Ogólne rozporządzenie o ochronie danych (RODO) wymaga, aby dane osobowe były przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, dla realizacji których dane te są przetwarzane (art. 5 ust. 1 lit. e RODO). Oznacza to, że dane osobowe nie mogą być przetwarzane w nieskończoność. Dane osobowe nie mogą być przetwarzane na zapas, „na wszelki wypadek”, tj. bez wykazania celowości ich pozyskania i niezbędności dla realizacji zadań administratora danych. Administrator danych może przechowywać dane osobowe przez okres dłuższy jedynie w przypadku, gdy będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 RODO.

Określając czas przechowywania danych administrator danych musi pamiętać, że przetwarzanie danych może być oparte o kilka różnych przesłanek np. obowiązek prawny (art. 6 ust. 1 lit. c RODO), realizacja umowy (art. 6 ust. 1 lit. b RODO), zgoda podmiotu danych (art. 6 ust. 1 lit. a RODO) lub prawnie usprawiedliwiony cel administratora danych (art. 6 ust. 1 pkt f RODO). Tym samym może zaistnieć konieczność przechowywania danych osobowych wynikająca z innych celów, niż pierwotny cel zbierania danych.

Administrator powinien w pierwszej kolejności przeanalizować, czy ujawnione na stronie internetowej dane osobowe są administratorowi danych nadal niezbędne do realizacji zamierzonych celów przetwarzania. Po drugie administrator danych powinien ocenić, czy z punktu widzenia celów umieszczenia danej informacji na stronie internetowej niezbędne jest pozostawianie w jej treści danych osobowych. Nie można bowiem wykluczyć, że usunięcie personaliów osób prywatnych, czy też ich zanonimizowanie, nie wpłynie na czytelność dokonanego w ten sposób przekazu. Po trzecie należy mieć na uwadze, że gdy przetwarzanie danych służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Przed wyrażeniem zgody osoba, której dane dotyczą powinna być poinformowana o możliwości wycofania zgody w dowolnym momencie.

RODO zobowiązuje administratorów i podmioty przetwarzające do wdrożenia odpowiednich środków technicznych i organizacyjnych w celu skutecznej ochrony danych osobowych. Środki te powinny zapewniać bezpieczeństwo danych osobowych odpowiednie do ryzyka naruszenia danych osobowych, uwzględniać charakter, zakres, kontekst i cele przetwarzania danych osobowych, a także stan wiedzy technicznej i koszty wdrażania. Oznacza to, że to na administratorze danych spoczywa obowiązek doboru i wdrożenia odpowiednich środków zabezpieczających dane osobowe, w tym odpowiedniej dokumentacji i procedur ochrony danych. Wobec tego administrator może przyjąć procedurę, która pozwoli sprecyzować konkretne terminy usuwania danych osobowych (politykę/procedurę retencji danych osobowych).