Передавать персональные данные третьим лицам можно, но не произвольно: нужно либо согласие субъекта данных на конкретную передачу, либо прямое основание в законе - например, обязанность сдавать отчетность в налоговую. Если такого основания нет и согласие не получено, передача данных - нарушение 152-ФЗ независимо от того, кому и зачем вы их отдали.
Здесь важно различать два разных случая. Поручение обработки подрядчику - бухгалтерии на аутсорсе, службе доставки, IT-компании, которая обслуживает вашу CRM - оформляется договором поручения обработки персональных данных, где подрядчик обязуется соблюдать те же требования закона, что и вы. Отдельного согласия клиента на каждого такого подрядчика обычно не требуется, если в вашей собственной политике обработки данных заранее указано, что вы вправе привлекать подрядчиков для обработки. А вот передача данных независимой третьей стороне для ее собственных целей - партнеру для рекламы, другой компании для продажи ей вашей базы - это уже распространение, и здесь без отдельного согласия не обойтись.
На практике: в политике обработки персональных данных на сайте пропишите, что вы вправе передавать данные подрядчикам для целей обработки заказа - бухгалтерии, курьерской службе, платежному агрегатору. С каждым таким подрядчиком должен быть договор, где зафиксированы условия обработки и обязанность соблюдать конфиденциальность. Если же вы захотите передать базу клиентов кому-то за пределами этой цепочки, нужно получать отдельное согласие именно на такую передачу.