结论：员工在外面办卡时，单位要求员工拍照片是否合法，需分情况讨论，具体如下：

1. 若单位要求拍摄的照片仅用于正常管理目的，且不侵犯员工隐私权、肖像权等合法权益，一般合法
   单位出于管理需要（如核实员工身份、记录工作场景等），要求员工拍摄与工作相关的照片（如工牌照、工作场景照），且照片使用范围限于单位内部管理、存档等合理用途，未对外泄露或用于其他非法目的，通常不构成侵权。但需注意：

   • 照片内容应与工作直接相关，避免拍摄员工私人生活场景（如家庭照、私人聚会照等）；
     
   • 单位应明确告知员工拍摄目的、使用范围，并取得员工同意（尤其是涉及敏感信息时）；
     
   • 照片不得被滥用（如未经同意公开、用于商业宣传等），否则可能侵犯员工肖像权或隐私权。

2. 若单位强制拍摄员工隐私部位、敏感信息，或未经同意将照片用于非法目的，则违法
   根据《民法典》第1019条、第1032条，任何组织或个人不得以丑化、污损，或利用信息技术手段伪造等方式侵害他人肖像权；自然人享有隐私权，任何组织或个人不得以刺探、侵扰、泄露、公开等方式侵害他人隐私权。若单位：

   • 强制拍摄员工隐私部位（如更衣室、浴室照片）；
     
   • 未经员工同意，将照片用于商业广告、公开宣传等；
     
   • 泄露员工照片导致其名誉受损或遭受其他侵害，
     则构成侵权，员工可要求单位停止侵害、赔礼道歉、赔偿损失，甚至向劳动监察部门投诉或提起诉讼。

3. 若单位以“办卡”为名变相收集员工生物识别信息（如人脸识别），需符合《个人信息保护法》规定
   根据《个人信息保护法》第28条，生物识别信息属于敏感个人信息，处理时需取得个人单独同意，并告知处理目的、方式、范围等。若单位以“办卡”为由要求员工拍摄人脸照片，且：

   • 未明确告知处理目的（如用于考勤、门禁等）；
     
   • 未取得员工单独同意；
     
   • 未采取必要的安全措施（如加密存储、限制访问权限），
     则可能违反《个人信息保护法》，员工有权拒绝并要求单位删除信息。

建议：

• 若单位要求拍摄照片，员工可先询问拍摄目的、使用范围，并要求单位出具书面说明；
  
• 若认为单位行为侵权，可保留证据（如聊天记录、照片等），向劳动监察部门投诉或提起民事诉讼；
  
• 单位应完善管理制度，明确照片使用规则，避免侵犯员工权益。
  

如有进一步疑问，可直接向我咨询。