Что такое предоставление персональных данных?

Предоставление персональных данных - это раскрытие данных конкретному, заранее известному лицу или ограниченному кругу лиц: партнёру, подрядчику, госоргану по запросу. Определение дано в пункте 6 статьи 3 закона №152-ФЗ. Ваш случай - передача списка клиентов партнёру для акции - это именно предоставление, а не распространение: получатель один и конкретный, и данные не становятся доступны всем подряд.

Отличие от распространения принципиальное. Распространение - это раскрытие данных неопределённому кругу лиц: публикация на сайте, в открытом каталоге, в соцсетях. Для него с 2021 года по статье 10.1 закона нужно отдельное письменное согласие, которое явно перечисляет, что и где публикуется. Предоставление конкретному получателю регулируется общими правилами статьи 6: нужно законное основание, например согласие или исполнение договора, но не обязательно отдельная бумага именно про распространение.

Проблема в вашей ситуации в другом: клиенты давали согласие на обработку данных для оформления и доставки заказов, а передача списка партнёру ради совместной акции - это уже новая цель, которая в исходное согласие не входила. На такую передачу нужно отдельное основание: либо явное согласие каждого клиента конкретно на предоставление данных партнёру для этой акции, либо построить акцию так, чтобы партнёр вообще не получал сырой список - например, рассылку делаете вы сами от своего имени по своей базе, а партнёр только предоставляет условия акции.

Если решите собирать отдельное согласие, зафиксируйте в договоре с партнёром цель передачи, срок использования данных и обязанность уничтожить или вернуть список после акции - это защищает и вас как оператора. Передача контактов без должного основания - одна из самых частых причин жалоб в Роскомнадзор: клиенты быстро замечают, когда с ними связывается компания, которой они данные не давали.