Volgens de AVG geldt geen vaste bewaartermijn. Organisaties moeten zelf bepalen hoelang zij persoonsgegevens bewaren, afhankelijk van het doel waarvoor de gegevens zijn verzameld.
Daarnaast kunnen bewaartermijnen uit andere wetgeving gelden. Zo is er bijvoorbeeld in de belastingwetgeving een bewaartermijn van 7 jaar.
Na het verstrijken van de bewaartermijn, of zodra de gegevens niet meer noodzakelijk zijn, moet je de persoonsgegevens vernietigen.