关于“刷脸上班是否合法”的问题，这主要取决于单位在应用人脸识别技术进行考勤管理时，是否遵循了相关的法律法规，并充分尊重和保护了员工的个人权益。

首先，从国家层面来看，国家互联网信息办公室和公安部联合公布的《人脸识别技术应用安全管理办法》明确指出，应用人脸识别技术处理人脸信息，应当具有特定的目的和充分的必要性，并采取对个人权益影响最小的方式，同时实施严格的保护措施。这意味着，单位在引入“刷脸”考勤系统时，必须确保其具有明确的考勤管理目的，且该方式相较于其他方式（如磁片打卡、指纹录入等）具有更小的个人权益影响，并采取了相应的数据保护措施。

其次，根据最高人民法院发布的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，处理自然人的人脸信息，必须征得自然人或者其监护人的单独同意。对于单位来说，这意味着在启用“刷脸”考勤前，需要向员工充分说明情况，包括“刷脸”考勤的合理性和可行性，以及单位将如何依法严格保管员工的人脸信息数据，并征得员工的明确同意。员工有权选择是否接受“刷脸”考勤，如果员工出于对个人信息的保护而拒绝，单位应当为其提供其他合理的考勤方式。

此外，单位在应用“刷脸”考勤系统时，还需要确保人脸信息的安全。这包括选购正规厂家生产的人脸识别设备，加强设备的数据管理和安全防护，定期排查隐患，并遵循“最小化”和“必要性”原则，只针对出勤情况收集员工人脸信息，不涉及其他敏感数据。同时，单位还应接受员工的监督，以确保员工的人脸信息不会从单位方面泄露。

综上所述，如果单位在应用“刷脸”考勤系统时，遵循了相关的法律法规，充分尊重和保护了员工的个人权益，并采取了相应的数据保护措施，那么“刷脸上班”是合法的。然而，如果单位未能做到这些，就可能面临法律风险和员工的投诉。因此，建议单位在引入“刷脸”考勤系统前，充分了解并遵守相关法律法规，确保合规运营。