Administrator danych osobowych prowadzący sklep internetowy powinien zwrócić szczególną uwagę na konieczność przetwarzania tych danych zgodnie z prawem, a więc w oparciu o konkretną podstawę prawną.
Ogólne Rozporządzenie o Ochronie Danych, dalej zwane jako RODO w istotny sposób zmieniło sposób pozyskiwania i przechowywania danych osobowych dotyczących osób fizycznych. Dane osobowe, które znajdują się w zasobach właścicieli sklepów internetowych podlegają szczególnym regulacjom i zasadom. Zgodnie z przepisami, nie mogą być one przechowywane bezterminowo, a zgodnie z zaleceniami znajdującymi się na stronie Komisji Europejskiej powinny być one przechowywane przez możliwie jak najkrótszy okres. Zgodnie z przepisami, dane osobowe w rozumieniu rozporządzenia RODO - czyli wszystkie dane dotyczące osób fizycznych, mogą być przechowywane wyłącznie przez okres niezbędny do wypełnienia celów, dla których zostały one pobrane. Należy zaznaczyć, że tak jak w przypadku zakresu danych oraz środków ich ochrony, RODO nie narzuca określonego czasu przechowywania danych osobowych i nie wskazuje limitu w miesiącach czy latach – każdy administrator danych również prowadzący sklep internetowy musi samodzielnie zadecydować, jak długo pobrane przez niego dane będą przechowywane. Wskazane jest jednak, aby określony był termin minimalny przetwarzania tak, aby podmiot je przetwarzający nie przechowywał ich kilkadziesiąt lat lub bezterminowo.
Administrator danych prowadzący sklep internetowy nie może w zgodach czy klauzulach informacyjnych umieścić informacji o tym, że dane będą przechowywane bezterminowo – taka klauzula nie odniesie zamierzonego skutku prawnego.
Naruszenie regulacji dotyczącej zasady ograniczonego przechowywania, zwłaszcza w przypadku, w którym przedsiębiorca nie będzie w stanie wskazać przyczyny zbyt długiego okresu przechowywania, może skutkować nałożeniem na administratora danych kary finansowej. Na określenie prawidłowego czasu przechowywania danych osobowych wpływają również inne czynniki – przede wszystkim ewentualne przepisy szczególne, które wynikają z innych ustaw, przykładem może być ustawa o rachunkowości, dotycząca minimalnego okresu przechowywania ksiąg rachunkowych.
Administrator danych prowadzący sklep internetowy nie może w zgodach czy klauzulach informacyjnych umieścić informacji o tym, że dane będą przechowywane bezterminowo.
W każdym przypadku przedsiębiorca prowadzący sklep internetowy winien zwrócić uwagę na przepisy wynikające z Kodeksu cywilnego, dotyczące przedawnienia roszczeń. Z uwagi na ewentualny proces sądowy dane powinny być przechowywane przez okres niezbędny do upływu terminu przedawnienia roszczeń ich administratora oraz przeciwko administratorowi danych. W przypadku administratora danych osobowych prowadzącego sklep internetowy w przeważającej większości okres ten będzie wynosił trzy lata. W przypadku zaś danych pozyskanych przez administratora danych przed 25 maja 2018 r., czyli przed datą wejścia w życie rozporządzenia RODO, każdy administrator danych prowadzący sklep internetowy powinien rozważyć, czy zostały one pobrane zgodnie z zasadami określonymi w obowiązujących obecnie przepisach. Jeśli administrator danych prowadzący sklep internetowy pozyskał więcej danych niż to konieczne, najwłaściwszym rozwiązaniem byłoby ich usunięcie. Jeśli właściciel danych nie wyraził zgody na pobranie i przechowywanie danych, administrator danych prowadzący sklep internetowy powinien zadbać o pozyskanie właściwej zgody lub ewentualnie jej aktualizację. Dane zebrane przed wskazanym powyżej terminem nie powinny być przechowywane bezterminowo – Administrator Danych prowadzący sklep internetowy musi dostosować okres ich przechowywania do nowych zasad.