关于“刷脸上班打卡是否合法”的问题，这主要取决于单位在实施这一措施时是否遵循了相关的法律法规，并充分尊重和保护了员工的个人信息权益。
首先，从法律法规的角度来看，我国已经出台了一系列关于个人信息保护的法律、行政法规，如《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等，这些法规对个人信息处理规则作出了明确规定。同时，针对人脸识别等新技术、新应用，国家网信部门还统筹协调有关部门制定了专门的个人信息保护规则，如《人脸识别技术应用安全管理办法》。这些法规和规则共同构成了保护个人信息权益的法律框架。
其次，单位在实施“刷脸上班打卡”时，必须遵循这些法律法规和规则。具体来说，单位应当：
征得员工同意：单位在启用“刷脸”考勤前，应当向员工说明情况，包括收集人脸信息的目的、方式、范围等，并征得员工的同意。这种同意可以是明示的，也可以是默示的（如员工通过每天准时“刷脸”所表达出的同意）。同时，单位应当尊重员工的拒绝权，对于拒绝“刷脸”考勤的员工，单位应当提供其他可替代的考勤方式。
妥善保管数据库：单位必须重视人脸信息的安全保管，采取必要的技术措施和管理措施，确保人脸信息不被泄露、篡改或丢失。这包括选购正规厂家生产的人脸识别设备、加强设备的数据管理和安全防护、定期排查隐患等。
遵循最小化原则：单位在收集员工人脸信息时，应当遵循“最小化”和“必要性”原则，只针对出勤情况收集必要的人脸信息，不涉及其他敏感数据。
接受员工监督：单位在日常工作中应当接受员工对人脸信息保管情况的监督，确保员工的人脸信息不会从单位方面泄露。
此外，对于军队、重要军工企业等涉密单位来说，由于“刷脸”考勤可能涉及涉密人员、涉密单位信息的泄露风险，因此应当谨慎使用或避免使用。
综上所述，在单位和员工达成真实合意、并遵循相关法律法规和规则的前提下，“刷脸上班打卡”是合法的。但单位必须充分尊重和保护员工的个人信息权益，确保人脸信息的安全和合法使用。