власти и иные коллективные образования субъектами ПДн не признаются (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Понятие субъекта ПДн и его идентификация
Федеральный закон № 152-ФЗ определяет субъекта персональных данных исключительно как физическое лицо. Ключевой критерий — возможность идентификации: прямое определение предполагает указание фамилии, имени, отчества, паспортных данных, ИНН или СНИЛС; косвенное — установление личности через совокупность сведений, например, IP-адрес, геолокацию, cookie-файлы, биометрические параметры. Таким образом, любое физическое лицо, чьи данные позволяют выделить его из массы других людей, становится субъектом ПДн, независимо от гражданства, возраста и дееспособности. В правоприменительной практике 2024–2026 годов особое внимание уделяется расширенному толкованию «косвенной идентификации» из-за развития технологий больших данных и искусственного интеллекта: даже обезличенная информация может быть признана персональными данными, если оператор потенциально способен восстановить личность с помощью дополнительных источников.
Основные права субъекта персональных данных
Объём прав, предоставленных субъекту, закреплён в главе 3 Закона № 152-ФЗ и сохраняет актуальность с учётом поправок, вступивших в силу в 2024–2025 гг. Ключевым является то, что согласие субъекта — главное легитимное основание обработки, которое может быть отозвано в любой момент. Ниже приведён перечень фундаментальных прав, образующих правовой статус субъекта ПДн.
- Право на доступ к своим данным. Субъект вправе получить от оператора подтверждение факта обработки, состав обрабатываемых сведений, источник их получения, цели и сроки обработки, а также сведения о третьих лицах, которым данные передавались (ч. 7 ст. 14).
- Право на уточнение, блокирование и уничтожение. Если данные неполные, недостоверные, устаревшие или получены незаконно, субъект может требовать их корректировки, прекращения обработки либо удаления (ст. 20, 21). Оператор обязан реагировать в срок, не превышающий 7 рабочих дней.
- Право на отзыв согласия. Отзыв прекращает обработку, основанную на ранее данном согласии, за исключением случаев, когда закон допускает продолжение обработки без согласия (например, для исполнения договора или требований законодательства).
- Право на обжалование действий (бездействия) оператора. Жалоба может быть направлена в Роскомнадзор, прокуратуру или суд. С 2025 года расширены полномочия Роскомнадзора по блокировке незаконно обрабатываемых данных в досудебном порядке.
- Право на забвение. Применительно к поисковым системам субъект может потребовать прекратить выдачу ссылок на недостоверную, неактуальную или распространяемую с нарушением закона информацию о себе (ст. 10.3 Федерального закона «Об информации»).
- Право на защиту прав в автоматизированной обработке. Субъект вправе не соглашаться с решениями, принятыми исключительно на основании автоматизированной обработки, порождающими для него юридические последствия (ст. 16). В 2026 году это право приобретает особое значение в связи с массовым внедрением ИИ-сервисов в скоринге, подборе персонала и кредитовании.
Особенности правового статуса отдельных категорий субъектов
Законодательство предусматривает специальные правила для некоторых групп физических лиц, остающихся субъектами ПДн в полном объёме, но с особенностями реализации прав.
- Несовершеннолетние. Согласие на обработку данных ребёнка до 14 лет даёт законный представитель; с 14 лет подросток даёт согласие самостоятельно, однако оператор обязан учитывать ограничения, связанные с распространением информации о несовершеннолетних в интернете (ФЗ № 436).
- Недееспособные и ограниченно дееспособные. Их права реализуются через опекунов или попечителей. Отзыв согласия, запрос на уничтожение данных возможны только с участием законных представителей.
- Умершие лица. Смерть субъекта не прекращает защиту его данных. Права, предусмотренные ст. 14 (доступ, уточнение и др.), могут осуществляться наследниками или иными заинтересованными лицами, если иное не оговорено завещательным распоряжением в отношении цифровых активов.
Соотношение основных прав субъекта ПДн и обязанностей оператора
Для наглядного представления баланса интересов приведена таблица, демонстрирующая корреспонденцию ключевых прав субъекта и встречных обязанностей оператора по состоянию на 2026 год.
| Право субъекта ПДн | Содержание права | Обязанность оператора | Нормативное основание (статья 152-ФЗ) |
|---|---|---|---|
| Доступ к информации | Получить сведения о факте, целях, объёме обработки и перечне лиц, имеющих доступ | Безвозмездно предоставить запрашиваемую информацию в течение 10 рабочих дней | Ч. 1–7 ст. 14 |
| Уточнение данных | Потребовать внесения изменений в неполные или неточные данные | Внести исправления и уведомить всех лиц, которым данные были переданы | Ст. 20 |
| Блокирование и уничтожение | Прекратить обработку или удалить неправомерно обрабатываемые данные | Принять меры в срок до 7 рабочих дней, при невозможности — уничтожить данные | Ст. 21 |
| Отзыв согласия | В любое время отозвать ранее данное согласие | Прекратить обработку в разумный срок, если нет иных законных оснований | Ч. 2 ст. 9 |
| Защита от автоматизированных решений | Возражать против решений, принятых исключительно алгоритмами | Обеспечить участие человека в принятии решения или приостановить действие алгоритмического акта | Ст. 16 |
| Судебная защита и возмещение убытков | Требовать компенсации морального вреда и убытков | Доказать отсутствие вины (презумпция вины оператора) | Ст. 24 |
Безусловное право отозвать согласие остаётся центральным элементом контроля субъекта над собственными данными, а Роскомнадзор в 2026 году продолжает расширять практику досудебных блокировок ресурсов, игнорирующих такое требование. Стоит отметить, что несмотря на цифровую трансформацию государственных услуг и внедрение единого цифрового профиля гражданина, правосубъектность физического лица как носителя ПДн остаётся незыблемой: оператор не вправе отказывать в реализации прав, ссылаясь на автоматизированный характер взаимодействия или использование технологий распределённого реестра.