Что такое передача персональных данных?

Передача персональных данных - это предоставление доступа к ним третьей стороне: подрядчику, курьерской службе, платёжному сервису, зарубежному хостингу. Это один из видов обработки данных по статье 3 закона №152-ФЗ, и для неё нужно законное основание - либо согласие субъекта, либо другая причина из статьи 6, например исполнение договора с самим клиентом.

Ваш случай - курьер и платёжный сервис - как раз подпадает под "исполнение договора": клиент сам заказал доставку и оплату, и передача его данных этим сервисам нужна, чтобы заказ вообще состоялся. Отдельное согласие на такую передачу формально не требуется, если она прямо следует из цели, ради которой клиент оставил данные. А вот если вы захотите передать те же данные, скажем, партнёру для рекламной рассылки - это уже другая цель, и тут нужно отдельное согласие.

Разделяют внутреннюю передачу (между отделами одной компании - формально тоже обработка, но без отдельного согласия), передачу третьим лицам (подрядчикам, партнёрам) и трансграничную - за пределы России. Для трансграничной передачи в некоторые страны нужно отдельно уведомлять Роскомнадзор, у нас есть подробный разбор именно этой темы в статье про трансграничную передачу данных.

На практике с каждым подрядчиком, который получает доступ к данным клиентов - курьерской службой, платёжной системой, хостингом, - стоит зафиксировать в договоре пункт о том, что он обрабатывает данные по вашему поручению и отвечает за их сохранность. Это требование статьи 6, и оно же защищает вас: если утечка произойдёт на стороне подрядчика, у вас будет документ, что ответственность предусмотрели заранее.