2. Alla scadenza del termine del periodo di conservazione di cui al paragrafo 1, i prestatori di servizi di pagamento e i prestatori di servizi per le cripto-attività assicurano che i dati personali siano cancellati, salvo che il diritto nazionale stabilisca diversamente e determini in quali circostanze i prestatori di servizi di pagamento e i prestatori di servizi per le cripto-attività continuano o possono continuare a conservarli. Gli Stati membri possono autorizzare o prescrivere un periodo più lungo di conservazione solo dopo aver effettuato una valutazione accurata della necessità e della proporzionalità di tale ulteriore conservazione, e ove considerino ciò giustificato in quanto necessario al fine di prevenire, individuare o indagare su attività di riciclaggio o di finanziamento del terrorismo. Tale ulteriore periodo di conservazione non supera i cinque anni.