Субъект персональных данных - это любое физическое лицо, к которому относятся обрабатываемые данные: клиент интернет-магазина, посетитель сайта, оставивший заявку, сотрудник компании, соискатель на вакансию. Термин из статьи 3 152-ФЗ и он не привязан к конкретной роли - важно лишь то, что данные идентифицируют или позволяют идентифицировать именно этого человека.
Для бизнеса это значит: физическое лицо, чьи данные вы обрабатываете, автоматически получает права по закону - знать, какие данные о нем обрабатываются и зачем, потребовать их исправить, заблокировать или удалить, отозвать согласие в любой момент. Оператор обязан ответить на такой запрос в течение 10 рабочих дней, срок можно продлить не более чем на 5 рабочих дней.
Именно поэтому в форме согласия и в уведомлении в Роскомнадзор важно четко указывать, чьи данные вы обрабатываете, - клиенты, сотрудники, посетители сайта считаются разными категориями субъектов, и для уведомления в Роскомнадзор их стоит перечислить отдельно, а не одной общей строкой.
Не путайте субъекта с оператором: субъект - тот, чьи данные обрабатывают, оператор - тот, кто обрабатывает, то есть ваша компания или вы как ИП. От того, кто есть кто в конкретной ситуации, зависит, кто кому и что обязан по закону.