Законно или незаконно?

Привлекаются банки время от времени к административной ответственности за подобное условие. См., например, Постановление Девятого арбитражного апелляционного суда от 20.05.2014 N 09АП-13880/2014 по делу N А40-106510/13, Постановление Тринадцатого арбитражного апелляционного суда от 09.07.2013 по делу N А26-11387/2012.

Там именно так указано. Ни случаев передачи, ни более конкретных оснований нет. Возможность злоупотреблений имеется. Особенно, если учесть, что статьи о банковской тайне мертвые.

Или вот, к примеру:

Постановление Арбитражного суда Уральского округа от 24.03.2015 N Ф09-194/15 по делу N А60-21788/2014
Ввиду того, что условие анкеты-заявления и соглашения изложены банком таким образом, что у гражданина отсутствует возможность выражения согласия или отказа от передачи персональных сведений третьим лицам, суд признал, что банком нарушены ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ст. ст. 388, 857 ГК РФ, ст. 26 Федерального закона от 02.12.1990 N 395-1, в соответствии с которыми банк должен обеспечить сохранность персональных данных клиента и не осуществлять распространение сведений без его согласия.

В любом договоре присоединения возможность повлиять на его содержание отсутствует.