Após atingir a finalidade para a qual foram coletados, os dados pessoais devem ser eliminados, salvo se houver obrigação legal, regulatória ou outra base autorizada para sua conservação.

Os dados pessoais podem ser retidos indefinidamente, desde que armazenados em ambientes protegidos contra acesso não autorizado.

O controlador pode reter os dados pessoais para quaisquer fins, desde que informe o titular no momento da coleta.

A eliminação dos dados pessoais não é necessária quando esses dados forem utilizados para estudos realizados futuramente, independentemente da anonimização.

A LGPD não define nenhuma regra específica para o prazo de retenção dos dados pessoais, deixando essa decisão a critério da empresa.