Bonjour,
Difficile d'avoir une certitude absolue, mais j'ai toujours entendu/compris que non, cela n'est pas légal.
Le contrôle de référence est encadré: il faut que la personne souhaitant effectuer la prise de référence se voit communiquer, par écrit, les contacts & coordonnées des "référents", de la part du/de la candidat/e.
D'ailleurs, nombre d'entreprises, par exemple anglo-saxonnes, ont interdiction de communiquer quelque information sur leurs salariés / anciens salariés.
Mais beaucoup de références se font de manière officieuses, et on peut le comprendre d'un point de vue employeur: car les candidats/tes ont toujours une version un peu biaisée de leur parcours dans les entretiens.
Il faudrait connaître la personne qui a donc communiqué vous concernant, que vous êtes en droit de poursuivre.
Bon courage à vous
Cela dit, tout cela est bien complexe: à prouver, et on parle de subjectivité. Donc a priori, pas trop de recours facile à mettre en oeuvre. Selon moi, c'est plus une question de principes: si vous voulez vous battre pour votre honneur, alors intentez une action.