Mevzuata öngörülen süre muhafaza edilmesi kişisel verilerin, işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur.Veri sorumluları, ilgili mevzuatta verilerin saklanması için öngörülen bir süre varsa bu süreye uyarak, kişisel verileri sadece işlendikleri amaç için gerekli olan süre kadar muhafaza edebilirler. Veriler, daha fazla saklama için geçerli bir sebep olmadığı sürece silinecek, yok edilecek veya anonim hale getirilecektir. Gelecekte tekrar kullanılmak amacıyla veya başka bir gerekçe ile kişisel verilerin muhafaza edilmesi uygulanamaz.
Veri Sorumluları Siciline başvuru yaparken, Kanunun 16. maddesi gereği kişisel verilerin işlenme amacı için gereken en uzun süreyi bildirmek zorundadır. Bu süre, veri sorumlusunun belirlediği saklama süresiyle ilgili mevzuatta öngörülen süreler farklı olabilir. Eğer mevzuatta azami muhafaza edilme süresi öngörülmüşse, bu süre tercih edilir, yoksa belirlenen sürelerden en uzun olanı Sicile bildirim için esas alınır.
Önemle belirtilmelidir ki, mevzuat kapsamında öngörülen sürelerin aşılmaması gerekmektedir. Eğer veri sorumlusu tarafından belirlenen saklama süreleri, mevzuatın öngördüğü sürelerin üzerinde ise, bu durumda söz konusu faaliyetler sadece ilgili mevzuatın belirttiği yükümlülükleri yerine getirmek amacıyla sınırlı bir saklama ve işleme faaliyeti olarak gerçekleştirilmelidir.
Veri sorumlusu, verilerin belirlenen sürelerin sonunda silinmesini, yok edilmesini veya anonim hale getirilmesini temin etmelidir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri dikkate alınarak veriler işleme amacına uygun olarak silinmelidir. Bu şekilde, kişisel verilerin gereksiz ve ilgisiz bir şekilde muhafaza edilmesi önlenerek veri güvenliği ve gizliliği sağlanmış olur.