個人情報保護法上は、利用目的が達成され保有する合理的な理由がなくなった場合など、「利用する必要がなくなったとき」に遅滞なく削除することが求められており、明確な保管期間の規定はありません。
一般的な運用としては、PDCAサイクルにあわせ少なくとも年1回は棚卸し、3か月～1年程度で廃棄を実施する事例が多く見受けられます。
また、長期保管するリスクについてですが、漏えい等の対象となった件数や取得した情報の内容等にもよるため一概には言えませんが、漏えい事案によって本来破棄されているはずの候補者情報が破棄されておらず、大きな問題となった事案もあります。