团体标准 T/FJAS031—2026 数据资产——数据合规审核规范 Dataassets——specificationsfordatacompliancereview 2026-03-30发布 2026-04-10实施 福建省标准化协会  发布ICS35.240 CCSL70 全国团体标准信息平台 全国团体标准信息平台 T/FJAS031—2026 I目次 前 言............................................................................II 1范围.................................................................................1 2规范性引用文件.......................................................................1 3术语和定义...........................................................................1 4合规审核准则.........................................................................2 5数据处理者主体资格审查...............................................................3 6数据安全管理制度审核.................................................................3 7数据资产分类分级.....................................................................5 8数据资产全生命周期合规审核...........................................................6 9数据资产管理制度与技术措施审核......................................................11 参考文献........................................................................13 全国团体标准信息平台 T/FJAS031—2026 II前言 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规 定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由福建大数据交易所有限公司提出。 本文件由福建省标准化协会归口。 本文件起草单位：福建大数据交易所有限公司、福州交通新能源科技有限公司、福州数据集团有限 公司、北京大成(福州)律师事务所、莆田学院、天津大学、福建新世通律师事务所、泉州市中科育成科 技发展有限公司、泉州市知识产权保护中心、福建省数据流通控股有限公司、北京智慧财富资本管理集 团有限公司、宁德市物资再生利用有限公司。 本文件主要起草人：陈雯珊、胡九龙、张群洪、卢健、陈学军、张兮、陈承正、蔡群、邱江鸿、巫 利荣、马新明、钟建文、卞羽、翁磊、杨堃、陈妍意、张趁华、石焱文、陈清、余丽銮、秦源丰、季晓 芬、戴旺、翁婷、梁迎莹、沈壮壮、陈铭杰、张绮晖、陈姜锐。 全国团体标准信息平台 T/FJAS031—2026 1数据资产—数据合规审核规范 1范围 本文件规定了数据合规审核活动的合规审核准则、数据处理者主体资格审查、数据安全管理制度审 核、数据资产分类分级、数据资产全生命周期合规审核、数据资产管理制度与技术措施审核。 本文件适用于各类组织开展数据资产入表及管理的合规审核活动，也可为监管部门、第三方审核机 构提供参考。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T25069-2022信息安全技术术语 GB/T35273-2020信息安全技术个人信息安全规范 GB/T43697-2024数据安全技术数据分类分级规则 3术语和定义 下列术语和定义适用于本文件。 3.1 数据处理者anorganizationorindividualthatprocessesdata 是指在数据处理活动中自主决定处理目的和处理方式的个人或者组织。 [来源：国家数据局《数据领域常用名词解释》（第一批）] 3.2 数据处理dataprocessing 数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。 [来源：国家数据局《数据领域常用名词解释》（第一批）] 3.3 数据资产dataassets 特定主体合法拥有或者控制的，能进行货币计量的，且能带来经济利益或社会效益的数据资源。 [来源：国家数据局《数据领域常用名词解释（第一批）》] 3.4 数据合规datacompliance 数据处理者采取必要措施，在数据处理、数据安全管理过程中应遵守的要求。 注：数据合规包括但不限于数据管理主体合规；数据管理制度合规；数据管理活动合规等。 3.5 个人信息personalinformation 全国团体标准信息平台 T/FJAS031—2026 2以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然 人活动情况的各种信息。 3.6 个人信息主体personalinformationsubject 个人信息所标识或者关联的自然人。 3.7 敏感个人信息sensitivepersonalinformation 一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人 信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周 岁未成年人的个人信息。 [来源：GB/T43697-2024] 3.8 组织organizationdata 具有自身的职责、权威和关系以实现其目标的个人或集体。 注：组织的概念包括但不限于个体经营者、公司、法人、商行、企业、机关、合伙关系、慈善机构或院校，或者其 部分或组合，无论注册成立与否、是公共的还是私营的。 [来源：GB/T25069-2022] 4合规审核准则 4.1合法性准则 数据合规审核活动应符合适用的法律法规要求，审核依据、程序、结论及整改建议均需符合法律法 规规定。如审核活动中发现潜在风险的，审核机构应向数据处理者予以提示。 4.2独立性准则 审核机构和审核人员应独立于被审核对象的数据资产处理活动，避免利益关系和外部压力干扰，确 保审核结论客观公正。 4.3客观性准则 收集和记录的审核证据应保证其可信性，应采取科学、透明的方式获得审核证据，应保证审核证据 的真实、准确、完整、有效，审核过程应基于客观事实，采用科学合理的审核方式开展审核活动。 4.4保密性准则 审核机构和人员应对审核过程中获取的数据资产信息、商业秘密、保密商务信息、个人信息等予以 保密，不得泄露或非法提供给第三方。 4.5专业性准则 审核机构和审核人员应具备开展数据合规审核的能力，拥有执行合规审核所需的专业知识、技能及 对相关法规的深刻理解，委托第三方机构开展合规审核的，应当对其独立性进行审查。若审核机构和审 核人员与被审核方存在可能影响审核公正性的利益关系或其他应当回避情形的，应当予以回避。 全国团体标准信息平台 T/FJAS031—2026 34.6风险导向准则 数据资产合规审核应重点关注高风险环节，如敏感个人信息处理、数据出境、大规模数据共享等， 优先审核可能对国家安全、公共利益及个人权益造成重大影响的活动。 5数据处理者主体资格审查 5.1审查目标 审查数据处理者是否具备合法、有效且稳定的主体资格，以及其近期是否存在可能影响数据安全责 任履行的重大不利情形，以评估其开展数据处理活动的法律基础与合规风险。 5.2独立民事责任能力审查 应审查数据处理者是否具有独立承担民事责任的法定能力，核实其能否以自身名义对外开展民事活 动、享有权利并承担责任。审查应通过查验其在市场监管部门等登记机关依法登记或备案的证明文件等 方式进行。 5.3重大不利情形审查 应通过国家企业信用信息公示系统、信用中国、相关行业监管公开平台等官方或权威公开信息渠道 进行查询与核实。审查数据处理者在近一年内或审核方认定的合理期限内，是否存在以下可能对其数据 处理活动构成实质性重大不利影响的情形： a)因违反数据安全、网络安全、个人信息保护等相关法律法规而受到重大行政处罚或刑事处罚； b)发生重大数据安全事件； c)被列入严重失信主体名单； d)因数据产权、数据使用、收集等数据处理活动违法而受到相关数据处理者起诉及人民法院不利 裁决； e)其他可能实质影响其持续、稳定、合法履行数据安全保护责任的情形。 6数据安全管理制度审核 6.1审核目标 审查数据处理者是否依据数据安全、个人信息保护及网络安全相关法律法规及规范性文件的要求， 建立、实施并维护有效的数据安全管理制度体系，以履行其数据安全保护义务。 6.2数据安全管理办法审核 6.2.1制度制定 应审查数据处理者是否制定并落实了全面的数据安全管理办法，应包括： a)数据分类分级管理办法 1)针对数据处理者数据库从对国家安全、公共利