Здравствуйте. К персональным данным может быть отнесена любая информация о гражданах, в том числе и о финансовом положении, включая сведения о зарплате (Письмо Роскомнадзора от 07.02.2014 N 08КМ-3681). На основании ст. 7 Федерального закона О персональных данных операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Таким образом, работодатель не вправе передавать персональные данные работников без их согласия третьим лицам, за исключением случаев, когда это предусмотрено трудовым законодательством и иными федеральными законами Российской Федерации.
Статья 17 Закона о персональных данных. Право на обжалование действий или бездействия оператора
1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
Специальный орган — Роскомнадзор. Для начала стоит обратиться с жалобой к руководству, возможно, удастся решить конфликт без привлечения сторонних инстанций. Полагаю, работодатель это оценит.