人脸识别在符合法定条件的情况下，能够作为职工出勤的依据。以下是对此问题的详细分析：

1. 合法性前提：

   • 根据《中华人民共和国民法典》第一千零三十四条及《中华人民共和国个人信息保护法》的相关规定，自然人的个人信息（包括生物识别信息如人脸信息）受法律保护。单位在处理员工的人脸信息时，必须遵循合法、正当、必要的原则，并获得员工的明确同意。
   • 特别地，《中华人民共和国个人信息保护法》第二十九条规定，处理敏感个人信息（如人脸信息）应当取得个人的单独同意。这意味着，单位不能仅通过一般性的同意条款来收集和使用员工的人脸信息，而需要就人脸识别考勤这一具体事项获得员工的单独同意。

2. 员工同意的必要性：

   • 单位需以显著方式、清晰易懂的语言向员工告知处理人脸信息的目的、方式、种类、保存期限等，并取得员工的单独同意。这种同意最好是明确的书面形式，但也可通过员工在知晓相关信息后正常使用考勤系统的行为来认定默示同意（尽管默示同意可能存在法律风险，建议尽量采用书面形式）。
   • 员工同意应涵盖单位对人脸信息的收集、存储、使用及可能的共享情况，且这些处理活动应仅限于考勤管理这一正当业务需求。

3. 信息处理规则的公开与遵守：

   • 单位应采用显著方式公开其处理人脸信息的全部规则，确保员工能够充分了解并同意这些规则。
   • 单位在实际操作中应严格遵守已公开的处理规则，不得擅自变更或扩大处理范围。例如，如果单位最初仅告知员工人脸信息将用于考勤，那么就不能未经员工同意将其用于其他目的，如监控员工行为或分享给第三方。

4. 信息安全保障：

   • 单位应采取加密、访问控制等技术措施，确保人脸信息的安全存储与传输。例如，使用安全的服务器和数据库来存储人脸信息，并限制对信息的访问权限。
   • 除技术措施外，单位还应建立健全的信息安全管理制度，定期审计与检查，及时发现并纠正安全隐患。例如，定期对考勤系统进行安全评估，确保没有漏洞被利用来窃取或篡改人脸信息。

5. 不合法的情况与法律责任：

   • 如果单位未获员工同意即私自安装人脸识别设备进行考勤，将侵犯员工的隐私权和个人信息权益，构成违法。员工有权要求单位停止侵权行为，并可能获得赔偿。
   • 如果单位将人脸信息用于考勤之外的其他目的（如商业用途或泄露给第三方），同样属于违法行为。单位可能面临行政处罚和民事赔偿的责任。
   • 如果因单位疏忽导致人脸信息泄露，给员工造成损失，单位也需承担相应的法律责任。这包括赔偿员工的直接损失和可能的间接损失，如因信息泄露导致的名誉损害等。

建议：

• 对于单位而言，在采用人脸识别考勤前，应确保获得员工的明确同意，并公开处理人脸信息的规则。同时，加强信息安全保障措施，防止信息泄露和滥用。
• 对于员工而言，如果对单位的人脸识别考勤有疑虑或担忧，可以要求单位提供详细的处理规则和安全保障措施说明。如果认为自己的权益受到侵害，可以向相关部门投诉或寻求法律援助。

如有任何疑问或需要进一步的法律帮助，请直接向我咨询。