Kişisel verilerin, ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre
kadar muhafaza edilmesi zorunludur. Buna göre, veri sorumluları, ilgili mevzuatta verilerin
saklanması için öngörülen bir süre varsa bu süreye uyacak, kişisel verileri ancak işlendikleri amaç
için gerekli olan süre kadar muhafaza edebilecektir. Bir verinin daha fazla saklanması için geçerli
bir sebep bulunmaması halinde, o veri silinecek, yok edilecek ya da anonim hale getirilecektir.
İleride tekrar kullanılabileceği düşünülerek ya da herhangi bir başka gerekçe ile kişisel verilerin
muhafaza edilmesi yoluna gidilemeyecektir.
Ayrıca veri sorumlusu, Kanunun 16. maddesi uyarınca Veri Sorumluları Siciline kayıt için başvuru
yaparken kişisel verilerin işlenme amacı için gerekli azami süreyi bildirmek zorundadır.
Veri sorumlusu tarafından Sicile bildirilen veri kategorilerinin işleme amaçları ve bu amaçlara
dayalı olarak işlenmeleri için gerekli olan azami muhafaza edilme süreleri ile mevzuatta öngörülen
süreler farklı olabilir. Bu durumda mevzuatta azami muhafaza edilme süresi öngörülmüşse
öngörülen bu süre yoksa bunlardan en uzun süre esas alınarak bu veri kategorisi için Sicile bildirim
yapılır.
Burada önemle belirtmek gerekir ki, mevzuat kapsamında öngörülen bu sürelere uyum için
yapılan saklama faaliyetleri veri sorumlusu tarafından belirlenen saklama sürelerini aşıyorsa, bu
faaliyetler yalnızca ilgili mevzuatta belirtilen yükümlülükleri yerine getirmekle sınırlı bir saklama
ve işleme faaliyeti olarak yürütülmelidir. Hem veri sorumlusunun hukuki yükümlülükleri gereği
tabi olduğu mevzuat kapsamında öngörülen sürelerin, hem de veri sorumlusunun belirlediği
saklama sürelerinin aşılması durumunda, kişisel verilerin veri sorumlusu tarafından Kişisel
Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Hakkında Yönetmeliğe göre silinmesi,
yok edilmesi veya anonim hale getirilmesinin temin edilmesi gerekir.