Автор amt2001 на блоге Царева пишет:

1. Скоро появятся дополнительные (уточняющие) положения регуляторов по вопросам ПДн и чтобы оставить маневр для этих новых документов не редактируя “старый” 58-ой приказ и появились неясные моменты в самом приказе. Надеюсь это временное явление и обещание ФСТЭК все-таки сдержит.
2. Вопросы аттестации, лицензирования и сертификации в части защиты ПДн должны остаться только для гос. учреждений.
3. Есть также информация, что ближе к осени будут внесены изменения в ФЗ-152 отменяющий всякую защиту ПДн для собственных нужд.

В подтверждение этого, 2 апреля на сайте safe.cnews.ru Михаил Емельянников опубликовал статью, в которой пишет:

"В Государственную думу внесен законопроект с поправками в ФЗ-152, который, во всяком случае, в том виде, как он опубликован на сайте Думы, фактически является не перечнем поправок, а новой редакцией закона. Причем редакцией, радикально меняющей целый ряд основополагающих принципов закона. Остановимся лишь на одном изменении, касающемся вопросов технической защиты. Излишне жесткую, по мнению многих специалистов, формулировку части второй статьи 19 действующей редакции ФЗ-152 (“Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных …”) должны заменить следующие две нормы закона. “В случаях, установленных федеральными законами, определяющими случаи обязательной обработки персональных данных и (или) особенности обработки персональных данных, Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в государственных и муниципальных информационных системах персональных данных …” и “При обработке персональных данных на основе согласия перечень мер по обеспечению безопасности персональных данных при их обработке определяется соглашением оператора и субъекта персональных данных”.
Приведет это, скорее всего, к следующему. Практически все существующие информационные системы персональных данных функционируют вне регулирования их федеральными законами, и значит обязательных требований для них не будет. Это системы и государственных и муниципальных предприятий, обслуживающих население, и организаций здравоохранения и образования, и многих других. Несмотря на созданные некоторыми профильными министерствами методические документы, которые можно увидеть, например, на сайтах Министерств здравоохранения и образования, никакой реальной работы по защите персональных данных в этих организациях не велось по двум тривиальным причинам: нет целевого бюджетного финансирования работ (а других денег у них нет) и нет специалистов (добавлю – и вряд ли они появятся), способных разобраться в требованиях и реализовать их.

Что же касается коммерческих организаций-операторов персональных данных, их реакция будет очевидной: в договорах на предоставление услуг гражданам (где и содержится согласие на обработку) появится простая формулировка “Клиент (абонент, пользователь и т.п.) согласен с достаточностью мер по защите его персональных данных, предпринимаемых исполнителем”. Каких мер, клиент, естественно, никогда не узнает, да и нельзя их внятно описать в договоре на предоставление услуг связи, билете на поезд или самолет (который, по гражданскому кодексу, и является подтверждением договора перевозки) или квитанции на отправку заказного письма (это тоже подтверждение договора). Клиенту, которого такое положение вещей не устраивает, некуда пойти, ведь в договоре у другого исполнителя будет то же самое.
Весь пафос ФЗ-152 в части защиты прав личности таким образом выйдет в пар. В результате внесения рассматриваемых изменений из одной крайности – дорогостоящей реализации требований, не продиктованных бизнес-задачами, все впадут в другую, и для защиты персональных данных, как и прежде, делаться ничего не будет. Гостиничный и туристический бизнес, переждавший битвы вокруг закона, – яркий тому пример."

Что ж, поживем - увидим...