Tietosuojavaltuutettu antoi Keskolle toukokuussa 2023 määräyksen siitä, että ostotiedot voidaan säilyttää vain niiden käyttötarkoitusta vastaavan ajan verran. Toukokuussa annettu määräys muuttui lainvoimaiseksi juuri ennen joulua eli 19.12.2023.

Tiedotteessa aiheeseen liittyen Tietosuojavaltuutettu toteaa seuraavaa:

Riskit nousevat, jos tietoja säilytetään pitkäaikaisesti. Ostotiedoista voidaan päätellä yksityiskohtaistakin tietoa henkilön elämäntilanteesta, elintavoista ja liikkumisesta. Käytännössä riskit voisivat konkretisoitua esimerkiksi mahdollisissa tietovuototilanteissa.

Yleisesti Tietosuojavaltuutetun toimiston kanta on se, että organisaatioilla on velvollisuus rajoittaa henkilötietojen säilyttämistä - ja että säilytysaikojen pitää olla lähtökohtaisesti niin lyhyitä kuin mahdollista.

Päätös vesittää samalla myös S-ryhmän aikeet siitä, että bonuskortin ostohistoria säilyisi käytännössä ikuisesti S-ryhmän hallussa. Ilta-sanomille annetussa haastattelussa S-ryhmä kertoo, että se ei ollut tietoinen Tietosuojavaltuutetun päätöksestä silloin kun ryhmä tiedotti bonusjärjestelmän säilytysaikojen muutoksista.