Передача данных сотрудников подрядчику - банку, расчетному центру, медцентру для медосмотров - законна, если оформлена как поручение на обработку персональных данных: письменный договор с третьим лицом, где прописаны цель обработки, перечень передаваемых данных, обязанность соблюдать конфиденциальность и меры защиты. Отдельного согласия сотрудника на такую передачу обычно не нужно, если она укладывается в цель, ради которой данные собирались изначально - выплату зарплаты.
Что стоит проверить в первую очередь:
- в договоре с подрядчиком есть отдельный пункт про обработку персональных данных, а не только про саму услугу;
- перечень передаваемых данных ограничен тем, что реально нужно подрядчику - банку для зарплатного проекта не нужны, например, данные о здоровье;
- сотрудников письменно уведомили, что их данные обрабатывает конкретный подрядчик - это отдельное требование, не то же самое, что согласие;
- если подрядчик находится за границей, отдельно проверьте требование о локализации: база данных сотрудников должна оставаться на серверах в России.
Если такого договора с банком или расчетным центром пока нет либо он написан только про услугу без слова про персональные данные - это и есть первое, что стоит закрыть, прежде чем разбираться с остальным.