Передачей персональных данных третьим лицам закон считает любое предоставление данных за пределы организации-оператора - другой компании, подрядчику, отдельному сервису. Использование внешних платежных систем, CRM или сервисов рассылок формально тоже подпадает под это понятие, и основание для такой передачи нужно всегда, хотя не всегда требуется отдельное согласие субъекта.
Здесь стоит различать два случая. Первый - поручение обработки: подрядчик обрабатывает данные от имени и по заданию оператора, как это делает CRM, email-сервис или хостинг. Для этого закон требует договор с обязательными условиями - цель обработки, перечень допустимых действий, обязанность подрядчика соблюдать конфиденциальность. Отдельное согласие субъекта обычно не нужно, если исходное согласие на обработку уже описывает такую передачу. Второй случай - передача самостоятельному оператору, который сам решает, как обрабатывать данные, например курьерской службе. Тут нужно правовое основание, чаще всего согласие, где среди целей обработки прямо указана передача третьим лицам.
Отдельно стоит распространение - публикация данных в открытом доступе. Это не то же самое, что передача по поручению или подрядчику, и требует отдельного согласия по закону, обычное согласие на обработку тут не действует.
Практический совет: в политике конфиденциальности и в согласии стоит прямо перечислить, каким категориям третьих лиц и с какой целью передаются данные - платежным системам для оплаты, транспортным компаниям для доставки, CRM-сервису для ведения базы клиентов.