根据中国现行法律法规及司法实践，银行向第三方催收公司提供客户个人信息的行为是否合法，需结合具体情形判断，主要涉及个人信息保护、合同约定及催收行为合规性等方面。以下是综合分析：
一、合法性判断依据
1. 客户授权与合同约定
合法前提：若银行在客户申请贷款或信用卡时，通过合同条款明确告知“可能委托第三方催收机构处理逾期债务”，并取得客户明示同意（如签字确认），则属于合法授权。例如，招商银行等机构在信用卡领用合约中明确约定可委托第三方催收。
违法情形：若银行未在合同中说明委托第三方催收的条款，或未明确告知客户个人信息将被共享给第三方，则可能构成未经授权的信息泄露，违反《个人信息保护法》和《民法典》。
2. 信息提供范围与必要性
银行需遵循“最少、必要”原则，仅向第三方催收机构提供与催收直接相关的必要信息（如身份信息、联系方式、欠款金额等），不得泄露无关信息（如资产状况、社交关系等）。
若银行超范围提供信息（如通讯录、亲属信息等），可能被认定为违法。例如，某案例中法院认定小贷公司向第三方催收机构提供债务人亲友信息，构成名誉侵权。
二、潜在违法侵权风险
1. 隐私权与个人信息侵权
若催收公司通过骚扰债务人的亲友、同事等第三方施压，或公开债务信息（如短信提及欠款详情），可能侵犯债务人隐私权及个人信息权。例如，某法院判决网贷平台因向第三方泄露欠款人信息并导致骚扰，需赔偿精神损害抚慰金。
根据《民法典》第1032条，未经同意向第三方披露债务信息，即使信息真实，也可能构成对“私人生活安宁”的侵害。
2. 名誉权侵权
催收公司若通过编造“恶意拖欠”“涉嫌诈骗”等不实信息向第三方传播，导致债务人社会评价降低，可能构成名誉权侵权。例如，某法院判决小贷公司因发送诽谤性短信需公开道歉。
三、银行与第三方催收机构的责任划分
1. 银行的监督义务
银行需对第三方催收机构进行资质审核，签订协议明确合规要求（如禁止暴力催收、限制联系第三方等），并定期监督其行为。若银行未尽监督责任，需承担连带侵权责任。
案例显示，银行因委托的第三方催收公司骚扰债务人亲友，被法院判定需承担赔偿责任。
2. 第三方催收的合规边界
合法催收方式：通过电话、信函提醒债务人本人，或在合理时间联系紧急联系人（需合同中约定）。
违法催收行为：包括频繁骚扰、威胁恐吓、泄露债务信息给无关第三方等。债务人可据此向银投诉或提起诉讼。
四、司法实践与监管趋势
1. 典型案例参考
杨女士诉某花公司案：法院认定网贷平台向第三方催收机构提供个人信息构成侵权，判决书面道歉及赔偿精神损害抚慰金。
纪某诉小贷公司案：法院认定向第三方发送诽谤性催收短信构成名誉侵权，要求公开道歉。
2. 监管强化方向
2024年《互联网金融贷后催收业务指引》明确要求金融机构不得委托有暴力催收记录的第三方机构，并需公开合作机构名单。
银规定，银行需确保第三方催收机构不得联系与债务无关的第三方。
五、债务人的救济途径
1. 投诉与举报
向银行客服或银投诉违规催收行为，要求停止侵权并整改。
向通信管理局或网信办举报骚扰电话、短信。
2. 诉讼维权
收集证据（如催收录音、短信截图等），以隐私权、名誉权侵权为由起诉银行或第三方催收机构，主张赔礼道歉、赔偿损失。
申请法院禁止令，要求停止骚扰行为。
银行向第三方催收公司提供客户个人信息是否合法，关键取决于是否获得有效授权、信息范围是否必要，以及催收行为是否合规。若操作不当，可能构成隐私侵权或名誉侵权。债务人可通过法律途径维权，而银行需加强第三方机构管理以规避法律风险。