未经用户明确同意，工作人员拿着用户手机操作是不合法的。针对这一问题，我们可以从以下几个方面进行分析：

一. 侵犯个人隐私权

1. 法律依据：根据《中华人民共和国民法典》第一千零三十二条，自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。
2. 具体分析：工作人员在用户不知情或未明确同意的情况下，拿着用户手机进行操作，很可能涉及到查看、使用或传输用户个人信息，这种行为构成了对他人隐私权的侵犯。

二. 可能构成非法获取、使用个人信息

1. 法律依据：根据《中华人民共和国网络安全法》第四十四条，任何个人和组织不得窃取或者以其他非法方式获取个人信息，非法出售或者非法向他人提供个人信息。
2. 具体分析：如果工作人员在操作用户手机时，非法获取、使用了用户的个人信息，如银行账号、密码等，那么这种行为就违反了网络安全法的规定。

三. 违反银行业务操作规范

1. 一般原则：银行业务操作应当遵循合法、合规、客户自愿等原则。
2. 具体分析：工作人员在用户未明确授权的情况下操作其手机，很可能违反了银行的内部操作规范，甚至可能构成对银行职责的滥用。

综上所述，未经用户明确同意，工作人员拿着用户手机操作是不合法的，这种行为可能侵犯用户的隐私权，构成非法获取、使用个人信息，同时违反银行业务操作规范。我建议银行及工作人员应严格遵守相关法律法规和职业道德，确保用户信息的安全和隐私。如有进一步需要，您可以继续咨询我。