개인정보보호법 개정에 따라 자사몰 휴면 회원 전환 기준을 바꿀 때 고객 데이터는 어떻게 마이그레이션·파기하나요?

2023년 9월 개인정보 보호법 개정으로 '개인정보 유효기간제'(1년 미이용 시 강제 분리보관·파기)가 폐지됐습니다. 그래서 지금은 '휴면 전환 기준을 몇 개월로 할지' 자체가 법정 의무가 아니라 회사가 자율적으로 정하는 정책입니다 — 즉 '표준 기준'을 찾기보다 우리 서비스 재방문 주기에 맞춰 스스로 정하는 게 맞는 방향입니다.

다만 기준을 바꾸는 행위 자체에는 절차 의무가 남아 있습니다. 정책을 변경하면 휴면 회원을 포함한 기존 회원 전체에게 사전 안내가 필요하고, 이때 '파기'인지 '분리보관 데이터 통합'인지, 그리고 회원이 파기와 서비스 계속 이용 중 선택할 수 있는지를 명확히 고지해야 합니다.

실제 마이그레이션은 ①분리보관 DB와 활성 DB의 스키마·식별키 매핑 ②동의 이력(특히 마케팅 수신동의)이 기준 변경 시점에 여전히 유효한지 재확인 ③파기 대상자는 개인정보 보호법 제21조에 따라 복구 불가능한 방식으로 삭제·초기화 ④파기 일시·방법·대상 항목 기록 보존, 이 네 단계로 진행하는 것이 실무 표준입니다.

한 가지 자주 놓치는 부분은, 휴면에서 활성으로 되돌린다고 과거 마케팅 수신동의가 자동으로 살아나지 않는다는 점입니다. 재활성화된 회원에게 다시 마케팅 메시지를 보내려면 동의 상태를 개별로 재확인하거나 재동의를 받아야 합니다.