토스가 3월부터 얼굴 인식 결제 서비스 ‘페이스페이’를 도입하는 가운데, 사용자 탈퇴 후에도 안면 인식 정보를 1년간 보관하는 조항이 논란이다.

14일 지급결제업계에 따르면, 토스는 3월부터 ‘페이스페이’를 선보인다. 3월 CU, GS25 등 일부 편의점에서 첫선을 보이고 2분기 중 세븐일레븐도 도입된다.

토스는 지난해 8월 열린 ‘코리아 핀테크 위크 2024’에서 암표 방지를 위한 얼굴 인증과 안면인식 결제 서비스를 공개했으며, 이를 정식 서비스로 출시하게 됐다.

사전에 토스 앱에 얼굴과 결제수단을 등록하면 현금, 카드, 스마트폰 등 기타 결제수단 없이 얼굴 인식만으로도 간편하게 결제가 가능하다. 점포 카운터에 비치된 전용 단말기에 얼굴을 인식하면 결제가 완료된다.

문제는 고객이 서비스에서 탈퇴한 이후에도 안면인식 정보를 1년간 보관한다는 점이다.

스트레이트뉴스 취재 결과, 토스는 ‘페이스페이’ 사용을 위한 안면정보 등록 과정에서 각 고객에게 ▲토스페이 얼굴결제 서비스 ▲토스페이(현장결제) 서비스 ▲본인 확인 서비스 약관 및 동의사항에 대한 필수 동의를 요구한다.

특히 ‘토스페이 얼굴결제 서비스’ 중 ‘개인정보 수집·이용에 대한 동의(얼굴결제)’ 부분을 보면, 회원 탈퇴 또는 서비스 동의 철회 후 1년간 얼굴 정보(원본정보)를 보관한다고 명시되어 있다. 고객 문의 대응 및 부정거래 방지가 목적이라는 것이다. 

이는 개인정보보호법 제23조와 충돌할 가능성이 있다. 기업이 민감정보인 안면인식 정보를 다루는 건 매우 민감한 사항이다. 개인정보보호법 시행령 제18조에 따르면, 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보는 민감정보 범위에 속한다. 

개인정보보호법 제21조에 따르면, ‘개인정보처리자는 보유 기간이 경과하거나 처리 목적이 달성되어 개인정보가 불필요해진 경우 지체 없이 이를 파기해야 한다’고 명시되어 있다. 다만 다른 법령에 따라 보존이 필요한 경우, 개인정보 즉시파기 의무에서 예외가 적용될 여지가 있다.

이는 지난해 3월 네이버페이가 선보인 유사 서비스 ‘페이스사인’이 약관을 통해 ‘등록된 얼굴을 다시 등록하거나 삭제 또는 서비스 해지 시 즉시 파기한다’고 명시한 것과 상반된 모습이다.

지급결제업계에서는 토스가 페이스페이 서비스를 사용하지 않거나 회원 탈퇴한 고객의 안면인식 정보를 1년간 보관하는 것에 의문을 제기하고 있다.

지급결제업계 의견을 종합하면, ‘고객 문의 대응 및 부정거래 방지를 위해 해당 서비스를 사용하지도 않는 고객의 안면인식 정보를 즉시 파기하지 않고 1년간 보관할 필요가 있는지 의문’이라는 게 다수의 반응이다. 

지급결제업계 A 씨는 ”금융사 입장에서 고객 생체정보는 수집하기 어려운 귀중한 자원”이라며 “해당 데이터로 회사 내부에서 신 서비스를 연구개발(R&D)하는데 활용하기 위해 최대한 보관을 장기간 하려는 것으로 해석된다”고 말했다. 

일각에선 서비스 가입 단계에서 토스가 고객의 민감정보를 보관하는 것에 대해 정보주체(고객)가 인지하도록 충분히 설명하고, 의사결정을 선택할 여지를 줄 필요가 있다는 지적도 있다.

토스가 ‘페이스페이’ 사용을 위해 안면정보 등록의 필수 동의를 요구하는 상황에서, 더이상 서비스 이용 의사가 없는 탈퇴 회원의 민감한 생체정보에 대한 보관 권리를 회사가 가지는 것이 문제라는 시각이다.

뿐만 아니라 실제 현장에서 기업이 사용하지 않는 고객의 민감정보를 장기간 보관했다가 유출 사고가 발생하면 2차, 3차 피해로 이어질 가능성도 있다.

토스 측은 “페이스페이 관련 모든 데이터를 암호화해 별도 서버에서 안전하게 관리한다”는 입장이다. 

토스 관계자는 "서비스 해지 후에는 부정 사용이나 사고 확인을 목적으로 1년간 보관하는 것"이라며 "서비스를 해지하면 정보는 완전히 분리 보관돼 부정 사용 발생 시 확인하는 목적 외에 사용하지 않는다"라고 말했다.

이런 입장에 대해 한 생체인식 전문가는 "생체인식의 기술 보안성은 초기보다 향상됐지만, 사고는 항상 그 정보 보관 도중 탈취하는 과정에서 발생한다"며, "블록체인 기술의 경우에도 그 기술 자체는 뛰어나지만 그 암호화된 키 보관에서 문제가 발생하면 암호화된 정보라 할지라도 쉽게 노출되는 사고가 발생한다"고 설명했다.

이어 "과거 삼성전자가 갤럭시노트7에 홍채인식을 탑재하며 기존의 지문이나 패턴방식 잠금 기능을 대체할 것으로 기대했으나 생체정보를 활용, 보관, 관리하는 것에 대한 거부감 때문에 사업 확대로 이어지지 않았다"며, "지금처럼 딥페이크 등에 대한 위험성이 제기되는 상황에서 타사가 취하지 않는 방식으로 생체정보를 보관하겠다는 것은 오해의 소지가 있어 보인다"고 덧붙였다.

한편 국내 얼굴 결제는 2019년 신한카드 ‘신한페이스페이’로 처음 시작됐다. 당시 신한페이스페이는 기존의 결제 방식과 다른 차별화된 ‘혁신금융 서비스’로 주목을 받았다. 임직원 시범 운영을 거쳐 한양대학교 캠퍼스에 결제 인프라를 구축했고, 코로나19 시국에서는 마스크를 착용한 상태로도 안면 인식이 가능하게 서비스를 고도화했다. 그러나 은행이나 매장을 방문해 직접 얼굴을 등록해야 한다는 이슈 탓에 보편화되진 않았다. 

네이버페이의 경우, 지난해 3월 경희대학교 서울캠퍼스 내 식당·카페에 안면 인식 결제 서비스 ’페이스사인’을 베타 론칭했다. ‘페이스사인 결제’는 토스의 ‘페이스페이’와 마찬가지로 사용자가 자신의 스마트폰을 활용해 얼굴정보를 간편하게 등록하면 이를 암호화 해서 네이버 클라우드에 업로딩 하고 오프라인 가맹점에서 결제를 희망하는 고객과 얼굴을 매칭하는 방식으로 결제가 진행된다.

네이버페이 관계자는 “당장 이 서비스를 대대적으로 보편화하기보다는 캠퍼스에서 먼저 도입해 사용성을 개선하면서 안정적으로 운영하고 있다”며 “다른 제휴사와 제휴 확장을 검토 중”이라고 말했다.

[스트레이트뉴스 조성진 기자]