##Indokolatlan vagy megfelelő jogalap nélküli adattárolás büntetése. Közel 600.000.000,- Ft-nak megfelelő összegű pénzbírságot szabott ki a Francia Adatvédelmi Hatóság egy egészségügyi és nyugdíjbiztosítási tevékenységet végző cégre, mivel az több mint 2 millió ügyfél adatait őrizte túlzottan hosszú ideig, ezen felül kb. 2000 olyan potenciális ügyfél adatait őrizte, akik semmilyen kapcsolatban nem álltak a céggel. Hogy Önök, mint személyes adatok kezelői a fenti jogcímen kiszabott bírságot elkerüljék, minden adat tárolását megelőzően szükséges a megfelelő megőrzési időtartam felderítése és/vagy meghatározása. A személyes adatokat csak az adatkezelési cél fennállásának időpontjáig lehet kezelni. Ha az adatokat azért kezeljük mert jogszabály számunkra előírja akkor kizárólag addig tárolható, amíg arra a jogszabály ténylegesen kötelez. Az adatkezelőnek a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, tájékoztatnia kell az érintettet a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól. Hazánkban számos jogszabály rendelkezik a megfelelő megőrzési időről; a biztosított, volt biztosított biztosítási jogviszonyával összefüggő, a szolgálati időről vagy a nyugellátás megállapítása során figyelembevételre kerülő keresetről, jövedelemről adatot tartalmazó munkaügyi iratokat a társadalombiztosítási nyugellátásról szóló 1997. évi LXXXI. törvény (Tny.) 99/A. § (1) bekezdése alapján a biztosítottra, volt biztosítottra irányadó öregségi nyugdíjkorhatár betöltését követő 5 évig köteles megőrizni. A könyvviteli elszámolást alátámasztó számviteli bizonylatokat, valamint a pénzmosás megelőzéssel kapcsolatos iratokat 8 évig kell tárolni. Sok olyan eset van azonban amikor az őrzés idejét jogszabály nem szabja meg; például egy munkáltatóhoz beküldött önéletrajz megőrzési határideje jogszabály által nem meghatározott, ekkor nyer teret az arányosság és a szükségesség elve akképpen, hogy ezen elv figyelembevételével az adatkezelőnek magának kell megszabnia a személyes adat kezelésének határidejét mégpedig olyan módon, hogy a személyes adat kezelése a lehető legszűkebb időtartamra korlátozódjék. Az adatkezeléssel érintettet megilleti az „elfeledtetéshez való jog”, vagyis az érintett jogosult arra, hogy személyes adatait töröljék és a továbbiakban ne kezeljék, ha a személyes adatok gyűjtése vagy más módon való kezelése az adatkezelés eredeti céljaival összefüggésben már nincs szükség, vagy ha az érintett visszavonta az adatok kezeléshez adott hozzájárulását. Amennyiben az érintett visszavonja az adatkezeléséhez adott hozzájárulását, de az adatkezelő úgy gondolja, hogy továbbra is szükség van az adatok megőrzésére, bizonyos körben lehetősége van másik adatkezelési jogalap alkalmazásával tovább folytatni a személyes adatok kezelését; ezt a másik jogalapot azonban dokumentáltan kell tudnia alátámasztania.