Да, в соответствии с законодательством РФ это законно.
В данном случае Ваш работодатель является оператором, осуществляющим обработку ваших персональных данных, к которым и относятся биометрические данные.
У оператора есть право на сбор и обработку таких данных, но только если Вы письменно согласились. Согласиться или отказаться - Ваше право.