Toss、顔決済の利用終了後も写真を1年間保管　Naver Payは90日間

顔決済をやめても写真が削除されるとは限らない

Tossは、FacePayの利用を終了した顧客について、取引が1回でもあれば元の顔写真を1年間保管している。Naver PayはFaceSignの退会後、元の写真を90日間保管する。両社は、利用終了後に寄せられる可能性のある決済に関する苦情に対応するための保管期間だとしている。

Tossの保管スケジュールは異例なほど細かい。取引履歴のある利用者の写真は、退会翌日の午前1時に別のデータベースへ移され、366日目の午前10時に消去される。登録したものの一度も取引をしていない利用者の写真は、退会と同時に消去される。

この違いが重要なのは、同意の撤回によって、別の種類の顔情報、つまり個人の識別に使う数値特徴量は直ちに削除されるためだ。TossとNaver Payはともに、利用者がサービスを退会するか同意を撤回すると、こうした生体認証テンプレートを削除する。そのため、認証テンプレートが消去された後も、元の写真が残る場合がある。

韓国の規則では、一般的な顔写真と、個人を識別するために技術的に生成された情報は区別されている。問題は、顔決済がプライバシー法の適用を全面的に免れているかどうかではない。現在の規則が、残された写真を十分に規制しているか、企業がどれほどの期間保管すべきか、決済ミスをどう記録すべきかが問われている。

民主党のパク・サンヒョク議員が開示した情報によると、Tossの保管方針に異議を唱える苦情が前年9月、金融監督院に提出された。この苦情について伝えた記事では、約1年後も未解決のままだったという。解決時期は示されていない。

企業が画像を保管する理由

Tossは、保管期間について、顧客が決済に関する苦情を申し立てるまでに通常かかる時間を踏まえたものだとしている。Naver Payも、利用者が退会した後に決済エラーに関する苦情が寄せられる可能性を、写真を90日間保管する理由に挙げている。

両社の方針には大きな差がある。1年間はNaver Payの90日間のおよそ4倍にあたる。ただしTossは単に「数カ月」とするのではなく、366日目に消去すると定めている。いずれの期間も業界共通の標準や規制当局が定めた期限であるとは、記事からは確認できない。

Tossは、退会後に保管する画像を稼働中のデータベースから分離する。これは保管上の安全対策だが、削除ではない。元利用者にとって重要なのは、顔決済サービスとの関係が終了した後も、企業が写真を保有し続けるという点だ。

苦情対応を理由とする説明にも、実務上の疑問が残る。なぜ選択した期間、ほかの取引記録ではなく元の写真を保管する必要があるのか。Tossの1年間やNaver Payの90日間が必要であることを詳しく説明する評価は示されていない。また、記事では顔決済写真の保管期間に関する決済分野固有の法定上限も確認されていない。

写真と生体認証テンプレートでは法的な扱いが異なる

生体認証テンプレートとは、ソフトウェアが顔同士を照合するために使う、顔の特徴を数値で表したものだ。写真から生成できるものの、一般的な写真とは異なる。

ここで説明されている韓国のプライバシー制度では、特定の個人を認証・識別するために技術的に生成された顔特徴情報は、機微な個人情報にあたる。別途の同意と暗号化が求められる。一般的なカメラ写真も個人情報だが、自動的に同じ機微情報の区分に入るわけではない。

この違いがあるため、企業は識別用テンプレートを直ちに削除しながら、元の写真を保管できる。ただし、写真にプライバシー保護が及ばないという意味でも、いかなる保管期間も自動的に適法になるという意味でもない。2種類のデータの扱いが異なるということであり、元画像を保管する期間とその根拠が、今回の論争の焦点となっている。

問題を提起した民主党のパク議員は、写真の保管には決済サービスそのものにとどまらないリスクがあると警告した。

保管中に流出すれば、他のサービスでの認証やディープフェイク犯罪に悪用されるおそれがある

この警告は、情報流出後に起こり得る事態について述べたものだ。両社が保管する顔写真が流出したり、そうした犯罪に使われたりした事実は、記事からは確認できない。

急拡大する一方、登録者数には食い違い

顔決済は、登録した顔をカードや銀行口座にひも付ける仕組みだ。登録後は、財布やスマートフォンを出さずに、端末のカメラの前に立つだけで支払える。処理にかかる時間は1秒未満とされる。

韓国初の顔決済サービスは、2020年に新韓カードが導入した。当初は普及が伸び悩んだ。その後、TossとNaver PayがそれぞれFacePay、FaceSignを通じて市場を拡大。Tossは5,000ウォンまたは10,000ウォン相当の登録クーポンを提供し、Naver Payはポイントや決済残高とサービスを連携させた。

報道によって登録者数は異なる。ある記事では、TossのFacePay登録者数は前年末に100万人、7月に700万人、8月に840万人だったとしている。一方、2026年10月7日付の別の記事によると、Tossは2025年9月にFacePayを正式に開始し、2026年8月に累計登録者数が700万人を超えたと発表した。

10月の記事の数値は「700万人超」という下限を示すため、840万人という数値と必ずしも矛盾するわけではない。ただし、両記事で同じ算定方法や発表日が使われているかは説明されていない。最初の記事にある相対的な時期には暦年が明記されておらず、10月の記事の日付と同じだと暗黙にみなすべきではない。

最初の記事の数値では、登録者数は100万人から840万人に増え、740万人の増加で、以前の8.4倍となった。10月の記事が引用するTossの社内データによると、FacePayで実際に決済した人の約60％が2026年6月にも再び利用したという。登録者数と再利用率は異なる指標であり、いずれの数値もサービスを定期的に使う顧客の人数を示すものではない。

サービス拡大とともに退会も増加

保管方針をめぐる論争を詳述した記事によると、FacePayの同意撤回件数は4月の15,176件から5月には45,605件に増えた。30,429件の増加で、5月は4月のおよそ3倍となった。

この数値から同意撤回の申請増加は分かるが、撤回率は分からない。各月の利用中または同意中の利用者数との比較が示されていない。また、写真の保管、プライバシーへの懸念、決済トラブルのどれが退会の理由だったかも分からない。

2026年10月の記事が伝える事業拡大により、顔決済はより多くの日常的な場面で利用される可能性がある。中小スーパー約5,000店と鶏肉フランチャイズ約700店舗への端末設置が進められていた。これは導入計画であり、すでに決済を処理している店舗数が確認されたということではない。

規模が拡大するにつれ、決済認証を停止することと、関連データをすべて削除することの違いがますます重要になる。登録者数が数百万人に達しても、退会者のテンプレートが直ちに削除される一方で、写真が保管され続けることはあり得る。退会しても、企業が保有するすべての情報が同じ扱いになるとは限らない。

補償10件は、認証ミス10件を意味しない

報道によると、TossはFacePayの決済エラーに関する苦情をめぐり、10回にわたって補償金を支払った。店舗従業員が顧客に代わってFacePayのボタンを押し、決済に至ったケースも含まれていた。

Tossは、補償したからといって、すべてのケースに技術的な不具合や同社の責任によるミスがあったわけではないと説明している。事業の初期段階では、顧客自身の行為が問題の一因だったかを判断する前に補償金を支払っていたという。

2026年10月の記事でTossは別途、ある人の顔を別人のものと誤認し、その結果、別の口座から決済したという被害申告は受けていないと述べた。この説明は、決済に関する苦情が一切なかったという意味ではない。

この区別は重要だ。システムが登録者を正しく識別しても、支払う意思のない人が選ばれる可能性はある。カメラの画角に別の登録利用者の顔だけが入った場合、その人の決済が処理される可能性があるとTossは認めている。これはソフトウェアが2人を取り違えることとは異なる。

通行人の口座から引き落とされた、あるいは写真を使って決済されたという主張がソーシャルメディア上で広まった。これらは申し立てであり、記事に示された技術的な検証結果ではない。補償10件、誤認による被害申告はないとする同社の説明、カメラによる対象者選択の事例を、ひとまとめにして認証ミスの件数とみなすべきではない。

セキュリティ対策が解決するのは問題の一部

Tossは顔認証の精度を99.99％、Naver Payは顔識別の精度を99％超としている。いずれも企業側が示した数値だ。共通の試験条件や定義、独立した評価結果がなければ、両サービスを直接比較する根拠にはならない。

両サービスは、顔の検出、画像品質の確認、加工された入力の検知、本人照合、不審な取引の検知など、複数段階のセキュリティ対策を説明している。生体検知は、カメラが写真や動画ではなく実在の人物を捉えているかを確認する。不正検知システムは、取引に不審なパターンがないかを調べる。

Tossは、似た顔を見分けるモデルや、一卵性双生児などの場合の追加認証も説明している。Naver Payの利用案内では、複数の顔が同時にカメラに入ると決済に失敗する場合があるとしている。

これらの対策が対象とするリスクはそれぞれ異なる。生体検知は、人物の代わりに画像を使う試みを対象とする。本人照合は、その人物が誰かを確認する。どちらの説明だけでも、カメラが選んだ人に購入を承認する意思があったことまでは証明できない。

両社は、顔情報の暗号化や数値特徴量への変換についても説明している。Tossによると、顔に関するデータはネットワーク分離された環境に保管され、暗号化されていない元データは消去される。ただし、この説明は元の写真がすべて直ちに削除されるという意味ではない。暗号化された写真は、退会後の保管方針に基づいて保管される場合がある。

苦情記録と補償ルールには空白が残る

パク議員の事務所に提出された金融監督院の情報では、前年1年間に顔認証決済に関する苦情が6件記録されていた。この数値をTossの補償10件と直接比べることはできない。一方は規制当局が受け付けた苦情件数、もう一方は企業が補償金を支払った回数だからだ。

顔決済のエラーは、分類上、報告義務の対象にならないため、金融監督院の公式な事故報告統計に載らないとも報じられている。したがって、統計に事故が記録されていないからといって、苦情がなかったとは限らない。

法的な区別は、決済の承認に関わる。電子金融取引法における不正決済事故の関連補償区分は、第三者が権限なく行った取引を中心としていると記事は説明している。第三者による不正利用を伴わない決済ミスが、自動的に同種の事故として扱われるわけではない。

Tossは、不正取引による損失を全額補償する方針を運用しているとしている。Naver Payは、利用者が身に覚えのないFaceSign決済を申告するための別個のカスタマーサポート窓口を設けている。こうした対応があるからといって、すべての係争中の決済が同じ法的扱いを受け、同じ対応になると考えるべきではない。

未解決なのは、本人を正しく識別したものの、支払う意思のない人に請求した決済をどう一貫して分類するかという問題だ。記事では、この問題を解決する新たな報告区分、規制上の判断、予定された審議はいずれも示されていない。

プライバシー監督は行われているが、保管基準は未確定

個人情報保護委員会は2024年3月、Tossの顔決済サービスについて事前の適正性審査を行った。初回登録時に認証した顔と決済端末で撮影した顔を照合する仕組みの、プライバシー上の取り扱いが審査対象となった。これは、2026年10月の記事が伝える正式開始時期より前に、サービスがプライバシー審査を受けていたことを示している。

保管画像に対する別の対応例もある。保管方針を報じた記事の対象年の5月、委員会は、携帯電話の開通時に照合に使った元の写真と顔情報を照合後すぐに破棄するよう勧告した。この勧告の対象は携帯電話の開通手続きであり、顔決済の保管期限を法的に定めるものではない。

主な日付と動きは以下のとおり。

• 2020年：新韓カードが韓国初の顔決済サービスを導入。
• 2024年3月：個人情報保護委員会が、Tossの顔決済に関するプライバシー対応案を審査。
• 2025年9月：2026年10月7日付の記事によると、TossがFacePayを正式に開始。
• 2026年6月：Tossの社内データによると、FacePayで決済したことのある人の約60％が再利用。
• 2026年8月：10月の記事ではTossが累計登録者数700万人超を発表。別の記事は、年を明記せず8月の数値を840万人としている。

海外との比較にも注意が必要だ。サンフランシスコなどにおける警察や公的機関の顔認識利用制限は、民間の小売決済とは異なる用途を対象としている。欧州の一般データ保護規則（GDPR）は、識別目的の生体情報処理に厳格な条件を課すが、記事ではTossやNaver Payの方針と直接比較できる海外の写真保管期限は示されていない。

パク議員は、顔写真の明確な保管期間と管理基準を定めるとともに、決済に関する苦情をより詳しく把握するよう求めている。法整備、企業方針の改定、規制当局の判断の時期は示されていない。現時点で確認できるのは、利用者が認証への同意を撤回しても元の写真が保管される場合があること、そして決済をめぐる紛争がすべて同じ公式報告制度に入るわけではないことだ。

要点

• Tossは、取引履歴が1回でもある利用者について、退会後も元の顔写真を保管し、366日目の午前10時に消去する。
• Tossは、取引をしたことのない利用者の写真を直ちに削除する。Naver Payは退会後も元の写真を90日間保管する。
• 両社は、利用者が退会するか同意を撤回すると、生体認証用の識別テンプレートを直ちに削除する。
• Tossは決済に関する苦情10件で補償したと報じられているが、すべてが技術的な不具合だったわけではないとしている。
• 対象期間中、金融監督院には苦情が6件記録された。顔決済のエラーは同院の公式な事故報告統計に含まれていない。
• 報道によって8月の登録者数や時期の示し方が異なり、完全に比較可能な単一の合計数は確認できない。
• 決済分野に特化した写真保管の上限や、保管方針をめぐる問題の解決期限は示されていない。