证券公司要求员工上报家属信息是否合法，需分情况讨论，关键在于信息收集的目的、范围及使用方式是否符合法律规定。具体分析如下：

1. 若信息收集与业务直接相关且必要，通常合法
   根据《个人信息保护法》第六条，处理个人信息需具有明确、合理的目的，并采取对个人权益影响最小的方式。若证券公司要求上报家属信息是为了合规管理（如防止利益冲突、关联交易审查）或履行反洗钱义务（如识别受益所有人），且仅收集与目的直接相关的最小范围信息（如姓名、身份证号、联系方式），则属于合法收集。
   例如：若员工家属是上市公司高管，公司需排查该员工是否涉及内幕交易风险，此时收集家属职业信息是合理的。

2. 若信息收集超出必要范围或用于其他目的，可能违法
   若公司要求上报与业务无关的敏感信息（如家属政治面貌、宗教信仰、健康状况），或未明确告知信息用途、保存期限及安全措施，则违反《个人信息保护法》中“告知-同意”原则（第十三条、第十四条）。此外，若公司将家属信息用于员工背景调查外的其他用途（如营销、共享给第三方），需单独获得员工或家属的明确同意，否则构成侵权。
   例如：公司要求员工上报家属的银行账户信息，或未经同意将家属联系方式提供给合作机构，均属违法。

3. 员工有权拒绝非法收集并主张权利
   若员工认为公司要求不合法，可采取以下措施：

   • 要求公司说明合法性依据：如公司无法提供合规理由或未履行告知义务，员工有权拒绝提供；
     
   • 向监管部门投诉：若公司强制收集或泄露信息，可向当地网信办、证监会或劳动监察部门举报；
     
   • 提起民事诉讼：若因信息泄露导致损失（如家属被骚扰），可要求公司承担赔偿责任。

建议：若您遇到此类要求，可先要求公司出具书面说明，明确信息用途、保存方式及保密措施。若对合法性存疑，可直接向我咨询具体场景，我会结合《个人信息保护法》《证券法》及行业合规要求为您详细分析。