Еще одно частое нарушение из требований РКН.

В соответствии с ч. 4 ст. 21 Закона в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом или другими федеральными законами.

Срок обработки персональных данных, указанный в документе, определяющем политику Оператора в отношении обработки персональных данных, является избыточным, не соответствует требованиям ч. 4 ст. 21 Закона, а равно принципам обработки персональных данных.

Срок обработки данных не может быть бессрочным или очень отдаленным, например, до прекращения деятельности оператора.

До момента отзыва - можно. До достижения целей обработки - можно.
На период действия договора + 3 года - вообще замечательно.

Чтобы не изучать весь Гражданский кодекс на премет допустимых сроков, просто напишите мне @Primaveraoverdrive для бесплатного экспресс аудита.