Istnieje stanowisko, prezentowane między innymi w jednym z komentarzy do RODO które zakłada, że obowiązek informacyjny z RODO wypełniamy tylko w stosunku do osób, których dane pozyskaliśmy przed 25 maja 2018 roku, opierające się na tym, że art. 13 RODO stanowi, że musimy przekazać wymagane informacje „podczas zbierania”, a skoro moment zebrania nastąpił jeszcze podczas obowiązywania starych przepisów, to wystarczy, że wypełniliśmy obowiązek informacyjny z art. 24 starej uodo z 1997 roku.
Jednak wytyczne grupy roboczej art. 29 nr 260 wskazują, że:
„(…)prior to 25 May 2018, data controllers should revisit all information provided to data subjects on processing of their personal data (for example in privacy statements/ notices etc.) to ensure that they adhere to the requirements in relation to transparency which are discussed in these guidelines. Where changes or additions are made to such information, controllers should make it clear to data subjects that these changes have been effected in order to comply with the GDPR. WP29 recommends that such changes or additions be actively brought to the attention of data subjects but at a minimum controllers should make this information publically available (e.g. on their website). However, if the changes or additions are material or substantive, then in line with paragraphs 29 to 32 below, such changes should be actively brought to the attention of the data subject. „
Dlatego zalecamy, by wykonać obowiązek informacyjny w stosunku do wszystkich osób, których dane są przetwarzane niezależnie od tego, czy zostały pozyskane przed, czy po 25 maja 2018 w sposób zgodny już z nowymi przepisami.