Работодатель вправе запрашивать только те персональные данные, которые нужны для заключения и исполнения трудового договора: паспортные данные, ИНН, СНИЛС, документы об образовании, трудовую книжку или сведения о трудовой деятельности, а для отдельных профессий - медицинскую справку. Требовать данные о доходах родственников, кредитной истории или личных взглядах сотрудника работодатель не вправе - это выходит за рамки трудовых отношений.
Кадровая обработка данных, прямо предусмотренная Трудовым кодексом, не требует отдельного письменного согласия сотрудника - это законная обязанность работодателя вести кадровый учет. А вот для всего, что выходит за пределы обязательного пакета - фото на сайт компании, участие в корпоративных рассылках, передача данных партнерам - нужно отдельное согласие, и сотрудник вправе отказаться без последствий для трудоустройства.
Если работодатель настаивает на данных, не связанных с работой, это повод спросить, на каком основании и для какой цели их собирают. Ответ вроде «так положено» или «у всех так» не основание: цель обработки должна быть заявлена конкретно, а работодатель обязан ее объяснить. Жаловаться в таком случае можно в трудовую инспекцию или Роскомнадзор.