退出人脸支付，并不意味着照片总会被删除
如果用户至少进行过一笔交易，Toss会在人脸支付服务（FacePay）退出后继续保留其原始人脸照片一年。Naver Pay则会在用户退出FaceSign后保留原始照片90天。两家公司表示，保留照片是为了处理用户停止使用服务后可能提出的支付投诉。
目录
Toss的保留安排非常具体：有交易记录的用户退出服务后的次日凌晨1时，其照片会转入单独的数据库，并于第366天上午10时销毁。注册后从未进行过交易的用户，退出时照片会立即销毁。
这一区别很重要，因为用户撤回同意后，另一类人脸信息会立即删除：用于识别个人的数字特征。Toss和Naver Pay都会在用户退出服务或撤回同意时删除这些生物识别模板。因此，即使认证模板已经删除，原始照片仍可能被保留。
韩国的相关规定区分普通人脸照片与通过技术手段生成、用于识别个人的信息。争议并非人脸支付完全游离于隐私法之外，而在于现行规定是否充分约束留存的照片、企业应保留多长时间，以及支付失误应如何记录。
据共同民主党议员朴相赫公开的信息，一项质疑Toss照片保留政策的投诉于前一年9月提交至金融监督院。介绍该投诉的报道说，约一年后此事仍未解决，但没有给出解决日期。
企业为何保留照片
Toss表示，保留期限是根据用户通常提出支付投诉所需的时间确定的。Naver Pay也称，用户退出后保留照片90天，是为了应对之后可能出现的支付错误投诉。
两项政策的期限相差很大。一年大约是Naver Pay所定90天的四倍；不过，Toss明确规定在第366天销毁，而不是笼统地说保留若干个月。现有报道并未证明这两个期限是行业通行标准，也未表明它们是监管机构规定的期限。
用户退出后，Toss会将留存照片从活动数据库中分离出来。这是一项存储保护措施，但并不等于删除。对已停止使用人脸支付服务的用户而言，关键事实仍然是：服务关系结束后，公司仍持有其照片。
以处理投诉为由保留照片，也留下了一个实际问题：为何必须在指定期限内保留原始照片，而不是其他交易记录？报道没有提供详细评估，说明Toss保留一年或Naver Pay保留90天的必要性。报道也未指出有针对支付用途照片保留期限的法定上限。
照片与生物识别模板的法律待遇不同
生物识别模板是对人脸特征进行数字化处理后形成的信息，软件据此比对不同人脸。它不同于普通照片，尽管照片可以用于生成模板。
根据这里介绍的韩国隐私法规，通过技术手段生成、用于验证或识别特定个人的人脸特征信息属于敏感个人信息，适用单独同意和加密要求。普通相机拍摄的照片属于个人信息，但不会自动被划入同一敏感信息类别。
这一区别解释了企业为何能立即删除用于识别的模板，同时保留原始照片。但这并不意味着照片不受隐私保护，也不代表任何保留期限都自动合法。这意味着两类数据受到不同对待，因此保留原始照片的期限及其合理性成为争议焦点。
提出这一问题的共同民主党议员朴相赫警告说，保留照片会带来超出支付服务本身的风险：
如果这些照片在存储期间泄露，可能会被用于其他服务的身份认证，或被用于深度伪造犯罪。
这一警告针对的是照片泄露后可能发生的情况。现有报道并未证明任何一家公司的留存人脸照片已经泄露或被用于此类犯罪。
服务快速增长，用户数量说法不一
人脸支付将注册人脸与银行卡或银行账户绑定。注册后，用户只需站在终端摄像头前即可付款，无需出示钱包或智能手机。据称，整个过程不到一秒。
新韩卡于2020年推出韩国首个人脸支付服务，但起初推广不畅。此后，Toss和Naver Pay分别通过FacePay和FaceSign拓展市场。Toss发放价值5000韩元或1万韩元的注册优惠券，Naver Pay则将服务与积分及支付余额相结合。
不同报道中的用户数量说法不一。一篇报道给出的Toss FacePay注册人数依次为：前一年年底100万、7月700万、8月840万。另一篇日期为2026年10月7日的报道说，Toss于2025年9月正式推出FacePay，并报告称截至2026年8月累计注册人数超过700万。
10月报道给出的是一个较低的下限，因此未必与840万这一数字矛盾。不过，报道没有说明两组数据是否采用相同的统计口径或报告日期。第一篇报道使用的相对日期也没有明确对应的年份，不应在未加说明的情况下视为与10月报道中的日期相同。
在第一组数据中，注册人数从100万增至840万，增加了740万，达到此前水平的8.4倍。10月报道引用的Toss内部数据还称，2026年6月，实际使用FacePay付款的人中约有60%再次使用。注册人数和重复使用率衡量的是不同指标，因此这两组数据都不能说明有多少用户经常使用该服务。
服务扩张之际，退出人数也在增加
介绍保留政策争议的报道显示，FacePay撤回同意的人数从4月的15,176人增至5月的45,605人，增加30,429人，5月人数约为4月的三倍。
这些数字显示撤回请求增加，但无法据此计算撤回率，因为报道没有提供每个月活跃用户或同意使用服务的用户总数。数字也没有说明有多少人是因照片保留、隐私顾虑或支付问题而撤回同意。
2026年10月的报道显示，FacePay商业拓展后，可能会进入更多日常消费场景。当时，相关方面正计划向约5000家中小型超市和700家炸鸡连锁门店供应终端。这些是部署计划，并非已投入交易的门店数量。
随着服务规模扩大，停止支付认证与删除所有相关数据之间的区别变得愈发重要。数百万用户注册的同时，退出用户的模板可能立即删除，而照片仍继续保留。退出服务并不一定会让公司持有的所有类别信息都受到相同处理。
10起赔偿案例不等于10起识别失败
据报道，Toss曾就FacePay支付错误投诉赔偿10次。其中一起情况是，门店员工代顾客按下FacePay按钮，随后发生了支付。
Toss表示，赔偿并不意味着每起案例都涉及技术缺陷或应由公司负责的错误。该公司的解释是，在业务发展初期，尚未确定问题是否与用户自身行为有关时，就先向用户作出了赔偿。
在2026年10月的报道中，Toss另称，没有收到因系统将一人的脸误认为另一人、导致款项从错误账户扣除而提出的损失索赔。这一说法的范围比“没有支付投诉”更窄。
这一差别至关重要。系统可能正确识别了已注册用户，但选中的是一个无意付款的人。Toss承认，如果摄像头画面中只有另一名已注册用户，该用户的款项可能会被扣除。这种情况不同于软件混淆了两个人的身份。
社交媒体上流传着旁观者账户被扣款或有人利用照片完成支付的说法。这些都是未经核实的指控，现有报道没有提供经过验证的技术结论。因此，不应把10起赔偿案例、公司否认收到身份误认造成损失的索赔，以及上述摄像头选中其他用户的情况，混为一谈并统称为识别失败。
安全保障只能解决部分问题
Toss称其人脸认证准确率为99.99%。Naver Pay称其人脸识别准确率超过99%。这些是公司公布的数据。由于缺少统一的测试条件、定义或独立评估结果，不能据此直接比较两项服务的表现。
两项服务都介绍了多个安全环节，包括人脸检测、图像质量检查、篡改输入检测、身份匹配和异常交易检测。活体检测用于确认摄像头拍到的是真人，而非照片或视频。欺诈检测系统则会检查交易是否存在可疑模式。
Toss还介绍了用于区分相似人脸的模型，以及在部分情况下采用的二次认证，包括针对同卵双胞胎的情形。Naver Pay的客户指南则称，如果摄像头画面中同时出现多张人脸，支付可能会失败。
这些控制措施针对不同风险。活体检测用于防范以图像代替真人的尝试，身份匹配用于核实当事人是谁。但仅凭这两项措施的说明，无法证明摄像头选中的人有意授权付款。
两家公司还介绍了加密措施，以及将人脸信息转换成数字特征的做法。Toss称，与人脸相关的数据存储在网络隔离的环境中，未加密的原始数据会被销毁。但这并不等于所有原始照片都会立即删除：按照退出后的保留政策，加密照片仍可能继续保存。
投诉记录和赔偿规则仍有空白
提交给朴相赫办公室的金融监督院信息显示，在此前一年里，该院记录了6起有关人脸识别支付的投诉。这个数字不能与Toss赔偿的10起案例直接比较：前者统计的是监管机构收到的投诉，后者统计的是公司作出赔偿的次数。
据报道，人脸支付错误没有列入监管机构的官方事故统计，因为相关分类不属于必须上报的范围。因此，统计中没有记录某起事件，并不能证明没有发生投诉。
法律上的区别涉及授权问题。关于《电子金融交易法》的报道指出，相关欺诈支付事故赔偿类别主要针对未经授权的第三方实施交易。若支付失误并非由此类第三方滥用造成，就不会自动被归为这一类事故。
Toss表示，公司对欺诈交易造成的损失实行全额赔偿政策。Naver Pay则为报告未经本人操作的FaceSign支付的用户提供了单独的客服处理流程。这些安排并不能证明所有有争议的支付在法律上都属于同一类别，也不能保证都会得到相同处理。
尚未解决的问题是，如何一致地认定这样一种支付：系统正确识别了某人，却向并无付款意图的人扣款。现有报道没有指出已经确定新的上报类别、作出监管决定或安排听证会来解决这一问题。
隐私监管已有介入，照片保留标准仍未明确
韩国个人信息保护委员会于2024年3月对Toss的人脸支付服务进行过一次合规性审查，审查涉及隐私处理方式：将用户初次注册时验证的人脸与支付终端拍摄的人脸进行比对。这表明，在2026年10月报道所述的正式上线日期之前，该服务已接受隐私审查。
另一项干预措施显示了对留存图像的不同处理方式。在介绍保留政策的报道所述年份的5月，个人信息保护委员会建议，用于手机开通业务比对的人脸照片及人脸信息应在比对后立即销毁。这项建议针对的是手机开通业务，并非对人脸支付具有约束力的保留期限规定。
主要日期和进展如下：
- 2020年：新韩卡推出韩国首个人脸支付服务。
- 2024年3月：个人信息保护委员会审查Toss拟议的人脸支付隐私安排。
- 2025年9月：据日期为2026年10月7日的报道，Toss正式推出FacePay。
- 2026年6月：Toss内部数据显示，实际使用FacePay付款的人中，约60%再次使用。
- 2026年8月：10月报道中，Toss称累计注册人数超过700万；另一篇报道给出的8月人数为840万，但未明确说明年份。
国际比较也需要谨慎。在旧金山等地，针对警方和公共机构使用人脸识别技术的限制，与私人零售支付属于不同场景。欧洲《通用数据保护条例》对用于身份识别的生物识别信息处理设定了严格条件，但现有报道没有提供可与Toss和Naver Pay政策直接比较的外国照片保留期限。
朴相赫呼吁明确规定人脸照片的保留期限和管理标准，同时加强对支付投诉的跟踪。目前没有公布立法、公司修订政策或监管决定的时间表。眼下的事实是，用户可以撤回认证同意，但原始照片仍可能继续存储；支付争议也并非全部纳入同一套官方报告系统。
要点
- 对于有任何交易记录的用户，Toss会在其退出服务后继续保留原始人脸照片，并于第366天上午10时销毁。
- 从未进行交易的Toss用户退出时，照片会立即删除。Naver Pay则会在用户退出后保留原始照片90天。
- 用户退出服务或撤回同意时，两家公司都会立即删除生物识别身份模板。
- 据报道，Toss曾就10起支付投诉案例作出赔偿，但公司表示这些案例并非都属于技术故障。
- 报道所述期间，金融监督院记录了6起投诉。人脸支付错误未列入其官方事故统计。
- 不同报道对8月用户数量及日期的表述不一，无法据此得出一个完全可比的总数。
- 目前没有明确针对支付用途照片的保留期限上限，也没有解决这项政策争议的时间表。
