结论：要求员工提供手持银行卡照片的做法存在重大法律风险，用人单位无权要求员工提供此类信息，员工有权拒绝并可向相关部门投诉。

1. 法律风险分析：用人单位无权收集敏感个人信息

根据《个人信息保护法》第十条、第二十八条，银行卡号属于“敏感个人信息”，其处理需满足“特定目的+充分必要性+严格保护措施”等条件。用人单位仅以“发放工资”为由，要求员工提供手持银行卡照片（包含面部特征+银行卡号），已超出必要范围，涉嫌违法收集敏感信息。

法律依据：

• 《个人信息保护法》第二十八条：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户等信息，处理需取得单独同意并告知必要性。
• 《劳动合同法》第八条：用人单位招用劳动者时，不得扣押证件或要求提供担保。

2. 员工权益保护：有权拒绝并投诉

员工可采取以下措施：

• 明确拒绝：向用人单位说明该要求违法，要求通过常规方式（如仅提供卡号）发放工资。
• 投诉举报：若用人单位坚持要求，可向当地劳动监察大队或网信办投诉（涉及个人信息保护）。
• 保留证据：保存用人单位要求提供照片的聊天记录、邮件等，作为维权依据。

3. 用人单位合规建议：替代方案

为避免法律风险，用人单位应：

• 仅收集必要信息：要求员工提供银行卡号（无需照片），通过银行代发工资。
• 签订书面协议：若需收集敏感信息，需单独取得员工书面同意，并明确告知处理目的、方式及保护措施。
• 加强内部管理：建立个人信息保护制度，防止信息泄露或滥用。

4. 特殊情况说明：若用人单位坚持要求

若用人单位以“不提供照片就不发工资”威胁，员工可：

• 向劳动仲裁委申请仲裁：主张用人单位违法，要求支付工资并赔偿损失。
• 报警处理：若用人单位涉嫌泄露或滥用个人信息，可向公安机关报案。

总结：手持银行卡照片的要求既无必要，又违法。员工应坚决拒绝，用人单位应立即停止此类行为。如有争议，可直接向我咨询具体维权方案。