[StefanBergfeldt]

Nu vet jag inte om PUL har ändrats sedan jag pluggade på, men dels är det som Emil säger, du ska se till att din data inte kommer på vift. Det heter något luddigt i stil med att du ska vidta tillräckliga åtgärder...

Sen vad gäller VAD du får lagra så handlar det om antingen samtycke, du får lagra precis vad som helst om personen tydligt godkänner det. Alternativt heter det att du får lagra de uppgifter du behöver för att göra det som kunden (i det här fallet) förväntar av dig.

Lagom luddigt, men det borde innebära att du får lagra personnummer under perioden.
Tänk också på att de som finns med i ditt register har rätt att begära ett utdrag med all den information du lagrar om denne, kostnadsfritt en gång per år.