公司上班要求人脸识别是否合法，核心在于是否依法处理了员工的个人信息，并获得了员工的明确同意。以下是对此问题的详细分析：

1. 合法性条件：

   • 获得员工同意：公司需以显著方式、清晰易懂的语言向员工告知处理人脸信息的目的、方式、种类、保存期限等，并取得员工的单独同意。这种同意最好是明确的书面形式，但也可通过员工在知晓相关信息后正常使用考勤系统的行为来认定默示同意（尽管默示同意可能存在法律风险）。
   • 遵循合法、正当、必要原则：公司处理员工的人脸信息必须遵循合法、正当、必要的原则，不得超出考勤管理的正当业务需求范围。
   • 确保信息安全：公司应采取加密、访问控制等技术措施，以及建立健全的信息安全管理制度，确保人脸信息的安全存储与传输，防止泄露、篡改或非法获取。

2. 不合法的情况：

   • 未经同意擅自采集：若公司未获员工同意即私自安装人脸识别设备进行考勤，将侵犯员工的隐私权和个人信息权益，构成违法。
   • 超范围使用信息：若公司将人脸信息用于考勤之外的其他目的（如商业用途或泄露给第三方），同样属于违法行为。
   • 信息安全措施不足：若因公司疏忽导致人脸信息泄露，给员工造成损失，公司需承担相应的法律责任。

3. 法律背景与依据：

   • 根据《中华人民共和国民法典》第一千零三十四条，自然人的个人信息（包括生物识别信息如人脸信息）受法律保护。
   • 根据《中华人民共和国个人信息保护法》第二十九条，处理敏感个人信息（如人脸信息）应当取得个人的单独同意。

4. 法律建议：

   • 对于公司：在采用人脸识别考勤前，应确保获得员工的明确同意，并公开处理人脸信息的全部规则。同时，应采取必要的技术和管理措施，确保人脸信息的安全。
   • 对于员工：若公司未经同意擅自采集人脸信息或超范围使用信息，员工有权拒绝并可以向相关部门投诉或寻求法律帮助。若因公司信息安全措施不足导致人脸信息泄露，员工也有权要求公司承担相应的法律责任。

总结来说，公司上班要求人脸识别在依法获得员工同意、遵循合法正当必要原则、并确保信息安全的前提下是合法的。若公司违反这些条件，则可能构成违法。如有任何疑问或需要进一步的法律帮助，请直接向我咨询。