Consumentenbond verwijderd prive gegevens niet na 7 jaar?

Volgens regelwetgeving mogen bedrijven na opzegging abonnement max. 7 jaar je prive gegevens bewaren. Nu ben ik er achter gekomen dat na zeker 10 jaar mijn prive gegevens met een niet meer gebruikt email adres nog steeds op de dataservers staan van de consumentenbond. Na een schriftelijk verzoek op 29-12-2022 na 3 weken de reactie dat zij deze gegevens alleen verwijderen als ik met een ID kan aantonen dat ik de juiste verzoek persoon ben? Dat lijkt mij de omgekeerde wereld, zij hadden die gegevens allang verwijderd moeten hebben, of is dat niet zo?