Передача персональных данных третьим лицам - курьерской службе, бухгалтерии на аутсорсе, IT-подрядчику - законна, если у вас есть согласие субъекта на такую передачу и с получателем данных заключен договор, где прописаны цель передачи, состав данных и обязанность получателя соблюдать конфиденциальность. Без этих двух условий передача - нарушение 152-ФЗ независимо от того, произошла ли впоследствии утечка.
Юридически это называется поручением обработки персональных данных - вы остаетесь оператором и отвечаете перед клиентом и Роскомнадзором, а курьерская служба обрабатывает данные от вашего имени и в ваших целях. В договоре с ней нужно прямо прописать: какие данные передаются, для какой единственной цели (доставка заказа), запрет использовать их для чего-то еще, обязанность уничтожить данные после выполнения заказа и меры защиты, которые курьерская служба обязана соблюдать.
Согласие клиента на обработку должно упоминать возможность передачи данных третьим лицам для доставки - без этого условия даже подписанное согласие не покрывает передачу курьеру. Если этого не сделать, при проверке или жалобе клиента компанию накажут по статье 13.11 КоАП: штрафы для юрлиц с 30 мая 2025 года выросли до нескольких сотен тысяч рублей, а при повторном нарушении возможны оборотные штрафы, привязанные к выручке. Проще один раз оформить типовой договор с курьерской службой и обновить форму согласия, чем разбираться с этим после жалобы.