Передача данных коллекторам законна, если в согласии на обработку персональных данных или в договоре займа изначально прописана возможность передачи данных третьим лицам для целей взыскания задолженности. Без этого условия передача формально выходит за пределы цели, на которую человек давал согласие, и это первое, что проверяет Роскомнадзор.
Дальше важно, в какой роли выступает коллектор. Если он действует по вашему поручению - обзванивает должников от вашего имени, но данные остаются вашими, - оформляется договор поручения обработки: в нем прописывается, какие именно данные передаются, для какой цели, какие меры защиты обязан обеспечить коллектор и что он не вправе использовать данные для других целей. Если же долг продается по договору уступки права требования, коллектор становится самостоятельным оператором, и должника нужно уведомить о смене кредитора.
На практике передавайте только данные, необходимые для взыскания конкретного долга (ФИО, контакты, сумма и основание задолженности), а не всю анкету клиента с историей платежей за все годы. И проверьте, что у самого агентства подано уведомление в Роскомнадзор как у оператора персональных данных - работа с партнером, который обрабатывает данные «вчерную», создает риск и для вас как для источника передачи.