Gemäß § 57 Abs 1 SPG müssen personenbezogene Daten, die von Sicherheitsbehörden verarbeitet werden, in bestimmten Fällen nach einer gewissen Zeit gesperrt werden. Die Sperrungsdauer variiert je nach Grund der Speicherung und reicht von einem Jahr bis zu sechs Jahren. Nach Ablauf von weiteren zwei Jahren müssen die Daten physisch gelöscht werden. Die Sicherheitsbehörden müssen regelmäßig überprüfen, ob die Voraussetzungen für eine Sperrung bereits vorliegen. Daten, die gem § 57 Abs 2a übermittelt wurden, müssen spätestens zwei Wochen nach der Übermittlung gelöscht werden.
