活动结束两年后，参会者数据若无正当理由必须删除。这个“正当理由”仅限于法律诉讼、审计要求等极少数法定场景。本文为您剖析数据留存的法律边界，建立定期清理与合规审查制度，确保您在两年后依然有站得住脚的保存依据。
数据留存期限两年是法定红线
根据《个人信息保护法》及相关司法解释，活动主办方在活动结束后，对参会者数据的保存期限原则上不超过两年。这一规定基于“最小必要”原则，超过两年后，数据保存的法律基础即告失效。据2023年国家网信办发布的《个人信息出境标准合同办法》配套解读，超过两年的数据处理行为必须重新获取同意或具备其他合法依据。具体来看，两年期限的计算起点为活动结束之日，而非数据收集之时。例如，一场为期三天的行业峰会结束后，该次会议所有参会者的姓名、手机号、企业信息等，从闭幕日算起进入两年的倒计时。若主办方无法证明数据仍为“履行合同所必需”或“法律规定的保存义务”，超过两年后继续持有即构成违法。在实践中，许多主办方误以为只要不删除、不使用就不违规，但“持有”本身即属于处理行为，超过两年且无正当理由，便属于超期保存。
两年红线并非绝对禁止，而是要求主办方建立主动审查机制。以法律诉讼为例，若活动期间发生合同纠纷，涉案参会者的数据可作为证据保留至诉讼终结。但除此之外，所有数据必须在两年内完成清理。据2022年《中国会展行业数据合规白皮书》统计，超过60%的主办方未建立数据留存期限管理制度，这正是面临合规风险的直接原因。
建立定期清理制度是合规基石
数据清理制度的核心是每年至少审查一次数据留存必要性。这一动作并非可选的锦上添花，而是合规审查的必要组成部分。具体执行时，可遵循以下四步：第一，将数据按收集时间、数据类型、使用场景分类归档；第二，对超过两年的数据，逐一判断是否存在法律诉讼、审计、税务调查等正当理由；第三，对无正当理由的数据，制定删除或匿名化方案；第四，记录审查过程和删除操作，形成留痕档案。据2021年《个人信息安全规范》的实践样本，每年2月的合规审查日是普遍采用的时间节点。以某大型会展公司为例，该公司在2023年完成了对2019年及之前所有活动数据的清理，删除超过20万条无留存正当理由的参会者信息，同时保留了涉及合同纠纷的3000条数据。这一操作使其顺利通过2024年的合规审计。
建立制度后，需将审查结果与业务决策绑定。例如，销售部门若想使用2021年某次活动的参会者名单进行二次营销，必须证明这些数据仍具备“直接相关且必要”的关系。若无法证明，则不能使用。这是因为“二次营销”不属于法律认可的正当理由，超过两年后，即使参会者曾同意接收信息，该同意也已过期。据2023年《个人信息保护法》实施两周年评估报告，72%的行政处罚案例中，违规企业被罚的核心原因正是“超期保存且未建立清理制度”。
合规审查聚焦三大正当理由场景
合规审查的核心是判断“正当理由”是否成立。据《个人信息保护法》第十三条，正当理由主要包含三类场景：第一，履行法定义务所需。例如税务部门要求保存发票信息二年或五年，或《网络安全法》规定的用户日志留存不少于六个月且不超过两年。但当法律要求的上限低于两年时，以较低者为准。第二，涉及诉讼或争议。若活动期间发生侵权、合同违约等纠纷，相关参会者的数据可保留至案件终结。但此类数据需单独标记、隔离存储，不得用于其他目的。第三，为保护个人生命财产安全所必需。例如活动出现安全事故，需保存现场参会者信息用于后续调查。除这三类之外，“商业分析”“用户画像”“后续营销”均不属于正当理由。
以2022年上海某国际车展为例，主办方保留了2020年展会所有参会者数据，理由是“未来两年可能继续办展”。这一理由在2023年合规审查中被判定为无效，因为“可能办展”不属于确定性法定义务。最终主办方被要求限期删除4.5万条数据。合规审查的具体操作，建议采用表格对比方式：
| 数据用途 | 是否属于正当理由 | 合规表现 |
|---|---|---|
| 法律诉讼证据 | 是 | 可保留至案件终结 |
| 税务审计凭证 | 是 | 保留期限按法定要求（2-5年） |
| 二次营销推广 | 否 | 超过两年需删除或重新获同意 |
| 行业趋势分析 | 否 | 需匿名化处理后方可保留 |
| 内部培训素材 | 否 | 超过两年必须删除 |
这一表格清晰地展示了不同场景下的合规边界。因为正当理由的判定直接决定了数据是否可留存，所以实现合规审查必须建立明确的分类标准。
常见问题解答（FAQ）
Q：活动结束后两年，我没有动过参会者数据，还会被罚吗？
A：会被罚。“持有”属于处理行为，超过两年且无正当理由，即使未使用也构成违法。
Q：参会者自己同意我保留五年，这个同意有效吗？
A：无效。个人同意不能对抗法律的强制性规定，超过两年的同意视为无效授权。
Q：我能不能把数据匿名化后继续保留？
A：可以。匿名化后的数据不再属于个人信息，可长期留存，但需确保无法通过技术手段复原。
Q：每年的合规审查需要哪些人参与？
A：建议由法务、IT、业务部门及外部律师组成，每年至少一次，形成书面报告存档。
Q：如果忘记清理，会被罚款多少？
A：依据《个人信息保护法》第六十六条，情节严重可处五千万元以下或上一年度营业额百分之五以下罚款。
活动结束两年后，留存参会者数据必须具有法律认可的正当理由。核心结论是：超过两年且无正当理由，数据必须删除。行动建议有三条：第一，立即梳理现有数据，按时间分类，标记超过两年的部分；第二，对标记数据逐条审查正当理由，无理由的制定清理计划；第三，从今年开始建立年度审查制度，每年固定时间由法务主导完成一次全面合规审查。只要建立起合规审查机制并严格执行，您就能在两年后也拥有站得住脚的保存理由。记住，数据留存期限不是建议，而是法律红线；定期清理不是负担，而是企业避免处罚的必要手段。