Hovedregelen i § 28 er at det er det eller de spesifiserte formålene med behandlingen av personopplysningene som er bestemmende for hvor lenge opplysningene kan være lagret og i bruk, se særlig § 11 bokstav b.
Eksempel
Dersom en skole for eksempel ber om å få opplysninger om metallallergier mv i tilknytning til en klassetur, skal disse opplysningene slettes når turen er gjennomført. Dersom skolen imidlertid generelt ber om å få opplysninger om matallergier mv som et generelt tiltak for å ivareta elevers helse mv, kan opplysningene beholdes så lenge de aktuelle personene er elever ved skolen. Poenget er at det er stor forskjell på å samtykke til at skolen har opplysningen i et kort tidsrom, og å samtykke til at opplysningen er lagret ved skolen i flere år. Formålet mv, og dermed også lagringstid, skal det alltid opplyses om ved innsamling av personopplysninger på grunnlag av samtykke og ellers (jf §§ 19 og 20). Opplysninger om matallergier, gjelder i tillegg sensitive opplysninger - om helseforhold - som er underlagt skjerpet krav til rettslig grunnlag og krav om konsesjon.
- I noen tilfelle skal opplysningene arkiveres i henhold til arkivlova § 10. I så fall skal avlevering skje så snart som mulig og deretter slettes hos den behandlingsansvarlige.
- Datatilsynets avgjørelser etter § 28 kan klages inn for Personvernnemnda. Videre klage kan skje til Kongen i statsråd dersom opplysningene behandles for historiske formål, se § 42 siste ledd.
