Пришли спросить про бывшего

Считаю, что в целом, нормальная практика, но оказалось, что просто так давать такие сведения - незаконно, потому что персональные данные, а у нас подписано соглашение по ПД с каждым сотрудником и контрагентом. Не дал.

Даже подтверждение "да, работал" - уже информация о конкретном физлице. Как надо?

1) Попросить официальный письменный запрос С корпоративной почты компании, с ФИО HR, должностью, телефоном, ИНН/сайтом компании, основанием запроса.

2) Попросить согласие самого сотрудника Причём не устное, а нормальное согласие, где указано: кому можно передавать сведения, какие именно сведения и с какой целью. По 152-ФЗ оператор должен иметь возможность доказать наличие согласия.

3) Отвечать только в пределах согласия Например: период работы, должность. Не обсуждать зарплату, причины увольнения, конфликты, дисциплинарные взыскания, личные качества, здоровье и прочее.

4) Не давать эмоциональных или оценочных характеристик Фразы типа "ненадёжный", "плохо работал" могут создать отдельный риск по защите чести, достоинства и деловой репутации, если сотрудник сочтёт сведения порочащими. По ст. 152 ГК РФ гражданин может требовать опровержения порочащих сведений, если распространивший их не докажет соответствие действительности.

В итоге вот так ответил, жду что скажут:

Спасибо за обращение. Мы не предоставляем сведения о бывших сотрудниках по телефону и не можем подтвердить вашу личность как представителя работодателя. Направьте, пожалуйста, официальный запрос с корпоративной почты вашей компании и приложите письменное согласие кандидата на передачу конкретных сведений. После этого мы сможем рассмотреть запрос и дать ответ в пределах согласия и закона о персональных данных.