в который они могут включать что угодно
По закону в договор можно включить что угодно. Но если пункт как-то противоречит законам РФ, то весь пункт договора считается ничтожным (т.е. его будто не существует с точки зрения закона).
К слову, меня удивляет что за корявые противозаконные договора, нет наказания. Закон видя эти вещи сразу "я ничо не видел, бебебе, ничо не слышал".
Однако, даже если каким то образом узаконить факт передачи данных. То вот факт обладания этими данными, кем-то без личного разрешения - это уже айайай.
На сколько мне известно, пока только банки с коллекторами умудрились обойти этот момент. И то, вроде как за счёт только того, что коллекторское агентство считается аффилированным лицом или вовсе является департаментом банка по бумагам.