Есть интересная статья о работе с персональными данными.

Если коротко.

Что такое персональные данные (в любом сочетании):

• фамилия,
• имя,
• отчество,
• какой-то физический адрес,
• электронная почта,
• телефон,
• дата или место рождения,
• фотография,
• ссылка на персональный сайт или соцсети,
• профессия,
• образование,
• уровень доходов,
• семейное положение

Как работать с персональными данными:

Нужно на странице конфиденциальности магазина обязательно упомянуть, что персональные данные собираются исключительно для исполнения договора продажи с магазином и больше никак не будут использоваться

При оформлении заказа нужно предупреждать покупателя о сборе персональных данных и можно добавить галочку о согласии на обработку персональных данных

Нужно подготовить приказ по магазину о работе с персональными данными и об ответственности за нарушение порядка работы с персональными данными

Если найдете основания, то отправить уведомление в РосКомНадзор о работе с персональными данными.