企业采集员工脸部数据合不合法法要看具体情况，，首先可以确定一点：未经本人同意抓取脸相信息必然属于违法违规行为。根据《民法典》第一千零三十五条规定，处理个人信息，应征得该自然人或者其监护人同意。

根据《个人信息安全规范》明确规定，人脸信息属于生物识别信息，也属于个人敏感信息，收集个人信息时应获得个人信息主体的授权同意。

由此可见，涉事公司的行为已经违反法律与部门规章，属于明确的违法行为。进一步利用该信息进行商业活动还涉嫌不正当竞争。