针对您提出的“部门要求上班拍照是否合法”的问题，这主要涉及到员工隐私权保护以及公司管理权限的边界问题，我们可以从以下几个方面进行详细分析：

首先，从隐私权的角度来看，《民法典》明确规定了隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。如果部门要求上班拍照，尤其是长时间、频繁的拍照行为，很可能实质上对个人的私密空间进行了暴露和公开，这在未取得员工明确同意的情况下，显然有可能侵犯员工的隐私权。

其次，从公司管理权限的角度来看，《劳动合同法》规定，用人单位在制定、修改或者决定有关劳动报酬、工作时间、休息休假、劳动安全卫生、保险福利、职工培训、劳动纪律以及劳动定额管理等直接涉及劳动者切身利益的规章制度或者重大事项时，应当经职工代表大会或者全体职工讨论，提出方案和意见，与工会或者职工代表平等协商确定。这意味着，如果公司想要通过拍照等方式进行考勤管理，这一制度应当经过民主及公示程序，否则可能无效，员工可以主张不能作为公司用工管理的依据。

再者，从个人信息保护的角度来看，《中华人民共和国个人信息保护法》对敏感个人信息的处理有严格规定。人脸信息作为生物识别信息的一种，属于敏感个人信息。用人单位在处理这类信息前，需要征得劳动者的单独同意，并告知处理敏感个人信息的必要性以及对个人权益的影响。同时，处理劳动者的敏感个人信息必须遵循人力资源管理的必要性，奉行最小化处理敏感个人信息原则。

综上所述，部门要求上班拍照是否合法，取决于拍照的具体方式、频率、目的以及是否取得了员工的明确同意，并是否遵循了相关的法律法规。如果拍照行为侵犯了员工的隐私权，或者未经民主及公示程序，或者未遵循个人信息保护的相关规定，那么这种行为可能是不合法的。

因此，我建议您如果遇到此类情况，可以先与部门进行沟通，了解拍照的具体目的和方式，并表达自己的关切和疑虑。如果沟通无果，您可以考虑向公司的工会或职工代表反映情况，或者寻求法律援助来维护自己的合法权益。