Wyciąganie danych osobowych

Witam
Zauważyłem błąd w działaniu strony Orange on-line. Zgłosiłem go do BOK-u z zapytaniem czy i kiedy go usuną. W odpowiedzi otrzymałem zapytanie o imię, nazwisko, PESEL, serię i numer dowodu osobistego, nr telefonu, PUK, adres. Zdziwiony zapytałem po co im to. Nie chciałem żadnych danych dotyczących konta, środków czy czegokolwiek z danych poufnych (tylko zgłosiłem błąd). Stwierdzili, że chcą zweryfikować moje dane i znowu: podać adres, dowód, Pesel, .... Ja na to, że nigdy im takich danych nie udostępniałem (mam telefon na kartę), więc nie mają ich z czym weryfikować. Oni jednak dalej: bez tych danych korespondencji nie będzie.
A miałem tylko pokazać błąd w ich systemie, żeby mogli go naprawić.
I teraz pytanie: Czy takie wyciąganie szczegółowych danych (jakby chcieli ze mną umowę podpisać) jest legalne?
Pozdrawiam