Deixar de usar pagamentos faciais não significa que a fotografia seja sempre apagada
A Toss conserva as fotografias faciais originais durante um ano após os clientes abandonarem o seu serviço FacePay, caso tenham realizado pelo menos uma transação. A Naver Pay mantém as fotografias originais durante 90 dias após a saída do FaceSign. Ambas as empresas afirmam que estes períodos de conservação lhes permitem responder a reclamações sobre pagamentos que possam surgir depois de um cliente deixar de usar o serviço.
Índice
- Deixar de usar pagamentos faciais não significa que a fotografia seja sempre apagada
- Porque mantêm as empresas as imagens
- Uma fotografia e um modelo biométrico têm tratamentos jurídicos diferentes
- Crescimento rápido, com números de utilizadores divergentes
- As saídas aumentaram à medida que o serviço cresceu
- Dez casos de indemnização não provam dez falhas de reconhecimento
- As alegações de segurança só respondem a parte do problema
- Os registos de reclamações e as regras de indemnização têm lacunas
- Existe supervisão da privacidade, mas as regras de conservação continuam por definir
- Principais pontos
O calendário da Toss é invulgarmente preciso: as fotografias dos utilizadores com histórico de transações são transferidas para uma base de dados separada à 1h00 do dia seguinte à saída e destruídas às 10h00 do 366.º dia. As fotografias dos utilizadores que se registaram, mas nunca realizaram uma transação, são destruídas imediatamente quando estes saem.
Esta distinção é importante porque a retirada do consentimento desencadeia, de facto, a eliminação imediata de outro tipo de informação facial: as características numéricas utilizadas para identificar uma pessoa. Tanto a Toss como a Naver Pay eliminam estes modelos biométricos quando um utilizador abandona o serviço ou retira o consentimento. Assim, uma fotografia original pode continuar armazenada depois de o modelo de autenticação ter sido eliminado.
As regras sul-coreanas distinguem as fotografias faciais comuns da informação gerada tecnicamente para identificar uma pessoa. A controvérsia não está em saber se os pagamentos faciais funcionam totalmente à margem da legislação sobre privacidade. Está em saber se as regras atuais regulam adequadamente as fotografias que ficam armazenadas, durante quanto tempo as empresas as devem conservar e como devem ser registados os erros de pagamento.
Segundo informação divulgada por Park Sang hyuk, deputado do Partido Democrático, foi apresentada em setembro do ano anterior uma queixa junto do Serviço de Supervisão Financeira contra a política de conservação da Toss. O relato da queixa indicava que esta continuava por resolver cerca de um ano depois. Não foi indicada qualquer data para a sua resolução.
Porque mantêm as empresas as imagens
A Toss afirma que o período de conservação corresponde ao tempo que os clientes costumam demorar a apresentar reclamações sobre pagamentos. A Naver Pay também aponta a possibilidade de surgirem reclamações posteriores sobre erros de pagamento como motivo para conservar as fotografias durante 90 dias após a saída de um utilizador.
A diferença entre as duas políticas é substancial. Um ano corresponde aproximadamente a quatro vezes os 90 dias da Naver Pay, embora a Toss especifique que as fotografias são destruídas no 366.º dia, em vez de indicar simplesmente um número de meses. Os relatos não demonstram que qualquer um dos períodos seja uma norma comum do setor ou um prazo imposto pelos reguladores.
Após a saída de um utilizador, a Toss separa as imagens conservadas da sua base de dados ativa. Trata-se de uma medida de segurança no armazenamento, mas não de eliminação. Para um antigo cliente, o facto essencial mantém-se: a empresa continua a guardar a fotografia depois de terminada a relação com o serviço de pagamentos faciais.
A justificação relacionada com as reclamações deixa também por responder uma questão prática: porque é necessário conservar a fotografia original durante o período escolhido, em vez de outros registos de transações? Não é descrita qualquer avaliação detalhada que explique a necessidade de um ano na Toss ou de 90 dias na Naver Pay. Os relatos também não identificam um limite máximo legal específico para a conservação destas fotografias em pagamentos.
Uma fotografia e um modelo biométrico têm tratamentos jurídicos diferentes
Um modelo biométrico é uma representação numérica das características faciais que o software utiliza para comparar rostos. É diferente de uma fotografia comum, embora uma fotografia possa ser utilizada para o gerar.
No quadro sul-coreano de proteção da privacidade aqui descrito, a informação sobre características faciais gerada tecnicamente para autenticar ou identificar uma pessoa específica é considerada informação pessoal sensível. Aplicam-se requisitos específicos de consentimento e encriptação. Uma fotografia comum captada por uma câmara é informação pessoal, mas não é automaticamente incluída na mesma categoria de informação sensível.
Esta distinção explica como as empresas podem eliminar imediatamente os modelos de identificação e, ao mesmo tempo, conservar as fotografias originais. Não significa que as fotografias não beneficiem de proteção da privacidade, nem demonstra que qualquer período de conservação seja automaticamente legal. Significa que os dois tipos de dados são tratados de forma diferente, colocando no centro desta disputa a duração e a justificação para conservar a imagem original.
Park, o deputado do Partido Democrático que levantou a questão, alertou para os riscos que a conservação de fotografias acarreta para além do próprio serviço de pagamentos:
Se forem divulgadas enquanto estão armazenadas, poderão ser utilizadas indevidamente para autenticação noutros serviços ou em crimes com recurso a deepfakes.
O alerta diz respeito ao que poderá acontecer após uma fuga de informação. Os relatos não demonstram que as fotografias faciais conservadas por qualquer uma das empresas tenham sido expostas ou utilizadas em crimes deste tipo.
Crescimento rápido, com números de utilizadores divergentes
Os pagamentos faciais associam um rosto registado a um cartão ou a uma conta bancária. Depois de se inscrever, o cliente pode pagar colocando-se diante da câmara de um terminal, sem apresentar uma carteira ou um smartphone. O processo é descrito como demorando menos de um segundo.
A Shinhan Card lançou o primeiro serviço de pagamentos faciais da Coreia do Sul em 2020. Inicialmente, a adesão foi reduzida. Mais tarde, a Toss e a Naver Pay expandiram o mercado através do FacePay e do FaceSign. A Toss recorreu a cupões de inscrição no valor de 5.000 ou 10.000 won, enquanto a Naver Pay associou o serviço a pontos e saldos de pagamento.
Os números de utilizadores diferem entre os relatos. Um deles indica que o total de inscrições no Toss FacePay passou de 1 milhão no final do ano anterior para 7 milhões em julho e 8,4 milhões em agosto. Um relato separado, datado de 7 de outubro de 2026, refere que a Toss lançou oficialmente o FacePay em setembro de 2025 e anunciou mais de 7 milhões de inscrições acumuladas em agosto de 2026.
O número de outubro é um limite mínimo, pelo que não contradiz necessariamente os 8,4 milhões. No entanto, os relatos não explicam se os totais seguem o mesmo critério ou correspondem à mesma data. As datas relativas do primeiro relato não são associadas explicitamente a um ano civil e não devem ser tratadas tacitamente como coincidentes com as datas do relato de outubro.
De acordo com o primeiro conjunto de números, as inscrições aumentaram de 1 milhão para 8,4 milhões: mais 7,4 milhões, num total 8,4 vezes superior ao valor inicial. Os dados internos da Toss citados no relato de outubro indicam também que cerca de 60% das pessoas que tinham efetivamente pago com o FacePay voltaram a utilizá-lo em junho de 2026. As inscrições e a utilização repetida medem coisas diferentes, pelo que nenhum destes números demonstra quantos clientes usam o serviço regularmente.
As saídas aumentaram à medida que o serviço cresceu
As retiradas do consentimento para o FacePay passaram de 15.176 em abril para 45.605 em maio, segundo o relato que detalha a disputa sobre a conservação de dados. O aumento foi de 30.429, tendo o total de maio sido cerca de três vezes superior ao de abril.
Estes números mostram que houve mais pedidos de saída, mas não permitem calcular uma taxa de saída. Não é indicado o número comparável de utilizadores ativos ou com consentimento em cada mês. Também não revelam quantas saídas foram motivadas especificamente pela conservação de imagens, por preocupações com a privacidade ou por problemas de pagamento.
A expansão comercial descrita no relato de outubro de 2026 poderá levar os pagamentos faciais a mais contextos do quotidiano. Estava a ser procurada a instalação de terminais em cerca de 5.000 supermercados de pequena e média dimensão e em 700 estabelecimentos de cadeias de frango frito. São planos de implementação, não um número confirmado de lojas que já estejam a processar transações.
À medida que a escala aumenta, torna-se mais relevante distinguir entre interromper a autenticação de pagamentos e eliminar todos os dados associados. Milhões de inscrições podem coexistir com a eliminação imediata dos modelos de identificação dos utilizadores que saem e a conservação contínua das fotografias. A saída não tem necessariamente o mesmo efeito sobre todas as categorias de informação detidas pela empresa.
Dez casos de indemnização não provam dez falhas de reconhecimento
A Toss terá pago indemnizações em 10 ocasiões relacionadas com reclamações sobre erros de pagamento do FacePay. Entre os casos esteve uma situação em que um funcionário de uma loja carregou no botão do FacePay por um cliente e o pagamento foi efetuado.
A Toss afirma que o pagamento de uma indemnização não significa que todos os casos envolvessem uma falha técnica ou um erro da responsabilidade da empresa. A empresa explicou que, nas fases iniciais da atividade, indemnizou os clientes antes de determinar se as ações destes tinham contribuído para o problema.
No relato de outubro de 2026, a Toss afirmou, separadamente, não ter recebido reclamações por danos relacionadas com a confusão entre o rosto de uma pessoa e o de outra, seguida da cobrança do pagamento na conta errada. Esta afirmação é mais restrita do que dizer que não houve reclamações sobre pagamentos.
Esta distinção é essencial. Um sistema pode identificar corretamente uma pessoa registada e, ainda assim, selecionar alguém que não pretendia pagar. A Toss reconheceu que, se apenas o rosto de outro utilizador registado surgir no campo de visão da câmara, o pagamento dessa pessoa poderá ser processado. Esta situação é diferente de o software confundir duas identidades.
Circularam nas redes sociais alegações de que tinha sido cobrada a conta de alguém que passava pelo local ou de que uma fotografia tinha sido usada para efetuar um pagamento. Estas são alegações, não conclusões técnicas verificadas nos relatos. Os 10 casos de indemnização, a negação pela empresa de reclamações por danos decorrentes de erros de identificação e o cenário descrito de seleção pela câmara não devem, por isso, ser reduzidos a um único número de falhas de reconhecimento.
As alegações de segurança só respondem a parte do problema
A Toss afirma que a precisão da sua autenticação facial é de 99,99%. A Naver Pay afirma que a precisão da identificação facial é superior a 99%. Estes são números fornecidos pelas empresas. Sem condições de teste, definições ou resultados de avaliações independentes comuns, não permitem comparar diretamente os dois serviços.
Ambos os serviços descrevem várias fases de segurança, incluindo a deteção facial, a verificação da qualidade da imagem, a deteção de imagens manipuladas, a correspondência de identidades e a deteção de transações invulgares. A deteção de presença real verifica se a câmara está a captar uma pessoa real, e não uma fotografia ou um vídeo. Um sistema de deteção de fraude analisa as transações em busca de padrões suspeitos.
A Toss descreve também um modelo para distinguir rostos semelhantes e uma autenticação secundária em alguns casos, incluindo o de gémeos verdadeiros. As instruções da Naver Pay para os clientes indicam que um pagamento poderá falhar se surgirem vários rostos ao mesmo tempo no campo de visão da câmara.
Estes controlos respondem a riscos diferentes. As verificações de presença real visam impedir tentativas de utilização de uma imagem em vez de uma pessoa. A correspondência de identidades verifica quem é a pessoa. Nenhuma destas descrições, por si só, demonstra que a pessoa selecionada pela câmara pretendia autorizar a compra.
As empresas descrevem também a encriptação e a conversão da informação facial em características numéricas. A Toss afirma que os dados relacionados com rostos são armazenados num ambiente com separação de rede e que os dados originais não encriptados são destruídos. Esta afirmação não equivale a dizer que todas as fotografias originais são eliminadas imediatamente: as fotografias encriptadas podem continuar a ser conservadas ao abrigo da política aplicável após a saída.
Os registos de reclamações e as regras de indemnização têm lacunas
Os dados do Serviço de Supervisão Financeira enviados ao gabinete de Park registaram seis reclamações sobre pagamentos com reconhecimento facial no ano anterior. Este número não pode ser comparado diretamente com os 10 casos de indemnização da Toss. Um contabiliza as reclamações recebidas por um regulador; o outro, as ocasiões em que uma empresa pagou uma indemnização.
Também é referido que os erros nos pagamentos faciais não constam das estatísticas oficiais de acidentes do regulador, porque a sua classificação não os torna abrangidos pela obrigação de comunicação. Por conseguinte, a ausência de um incidente nessas estatísticas não demonstra que não tenha havido reclamações.
A distinção jurídica diz respeito à autorização. Segundo o relato sobre a Lei das Transações Financeiras Eletrónicas, a categoria de indemnização relevante para acidentes com pagamentos fraudulentos centra-se em transações efetuadas por terceiros não autorizados. Um erro de pagamento sem utilização indevida por esse tipo de terceiro não é automaticamente tratado como um acidente dessa categoria.
A Toss afirma ter uma política de indemnização integral por perdas decorrentes de transações fraudulentas. A Naver Pay disponibiliza um processo de apoio ao cliente distinto para utilizadores que reportem um pagamento do FaceSign que não tenham realizado. Estas medidas não devem ser interpretadas como prova de que todos os pagamentos contestados têm o mesmo estatuto jurídico ou receberão a mesma resposta.
Continua por resolver a questão de como classificar de forma consistente um pagamento que identifica corretamente uma pessoa, mas cobra a alguém que não pretendia pagar. Os relatos não indicam qualquer nova categoria de comunicação já aprovada, decisão regulamentar ou audição marcada que resolva a questão.
Existe supervisão da privacidade, mas as regras de conservação continuam por definir
A Comissão de Proteção da Informação Pessoal realizou, em março de 2024, uma avaliação prévia da adequação do serviço de pagamentos faciais da Toss. A avaliação incidiu sobre o tratamento da privacidade num processo que compara um rosto verificado durante o registo inicial com um rosto captado num terminal de pagamento. Isto demonstra que o serviço foi sujeito a escrutínio em matéria de privacidade antes da data de lançamento oficial indicada no relato de outubro de 2026.
Uma intervenção distinta ilustra outra abordagem às imagens conservadas. Em maio do ano referido no relatório sobre a conservação, a comissão recomendou que as fotografias originais e a informação facial usadas na ativação de telemóveis fossem destruídas imediatamente após a comparação. Esta recomendação diz respeito à ativação de telemóveis, não a um prazo vinculativo para a conservação de dados em pagamentos faciais.
As principais datas e acontecimentos são:
- 2020: A Shinhan Card lançou o primeiro serviço de pagamentos faciais da Coreia do Sul.
- Março de 2024: A Comissão de Proteção da Informação Pessoal analisou as medidas de privacidade previstas para o serviço de pagamentos faciais da Toss.
- Setembro de 2025: A Toss lançou oficialmente o FacePay, segundo o relato datado de 7 de outubro de 2026.
- Junho de 2026: Os dados internos da Toss apontavam para uma utilização repetida de cerca de 60% entre as pessoas que tinham efetuado um pagamento com o FacePay.
- Agosto de 2026: No relato de outubro, a Toss anunciou mais de 7 milhões de inscrições acumuladas; outro relato aponta para 8,4 milhões em agosto, sem identificar explicitamente o ano.
As comparações internacionais também exigem cautela. As restrições à utilização de reconhecimento facial pela polícia e por organismos públicos em locais como São Francisco dizem respeito a utilizações diferentes dos pagamentos no comércio a retalho. O Regulamento Geral sobre a Proteção de Dados da Europa impõe condições rigorosas ao tratamento de dados biométricos para identificação, mas os relatos não indicam um prazo estrangeiro para a conservação de fotografias que seja diretamente comparável com as políticas da Toss e da Naver Pay.
Park pediu prazos explícitos e normas de gestão para as fotografias faciais, bem como um acompanhamento mais rigoroso das reclamações sobre pagamentos. Não é indicado qualquer calendário para a aprovação de legislação, a revisão da política de uma empresa ou uma decisão regulamentar. Os factos imediatos são que os utilizadores podem pôr fim ao consentimento para autenticação enquanto uma fotografia original continua armazenada, e que as disputas sobre pagamentos não entram todas no mesmo sistema oficial de comunicação.
Principais pontos
- A Toss conserva as fotografias faciais originais após a saída dos utilizadores com histórico de transações, destruindo-as às 10h00 do 366.º dia.
- A Toss elimina imediatamente as fotografias dos utilizadores que nunca realizaram transações. A Naver Pay conserva as fotografias originais durante 90 dias após a saída.
- Ambas as empresas eliminam imediatamente os modelos biométricos de identificação quando os utilizadores saem do serviço ou retiram o consentimento.
- A Toss terá indemnizado clientes em 10 casos de reclamações sobre pagamentos, mas afirma que nem todos representam falhas técnicas.
- O Serviço de Supervisão Financeira registou seis reclamações no período descrito. Os erros nos pagamentos faciais não constam das estatísticas oficiais de acidentes.
- Os relatos sobre o número de utilizadores apresentam valores diferentes para agosto e enquadramentos temporais distintos, pelo que não estabelecem um total plenamente comparável.
- Não é identificado qualquer limite máximo específico para a conservação de fotografias em pagamentos nem qualquer prazo para resolver a disputa sobre a política.
