个人信息保护评价体系（以下简称评价体系）是大连市在全国率先开展的，系统、客观、全面地监督、判断、评估个人信息保护活动，具有行业特色、规范性、充分性和有效性的认证机制。

一 创设背景

社会经济活动、虚拟空间中的个人信息安全是世界各国关注的焦点，许多国家制定了个人信息保护的相关法规、标准，以保证个人信息的安全。国际上对个人信息安全的关注已使得个人信息安全成为国际业务交流中一项重要的制衡条件，也影响到中国的企业。

软件与信息服务外包业务是中国的重点产业之一，大量软件与信息处理业务来自国外。国外客户对个人信息安全的要求、有关国家实行的涉及个人信息保护的相关法律法规、标准及相应的认证制度，对中国软件与信息服务外包业务产生了较大影响。大连是中国软件外包基地之一，大量软件及信息处理业务来自国外，尤其是日本。日本颁布实施的《个人信息保护法》，特别是针对信息处理企业实行的个人信息保护认证制度（即P-AMRK认证制度），对中国软件外包企业产生了重大影响。就整个产业而言，日本《个人信息保护法》颁布实施后，日本客户对信息处理业务发包谨慎，在业务委托中往往不提供真实的测试数据。客户向承接外包项目的企业提出严格的个人信息保护要求，并在合同中增加了个人信息保护相关条款和违反规定的赔偿规定，对因有关个人信息保护不当所造成损失的赔偿金额相当高。为应对客户的要求，一些承接外包项目的企业着手建立自身的个人信息保护制度，但这种单个企业的个人信息保护行为很难得到国外客户对个人信息保护整体状况的认可。

个人信息保护机制的缺失容易阻断个人信息的跨国流动，影响国际业务的开展，并对贸易往来形成新的障碍。因而，建立与国际接轨的行业规范十分迫切。鉴于此，自2005年开始，在国际个人信息保护相关机构的建议和企业的要求下，大连市信息产业局提出并支持大连软件行业协会（DLSIA），组织专家、企业及相关人员开始研究个人信息安全相关的理论、实践和有关国家的相关法规、标准、认证体系，调研企业需求和现状，着手制定行业内个人信息安全相关规范，引导和帮助企业建立个人信息保护体系。

二 评价体系概况

大连软件行业协会主要开展了以下工作。首先，研究了如何构建适合中国国情、社会和经济发展及市场需求的个人信息保护模式。考虑到中国地域因素、社会经济发展状况、地域性员工基本素质和意识等，研究、编制了个人信息安全相关标准，主要包括：个人信息定义、个人信息特征、个人信息主体权益、个人信息保护原则、个人信息管理、个人信息安全、过程管理、质量控制，以及个人信息保护认证机制和质量等诸多问题。其次，开展软件与信息服务业个人信息安全标准化的研究，在信息服务行业推进个人信息的安全管理，并逐步向其他行业辐射、推广；基于软件与信息服务业个人信息安全标准，研究建立个人信息保护评价体系，在行业内开展个人信息安全认证，并逐步向其他行业延伸；持续开展个人信息安全管理标准系列研究；通过各种形式宣传软件与信息服务业个人信息安全标准和相应的评价体系。另外，还需研究如何促进与国际间个人信息安全认证体系的相互认可。

标准编制主要参考了国际通行的个人信息安全相关法规、信息安全相关标准和行业自律模式。标准编制过程中，曾聘请日本个人信息保护专家多次座谈和研讨，并聘请十几家企业负责信息安全的人员参与整个编制过程，以便符合企业的实际需求。

经过多次修改和完善，2006年3月20日，大连率先发布了首部地方性个人信息安全行业管理规范——《大连软件及信息服务业个人信息保护规范》。

前期调查、研究、实践和标准编制为构建个人信息保护评价体系（personal information protection assessment：PIPA）、实施个人信息保护评价奠定了坚实的基础。实施个人信息保护评价是依据标准，采用合理、有效的技术和管理方法，系统、客观、全面地监督、判断、评估企业个人信息保护体系的构建、运行、发展、完善、变化及其影响因素。

个人信息保护评价机构是独立、公正的第三方机构，对企业实施客观、公平、公正的评价，并要求评价对象遵守相关个人信息安全的法规、标准。评价机构依据个人信息安全相关标准，向通过评价的企业颁发认证标志和