Il Garante per la protezione dei dati sensibili (provvedimento n. 320 del 1 luglio 2008) ha stabilito che le aziende che raccolgono dati sensibili dei loro clienti (anche solo di quelli potenziali), non possono conservarli a tempo indeterminato.Nel provvedimento, il Garante, ha ribadito che i dati personali non possono essere conservati per un periodo superiore a quello necessario per il perseguimento dello scopo per i quale essi vengono raccolti e utilizzati e che, comunque, i dati raccolti non possono essere conservati a tempo indefinito.
Infine, l'Autorità ha precisato che per utilizzare i dati a fini di marketing occorre l'espresso e chiaro consenso del cliente.