结论前置：个人企业要求退押金时上传身份证正反面是否合法，需分情况讨论，具体如下：

1. 若企业有合法依据且符合必要限度，则合法
   根据《个人信息保护法》第十三条，处理个人信息需取得个人同意，或存在“为履行合同所必需”等法定情形。若企业与用户签订的合同中明确约定退押金需核验身份（如防止冒领），且上传身份证是唯一可行方式（如无法通过其他方式验证身份），则可能被认定为合法。但企业需同时满足：

   • 明确告知用户处理目的、方式及范围（如仅用于退押金核验）；
     
   • 采取必要安全措施（如加密存储、限制访问权限）；
     
   • 不得将身份证信息用于其他目的（如营销、转卖）。
     

2. 若企业无合法依据或超出必要限度，则不合法
   若企业未在合同中约定身份核验条款，或要求上传身份证与退押金无直接关联（如要求提供身份证复印件作为“常规流程”），则可能违反《个人信息保护法》第六条（处理个人信息应当具有明确、合理的目的）及第十条（不得过度收集个人信息）。此外，若企业将身份证信息泄露或用于非法目的，还需承担《民法典》第一千零三十八条规定的侵权责任。

建议：

• 用户可要求企业说明上传身份证的具体法律依据及用途，并拒绝提供与退押金无关的信息；
  
• 若企业坚持不合理要求，用户可向当地市场监管部门或网信办投诉，或通过诉讼主张权利。
  

如有进一步疑问，可直接向我咨询具体场景下的法律风险。