Personuppgifter får bara bevaras så länge som det är nödvändigt med hänsyn till behandlingens ändamål. När ändamålen med behandlingen är uppfyllda är huvudregeln att uppgifterna ska avidentifieras eller förstöras.