Artículo 37 del REGLAMENTO de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares

La regla es simple: las empresas o instituciones solo pueden guardar tus datos personales (como tu nombre, dirección o teléfono) el tiempo necesario para el fin para el que los pidieron. Por ejemplo, si te inscribiste a un curso, solo pueden tener tus datos mientras lo necesiten para darlo, o por razones de impuestos o cuestiones legales. Cuando ya no ocupen tus datos para nada (y no haya una ley que los obligue a guardarlos más tiempo), deben borrarlos definitivamente. Antes de borrarlos, primero los bloquean, que es como ponerlos en un "congelador" temporal para asegurarse de que ya no los usen, y después sí los eliminan por completo.

Texto oficial

Artículo 37. Los plazos de conservación de los datos personales no deberán exceder aquéllos que sean necesarios para el cumplimiento de las finalidades que justificaron el tratamiento, y deberán atender las disposiciones aplicables a la materia de que se trate, y tomar en cuenta los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez cumplida la o las finalidades del tratamiento, y cuando no exista disposición legal o reglamentaria que establezca lo contrario, el responsable deberá proceder a la cancelación de los datos en su posesión previo bloqueo de los mismos, para su posterior supresión. Procedimientos para conservación, bloqueo y supresión de los datos personales