Формального деления на категории закон не дает - субъект персональных данных это любой человек, к которому относятся обрабатываемые сведения: клиент, сотрудник, посетитель сайта, представитель контрагента, кандидат на вакансию. Но на практике правила действительно отличаются в зависимости от того, кто перед вами и в каких отношениях с оператором состоит.
Для сотрудников действуют одновременно 152-ФЗ и глава 14 Трудового кодекса: часть данных можно обрабатывать без отдельного согласия, потому что это прямо нужно для трудовых отношений (оформление, начисление зарплаты, кадровый учет), а для остального - например, для добровольного медицинского страхования или фото на сайте компании - согласие все равно требуется.
Для клиентов и посетителей сайта основанием обычно служит согласие или заключаемый договор: при заказе или регистрации человек соглашается на обработку своих данных для конкретной цели, и выходить за ее пределы нельзя.
Отдельная категория - несовершеннолетние и недееспособные лица: за них согласие на обработку дает законный представитель (родитель, опекун), а не сам субъект. И есть специальные категории данных - о здоровье, судимостях, биометрия, - для которых нужны более строгие условия обработки независимо от того, кто именно субъект: клиент, сотрудник или кандидат.