Согласие нужно потому, что сам факт добровольной передачи данных не делает их обработку законной по 152-ФЗ - закон требует отдельного правового основания на каждую операцию с данными, и согласие субъекта - самое универсальное из них. Банк обрабатывает ваши данные не только для оформления конкретного кредита: он передает их в бюро кредитных историй, проверяет через собственные и внешние базы, может использовать для скоринга и последующих предложений - и на каждую такую цель нужно четкое основание.
Часть обработки банк действительно вправе вести без отдельного согласия - когда это прямо необходимо для исполнения договора, стороной которого вы являетесь (например, передача данных в бюро кредитных историй при выдаче кредита прямо предусмотрена отдельным законом). Но как только банк хочет использовать данные шире - для маркетинговых рассылок, скоринга по внешним источникам, передачи партнерам - без вашего согласия это уже нарушение.
Именно поэтому в форме обычно два разных документа: кредитный договор, где данные нужны для самой сделки, и согласие на обработку персональных данных, которое расширяет основания и снимает вопросы к дальнейшему использованию данных. Если банк использует ваши данные способом, который в согласии не прописан - например, передает третьим лицам без указания на это - вы вправе запросить, на каком основании это происходит, и при нарушении обратиться в Роскомнадзор.
Для банка отсутствие такого согласия там, где оно обязательно, - прямой риск: штраф по статье 13.11 КоАП РФ, а с 2025 года суммы для юрлиц выросли существенно, отдельно ужесточена ответственность за утечки.