关于小时工刷脸打卡是否合法的问题，这主要取决于单位在收集和使用员工人脸信息时是否遵循了相关法律法规，并确保了员工的知情权和同意权。

首先，我们要明确的是，人脸信息属于个人敏感信息，受到严格的法律保护。根据《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》以及其他相关法律法规，处理自然人的人脸信息，必须征得自然人或者其监护人的单独同意。这意味着，单位在引入刷脸打卡系统前，需要向员工明确说明情况，包括刷脸考勤的目的、方式、可能涉及的风险以及单位将采取的信息安全保护措施等，并征得员工的明确同意。

其次，单位在收集和使用员工人脸信息时，还需要遵循“最小化”和“必要性”原则。即只针对出勤情况收集员工人脸信息，不涉及其他敏感数据，并且确保收集的信息仅用于考勤管理，不得用于其他目的。同时，单位还需要采取必要的技术措施和管理措施，确保收集的人脸信息安全，防止泄露、篡改或丢失。

对于小时工这类非全日制员工，同样适用上述原则。单位在要求小时工刷脸打卡前，也需要征得他们的同意，并确保他们的个人信息得到妥善保护。如果小时工出于对个人信息的保护而拒绝刷脸考勤，单位应当为其提供其他可替代的考勤方式，如磁片打卡或指纹录入等。

此外，还需要注意的是，对于军队、重要军工企业等涉密单位，由于可能涉及国家安全等敏感信息，因此需要更加谨慎地对待人脸识别技术的应用。这类单位在引入刷脸打卡系统前，需要进行充分的风险评估和安全审查，确保系统不会泄露涉密信息或被不法分子利用。

综上所述，小时工刷脸打卡的合法性取决于单位在收集和使用员工人脸信息时是否遵循了相关法律法规，并确保了员工的知情权和同意权。如果单位能够做到这些，那么刷脸打卡就是合法的；否则，就可能构成侵权行为。因此，建议单位在引入刷脸打卡系统前，务必咨询法律专业人士或相关部门的意见，确保合规操作。