Igen, a megőrzési idő hosszát az adatkezelő határozhatja meg, de mint később írod: minden irányból bele lehet kötni. Ha hosszabb az idő a szükségesnél (ami mennyi is? lásd a címadó kérdésemet, sehol nincs meghatározva), akkor a hatóság bírságolhat. Tudni kellene indokolni, miért annyi amennyi.