Единого фиксированного срока хранения персональных данных в законе нет - вместо этого действует принцип: данные хранятся ровно столько, сколько актуальна цель их обработки, и не дольше. Как только цель достигнута, согласие отозвано субъектом или истек срок, на который согласие давалось, оператор обязан уничтожить данные или обезличить их - срок на это по закону составляет до 30 дней.
Проблема в том, что оператор не обязан отслеживать этот момент автоматически, если вы сами не заявили об отзыве согласия или удалении. Формально ваша заявка трехлетней давности может до сих пор храниться в базе, потому что формально компания могла указать в согласии широкую цель вроде «информирование о новых услугах», которая с их точки зрения все еще актуальна. Это не значит, что хранение законно бессрочно - просто без вашего обращения оператор может и не инициировать удаление сам.
Чтобы данные удалили гарантированно, направьте оператору требование об отзыве согласия и удалении персональных данных - письменно, через форму на сайте, если она есть, или на контакты из политики обработки персональных данных. Оператор обязан рассмотреть обращение и уничтожить данные в установленный срок, о чем должен вас уведомить.
Есть исключения, когда данные хранятся дольше вашего согласия принудительно - например, если это требуется для бухгалтерской или налоговой отчетности по закону. Но для обычной заявки на сайте без последующего договора таких оснований, как правило, нет.