Имеет ли право интернет-ресурс передавать мои данные посторонним людям?

Здравствуйте, Надежда.
Ваш вопрос носит, в большей мере, этический характер, нежели юридический.
Все зависит от того, как далеко вы готовы зайти, отставая свои права.
Сообщите фирме, что они могут воспользоваться своим правом и передать в деканат сведения о том, что вы обратились к ним за помощью, но так и не воспользовались ею. Это ваш главный аргумент.
Сообщите фирме, что вы в свою очередь, если они обратятся в деканат, обратитесь в налоговую службу и инициируете налоговую проверку по ведению их финансово-хозяйственной деятельности.
А также обратитесь в Управление Роскомнадзора по Челябинской области,
находящегося по адресу: 454080, г. Челябинск, ул. Энгельса, д. 44-Д

Телефон (351) 240-11-44

Сайт 74.rkn.gov.ru/

Email rsockanc74@rkn.gov.ru
Персональные данные – это любая информация, которая прямо или косвенно относится к физическому лицу (п. 1 ст. 3 Федерального закона от 27 июля 2006 г. № 152-ФЗ, далее – Закон № 152-ФЗ).

Персональные данные делятся на три вида:
1) общие;

2) специальные;

3) биометрические.
Приходя в организацию, Роскомнадзор обязательно проверит (п. 5–5.3 Административного регламента, утвержденного приказом Минкомсвязи России от 14 ноября 2011 г. № 312:

1) документы, в которых содержатся или могут содержаться персональные данные;

2) информационные системы персональных данных;

3) деятельность по обработке данных.

Не думаю, что после общения с вами требования фирмы о возврате денег продолжатся.