Mag een internetbedrijf bij een aankoop zomaar om o.a. een kopie van je paspoort- en creditcard gegevens vragen?

Zojuist heb ik een bestelling gedaan bij Expansys, een webwinkel voor elektronica. Na het doen van deze bestelling krijg ik een orderbevestiging waarin oa staat dat als het kaarthoudersadres en het verzendadres verschillen, er om aanvullende informatie gevraagd kan worden. Ondanks dat deze twee adressen overeen komen in mijn bestelling, krijg ik toch een (vrij slordige) mail met het verzoek om 1- een kopie bewijs van mijn adresgegevens, 2- een kopie van beide zijden van mijn creditcard, 3- een kopie van beide zijden van mijn paspoort (of ander identiteitsbewijs) naar hen toe te mailen.
Ik krijg hier een wat raar gevoel bij en besluit dus om te bellen, maar krijg van een met zwaar buitenlands accent Nederlands pratende dame het antwoord dat dat zo in hun algemene voorwaarden staat. Zij herhaald dat antwoord als ik vraag hoe ik dan weet of Expansys wel een betrouwbare onderneming is en blijft ook bij andere vragen op die voorwaarden wijzen. Bijvoorbeeld als ik haar er op wijs dat Expansys geen 'thuiswinkel-waarborg' oid heeft.
Dit onderwerp is in 2010 ook al eens ter sprake gekomen op dit forum, maar ik meende dat er sindsdien wat juridische veranderingen zijn doorgevoerd, waardoor ik me afvraag of Expansys anno 2014 nog steeds het recht heeft om naar deze informatie te vragen.