Toss Menyimpan Foto Pembayaran Wajah Selama Setahun Setelah Pengguna Berhenti, Naver Pay Selama 90 Hari

Berhenti menggunakan pembayaran wajah tidak selalu menghapus foto

Toss menyimpan foto wajah asli selama setahun setelah pelanggan berhenti menggunakan layanan FacePay jika mereka pernah melakukan setidaknya satu transaksi. Naver Pay menyimpan foto asli selama 90 hari setelah pengguna mengundurkan diri dari FaceSign. Kedua perusahaan mengatakan masa penyimpanan tersebut memungkinkan mereka menangani keluhan pembayaran yang mungkin diajukan setelah pelanggan berhenti menggunakan layanan.

Jadwal Toss sangat terperinci: foto pengguna yang memiliki riwayat transaksi dipindahkan ke basis data terpisah pada pukul 01.00 sehari setelah pengunduran diri, lalu dimusnahkan pada pukul 10.00 di hari ke-366. Foto pengguna yang mendaftar tetapi tidak pernah bertransaksi langsung dimusnahkan saat mereka berhenti.

Perbedaan ini penting karena pencabutan persetujuan memang memicu penghapusan langsung jenis informasi wajah lainnya: fitur numerik yang digunakan untuk mengidentifikasi seseorang. Toss dan Naver Pay menghapus templat biometrik ini saat pengguna berhenti menggunakan layanan atau mencabut persetujuan. Karena itu, foto asli dapat tetap tersimpan meski templat autentikasinya sudah dihapus.

Aturan Korea Selatan membedakan foto wajah biasa dari informasi yang secara teknis dihasilkan untuk mengidentifikasi seseorang. Kontroversinya bukan apakah pembayaran wajah sepenuhnya berada di luar hukum privasi. Persoalannya adalah apakah aturan saat ini cukup mengatur foto yang masih tersimpan, berapa lama perusahaan seharusnya menyimpannya, dan bagaimana kesalahan pembayaran seharusnya dicatat.

Pengaduan yang menentang kebijakan penyimpanan Toss disampaikan kepada Layanan Pengawas Keuangan pada September tahun sebelumnya, menurut informasi yang diungkap anggota parlemen Partai Demokrat, Park Sang hyuk. Keterangan mengenai pengaduan itu menyebutkan bahwa sekitar setahun kemudian masalah tersebut belum terselesaikan. Tanggal penyelesaian tidak disebutkan.

Alasan perusahaan menyimpan foto

Toss mengatakan masa penyimpanannya didasarkan pada waktu yang biasanya dibutuhkan pelanggan untuk mengajukan keluhan pembayaran. Naver Pay juga menyebut kemungkinan munculnya keluhan di kemudian hari terkait kesalahan pembayaran sebagai alasan menyimpan foto selama 90 hari setelah pengguna berhenti.

Perbedaan kedua kebijakan ini cukup besar. Masa satu tahun kira-kira empat kali lebih lama daripada 90 hari Naver Pay, meskipun Toss menetapkan pemusnahan pada hari ke-366 alih-alih sekadar menyebut jumlah bulan. Berbagai keterangan tersebut tidak menunjukkan bahwa salah satu masa itu merupakan standar umum industri atau tenggat yang diwajibkan regulator.

Toss memisahkan foto yang disimpan dari basis data aktif setelah pengguna berhenti. Ini merupakan langkah pengamanan penyimpanan, tetapi bukan penghapusan. Bagi mantan pelanggan, intinya tetap bahwa perusahaan masih menyimpan foto setelah hubungan mereka dengan layanan pembayaran wajah berakhir.

Alasan terkait pengaduan itu juga menyisakan pertanyaan praktis: mengapa foto asli harus disimpan selama masa yang ditentukan, alih-alih catatan transaksi lainnya? Tidak ada penilaian terperinci yang menjelaskan perlunya penyimpanan selama setahun oleh Toss atau 90 hari oleh Naver Pay. Keterangan tersebut juga tidak mengidentifikasi batas maksimum menurut undang-undang khusus pembayaran untuk penyimpanan foto ini.

Foto dan templat biometrik mendapat perlakuan hukum berbeda

Templat biometrik adalah representasi numerik fitur wajah yang digunakan perangkat lunak untuk membandingkan satu wajah dengan wajah lainnya. Ini berbeda dari foto biasa, meskipun foto dapat digunakan untuk membuat templat tersebut.

Dalam kerangka privasi Korea Selatan yang dijelaskan di sini, informasi fitur wajah yang secara teknis dihasilkan untuk mengautentikasi atau mengidentifikasi orang tertentu tergolong informasi pribadi sensitif. Persyaratan persetujuan terpisah dan enkripsi berlaku. Foto biasa dari kamera merupakan informasi pribadi, tetapi tidak otomatis termasuk dalam kategori informasi sensitif yang sama.

Perbedaan ini menjelaskan bagaimana perusahaan dapat langsung menghapus templat identifikasi, tetapi tetap menyimpan foto asli. Namun, ini bukan berarti foto tidak dilindungi privasi atau bahwa masa penyimpanan apa pun otomatis sah. Artinya, kedua jenis data diperlakukan berbeda sehingga durasi dan alasan penyimpanan gambar asli menjadi inti sengketa ini.

Park, anggota parlemen Partai Demokrat yang mengangkat masalah ini, memperingatkan bahwa penyimpanan foto menimbulkan risiko di luar layanan pembayaran itu sendiri:

Jika bocor saat disimpan, foto tersebut dapat disalahgunakan untuk autentikasi di layanan lain atau dalam kejahatan deepfake.

Peringatan itu menyangkut kemungkinan yang terjadi setelah kebocoran. Keterangan yang ada tidak membuktikan bahwa foto wajah yang disimpan oleh salah satu perusahaan telah terekspos atau digunakan dalam kejahatan semacam itu.

Pertumbuhan pesat, dengan angka pelanggan yang berbeda

Pembayaran wajah menghubungkan wajah terdaftar dengan kartu atau rekening bank. Setelah mendaftar, pelanggan dapat membayar dengan berdiri di depan kamera terminal tanpa menunjukkan dompet atau ponsel pintar. Proses ini disebut berlangsung kurang dari satu detik.

Shinhan Card memperkenalkan layanan pembayaran wajah pertama di Korea Selatan pada 2020. Pada awalnya, adopsi layanan ini sulit berkembang. Toss dan Naver Pay kemudian memperluas pasar melalui FacePay dan FaceSign. Toss menggunakan kupon pendaftaran senilai 5.000 won atau 10.000 won, sedangkan Naver Pay menghubungkan layanannya dengan poin dan saldo pembayaran.

Angka pelanggan berbeda di sejumlah laporan. Satu keterangan menyebut jumlah pendaftaran Toss FacePay mencapai 1 juta pada akhir tahun sebelumnya, 7 juta pada Juli, dan 8,4 juta pada Agustus. Keterangan terpisah bertanggal 7 Oktober 2026 menyebut Toss resmi meluncurkan FacePay pada September 2025 dan melaporkan lebih dari 7 juta pendaftaran kumulatif pada Agustus 2026.

Angka pada Oktober merupakan batas bawah sehingga belum tentu bertentangan dengan 8,4 juta. Namun, keterangan yang ada tidak menjelaskan apakah angka-angka itu menggunakan pengukuran atau tanggal pelaporan yang sama. Tanggal relatif dalam keterangan pertama tidak secara eksplisit dikaitkan dengan tahun kalender tertentu dan tidak boleh begitu saja dianggap sama dengan tanggal dalam laporan Oktober.

Dalam rangkaian angka pertama, pendaftaran meningkat dari 1 juta menjadi 8,4 juta, bertambah 7,4 juta dan mencapai 8,4 kali lipat dari angka sebelumnya. Angka internal Toss yang dikutip dalam laporan Oktober juga menyebut sekitar 60% orang yang pernah membayar dengan FacePay menggunakannya kembali pada Juni 2026. Pendaftaran dan penggunaan berulang mengukur hal yang berbeda, sehingga kedua angka tersebut tidak menunjukkan berapa banyak pelanggan yang menggunakan layanan secara rutin.

Pengunduran diri meningkat seiring meluasnya layanan

Pengunduran diri dari persetujuan FacePay meningkat dari 15.176 pada April menjadi 45.605 pada Mei, menurut keterangan yang memerinci sengketa penyimpanan. Jumlahnya bertambah 30.429, dan angka pada Mei sekitar tiga kali lipat dari April.

Angka tersebut menunjukkan peningkatan permintaan untuk berhenti, tetapi tidak menunjukkan tingkat pengunduran diri. Tidak tersedia jumlah pengguna aktif atau pengguna yang memberikan persetujuan sebagai pembanding untuk setiap bulan. Angka itu juga tidak menunjukkan berapa banyak pengguna yang berhenti secara khusus karena penyimpanan foto, masalah privasi, atau persoalan pembayaran.

Ekspansi komersial yang dijelaskan dalam laporan Oktober 2026 dapat membawa pembayaran wajah ke lebih banyak tempat sehari-hari. Pasokan terminal tengah diupayakan untuk sekitar 5.000 supermarket kecil dan menengah serta 700 gerai waralaba ayam. Ini merupakan rencana penerapan, bukan jumlah gerai yang dipastikan sudah memproses transaksi.

Skala tersebut membuat perbedaan antara menghentikan autentikasi pembayaran dan menghapus semua data terkait semakin relevan. Jutaan pendaftaran dapat berjalan beriringan dengan penghapusan langsung templat bagi pengguna yang berhenti dan penyimpanan foto yang berlanjut. Pengunduran diri tidak selalu berdampak sama pada setiap kategori informasi yang disimpan perusahaan.

Sepuluh kasus kompensasi tidak membuktikan sepuluh kegagalan pengenalan

Toss dilaporkan telah membayar kompensasi dalam 10 kesempatan terkait keluhan kesalahan pembayaran FacePay. Kasus-kasus tersebut mencakup situasi ketika pegawai toko menekan tombol FacePay atas nama pelanggan dan pembayaran kemudian diproses.

Toss mengatakan pembayaran kompensasi bukan berarti setiap kasus melibatkan kerusakan teknis atau kesalahan yang menjadi tanggung jawab perusahaan. Penjelasannya, pada tahap awal bisnis, perusahaan membayar pelanggan sebelum memastikan apakah tindakan pelanggan turut menyebabkan masalah.

Dalam laporan Oktober 2026, Toss secara terpisah mengatakan belum menerima klaim kerugian terkait wajah seseorang yang disangka sebagai orang lain sehingga pembayaran dibebankan ke rekening yang salah. Pernyataan itu lebih terbatas daripada menyatakan tidak pernah ada keluhan pembayaran.

Perbedaan ini penting. Sistem dapat mengenali orang yang terdaftar dengan benar, tetapi memilih seseorang yang tidak berniat membayar. Toss mengakui bahwa jika hanya wajah pengguna terdaftar lain yang masuk ke dalam jangkauan kamera, pembayaran pengguna tersebut dapat diproses. Situasi seperti ini berbeda dari perangkat lunak yang salah mengenali dua identitas.

Klaim beredar di media sosial bahwa rekening orang yang kebetulan berada di dekat terminal telah ditagih atau bahwa foto digunakan untuk melakukan pembayaran. Ini adalah tuduhan, bukan temuan teknis terverifikasi dalam keterangan yang ada. Karena itu, 10 kasus kompensasi, penyangkalan perusahaan atas klaim kerugian akibat salah mengenali identitas, dan skenario pemilihan wajah oleh kamera yang dijelaskan tidak boleh digabungkan menjadi satu angka kegagalan pengenalan.

Klaim keamanan hanya mengatasi sebagian masalah

Toss menyatakan akurasi autentikasi wajahnya sebesar 99,99%. Naver Pay menyebut akurasi identifikasi wajahnya lebih dari 99%. Angka-angka ini berasal dari perusahaan masing-masing. Tanpa kondisi pengujian, definisi, atau hasil evaluasi independen yang sama, angka tersebut tidak dapat digunakan untuk membandingkan kedua layanan secara langsung.

Kedua layanan menjelaskan beberapa tahapan keamanan, termasuk deteksi wajah, pemeriksaan kualitas gambar, pemeriksaan manipulasi masukan, pencocokan identitas, dan deteksi transaksi tidak biasa. Deteksi keaslian wajah memeriksa apakah kamera melihat orang sungguhan, bukan foto atau video. Sistem deteksi penipuan memeriksa pola transaksi yang mencurigakan.

Toss juga menjelaskan model untuk membedakan wajah yang mirip serta autentikasi sekunder dalam kasus tertentu, termasuk pada kembar identik. Panduan pelanggan Naver Pay menyebutkan pembayaran dapat gagal jika beberapa wajah masuk ke dalam jangkauan kamera sekaligus.

Kontrol tersebut mengatasi risiko yang berbeda. Pemeriksaan keaslian wajah menyasar upaya menggunakan gambar alih-alih orang sungguhan. Pencocokan identitas memeriksa siapa orang tersebut. Namun, kedua penjelasan itu saja tidak membuktikan bahwa orang yang dipilih kamera memang berniat mengesahkan pembelian.

Perusahaan juga menjelaskan enkripsi dan konversi informasi wajah menjadi fitur numerik. Toss mengatakan data terkait wajah disimpan di lingkungan dengan pemisahan jaringan dan data asli yang tidak terenkripsi dimusnahkan. Pernyataan itu tidak sama dengan mengatakan semua foto asli langsung dihapus: foto terenkripsi tetap dapat disimpan sesuai kebijakan setelah pengguna berhenti.

Catatan pengaduan dan aturan kompensasi masih menyisakan celah

Informasi Layanan Pengawas Keuangan yang diserahkan kepada kantor Park mencatat enam pengaduan mengenai pembayaran dengan pengenalan wajah selama setahun sebelumnya. Angka ini tidak dapat langsung dibandingkan dengan 10 kasus kompensasi Toss. Yang satu menghitung pengaduan yang diterima regulator; yang lain menghitung kesempatan ketika perusahaan membayar kompensasi.

Kesalahan pembayaran wajah juga dilaporkan tidak tercantum dalam statistik resmi pelaporan insiden regulator karena klasifikasinya membuat kasus tersebut tidak termasuk dalam kewajiban pelaporan. Karena itu, tidak tercantumnya suatu insiden dalam statistik tersebut bukan bukti bahwa tidak ada pengaduan.

Perbedaan hukum ini berkaitan dengan otorisasi. Keterangan mengenai Undang-Undang Transaksi Keuangan Elektronik menyebut kategori kompensasi yang relevan untuk insiden pembayaran penipuan berpusat pada transaksi yang dilakukan pihak ketiga tanpa izin. Kesalahan pembayaran tanpa penyalahgunaan oleh pihak ketiga tidak otomatis diperlakukan sebagai insiden semacam itu.

Toss mengatakan pihaknya menerapkan kebijakan kompensasi penuh untuk kerugian akibat transaksi penipuan. Naver Pay menyediakan proses dukungan pelanggan terpisah bagi pengguna yang melaporkan pembayaran FaceSign yang tidak mereka lakukan. Pengaturan ini tidak membuktikan bahwa setiap pembayaran yang disengketakan memiliki status hukum yang sama atau akan mendapat respons yang sama.

Masalah yang belum terpecahkan adalah bagaimana mengklasifikasikan secara konsisten pembayaran yang mengenali seseorang dengan benar, tetapi menagih orang yang tidak berniat membayar. Keterangan yang ada tidak menyebut kategori pelaporan baru yang telah ditetapkan, keputusan regulator, atau jadwal sidang untuk menyelesaikan persoalan tersebut.

Pengawasan privasi tersedia, tetapi standar penyimpanan belum ditetapkan

Komisi Perlindungan Informasi Pribadi melakukan penilaian kecukupan sebelumnya terhadap layanan pembayaran wajah Toss pada Maret 2024. Penilaian itu membahas pengelolaan privasi dalam proses membandingkan wajah yang diverifikasi saat pendaftaran awal dengan wajah yang ditangkap kamera terminal pembayaran. Ini menunjukkan layanan tersebut telah menjalani pemeriksaan privasi sebelum tanggal peluncuran resmi yang disebutkan dalam laporan Oktober 2026.

Intervensi terpisah menunjukkan pendekatan berbeda terhadap penyimpanan gambar. Pada Mei tahun yang disebutkan dalam laporan penyimpanan, komisi merekomendasikan agar foto asli dan informasi wajah yang digunakan untuk aktivasi ponsel dimusnahkan langsung setelah perbandingan. Rekomendasi itu menyangkut aktivasi ponsel, bukan tenggat penyimpanan yang mengikat untuk pembayaran wajah.

Tanggal dan perkembangan penting:

• 2020: Shinhan Card memperkenalkan layanan pembayaran wajah pertama di Korea Selatan.
• Maret 2024: Komisi Perlindungan Informasi Pribadi meninjau pengaturan privasi pembayaran wajah yang diusulkan Toss.
• September 2025: Toss resmi meluncurkan FacePay, menurut laporan bertanggal 7 Oktober 2026.
• Juni 2026: Angka internal Toss menunjukkan penggunaan berulang sekitar 60% di antara orang yang pernah melakukan pembayaran FacePay.
• Agustus 2026: Toss melaporkan lebih dari 7 juta pendaftaran kumulatif dalam laporan Oktober; laporan lain menyebut angka 8,4 juta untuk Agustus tanpa secara eksplisit menyebut tahunnya.

Perbandingan internasional juga perlu dilakukan dengan hati-hati. Pembatasan pengenalan wajah oleh polisi dan lembaga publik di tempat seperti San Francisco menyangkut penggunaan yang berbeda dari pembayaran ritel swasta. Peraturan Perlindungan Data Umum Eropa memberlakukan persyaratan ketat terhadap pemrosesan biometrik untuk identifikasi, tetapi keterangan yang ada tidak menyebut batas waktu penyimpanan foto di luar negeri yang dapat dibandingkan langsung dengan kebijakan Toss dan Naver Pay.

Park menyerukan penetapan masa penyimpanan dan standar pengelolaan yang jelas untuk foto wajah, disertai pemantauan keluhan pembayaran yang lebih saksama. Tidak ada jadwal untuk pengesahan undang-undang, revisi kebijakan perusahaan, atau keputusan regulator yang disebutkan. Fakta saat ini adalah pengguna dapat mengakhiri persetujuan autentikasi sementara foto asli masih tersimpan, dan sengketa pembayaran tidak semuanya masuk ke sistem pelaporan resmi yang sama.

Poin Utama

• Toss menyimpan foto wajah asli setelah pengguna berhenti jika mereka memiliki riwayat transaksi, lalu memusnahkannya pada pukul 10.00 di hari ke-366.
• Toss langsung menghapus foto pengguna yang tidak pernah bertransaksi. Naver Pay menyimpan foto asli selama 90 hari setelah pengguna berhenti.
• Kedua perusahaan langsung menghapus templat identifikasi biometrik saat pengguna berhenti atau mencabut persetujuan.
• Toss dilaporkan telah memberi kompensasi dalam 10 kasus keluhan pembayaran, tetapi menyatakan tidak semua kasus tersebut merupakan kegagalan teknis.
• Enam pengaduan tercatat di Layanan Pengawas Keuangan selama periode yang disebutkan. Kesalahan pembayaran wajah tidak masuk dalam statistik resmi pelaporan insiden lembaga tersebut.
• Angka pelanggan dalam berbagai laporan berbeda untuk bulan Agustus dan cara penyebutan tanggalnya, sehingga tidak menghasilkan satu total yang sepenuhnya dapat dibandingkan.
• Tidak ada batas maksimum atau tenggat khusus pembayaran untuk penyimpanan foto maupun jadwal penyelesaian sengketa kebijakan yang disebutkan.