Запрос прокуратуры в рамках ее надзорных полномочий обязателен к исполнению, и предоставление персональных данных по такому запросу законно без согласия субъектов - 152-ФЗ разрешает обработку и передачу данных, когда это необходимо для выполнения полномочий государственного органа, установленных законом. Отказать со ссылкой на конфиденциальность клиентов нельзя.
Ответ оформляется письмом на бланке организации за подписью руководителя, с прямой ссылкой на входящий номер и дату запроса прокуратуры. В тексте указывается, какие именно сведения предоставляются, и они прикладываются в объеме, который реально запрошен - не больше и не меньше, лишние персональные данные передавать не нужно, даже если они есть в той же базе.
Срок ответа обычно указан в самом запросе, соблюдать его нужно точно, а при необходимости продления стоит письменно попросить об этом прокуратуру заранее, а не просто затянуть с ответом. Если запрос кажется избыточным по объему или сформулирован нечетко, уточнить его можно тем же официальным письмом, не отказывая при этом в принципе.
Для собственной защиты стоит зафиксировать факт передачи данных внутренним документом - кто, кому, на каком основании и в каком объеме передал сведения, с приложением копии запроса и ответа. Это пригодится, если впоследствии кто-то из клиентов спросит, почему его данные оказались у третьей стороны.