单位在发工资时要求拍摄身份证存在一定风险，这种做法并不合规且可能侵犯员工权益。以下从不同角度详细分析：

1. 法律合规性角度
   根据《中华人民共和国居民身份证法》第十七条，除公安机关依法执行职务外，任何组织或个人不得扣押居民身份证。虽然“拍摄身份证”不等同于“扣押”，但单位若要求员工提供身份证照片用于工资发放，可能涉及对身份证信息的过度收集。若单位未明确告知用途、未取得员工书面同意，或未采取必要的安全保护措施，则可能违反《个人信息保护法》中关于“合法、正当、必要”原则及“告知-同意”规则的要求。

2. 信息安全风险角度
   身份证照片包含姓名、身份证号、住址、照片等敏感信息，若单位存储或传输过程中发生泄露（如系统被黑客攻击、内部人员违规操作），可能导致员工被冒名办理信用卡、贷款，或遭受电信诈骗等风险。根据《个人信息保护法》第五十一条，单位需采取加密、去标识化等安全技术措施保护个人信息，但实践中中小型企业往往难以达到该标准。

3. 员工权益保护角度
   若单位以“不发工资”为由强制要求拍摄身份证，员工可依据《劳动合同法》第三十条主张单位及时足额支付劳动报酬，并拒绝不合理要求。若单位因此克扣工资，员工可向劳动监察部门投诉或申请劳动仲裁。此外，若单位将身份证信息用于其他目的（如背景调查、商业合作），可能构成对员工隐私权的侵犯。

建议：

• 对员工而言，可要求单位说明拍摄身份证的具体用途，并签署书面同意书；若单位拒绝，可向当地劳动监察部门举报。
  
• 对单位而言，应通过银行代发工资、要求员工提供身份证复印件（注明“仅用于工资发放”）等合规方式替代拍摄，并建立严格的信息安全管理制度。
  

如有进一步疑问，可直接向我咨询具体操作方案。