Если магазин, торгует только в России, тогда не нужен GDPR! А вот, если собираетесь продавать и в Европу, тогда...)
Ошибаетесь! GDPR сделан экстерриториальным. То есть, если в любом месте в/вне Европы Европеец тратит свои деньги, или если вы торгуете за еврики, вы попадёте под этот закон при условии, что собираете данные клиента. Но, дьявол как обычно в деталях. То есть, если данные клиента нужны вам для совершения сделки/выполнения договора, то скорее всего вам не нужно его согласие на обработку данных и вам видимо не потребуется регистрация в качестве контролера ПД (согласно терминологии GDPR). Насколько я понял, самое важное для торговца определиться, какие именно данные он будет хранить у себя, для чего и сколько времени. То бишь, мне, как торговцу, данные банковских карт - лишний головняк, поэтому пусть их хранит банк, и пусть он разбирается с ПД держателя карт. Как-то так в общем. У нас в РФ всё то же самое. Единственно что сильно напрягает - каждый занюханный ларёк норовит в случае чего снять копию твоего паспорта. Это как раз нарушение 152 фз, но им пофиг, ибо страх перед _органами_ сильнее (не буду тут расписывать подробно).
