В законе Нидерландов дефиниция не детализируется и не поясняется с помощью примеров или перечислений составных элементов, поэтому носит абстрактный характер. Однако из последующего текста Закона можно вывести отдельную категорию «особых» («чувствительных») и «непрямых чувствительных данных». В российском законе они соответствуют специальным категориям персональных данных. Под чувствительными – точнее, особо выделенными персональными – данными закон Нидерландов подразумевает данные о религии, жизненной философии, расе, политических убеждениях, здоровье, сексуальной жизни и членстве в профсоюзе, обращение с которыми требует более строгого режима (что совпадает с определением специальных персональных данных в российском законе). В ст. 16 закона устанавливается прямой общий запрет на обработку «особых персональных данных».

В законе Нидерландов определение персональных данных, как и в России, носит максимально широкий характер, что, по мнению исследователей, является, скорее, недостатком, чем достоинством.

Как отмечают комментаторы российского закона о персональных данных, «при буквальном толковании (применяемом в правоприменительной практике по умолчанию) рассматриваемой нормы к понятию “персональные данные” можно отнести широкий круг информации, в том числе выходящий за рамки разумно ожидаемого в данном контексте. В частности, в нем нет указания на связь между информацией и прямой или косвенной определенностью или “определяемостью” физического лица. Соответственно, отсутствует однозначное понимание того, в каких случаях собираемые и обрабатываемые данные будут относиться к персональным, а в каких – нет». Поэтому члены специальной рабочей группы, созданной по инициативе Роскомнадзора для обсуждения данного вопроса, согласились в том, что, «если совокупность данных необходима и достаточна для идентификации лица, такие данные следует считать персональными данными, даже если они не включают данные документов, удостоверяющих личность. При этом данные нельзя считать персональными в том случае, если без использования дополнительной информации они не позволяют идентифицировать физическое лицо. Изложенный подход допустимо рассматривать как учитывающий баланс интересов всех участников отношений»81.

Рабочая группа также обратила внимание на не вполне ясную природу идентификатора персональных данных (что делает его таковым – однозначное формальное определение в качестве идентификатора или фактическая возможность идентифицировать субъекта данных) и пришла к выводу о затруднительности формулирования адекватного (менее широкого) определения персональных данных.

Согласно ст. 1 нидерландского закона «субъект данных» означает лицо, к которому относятся персональные данные. В российском же законе данный термин поясняется косвенно через определение понятия персональных данных, что, возможно, не совсем верно, так [81] как это ключевое понятие в законе, направленном на защиту его прав.

Что касается прав субъекта персональных данных, то они связаны с предоставлением ему юридической возможности контролировать обращение со своими данными. Право контроля в первую очередь обосновано его условным согласием на их последующую обработку (условным, т. е. не абсолютным, а ограниченным заявленными целями и объемами) и возможностью отозвать это согласие в случае нарушения порядка обработки или потребовать его соблюдения.

Это ключевое положение в законе, реализация которого требует установления соответствующих обязанностей других субъектов закона, прежде всего оператора. Так как субъект данных доверяет управление своими данными на определенных условиях, закон возлагает обязанность на оператора по информированию об изменениях условий обработки данных. Поэтому информация о произошедшем или возможном инциденте должна быть сообщена субъекту данных в любом случае, и это требование стало одним из последних в регулировании рассматриваемой области.