Toss Menyimpan Foto Pembayaran Wajah Selama Setahun Selepas Pengguna Berhenti, Naver Pay Selama 90 Hari

Berhenti menggunakan pembayaran wajah tidak semestinya memadamkan foto

Toss menyimpan foto wajah asal selama setahun selepas pelanggan meninggalkan perkhidmatan FacePay jika mereka pernah membuat sekurang-kurangnya satu transaksi. Naver Pay menyimpan foto asal selama 90 hari selepas pengguna menarik diri daripada FaceSign. Kedua-dua syarikat berkata tempoh penyimpanan itu membolehkan mereka menangani aduan pembayaran yang mungkin diterima selepas pelanggan berhenti menggunakan perkhidmatan tersebut.

Jadual penyimpanan Toss sangat terperinci: foto pengguna yang mempunyai sejarah transaksi dipindahkan ke pangkalan data berasingan pada pukul 1 pagi sehari selepas penarikan diri, kemudian dimusnahkan pada pukul 10 pagi hari ke-366. Foto pengguna yang mendaftar tetapi tidak pernah membuat transaksi dimusnahkan serta-merta apabila mereka berhenti.

Perbezaan ini penting kerana penarikan persetujuan memang mencetuskan pemadaman serta-merta jenis maklumat wajah yang lain: ciri berangka yang digunakan untuk mengenal pasti seseorang. Toss dan Naver Pay memadam templat biometrik ini apabila pengguna menarik diri daripada perkhidmatan atau membatalkan persetujuan. Oleh itu, foto asal boleh terus disimpan selepas templat pengesahan dipadamkan.

Peraturan Korea Selatan membezakan foto wajah biasa daripada maklumat yang dijana secara teknikal untuk mengenal pasti seseorang. Isunya bukan sama ada pembayaran wajah beroperasi sepenuhnya di luar undang-undang privasi. Persoalannya ialah sama ada peraturan semasa mengawal foto yang masih disimpan dengan memadai, berapa lama syarikat patut menyimpannya dan bagaimana kesilapan pembayaran harus direkodkan.

Menurut maklumat yang didedahkan oleh Park Sang hyuk, ahli parlimen Parti Demokrat, satu aduan yang mencabar dasar penyimpanan Toss dikemukakan kepada Perkhidmatan Penyeliaan Kewangan pada September tahun sebelumnya. Laporan mengenai aduan itu menyatakan bahawa kira-kira setahun kemudian, perkara tersebut masih belum diselesaikan. Tiada tarikh penyelesaian diberikan.

Mengapa syarikat menyimpan imej

Toss berkata tempoh penyimpanannya mengambil kira tempoh yang biasanya diambil pelanggan untuk mengemukakan aduan pembayaran. Naver Pay juga menyebut kemungkinan aduan lewat berhubung kesilapan pembayaran sebagai alasan menyimpan foto selama 90 hari selepas pengguna berhenti.

Perbezaan antara kedua-dua dasar itu ketara. Setahun kira-kira empat kali lebih lama berbanding tempoh 90 hari Naver Pay, walaupun Toss menetapkan foto dimusnahkan pada hari ke-366 dan bukannya sekadar menyatakan jumlah bulan. Laporan tersebut tidak membuktikan bahawa mana-mana tempoh itu merupakan amalan biasa industri atau had masa yang diwajibkan pengawal selia.

Toss mengasingkan imej yang disimpan daripada pangkalan data aktif selepas pengguna menarik diri. Ini langkah perlindungan penyimpanan, tetapi bukan pemadaman. Bagi bekas pelanggan, hakikat utamanya tetap sama: syarikat masih menyimpan foto selepas hubungan dengan perkhidmatan pembayaran wajah berakhir.

Alasan berkaitan aduan itu juga menimbulkan persoalan praktikal yang belum terjawab: mengapa foto asal perlu disimpan sepanjang tempoh yang ditetapkan, bukannya rekod transaksi lain? Tiada penilaian terperinci yang menjelaskan keperluan tempoh setahun di Toss atau 90 hari di Naver Pay dinyatakan. Laporan itu juga tidak mengenal pasti had maksimum khusus pembayaran yang ditetapkan undang-undang bagi penyimpanan foto ini.

Foto dan templat biometrik tertakluk pada layanan undang-undang berbeza

Templat biometrik ialah gambaran berangka ciri wajah yang digunakan perisian untuk membandingkan satu wajah dengan wajah yang lain. Ia berbeza daripada foto biasa, walaupun foto boleh digunakan untuk menjana templat tersebut.

Di bawah kerangka privasi Korea Selatan yang dihuraikan di sini, maklumat ciri wajah yang dijana secara teknikal untuk mengesahkan atau mengenal pasti individu tertentu ialah maklumat peribadi sensitif. Keperluan persetujuan berasingan dan penyulitan turut dikenakan. Foto kamera biasa ialah maklumat peribadi, tetapi tidak secara automatik dikategorikan sebagai maklumat sensitif yang sama.

Perbezaan ini menjelaskan bagaimana syarikat boleh memadam templat pengenalan serta-merta tetapi terus menyimpan foto asal. Ini tidak bermakna foto tiada perlindungan privasi, dan juga tidak membuktikan bahawa sebarang tempoh penyimpanan adalah sah secara automatik. Maknanya, kedua-dua jenis data dilayan secara berbeza, sekali gus menjadikan tempoh dan alasan menyimpan imej asal tumpuan utama pertikaian ini.

Park, ahli parlimen Parti Demokrat yang membangkitkan isu ini, memberi amaran bahawa penyimpanan foto menimbulkan risiko yang melangkaui perkhidmatan pembayaran itu sendiri:

Jika foto itu bocor ketika disimpan, ia boleh disalahgunakan untuk pengesahan pada perkhidmatan lain atau dalam jenayah deepfake.

Amaran itu merujuk kepada perkara yang mungkin berlaku selepas kebocoran. Laporan tersebut tidak membuktikan bahawa foto wajah yang disimpan oleh mana-mana syarikat telah terdedah atau digunakan dalam jenayah sedemikian.

Pertumbuhan pesat, angka pelanggan berbeza

Pembayaran wajah memautkan wajah berdaftar kepada kad atau akaun bank. Selepas mendaftar, pelanggan boleh membuat pembayaran dengan berdiri di hadapan kamera terminal tanpa perlu mengeluarkan dompet atau telefon pintar. Proses itu dikatakan mengambil masa kurang daripada satu saat.

Shinhan Card memperkenalkan perkhidmatan pembayaran wajah pertama di Korea Selatan pada 2020. Pada mulanya, penerimaannya kurang memberangsangkan. Toss dan Naver Pay kemudian mengembangkan pasaran melalui FacePay dan FaceSign. Toss menawarkan kupon pendaftaran bernilai 5,000 won atau 10,000 won, manakala Naver Pay menghubungkan perkhidmatannya dengan mata ganjaran dan baki pembayaran.

Angka pelanggan berbeza antara laporan. Satu laporan menyatakan jumlah pendaftaran Toss FacePay meningkat daripada 1 juta pada penghujung tahun sebelumnya kepada 7 juta pada Julai dan 8.4 juta pada Ogos. Laporan berasingan bertarikh 7 Oktober 2026 menyatakan Toss melancarkan FacePay secara rasmi pada September 2025 dan melaporkan lebih 7 juta jumlah pendaftaran terkumpul pada Ogos 2026.

Angka Oktober itu merupakan ambang yang lebih rendah, jadi ia tidak semestinya bercanggah dengan angka 8.4 juta. Namun, laporan tersebut tidak menjelaskan sama ada jumlah itu menggunakan ukuran atau tarikh pelaporan yang sama. Tarikh relatif dalam laporan pertama tidak dinyatakan secara jelas mengikut tahun kalendar dan tidak sepatutnya dianggap sama dengan tarikh dalam laporan Oktober.

Berdasarkan kelompok angka pertama, pendaftaran meningkat daripada 1 juta kepada 8.4 juta, iaitu pertambahan sebanyak 7.4 juta dan jumlah 8.4 kali ganda daripada paras sebelumnya. Angka dalaman Toss yang dipetik dalam laporan Oktober juga menyatakan kira-kira 60% daripada mereka yang pernah membuat pembayaran menggunakan FacePay menggunakannya semula pada Jun 2026. Pendaftaran dan penggunaan berulang mengukur perkara yang berbeza, maka tiada satu pun angka itu membuktikan jumlah pelanggan yang menggunakan perkhidmatan tersebut secara tetap.

Penarikan diri meningkat seiring pengembangan perkhidmatan

Penarikan persetujuan FacePay meningkat daripada 15,176 pada April kepada 45,605 pada Mei dalam laporan yang memperincikan pertikaian penyimpanan itu. Ini pertambahan sebanyak 30,429, dengan jumlah pada Mei kira-kira tiga kali ganda berbanding April.

Angka itu menunjukkan peningkatan permintaan untuk menarik diri, tetapi tidak membuktikan kadar penarikan diri. Bilangan pengguna aktif atau yang memberikan persetujuan bagi setiap bulan tidak diberikan untuk perbandingan. Angka itu juga tidak menunjukkan berapa banyak penarikan diri yang didorong khusus oleh penyimpanan imej, kebimbangan privasi atau masalah pembayaran.

Pengembangan komersial yang dihuraikan dalam laporan Oktober 2026 boleh membawa pembayaran wajah ke lebih banyak tempat dalam kehidupan harian. Pembekalan terminal sedang diusahakan untuk kira-kira 5,000 pasar raya kecil dan sederhana serta 700 cawangan francais ayam. Ini ialah rancangan pelaksanaan, bukan jumlah kedai yang disahkan sudah memproses transaksi.

Skalanya menjadikan perbezaan antara menghentikan pengesahan pembayaran dengan memadamkan semua data berkaitan semakin penting. Jutaan pendaftaran boleh wujud serentak dengan pemadaman templat serta-merta bagi pengguna yang berhenti dan penyimpanan foto yang berterusan. Penarikan diri tidak semestinya memberi kesan yang sama kepada setiap kategori maklumat yang disimpan syarikat.

Sepuluh kes pampasan tidak membuktikan sepuluh kegagalan pengecaman

Toss dilaporkan telah membayar pampasan sebanyak 10 kali berhubung aduan kesilapan pembayaran FacePay. Kes tersebut termasuk keadaan apabila pekerja kedai menekan butang FacePay bagi pihak pelanggan, lalu pembayaran dibuat.

Toss berkata pembayaran pampasan tidak bermakna setiap kes melibatkan kecacatan teknikal atau kesilapan yang menjadi tanggungjawab syarikat. Menurut penjelasannya, pada peringkat awal perniagaan, syarikat membayar pelanggan sebelum menentukan sama ada tindakan mereka sendiri turut menyumbang kepada masalah tersebut.

Dalam laporan Oktober 2026, Toss secara berasingan berkata syarikat itu tidak menerima sebarang tuntutan ganti rugi yang melibatkan wajah seseorang tersalah dikenal pasti sebagai wajah orang lain sehingga pembayaran dibuat daripada akaun yang salah. Kenyataan itu lebih khusus daripada dakwaan bahawa tiada aduan pembayaran berlaku.

Perbezaan ini penting. Sistem boleh mengenal pasti individu berdaftar dengan betul, tetapi memilih seseorang yang tidak berniat membuat pembayaran. Toss mengakui bahawa jika hanya wajah pengguna berdaftar lain muncul di hadapan kamera, pembayaran pengguna itu boleh diproses. Keadaan sedemikian berbeza daripada perisian yang mengelirukan dua identiti.

Dakwaan tersebar di media sosial bahawa akaun orang yang berada berdekatan telah dicaj atau foto digunakan untuk membuat pembayaran. Ini ialah dakwaan, bukan dapatan teknikal yang disahkan dalam laporan tersebut. Oleh itu, 10 kes pampasan, penafian syarikat berhubung tuntutan ganti rugi akibat kesilapan identiti dan senario pemilihan kamera yang dihuraikan tidak sepatutnya disatukan sebagai satu jumlah kegagalan pengecaman.

Dakwaan keselamatan hanya menangani sebahagian masalah

Toss menyatakan ketepatan pengesahan wajahnya ialah 99.99%. Naver Pay pula menyatakan ketepatan pengecaman wajahnya melebihi 99%. Ini ialah angka yang diberikan syarikat. Tanpa keadaan ujian, takrif atau keputusan penilaian bebas yang dikongsi, angka itu tidak boleh digunakan untuk membandingkan kedua-dua perkhidmatan secara langsung.

Kedua-dua perkhidmatan menghuraikan beberapa peringkat keselamatan, termasuk pengesanan wajah, pemeriksaan kualiti imej, pemeriksaan input yang dimanipulasi, pemadanan identiti dan pengesanan transaksi luar biasa. Pengesanan hayat memeriksa sama ada kamera melihat orang sebenar dan bukannya foto atau video. Sistem pengesanan penipuan pula meneliti transaksi untuk mengesan corak yang mencurigakan.

Toss turut menerangkan model untuk membezakan wajah yang serupa dan pengesahan sekunder dalam sesetengah kes, termasuk pasangan kembar seiras. Panduan pelanggan Naver Pay menyatakan pembayaran mungkin gagal jika beberapa wajah muncul dalam paparan kamera serentak.

Kawalan ini menangani risiko yang berbeza. Pemeriksaan hayat menyasarkan cubaan menggunakan imej dan bukannya orang sebenar. Pemadanan identiti memeriksa siapa individu tersebut. Kedua-dua langkah itu sahaja tidak membuktikan bahawa individu yang dipilih kamera berniat membenarkan pembelian.

Syarikat turut menyatakan bahawa maklumat wajah disulitkan dan ditukar menjadi ciri berangka. Toss berkata data berkaitan wajah disimpan dalam persekitaran dengan pengasingan rangkaian dan data asal yang tidak disulitkan dimusnahkan. Kenyataan itu tidak sama dengan mengatakan setiap foto asal dipadam serta-merta: foto yang disulitkan masih boleh disimpan di bawah dasar penarikan diri.

Rekod aduan dan peraturan pampasan masih mempunyai kelompangan

Maklumat Perkhidmatan Penyeliaan Kewangan yang diserahkan kepada pejabat Park merekodkan enam aduan mengenai pembayaran pengecaman wajah sepanjang tahun sebelumnya. Angka itu tidak boleh dibandingkan secara langsung dengan 10 kes pampasan Toss. Satu angka mengira aduan yang diterima pengawal selia; satu lagi mengira kejadian syarikat membayar pampasan.

Kesilapan pembayaran wajah juga dilaporkan tidak dimasukkan dalam statistik rasmi pelaporan kemalangan pengawal selia kerana pengelasan kes itu tidak mewajibkan pelaporan sedemikian. Maka, ketiadaan sesuatu insiden dalam statistik itu tidak membuktikan bahawa tiada aduan berlaku.

Perbezaan undang-undang itu berkaitan dengan kebenaran. Laporan mengenai Akta Transaksi Kewangan Elektronik menyatakan kategori pampasan yang berkaitan dengan insiden pembayaran penipuan tertumpu pada transaksi yang dilakukan oleh pihak ketiga tanpa kebenaran. Kesilapan pembayaran tanpa penyalahgunaan oleh pihak ketiga tidak secara automatik dianggap sebagai insiden sedemikian.

Toss berkata syarikat mengamalkan dasar pampasan penuh bagi kerugian akibat transaksi penipuan. Naver Pay menyediakan proses sokongan pelanggan berasingan untuk pengguna yang melaporkan pembayaran FaceSign yang tidak mereka lakukan. Aturan ini tidak membuktikan bahawa setiap pembayaran yang dipertikaikan mempunyai status undang-undang yang sama atau akan menerima tindak balas yang sama.

Isu yang belum diselesaikan ialah bagaimana mengelaskan secara konsisten pembayaran yang mengenal pasti seseorang dengan betul tetapi mencaj individu yang tidak berniat membuat pembayaran. Laporan tersebut tidak menyatakan kategori pelaporan baharu yang dimuktamadkan, keputusan pengawal selia atau pendengaran yang dijadualkan untuk menyelesaikan persoalan itu.

Pemantauan privasi wujud, tetapi piawaian penyimpanan belum dimuktamadkan

Suruhanjaya Perlindungan Maklumat Peribadi menjalankan semakan kecukupan terdahulu terhadap perkhidmatan pembayaran wajah Toss pada Mac 2024. Semakan itu meneliti pengendalian privasi bagi proses membandingkan wajah yang disahkan semasa pendaftaran awal dengan wajah yang dirakam di terminal pembayaran. Ini menunjukkan perkhidmatan itu menjalani penelitian privasi sebelum tarikh pelancaran rasmi yang dinyatakan dalam laporan Oktober 2026.

Satu campur tangan berasingan menunjukkan pendekatan lain terhadap imej yang disimpan. Pada Mei tahun yang disebut dalam laporan penyimpanan, suruhanjaya itu mengesyorkan supaya foto asal dan maklumat wajah yang digunakan untuk mengaktifkan telefon bimbit dimusnahkan serta-merta selepas perbandingan. Syor itu berkaitan pengaktifan telefon, bukan tarikh akhir penyimpanan yang mengikat bagi pembayaran wajah.

Tarikh dan perkembangan utama ialah:

• 2020: Shinhan Card memperkenalkan perkhidmatan pembayaran wajah pertama di Korea Selatan.
• Mac 2024: Suruhanjaya Perlindungan Maklumat Peribadi menyemak aturan privasi pembayaran wajah yang dicadangkan Toss.
• September 2025: Toss melancarkan FacePay secara rasmi, menurut laporan bertarikh 7 Oktober 2026.
• Jun 2026: Angka dalaman Toss menunjukkan penggunaan berulang sekitar 60% dalam kalangan mereka yang pernah membuat pembayaran FacePay.
• Ogos 2026: Toss melaporkan lebih 7 juta jumlah pendaftaran terkumpul dalam laporan Oktober; laporan lain memberikan angka 8.4 juta bagi Ogos tanpa menyatakan tahunnya secara jelas.

Perbandingan antarabangsa juga perlu dibuat dengan cermat. Sekatan terhadap pengecaman wajah oleh polis dan agensi awam di tempat seperti San Francisco melibatkan penggunaan yang berbeza daripada pembayaran runcit swasta. Peraturan Perlindungan Data Umum Eropah mengenakan syarat ketat terhadap pemprosesan biometrik untuk tujuan pengenalan, tetapi laporan tersebut tidak menyatakan tempoh penyimpanan foto di negara lain yang boleh dibandingkan secara langsung dengan dasar Toss dan Naver Pay.

Park menggesa supaya tempoh penyimpanan dan piawaian pengurusan foto wajah ditetapkan secara jelas, di samping pemantauan lebih rapi terhadap aduan pembayaran. Tiada jadual masa untuk penggubalan undang-undang, dasar syarikat yang disemak semula atau keputusan pengawal selia dinyatakan. Fakta semasa ialah pengguna boleh menamatkan persetujuan pengesahan sementara foto asal masih disimpan, dan pertikaian pembayaran tidak semuanya dimasukkan dalam sistem pelaporan rasmi yang sama.

Perkara Utama

• Toss menyimpan foto wajah asal selepas pengguna menarik diri jika mereka mempunyai sebarang sejarah transaksi, dan memusnahkannya pada pukul 10 pagi hari ke-366.
• Toss memadam foto serta-merta bagi pengguna yang tidak pernah bertransaksi. Naver Pay menyimpan foto asal selama 90 hari selepas penarikan diri.
• Kedua-dua syarikat memadam templat pengenalan biometrik serta-merta apabila pengguna berhenti atau membatalkan persetujuan.
• Toss dilaporkan telah membayar pampasan bagi 10 kes aduan pembayaran, tetapi berkata kes tersebut tidak semuanya berpunca daripada kegagalan teknikal.
• Perkhidmatan Penyeliaan Kewangan merekodkan enam aduan sepanjang tempoh yang dihuraikan. Kesilapan pembayaran wajah tidak dimasukkan dalam statistik rasmi pelaporan kemalangannya.
• Laporan mengenai pelanggan memberikan angka dan kerangka tarikh Ogos yang berbeza, maka tiada satu jumlah yang benar-benar setanding dapat dipastikan.
• Tiada had tempoh khusus pembayaran bagi penyimpanan foto atau tarikh akhir untuk menyelesaikan pertikaian dasar ini dikenal pasti.