个人信息保存期限是多久？企业超期保存、不删除的后果

一句话回答：除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间；处理目的已实现、无法实现或者不再必要，或者保存期限已届满的，企业应当主动删除，未删除的个人有权请求删除。所以保存期限没有统一的固定年限，核心是“目的需要多久就存多久”。

一、法律依据：保存多久、什么时候必须删

《个人信息保护法》第十九条规定：除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。

第四十七条进一步规定，有下列情形之一的，个人信息处理者应当主动删除个人信息，未删除的，个人有权请求删除：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；个人信息处理者违反法律、行政法规或者违反约定处理个人信息；法律、行政法规规定的其他情形。法律、行政法规规定的保存期限未届满，或者删除从技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理。

直白说，法律没有统一规定“存几年”，而是“最短必要时间”这一个弹性标准；同时，会计档案、交易记录、网络日志等另有法定保存义务的，先按法定年限保存，期满再删。

二、实务视角：企业怎么定和管保存期限

实务中要注意四点：第一，按数据类型和业务目的分别设定保存期限，不能全公司一个年限，也不能“永久保存”。第二，把期限写进隐私政策和个人信息处理规则，并向用户告知。第三，设置到期自动清理或者定期审查机制，别让数据躺在数据库里无人过问。第四，遇到法定保存义务与删除请求冲突时，先按法定年限保存，期满后立即删除或者匿名化，同时向用户说明理由。

常见的坑是：注销了账号、客户不合作了，数据却还留在系统里做二次营销，这既超出最短必要时间，也可能被认定为违法处理。

三、超期保存、到期不删会有什么后果

超期保存、拒不删除，属于违反个人信息保护义务。根据《个人信息保护法》第六十六条，情节严重的，最高可处五千万元以下或者上一年度营业额百分之五以下的罚款，并可以责令暂停相关业务、停业整顿。同时，个人有权请求删除，造成损害的还可以要求赔偿。此外，合规审计、影响评估等环节也会把保存期限作为重点检查项。

四、场景示例（示意情景）

示意情景，非真实案件：某电商平台在用户注销账号后，仍长期保留其收货地址、手机号用于短信促销，用户多次要求删除未果。该平台既超过了实现处理目的所必要的最短时间，又未按第四十七条在停止服务、保存期限届满时主动删除，属于典型的超期保存。反过来，企业按会计相关法规把交易凭证保存至法定年限、期满后删除，是合规的。

五、给企业的三点建议

一是制定数据保存期限表，按类型写明年限与依据；二是把到期删除做进系统，别只停留在制度上；三是区分“必须保存的法定数据”与“可即时删除的业务数据”，分别处理。

六、常见问题（FAQ）

问：个人信息保存期限一般是多少年？

答：法律没有统一年限，标准是实现处理目的所必要的最短时间；会计档案、交易记录等另有法定保存年限的从其规定。

问：什么情况下企业必须主动删除个人信息？

答：处理目的已实现或不再必要、停止提供服务或保存期限届满、个人撤回同意、违法违约处理等情形，应当主动删除。

问：企业到期不删，用户能怎么办？

答：个人有权请求删除；企业拒不删除的，可向监管部门投诉，造成损害的可要求赔偿。

问：删除在技术上做不到怎么办？

答：应当停止除存储和采取必要安全保护措施之外的处理，即“停止使用、只做安全保存”。

问：超期保存会被罚多少？

答：情节严重的，最高可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停业务、停业整顿。

个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？