Здравствуйте Татьяна.
Нет не могут, это персональные данные и если согласия на их обработку и передачу не давалось, это нарушение федерального законодательства.
Статья 13.11 КоАП РФ:
1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных
влечет предупреждение или наложение административного штрафа на граждан в размере от одной тысячи до трех тысяч рублей; на должностных лиц — от пяти тысяч до десяти тысяч рублей; на юридических лиц — от тридцати тысяч до пятидесяти тысяч рублей.