Toss lưu ảnh khuôn mặt một năm sau khi người dùng rời dịch vụ, Naver Pay lưu 90 ngày

Ngừng thanh toán bằng khuôn mặt không đồng nghĩa ảnh luôn bị xóa

Toss lưu ảnh khuôn mặt gốc trong một năm sau khi khách hàng ngừng sử dụng dịch vụ FacePay nếu họ từng thực hiện dù chỉ một giao dịch. Naver Pay giữ ảnh gốc trong 90 ngày sau khi người dùng rút khỏi FaceSign. Cả hai công ty cho biết thời hạn lưu trữ nhằm giúp họ xử lý khiếu nại thanh toán có thể phát sinh sau khi khách hàng ngừng sử dụng dịch vụ.

Lịch lưu trữ của Toss được quy định rất cụ thể: ảnh của người dùng có lịch sử giao dịch được chuyển sang cơ sở dữ liệu riêng lúc 1 giờ sáng ngày sau khi rút khỏi dịch vụ và bị hủy lúc 10 giờ sáng ngày thứ 366. Ảnh của người đã đăng ký nhưng chưa từng giao dịch sẽ bị hủy ngay khi họ rời dịch vụ.

Sự khác biệt này đáng chú ý vì việc rút lại sự đồng ý có kích hoạt xóa ngay một loại dữ liệu khuôn mặt khác: các đặc trưng dạng số được dùng để nhận diện một người. Toss và Naver Pay đều xóa các mẫu sinh trắc học này khi người dùng rút khỏi dịch vụ hoặc thu hồi sự đồng ý. Vì vậy, ảnh gốc có thể vẫn được lưu sau khi mẫu xác thực đã bị xóa.

Quy định của Hàn Quốc phân biệt ảnh khuôn mặt thông thường với thông tin được tạo ra bằng kỹ thuật để nhận diện một người. Tranh cãi không nằm ở việc thanh toán bằng khuôn mặt hoàn toàn nằm ngoài luật bảo vệ quyền riêng tư hay không. Vấn đề là các quy định hiện hành có quản lý đầy đủ những bức ảnh còn được lưu hay không, doanh nghiệp nên giữ chúng trong bao lâu và sai sót thanh toán cần được ghi nhận như thế nào.

Theo thông tin do nghị sĩ Đảng Dân chủ Park Sang hyuk công bố, một khiếu nại phản đối chính sách lưu trữ của Toss đã được gửi đến Cơ quan Giám sát Tài chính vào tháng 9 năm trước. Nội dung mô tả khiếu nại cho biết vụ việc vẫn chưa được giải quyết khoảng một năm sau đó. Không có ngày giải quyết nào được nêu.

Vì sao các công ty giữ lại ảnh

Toss cho biết thời hạn lưu trữ phản ánh khoảng thời gian khách hàng thường cần để gửi khiếu nại thanh toán. Naver Pay cũng viện dẫn khả năng phát sinh khiếu nại sau này về lỗi thanh toán để giải thích việc giữ ảnh trong 90 ngày sau khi người dùng rời dịch vụ.

Hai chính sách có khác biệt đáng kể. Một năm dài gấp khoảng bốn lần 90 ngày của Naver Pay, dù Toss quy định hủy ảnh vào ngày thứ 366 thay vì chỉ nêu số tháng. Các thông tin hiện có không cho thấy một trong hai thời hạn là chuẩn chung của ngành hay thời hạn do cơ quan quản lý yêu cầu.

Sau khi người dùng rút khỏi dịch vụ, Toss tách ảnh được giữ lại khỏi cơ sở dữ liệu đang hoạt động. Đây là biện pháp bảo vệ trong khâu lưu trữ, nhưng không phải xóa dữ liệu. Với khách hàng cũ, điểm cốt yếu vẫn là công ty tiếp tục giữ ảnh sau khi mối quan hệ với dịch vụ thanh toán bằng khuôn mặt đã chấm dứt.

Lý do liên quan đến khiếu nại cũng để ngỏ một câu hỏi thực tế: tại sao cần giữ ảnh gốc trong thời hạn đã chọn thay vì các hồ sơ giao dịch khác? Không có đánh giá chi tiết nào giải thích sự cần thiết của một năm tại Toss hay 90 ngày tại Naver Pay. Các thông tin được nêu cũng không xác định giới hạn tối đa theo luật riêng cho việc lưu giữ những bức ảnh này phục vụ thanh toán.

Ảnh và mẫu sinh trắc học được pháp luật đối xử khác nhau

Mẫu sinh trắc học là bản biểu diễn các đặc điểm khuôn mặt dưới dạng số, được phần mềm dùng để so sánh các khuôn mặt. Đây là loại dữ liệu khác với ảnh thông thường, dù ảnh có thể được dùng để tạo ra mẫu đó.

Theo khung pháp lý về quyền riêng tư của Hàn Quốc được mô tả ở đây, thông tin về đặc điểm khuôn mặt được tạo ra bằng kỹ thuật để xác thực hoặc nhận diện một người cụ thể được xếp là thông tin cá nhân nhạy cảm. Loại dữ liệu này phải tuân thủ yêu cầu riêng về sự đồng ý và mã hóa. Ảnh chụp thông thường là thông tin cá nhân nhưng không mặc nhiên thuộc cùng nhóm thông tin nhạy cảm đó.

Sự phân biệt này lý giải vì sao các công ty có thể xóa ngay mẫu nhận diện nhưng vẫn giữ ảnh gốc. Điều đó không có nghĩa ảnh không được bảo vệ về quyền riêng tư, cũng không khẳng định bất kỳ thời hạn lưu trữ nào đương nhiên hợp pháp. Hai loại dữ liệu được đối xử khác nhau, khiến thời hạn và lý do giữ ảnh gốc trở thành trọng tâm của tranh cãi.

Park, nghị sĩ Đảng Dân chủ nêu vấn đề này, cảnh báo việc lưu ảnh tạo ra những rủi ro không chỉ giới hạn trong dịch vụ thanh toán:

Nếu bị rò rỉ trong quá trình lưu trữ, ảnh có thể bị sử dụng sai mục đích để xác thực trên các dịch vụ khác hoặc phục vụ tội phạm deepfake.

Cảnh báo này đề cập đến những gì có thể xảy ra sau khi dữ liệu bị rò rỉ. Các thông tin hiện có không chứng minh ảnh khuôn mặt được lưu tại một trong hai công ty đã bị lộ hoặc bị dùng trong những tội phạm như vậy.

Tăng trưởng nhanh, nhưng số liệu người đăng ký không thống nhất

Thanh toán bằng khuôn mặt liên kết khuôn mặt đã đăng ký với thẻ hoặc tài khoản ngân hàng. Sau khi đăng ký, khách hàng có thể thanh toán bằng cách đứng trước camera tại thiết bị đầu cuối, không cần xuất trình ví hay điện thoại thông minh. Quá trình này được mô tả là mất chưa đến một giây.

Shinhan Card ra mắt dịch vụ thanh toán bằng khuôn mặt đầu tiên tại Hàn Quốc vào năm 2020. Ban đầu, dịch vụ chưa thu hút được nhiều người dùng. Sau đó, Toss và Naver Pay mở rộng thị trường thông qua FacePay và FaceSign. Toss dùng phiếu đăng ký trị giá 5.000 won hoặc 10.000 won, còn Naver Pay liên kết dịch vụ với điểm thưởng và số dư thanh toán.

Số liệu người đăng ký giữa các bài tường thuật không thống nhất. Một nguồn cho biết tổng số đăng ký FacePay của Toss là 1 triệu vào cuối năm trước, 7 triệu vào tháng 7 và 8,4 triệu vào tháng 8. Một nguồn khác, trong bài viết ngày 7 tháng 10 năm 2026, cho biết Toss chính thức ra mắt FacePay vào tháng 9 năm 2025 và báo cáo có hơn 7 triệu lượt đăng ký lũy kế vào tháng 8 năm 2026.

Mốc hơn 7 triệu trong nguồn thứ hai là ngưỡng thấp hơn, nên không nhất thiết mâu thuẫn với con số 8,4 triệu. Tuy nhiên, các nguồn không giải thích liệu những số liệu này có cùng cách đo lường hoặc cùng ngày chốt hay không. Nguồn thứ nhất không nêu rõ năm của các mốc thời gian tương đối, vì vậy không nên mặc nhiên xem chúng trùng với các mốc trong bài viết tháng 10.

Trong nhóm số liệu đầu tiên, số lượt đăng ký tăng từ 1 triệu lên 8,4 triệu, tức tăng 7,4 triệu và đạt mức gấp 8,4 lần ban đầu. Các số liệu nội bộ của Toss được dẫn trong bài viết tháng 10 cũng cho biết khoảng 60% những người từng thanh toán bằng FacePay đã tiếp tục sử dụng dịch vụ vào tháng 6 năm 2026. Số lượt đăng ký và tỷ lệ sử dụng lại đo lường những điều khác nhau, nên không số liệu nào cho biết có bao nhiêu khách hàng sử dụng dịch vụ thường xuyên.

Số lượt rút khỏi dịch vụ tăng cùng đà mở rộng

Theo nguồn trình bày chi tiết tranh cãi về lưu trữ, số lượt rút lại sự đồng ý với FacePay tăng từ 15.176 vào tháng 4 lên 45.605 vào tháng 5. Con số này tăng thêm 30.429, và tổng tháng 5 cao gấp khoảng ba lần tháng 4.

Các số liệu cho thấy số yêu cầu rút khỏi dịch vụ tăng, nhưng không cho biết tỷ lệ rút. Không có số người dùng đang hoạt động hoặc đã đồng ý tương ứng cho từng tháng để đối chiếu. Chúng cũng không cho thấy có bao nhiêu người rút vì lo ngại riêng về việc lưu ảnh, quyền riêng tư hay vấn đề thanh toán.

Việc mở rộng thương mại được mô tả trong bài viết tháng 10 năm 2026 có thể đưa thanh toán bằng khuôn mặt vào nhiều bối cảnh đời thường hơn. Các công ty đang xúc tiến cung cấp thiết bị đầu cuối cho khoảng 5.000 siêu thị vừa và nhỏ cùng 700 cửa hàng nhượng quyền gà rán. Đây là kế hoạch triển khai, không phải số lượng cửa hàng đã được xác nhận đang xử lý giao dịch.

Quy mô dịch vụ khiến sự khác biệt giữa việc dừng xác thực thanh toán và xóa toàn bộ dữ liệu liên quan ngày càng đáng lưu ý. Hàng triệu lượt đăng ký vẫn có thể đi đôi với việc xóa mẫu ngay khi người dùng rời dịch vụ và tiếp tục lưu ảnh. Việc rút khỏi dịch vụ không nhất thiết có tác động giống nhau đến mọi loại thông tin do công ty nắm giữ.

Mười trường hợp bồi thường không đồng nghĩa có mười lỗi nhận diện

Toss được cho là đã bồi thường 10 lần liên quan đến các khiếu nại về lỗi thanh toán FacePay. Trong đó có trường hợp nhân viên cửa hàng bấm nút FacePay thay khách hàng và giao dịch được thực hiện sau đó.

Toss cho biết việc bồi thường không có nghĩa mọi trường hợp đều liên quan đến lỗi kỹ thuật hoặc lỗi thuộc trách nhiệm của công ty. Công ty giải thích rằng trong giai đoạn đầu hoạt động, họ đã bồi thường cho khách hàng trước khi xác định liệu hành động của chính khách hàng có góp phần gây ra vấn đề hay không.

Trong bài viết tháng 10 năm 2026, Toss nói riêng rằng công ty chưa nhận được yêu cầu bồi thường thiệt hại nào liên quan đến việc khuôn mặt của người này bị nhầm với người khác, khiến khoản thanh toán bị trừ từ sai tài khoản. Tuyên bố này hẹp hơn so với khẳng định rằng chưa từng có khiếu nại thanh toán nào.

Sự phân biệt này rất quan trọng. Hệ thống có thể nhận diện chính xác một người đã đăng ký nhưng lại chọn nhầm người không có ý định thanh toán. Toss thừa nhận rằng nếu chỉ có khuôn mặt của một người dùng khác đã đăng ký xuất hiện trước camera, khoản thanh toán của người đó có thể được xử lý. Trường hợp này khác với việc phần mềm nhầm lẫn danh tính của hai người.

Các cáo buộc lan truyền trên mạng xã hội cho rằng tài khoản của người đứng gần bị trừ tiền hoặc ảnh được dùng để thanh toán. Đây là những cáo buộc, không phải kết luận kỹ thuật đã được xác minh trong các nguồn. Vì vậy, không nên gộp 10 trường hợp bồi thường, việc công ty phủ nhận đã nhận yêu cầu bồi thường do nhầm danh tính và tình huống lựa chọn người trước camera được mô tả thành một con số duy nhất về lỗi nhận diện.

Các tuyên bố về bảo mật chỉ giải quyết một phần vấn đề

Toss cho biết độ chính xác xác thực khuôn mặt đạt 99,99%. Naver Pay tuyên bố độ chính xác nhận diện khuôn mặt vượt 99%. Đây là số liệu do các công ty đưa ra. Khi không có điều kiện thử nghiệm, định nghĩa hoặc kết quả đánh giá độc lập chung, các số liệu này không thể dùng để xếp hạng trực tiếp hai dịch vụ.

Cả hai dịch vụ đều mô tả nhiều bước bảo mật, gồm phát hiện khuôn mặt, kiểm tra chất lượng ảnh, phát hiện dữ liệu đầu vào bị thao túng, đối chiếu danh tính và nhận diện giao dịch bất thường. Tính năng phát hiện người thật kiểm tra camera đang ghi hình người thật hay chỉ là ảnh hoặc video. Hệ thống phát hiện gian lận phân tích giao dịch để tìm các dấu hiệu đáng ngờ.

Toss cũng mô tả mô hình phân biệt các khuôn mặt giống nhau và xác thực bổ sung trong một số trường hợp, kể cả với cặp song sinh cùng trứng. Hướng dẫn khách hàng của Naver Pay cho biết giao dịch có thể thất bại nếu nhiều khuôn mặt cùng lọt vào khung hình camera.

Các biện pháp này nhắm đến những rủi ro khác nhau. Kiểm tra người thật nhằm ngăn việc dùng ảnh thay cho người thật. Đối chiếu danh tính nhằm xác định người đó là ai. Tự thân hai mô tả này không chứng minh người được camera chọn đã có ý định cho phép mua hàng.

Các công ty cũng mô tả việc mã hóa và chuyển thông tin khuôn mặt thành các đặc trưng dạng số. Toss cho biết dữ liệu liên quan đến khuôn mặt được lưu trong môi trường tách biệt mạng và dữ liệu gốc chưa mã hóa sẽ bị hủy. Tuyên bố này không đồng nghĩa mọi ảnh gốc đều bị xóa ngay lập tức: ảnh đã mã hóa vẫn có thể được lưu theo chính sách áp dụng sau khi người dùng rời dịch vụ.

Hồ sơ khiếu nại và quy định bồi thường còn khoảng trống

Thông tin của Cơ quan Giám sát Tài chính gửi đến văn phòng nghị sĩ Park ghi nhận sáu khiếu nại về thanh toán bằng nhận diện khuôn mặt trong năm trước đó. Không thể so sánh trực tiếp con số này với 10 trường hợp Toss bồi thường. Một bên đếm khiếu nại được gửi đến cơ quan quản lý, bên kia đếm số lần công ty trả tiền bồi thường.

Các lỗi thanh toán bằng khuôn mặt cũng được cho là không xuất hiện trong thống kê báo cáo sự cố chính thức của cơ quan quản lý vì cách phân loại khiến chúng không thuộc diện phải báo cáo. Do đó, việc một sự cố không có trong thống kê không chứng minh rằng không có khiếu nại nào phát sinh.

Khác biệt pháp lý xoay quanh vấn đề ủy quyền. Theo nội dung về Luật Giao dịch Tài chính Điện tử, nhóm bồi thường liên quan đến sự cố thanh toán gian lận tập trung vào giao dịch do bên thứ ba không được ủy quyền thực hiện. Sai sót thanh toán không có hành vi sử dụng trái phép của bên thứ ba không mặc nhiên được xếp vào loại sự cố này.

Toss cho biết công ty áp dụng chính sách bồi thường toàn bộ thiệt hại do giao dịch gian lận. Naver Pay có quy trình hỗ trợ khách hàng riêng dành cho người báo cáo giao dịch FaceSign mà họ không thực hiện. Không nên xem những cơ chế này là bằng chứng cho thấy mọi giao dịch bị tranh chấp có cùng địa vị pháp lý hoặc sẽ được xử lý giống nhau.

Vấn đề chưa được giải quyết là làm sao phân loại nhất quán một giao dịch trong đó hệ thống nhận diện đúng người nhưng tính tiền cho người không có ý định thanh toán. Các nguồn không đề cập danh mục báo cáo mới đã được hoàn thiện, quyết định của cơ quan quản lý hay phiên điều trần dự kiến nào để giải quyết câu hỏi đó.

Đã có giám sát quyền riêng tư, nhưng chuẩn lưu trữ vẫn chưa rõ

Ủy ban Bảo vệ Thông tin Cá nhân đã tiến hành rà soát tính phù hợp trước đó đối với dịch vụ thanh toán bằng khuôn mặt của Toss vào tháng 3 năm 2024. Nội dung rà soát liên quan đến cách xử lý quyền riêng tư trong quy trình so sánh khuôn mặt được xác minh lúc đăng ký ban đầu với khuôn mặt chụp tại thiết bị đầu cuối thanh toán. Điều này cho thấy dịch vụ đã được xem xét về quyền riêng tư trước thời điểm ra mắt chính thức được nêu trong bài viết tháng 10 năm 2026.

Một biện pháp can thiệp riêng cho thấy cách tiếp cận khác đối với việc lưu ảnh. Vào tháng 5 của năm được nêu trong báo cáo về lưu trữ, ủy ban khuyến nghị hủy ngay ảnh gốc và thông tin khuôn mặt dùng để kích hoạt điện thoại di động sau khi đối chiếu. Khuyến nghị đó liên quan đến việc kích hoạt điện thoại, không phải thời hạn lưu trữ bắt buộc đối với thanh toán bằng khuôn mặt.

Các mốc thời gian và diễn biến chính:

• 2020: Shinhan Card ra mắt dịch vụ thanh toán bằng khuôn mặt đầu tiên tại Hàn Quốc.
• Tháng 3 năm 2024: Ủy ban Bảo vệ Thông tin Cá nhân rà soát phương án bảo vệ quyền riêng tư trong dịch vụ thanh toán bằng khuôn mặt dự kiến của Toss.
• Tháng 9 năm 2025: Toss chính thức ra mắt FacePay, theo bài viết ngày 7 tháng 10 năm 2026.
• Tháng 6 năm 2026: Theo số liệu nội bộ của Toss, tỷ lệ sử dụng lại đạt khoảng 60% trong số những người từng thanh toán bằng FacePay.
• Tháng 8 năm 2026: Trong bài viết tháng 10, Toss báo cáo có hơn 7 triệu lượt đăng ký lũy kế; một báo cáo khác đưa ra con số 8,4 triệu trong tháng 8 nhưng không nêu rõ năm.

Việc so sánh quốc tế cũng cần thận trọng. Những hạn chế đối với hoạt động nhận diện khuôn mặt của cảnh sát và cơ quan công quyền ở các nơi như San Francisco liên quan đến mục đích sử dụng khác với thanh toán bán lẻ tư nhân. Quy định chung về bảo vệ dữ liệu của châu Âu đặt ra các điều kiện nghiêm ngặt cho việc xử lý dữ liệu sinh trắc học để nhận diện, nhưng các nguồn không đưa ra thời hạn lưu ảnh ở nước ngoài có thể so sánh trực tiếp với chính sách của Toss và Naver Pay.

Park kêu gọi quy định rõ thời hạn lưu trữ và tiêu chuẩn quản lý ảnh khuôn mặt, đồng thời theo dõi chặt chẽ hơn các khiếu nại thanh toán. Chưa có lịch trình nào cho việc ban hành luật, sửa đổi chính sách của công ty hay ra quyết định quản lý. Những gì đã rõ là người dùng có thể chấm dứt sự đồng ý cho phép xác thực trong khi ảnh gốc vẫn được lưu, và không phải mọi tranh chấp thanh toán đều được đưa vào cùng một hệ thống báo cáo chính thức.

Điểm chính

• Toss giữ ảnh khuôn mặt gốc sau khi người dùng rời dịch vụ nếu họ từng giao dịch, và hủy ảnh lúc 10 giờ sáng ngày thứ 366.
• Toss xóa ngay ảnh của người dùng chưa từng giao dịch. Naver Pay giữ ảnh gốc trong 90 ngày sau khi người dùng rời dịch vụ.
• Cả hai công ty đều xóa ngay mẫu sinh trắc học dùng để nhận diện khi người dùng rời dịch vụ hoặc thu hồi sự đồng ý.
• Toss được cho là đã bồi thường 10 trường hợp khiếu nại thanh toán, nhưng cho biết không phải tất cả đều là lỗi kỹ thuật.
• Cơ quan Giám sát Tài chính ghi nhận sáu khiếu nại trong giai đoạn được đề cập. Lỗi thanh toán bằng khuôn mặt không nằm trong thống kê sự cố chính thức của cơ quan này.
• Các nguồn đưa ra số liệu tháng 8 và mốc thời gian khác nhau, nên chưa xác lập được một tổng số hoàn toàn có thể so sánh.
• Chưa có giới hạn tối đa riêng cho thời hạn lưu ảnh phục vụ thanh toán hoặc thời hạn giải quyết tranh chấp về chính sách.