商家店铺监控拍摄人脸是否合法，需分情况讨论：
合法情形：
- 目的正当且必要：商家安装监控设备的主要目的是为了维护公共安全、预防犯罪或保障店铺正常运营秩序，且拍摄范围仅限于店铺内部公共区域，不涉及顾客的私密空间或敏感信息，这种情形下拍摄人脸通常是合法的。例如，商家在收银台、入口等区域安装监控，以防止盗窃或纠纷，且明确告知顾客监控的存在，这一般被视为合法行为。
- 遵守相关法律法规：商家在安装和使用监控设备时，需严格遵守《中华人民共和国民法典》中关于个人信息保护的规定，以及《中华人民共和国个人信息保护法》等相关法律法规。具体来说，商家应确保监控设备的安装位置合理，不侵犯顾客的隐私权；同时，对收集到的人脸信息应严格保密，不得非法买卖或泄露。
非法情形：
- 目的不正当或超出必要限度：如果商家安装监控设备的目的是为了非法获取顾客的个人信息，或者拍摄范围超出了店铺内部公共区域，侵犯了顾客的隐私权，这种情形下拍摄人脸就是非法的。例如，商家在试衣间、卫生间等私密场所安装监控，或者将监控设备对准顾客的私密部位进行拍摄，这明显侵犯了顾客的隐私权。
- 未履行告知义务：根据相关法律法规，商家在安装监控设备前，应明确告知顾客监控的存在及其目的、范围等信息。如果商家未履行告知义务，或者告知内容不真实、不完整，导致顾客在不知情的情况下被拍摄人脸，这种情形下也可能构成非法。
- 非法处理人脸信息：商家在收集到顾客的人脸信息后，如果未经顾客同意，擅自将人脸信息用于其他目的（如广告宣传、数据分析等），或者非法买卖、泄露人脸信息，这种情形下同样构成非法。
法律建议：
- 对于商家而言，在安装和使用监控设备时，应确保目的正当、必要，且严格遵守相关法律法规。同时，应明确告知顾客监控的存在及其目的、范围等信息，以保障顾客的知情权。
- 对于顾客而言，如果发现商家非法拍摄人脸或处理人脸信息，可以向相关部门投诉或寻求法律援助。在维护自身权益的同时，也可以促使商家更加规范地使用监控设备。
可能法律后果：
- 如果商家非法拍摄人脸或处理人脸信息，可能面临行政处罚（如罚款、没收违法所得等）或民事赔偿（如赔偿顾客损失、消除影响等）。在严重情况下，还可能构成犯罪（如侵犯公民个人信息罪等），需要承担刑事责任。
如有任何疑问或需要进一步的法律帮助，请直接向我咨询。