A GDPR (új adatvédelmi rendelet) a 2016 előtt megszerzett adatokra is vonatkozik?

Igen. Vonatkozik. Új hozzájárulást emiatt nem kell kérni ha az megfelelően történt és van nyoma.

Ha hitelt érdemlően tudod bizonyítani, hogy tevőlegesen (pl. ki kellett pipálni egy rubrikát, előre nem volt bepipálva!) beleegyezett a személyes adatok kezelésébe, és tudta, hogy adatait milyen célra akarod felhasználni (pl. ki kellett pipálnia, hogy elolvasta az adatvédelmi tájékoztatót), akkor nincs vele dolgod. Ha nem tudod, akkor mindenkitől külön-külön be kell szerezned a hozzájárulást, vagy törölnöd kell az adatait.

Persze, ha jogszabályi kötelességből kell kezelned az adatait, akkor nincs gondod. Pl. számlázáshoz évekig kezelheted a nevet és a címet, de pl. a telefonszámot és e-mailcímet nem, mert nem kötelező elemei a számláknak. Ha ezeket is kezelni akarod, akkor a hozzájárulását kell kérned (írásban a legjobb), úgy, hogy azt is megindokolod, milyen célból akarod kezelni ezeket az adatokat.