Dejar de usar el pago facial no siempre elimina la foto
Toss conserva las fotografías faciales originales durante un año después de que los clientes dejan su servicio FacePay, si han realizado al menos una transacción. Naver Pay conserva las fotografías originales durante 90 días después de la baja de FaceSign. Ambas empresas afirman que estos plazos les permiten responder a reclamaciones sobre pagos que pueden presentarse después de que un cliente deje de usar el servicio.
Contenido
- Dejar de usar el pago facial no siempre elimina la foto
- Por qué las empresas conservan las imágenes
- La fotografía y la plantilla biométrica reciben un trato jurídico distinto
- Rápido crecimiento, con cifras de suscriptores distintas
- Aumentaron las bajas a medida que se expandía el servicio
- Diez casos con compensación no demuestran diez fallos de reconocimiento
- Las afirmaciones sobre seguridad solo abordan parte del problema
- Los registros de reclamaciones y las normas de compensación dejan lagunas
- Hay supervisión de la privacidad, pero el criterio de conservación sigue sin resolverse
- Puntos clave
El plazo de Toss es inusualmente preciso: las fotografías de los usuarios con historial de transacciones se trasladan a una base de datos separada a la 1:00 de la madrugada del día siguiente a la baja y se destruyen a las 10:00 de la mañana del día 366. Las fotografías de los usuarios que se registraron, pero nunca realizaron una transacción, se destruyen de inmediato cuando se dan de baja.
La diferencia es importante porque retirar el consentimiento sí activa la eliminación inmediata de otro tipo de información facial: los rasgos numéricos que se utilizan para identificar a una persona. Tanto Toss como Naver Pay eliminan estas plantillas biométricas cuando un usuario deja el servicio o retira su consentimiento. Por tanto, una fotografía original puede seguir almacenada después de que se haya eliminado la plantilla de autenticación.
La normativa surcoreana distingue las fotografías faciales ordinarias de la información generada técnicamente para identificar a una persona. La controversia no gira en torno a si el pago facial opera completamente al margen de las leyes de privacidad. La cuestión es si las normas actuales regulan adecuadamente las fotografías que se conservan, cuánto tiempo deberían retenerlas las empresas y cómo deberían registrarse los errores de pago.
En septiembre del año anterior se presentó ante el Servicio de Supervisión Financiera una reclamación contra la política de conservación de Toss, según información divulgada por Park Sang hyuk, legislador del Partido Democrático. El relato de la reclamación indicó que seguía sin resolverse aproximadamente un año después. No se especificó una fecha para su resolución.
Por qué las empresas conservan las imágenes
Toss afirma que su plazo de conservación refleja el tiempo que suelen tardar los clientes en presentar reclamaciones sobre pagos. Naver Pay también cita la posibilidad de que se presenten posteriormente reclamaciones por errores de pago como motivo para conservar las fotografías durante 90 días después de que un usuario se dé de baja.
La diferencia entre las dos políticas es considerable. Un año equivale aproximadamente a cuatro veces los 90 días de Naver Pay, aunque Toss especifica que las fotografías se destruyen el día 366, en lugar de limitarse a indicar un número de meses. La información disponible no demuestra que ninguno de los dos plazos sea una norma habitual del sector ni un límite exigido por los reguladores.
Después de la baja, Toss separa las imágenes conservadas de su base de datos activa. Es una medida de protección del almacenamiento, pero no equivale a eliminarlas. Para un antiguo cliente, el hecho central sigue siendo que la empresa conserva la fotografía después de que termina la relación con el servicio de pago facial.
La justificación basada en las reclamaciones también deja una pregunta práctica sin respuesta: ¿por qué es necesario conservar la fotografía original durante el plazo elegido, en vez de conservar otros registros de la transacción? No se describe ninguna evaluación detallada que explique por qué Toss necesita un año o Naver Pay, 90 días. Tampoco se identifica en la información disponible un límite máximo legal específico para la conservación de estas fotografías en los servicios de pago.
La fotografía y la plantilla biométrica reciben un trato jurídico distinto
Una plantilla biométrica es una representación numérica de los rasgos faciales que un programa utiliza para comparar rostros. Es distinta de una fotografía ordinaria, aunque una fotografía pueda utilizarse para generarla.
Según el marco surcoreano de privacidad descrito aquí, la información sobre rasgos faciales generada técnicamente para autenticar o identificar a una persona específica es información personal sensible. Se aplican requisitos específicos de consentimiento y cifrado. Una fotografía ordinaria tomada con una cámara es información personal, pero no queda automáticamente incluida en esa misma categoría de información sensible.
Esta diferencia explica cómo las empresas pueden eliminar de inmediato las plantillas de identificación y, al mismo tiempo, conservar las fotografías originales. No significa que las fotografías carezcan de protección de privacidad, ni demuestra que cualquier plazo de conservación sea automáticamente legal. Significa que los dos tipos de datos reciben un trato distinto, por lo que la duración y la justificación para conservar la imagen original son el centro de esta disputa.
Park, el legislador del Partido Democrático que planteó la cuestión, advirtió que conservar fotografías genera riesgos que van más allá del propio servicio de pago:
«Si se filtran mientras están almacenadas, podrían utilizarse indebidamente para autenticar a usuarios en otros servicios o para cometer delitos con ultrafalsificaciones».
La advertencia se refiere a lo que podría ocurrir después de una filtración. La información disponible no demuestra que las fotografías faciales conservadas por ninguna de las dos empresas hayan quedado expuestas ni se hayan utilizado para cometer esos delitos.
Rápido crecimiento, con cifras de suscriptores distintas
El pago facial vincula un rostro registrado con una tarjeta o una cuenta bancaria. Una vez inscrito, el cliente puede pagar colocándose frente a la cámara de un terminal, sin presentar una cartera ni un teléfono inteligente. Se describe que el proceso tarda menos de un segundo.
Shinhan Card lanzó el primer servicio de pago facial de Corea del Sur en 2020. Al principio, su adopción avanzó con dificultad. Más adelante, Toss y Naver Pay ampliaron el mercado con FacePay y FaceSign. Toss ofreció cupones de registro por valor de 5.000 o 10.000 wones, mientras que Naver Pay vinculó su servicio a puntos y saldos de pago.
Las cifras de suscriptores varían entre los informes. Un relato sitúa el total de registros de Toss FacePay en 1 millón al cierre del año anterior, 7 millones en julio y 8,4 millones en agosto. Otro relato, fechado el 7 de octubre de 2026, señala que Toss lanzó formalmente FacePay en septiembre de 2025 y comunicó más de 7 millones de registros acumulados en agosto de 2026.
La cifra de octubre establece un umbral mínimo, por lo que no necesariamente contradice los 8,4 millones. Sin embargo, los relatos no explican si los totales se calcularon con el mismo método o corresponden a la misma fecha de referencia. En el primer relato no se indica expresamente el año de las fechas relativas, por lo que no debe suponerse que coinciden con las del relato de octubre.
Dentro del primer conjunto de cifras, los registros aumentaron de 1 millón a 8,4 millones, es decir, 7,4 millones más y un total 8,4 veces superior al inicial. Las cifras internas de Toss citadas en el relato de octubre también indican que aproximadamente el 60% de las personas que habían pagado con FacePay lo volvió a usar en junio de 2026. Los registros y el uso repetido miden aspectos distintos, por lo que ninguna de las dos cifras permite determinar cuántos clientes utilizan el servicio con regularidad.
Aumentaron las bajas a medida que se expandía el servicio
Las retiradas del consentimiento para FacePay aumentaron de 15.176 en abril a 45.605 en mayo, según el relato que detalla la disputa sobre la conservación de datos. Es un incremento de 30.429; el total de mayo fue aproximadamente tres veces el de abril.
Estas cifras muestran que aumentaron las solicitudes de baja, pero no permiten calcular una tasa de bajas. No se proporciona una cifra comparable de usuarios activos o que hubieran dado su consentimiento para cada mes. Tampoco indican cuántas bajas se debieron específicamente a la conservación de imágenes, a preocupaciones por la privacidad o a problemas con los pagos.
La expansión comercial descrita en el relato de octubre de 2026 podría llevar el pago facial a más establecimientos de uso cotidiano. Se buscaba instalar terminales en unos 5.000 supermercados pequeños y medianos y en 700 establecimientos de franquicias de pollo. Se trata de planes de expansión, no de una cifra confirmada de tiendas que ya procesan transacciones.
A medida que aumenta la escala, cobra más importancia la diferencia entre dejar de autorizar pagos y eliminar todos los datos relacionados. Millones de registros pueden coexistir con la eliminación inmediata de las plantillas de los usuarios que se dan de baja y la conservación de sus fotografías. La baja no necesariamente tiene el mismo efecto en todas las categorías de información que posee la empresa.
Diez casos con compensación no demuestran diez fallos de reconocimiento
Según se ha informado, Toss ha pagado compensaciones en 10 ocasiones relacionadas con reclamaciones por errores de pago de FacePay. Entre los casos figuraba uno en el que un empleado de una tienda pulsó el botón de FacePay en nombre de un cliente y se efectuó un pago.
Toss afirma que pagar una compensación no significa que todos los casos implicaran un defecto técnico o un error del que la empresa fuera responsable. La empresa explicó que, en las primeras etapas del servicio, compensaba a los clientes antes de determinar si sus propias acciones habían contribuido al problema.
En el relato de octubre de 2026, Toss afirmó por separado que no había recibido reclamaciones por daños en casos en que se confundiera el rostro de una persona con el de otra y, como consecuencia, se cobrara el pago a una cuenta equivocada. Esta declaración es más específica que afirmar que no ha habido reclamaciones por pagos.
La diferencia es fundamental. Un sistema puede identificar correctamente a una persona registrada y, aun así, seleccionar a alguien que no tenía intención de pagar. Toss reconoció que, si solo aparece ante la cámara el rostro de otro usuario registrado, podría procesarse el pago de esa persona. Esa situación es distinta de que el programa confunda dos identidades.
En redes sociales circularon afirmaciones de que se había cobrado a una persona presente en el lugar o de que se había utilizado una fotografía para realizar un pago. Son acusaciones, no conclusiones técnicas verificadas en la información disponible. Por tanto, los 10 casos con compensación, la negativa de la empresa a reconocer reclamaciones por daños derivados de confusiones de identidad y el supuesto de selección por la cámara descrito no deben agruparse en un único recuento de fallos de reconocimiento.
Las afirmaciones sobre seguridad solo abordan parte del problema
Toss afirma que la precisión de su autenticación facial es del 99,99%. Naver Pay sostiene que la precisión de su identificación facial supera el 99%. Son cifras proporcionadas por las propias empresas. Sin condiciones de prueba compartidas, definiciones comunes o resultados de evaluaciones independientes, no permiten comparar directamente ambos servicios.
Ambos servicios describen varias etapas de seguridad, entre ellas la detección facial, los controles de calidad de imagen, la detección de imágenes manipuladas, la comparación de identidad y la detección de transacciones inusuales. La detección de presencia real comprueba si la cámara capta a una persona y no una fotografía o un video. Un sistema de detección de fraude analiza las transacciones para identificar patrones sospechosos.
Toss también describe un modelo para distinguir rostros similares y una autenticación secundaria en algunos casos, incluidos los de gemelos idénticos. La guía de atención al cliente de Naver Pay indica que un pago puede fallar si aparecen varios rostros en la cámara al mismo tiempo.
Estos controles abordan riesgos distintos. Las comprobaciones de presencia real buscan impedir que se utilice una imagen en lugar de una persona. La comparación de identidad comprueba quién es esa persona. Ninguna de estas descripciones demuestra por sí sola que la persona seleccionada por la cámara tuviera intención de autorizar la compra.
Las empresas también describen el cifrado y la conversión de la información facial en rasgos numéricos. Toss afirma que los datos relacionados con los rostros se almacenan en un entorno con separación de redes y que los datos originales sin cifrar se destruyen. Esta afirmación no equivale a decir que todas las fotografías originales se eliminen de inmediato: las fotografías cifradas pueden seguir almacenadas conforme a la política aplicable después de la baja.
Los registros de reclamaciones y las normas de compensación dejan lagunas
La información del Servicio de Supervisión Financiera remitida a la oficina de Park registró seis reclamaciones sobre pagos mediante reconocimiento facial durante el año anterior. Esa cifra no se puede comparar directamente con los 10 casos con compensación de Toss. Una cuenta las reclamaciones recibidas por un regulador; la otra, las ocasiones en que una empresa pagó una compensación.
También se informa que los errores de pago facial no aparecen en las estadísticas oficiales de siniestros del regulador porque su clasificación no los somete a ese requisito de notificación. Por tanto, que un incidente no aparezca en esas estadísticas no demuestra que no se haya presentado ninguna reclamación.
La distinción legal se refiere a la autorización. Según el relato sobre la Ley de Transacciones Financieras Electrónicas, la categoría de compensación pertinente para los incidentes de pagos fraudulentos se centra en las transacciones realizadas por un tercero no autorizado. Un error de pago sin uso indebido por parte de un tercero de ese tipo no se considera automáticamente un incidente de esa categoría.
Toss afirma que cuenta con una política de compensación total por pérdidas derivadas de transacciones fraudulentas. Naver Pay ofrece un proceso independiente de atención al cliente para los usuarios que informan de un pago con FaceSign que no realizaron. Estas medidas no demuestran que todos los pagos impugnados tengan la misma condición jurídica ni que reciban la misma respuesta.
La cuestión pendiente es cómo clasificar de forma coherente un pago que identifica correctamente a una persona, pero cobra a alguien que no tenía intención de pagar. La información disponible no menciona una nueva categoría de notificación ya aprobada, una decisión regulatoria ni una audiencia programada que resuelva esa cuestión.
Hay supervisión de la privacidad, pero el criterio de conservación sigue sin resolverse
En marzo de 2024, la Comisión de Protección de Información Personal realizó una evaluación previa de la idoneidad del servicio de pago facial de Toss. La revisión abordó el tratamiento de datos personales en un proceso que compara un rostro verificado durante el registro inicial con otro captado por una cámara de un terminal de pago. Esto demuestra que el servicio fue sometido a una revisión de privacidad antes de la fecha de lanzamiento formal mencionada en el relato de octubre de 2026.
Otra intervención muestra un enfoque distinto respecto de las imágenes conservadas. En mayo del año mencionado en el informe sobre la conservación de datos, la comisión recomendó que las fotografías originales y la información facial utilizadas para activar teléfonos móviles se destruyeran inmediatamente después de la comparación. Esa recomendación se refiere a la activación de teléfonos, no a un plazo obligatorio de conservación para los pagos faciales.
Las principales fechas y acontecimientos son:
- 2020: Shinhan Card lanzó el primer servicio de pago facial de Corea del Sur.
- Marzo de 2024: La Comisión de Protección de Información Personal revisó las medidas de privacidad propuestas por Toss para el pago facial.
- Septiembre de 2025: Toss lanzó formalmente FacePay, según el relato fechado el 7 de octubre de 2026.
- Junio de 2026: Las cifras internas de Toss sitúan en aproximadamente el 60% el uso repetido entre las personas que habían pagado con FacePay.
- Agosto de 2026: Toss informó de más de 7 millones de registros acumulados en el relato de octubre; otro informe da una cifra de 8,4 millones para agosto sin especificar expresamente el año.
Las comparaciones internacionales también requieren cautela. Las restricciones a la identificación facial por parte de la policía y los organismos públicos en lugares como San Francisco se refieren a usos distintos del pago en comercios privados. El Reglamento General de Protección de Datos de Europa impone condiciones estrictas al tratamiento de datos biométricos con fines de identificación, pero la información disponible no menciona un plazo extranjero para conservar fotografías que sea directamente comparable con las políticas de Toss y Naver Pay.
Park ha pedido plazos explícitos y normas de gestión para las fotografías faciales, además de un seguimiento más estrecho de las reclamaciones sobre pagos. No se identifica un calendario para aprobar legislación, revisar la política de las empresas o adoptar una decisión regulatoria. Los hechos inmediatos son que los usuarios pueden retirar su consentimiento para la autenticación mientras una fotografía original sigue almacenada, y que no todas las disputas sobre pagos quedan registradas en el mismo sistema oficial de notificación.
Puntos clave
- Toss conserva las fotografías faciales originales después de la baja de los usuarios con algún historial de transacciones y las destruye a las 10:00 de la mañana del día 366.
- Toss elimina de inmediato las fotografías de los usuarios que nunca realizaron una transacción. Naver Pay conserva las fotografías originales durante 90 días después de la baja.
- Ambas empresas eliminan de inmediato las plantillas biométricas de identificación cuando los usuarios dejan el servicio o retiran su consentimiento.
- Según se ha informado, Toss ha compensado a clientes en 10 casos de reclamaciones por pagos, pero afirma que no todos correspondieron a fallos técnicos.
- El Servicio de Supervisión Financiera registró seis reclamaciones durante el periodo descrito. Los errores de pago facial no se incluyen en sus estadísticas oficiales de siniestros.
- Los relatos sobre suscriptores ofrecen cifras distintas para agosto y enmarcan las fechas de diferente manera, por lo que no permiten establecer un único total plenamente comparable.
- No se identifica un límite máximo específico para conservar fotografías en los servicios de pago ni un plazo para resolver la disputa sobre esta política.
