2026年8月28日，国家数研院在“聚焦场景建设释放数据价值”主题交流活动上，正式发布《数据流通服务机构（数据商）服务能力评价指南》（以下简称《指南》）并同步启动数据商能力基准标定计划。

《指南》由国家数研院联合国内主要数据交易所（中心）、头部数据商及相关大模型企业共同编制，在广泛征求全国超130家数据流通服务机构意见的基础上，形成了包含“基础支撑能力、合规管理能力、创新发展能力、生态协同能力”的系统性评价体系，为数据流通服务机构间互信及数据商有序健康发展提供方向引导。

以《指南》发布为契机，国家数研院同步启动数据商能力基准标定计划，面向社会征集意向单位，共同形成数据商“基础支撑能力、合规管理能力、创新发展能力、生态协同能力”基本要求，并将适时发布优质数据商名单，引导市场资源向合规优质数据商集聚。

下一步，国家数研院将在国家数据局指导下，以《指南》和能力基准标定计划为抓手，联合产学研各方持续完善数据流通服务机构评价体系，为推动流通服务机构高质量发展，更好服务全国一体化数据市场提供更多支撑。

联系人：李玉昭 19220223739

数据流通服务机构（数据商）服务能力评价指南（征求意见稿）

一、编制目的与依据

(一)编制目的

贯彻落实《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》关于培育一批数据商和第三方专业服务机构，国家数据局等部门《关于培育数据流通服务机构加快推进数据要素市场化价值化的意见》关于建立数据流通服务机构发展评估评价体系相关部署，为各级管理部门、相关行业组织开展数据流通服务机构培育、引导数据商提升服务能力提供参考，助力建设开放共享安全的全国一体化数据市场，编制形成《数据流通服务机构（数据商）服务能力评价指南》。

(二)规范性引用文件

法律法规《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》
政策与规范性文件《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》(“数据二十条”) 《关于培育数据流通服务机构加快推进数据要素市场化价值化的意见》(国数政策〔2026〕6 号) 《关于促进数据产业高质量发展的指导意见》(发改数据〔2024〕1836 号) 《数据领域名词解释(第一批)》(国家数据局) 《数据领域名词解释(第二批)》(国家数据局)
国家标准 GB/T 22239‑2019《信息安全技术网络安全等级保护基本要求》 GB/T 35273‑2020《信息安全技术个人信息安全规范》 GB/T 37988‑2019《信息安全技术数据安全能力成熟度模型》 GB/T 36073‑2025《数据管理能力成熟度评估模型》 GB/T 43697‑2024《数据安全技术数据分类分级规则》 GB/T 20988‑2025《网络安全技术信息系统灾难恢复规范》 GB/T 37964‑2019《信息安全技术个人信息去标识化指南》 GB/T 42460‑2023《信息安全技术个人信息去标识化效果评估指南》

二、编写单位

国家数据发展研究院、贵州数据宝网络科技有限公司、上海合合信息科技股份有限公司、辽宁省数据集团有限责任公司、广西北部湾大数据交易中心有限公司、深圳数据交易所有限公司、中部数据服务(湖北)有限公司、北京国际大数据交易所有限责任公司、贵阳大数据交易所有限责任公司、广州数据交易所有限公司、陕西丝路数据交易有限公司、西部数据交易有限公司、山东数据交易有限公司、上海市数商协会、上海计算机软件技术开发中心、高颂数科(厦门)智能技术有限公司、宁波智源数字科技服务有限公司

三、适用范围与对象

本指南适用于对数据商的服务能力评价，适用对象为以数据为生产经营关键要素，依法通过采集、购买、授权使用、受托处理、合作开发等方式获取或控制数据资源，进行治理、加工、开发、运营，并对外提供相关数据产品或服务的经营主体。

四、核心概念解读

为统一对评价指标体系的理解，现对本指南涉及的核心概念解读如下。

(一)数据商

本指南所称数据商，是指以数据为生产经营关键要素，依法通过采集、购买、授权使用、受托处理、合作开发等方式获取或控制数据资源，进行治理、加工、开发、运营，并对外提供相关数据产品或服务的经营主体。

(二)数据产品与数据服务

数据产品是指基于数据加工形成的，可满足特定需求的数据加工品和数据服务，包括但不限于资源型(数据集、包含数据资源的数据库)、分析决策型(查询服务、接口服务、指数服务、咨询报告、终端服务)、智能生成型(大模型服务、智能体服务)等。指南中的“数据业务收入”，指数据商通过提供数据产品和数据服务取得的收入。

(三)数据第三方专业服务机构

数据第三方专业服务机构是指为促进数据交易活动合规高效开展，提供数据集成、质量评价、数据经纪、合规认证、安全审计、数据公证、数据保险、数据托管、资产评估、争议调解、风险评估、人才培训、咨询服务等第三方服务的专业化组织。

(四)数据专业人才

数据专业人才是指从事数据技术(包含合规、治理、市场流通、安全等)岗位的人员。

(五)数据分类分级

数据分类分级是指依据数据的敏感程度、重要程度，以及数据遭到破坏后对国家安全、公共利益、个人或组织合法权益造成的危害程度，对数据进行分类和分级，并实施差异化保护的管理活动。分类分级结果是确定数据加密、访问控制、流通限制等保护措施的基础。

(六)个人信息保护影响评估(PIA)

个人信息保护影响评估是指针对个人信息处理活动，检验其合法合规程度，判断对个人信息主体合法权益造成损害的各种风险，并评估用于保护个人信息主体的各项措施有效性的过程。依据《中华人民共和国个人信息保护法》，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息等情形，应当事前开展个人信息保护影响评估，并对处理情况进行记录。

(七)恢复点目标(RPO)与恢复时间目标(RTO)

恢复点目标(RPO)是指灾难发生后，业务系统所能容忍的数据丢失量，通常表现为必须恢复到的历史时间点要求。它代表了业务系统在灾难中可接受的最大数据丢失时间窗口。RTO 是指灾难发生后，信息系统或业务功能从停顿到必须恢复正常运行的最长可接受时间。它代表了业务中断后必须完成恢复的时间底线。

(八)去标识化与匿名化

去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程；匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。

(九)数据全生命周期

数据全生命周期是指数据从产生到销毁的各种生存形态演变过程，包括数据采集、传输、存储、处理、流通和销毁六个阶段。

(十)核心技术

核心技术是指支撑数据产品和服务稳定运行所必需的关键技术组件。此类技术若过度依赖不可替代的外部供应，可能导致业务中断或数据安全风险。核心技术范围应贯穿数据全生命周期，至少应覆盖以下关键架构层级：数据采集层、数据存储与计算层、数据治理与管理层、数据分析与建模层、数据服务与交付层。

(十一)不可替代性

不可替代性是指组织依赖的核心技术或组件缺乏等效备选方案、难以平滑迁移或自主接管的高风险状态。其判定主要涵盖四个维度：市场上缺乏同等或更优的替代方案且迁移成本高昂；对外部单一供应商存在深度绑定且该供应商存在经营危机或断供风险；技术涉及境外司法管辖或安全后门引发合规阻断；以及组织自身未建立经演练验证的应急预案与自主技术储备。一旦陷入不可替代状态，外部技术供应的任何中断将直接导致业务停顿或严重数据安全风险。

(十二)商业模式创新

商业模式创新是指数据商在数据要素流通与价值转化过程中，突破传统业务形态，通过重构数据汇聚、采集、交换、交易、交付与收益分配等核心环节的运作机制，形成的新型价值创造与商业变现模式。

五、评价指标概览

(一)基础支撑能力

评价数据商开展业务所需的基础性资源保障与技术服务支撑水平，包括人力、资金、基础设施、组织管理、数据质量五个方面。

1.1 人员配置与保障

1.1.1 专业人才结构合理度

评价数据商专业人才队伍的结构合理性与稳定性，重点关注专业人才的学历层次结构、人员专业背景及从业经历与岗位职责的匹配程度、专业人才占比、专业人才持有权威职业资格证书或职称的情况，以及专业人才的留存稳定性。

1.1.2 人才培养体系建设

评价数据商人才培养体系的健全性与运行有效性，重点关注培训管理制度对培训需求分析、计划制定、组织实施、档案管理和效果改进等环节的覆盖程度及其与能力模型、绩效管理和业务风险的联动情况，培训开展情况与专业人才覆盖程度及分层分类培训安排，以及关键岗位胜任力。

1.1.3 数据合规培训覆盖率

评价数据商面向全员及专业人才岗位开展数据合规与安全培训的机制建设与实施成效，重点关注培训制度、课程安排与考核机制的完善程度及课程内容随法律法规和业务发展的动态更新情况，培训开展情况与人员覆盖程度，以及培训效果评估机制，包括考核结果运用、未通过人员补训安排和培训对风险问题改善的促进作用。

1.2 资金与财务支撑

1.2.1 实缴资本与资产健康度

评价数据商的资本实力与资产结构健康状况，重点关注实缴资本规模对企业日常刚性支出的覆盖能力及出资的真实性、合规性，核实是否存在抽逃出资等异常情形，并以经审计的年度财务报告衡量企业资产负债水平与长期偿债能力。

1.2.2 资金保障能力

评价数据商财务管理的规范性与持续资金保障能力，重点关注财务审计的合规记录，包括审计报告规范性、税务与财务处罚及失信记录和异常事项整改情况，重大债务风险状况，包括逾期债务、重大诉讼担保、偿债违约及债务集中到期对持续服务的影响和相应监测预警机制，以及流动性资金对短期偿付需求的保障程度。

1.2.3 数据能力建设投入强度

评价数据商在数据能力建设方面的资源投入水平与投入结构完整性，重点关注数据采购、数据治理、安全合规、技术平台研发、人才培养等投入占营业收入的比重及其持续性，投入是否覆盖数据全生命周期各环节，以及各项投入是否明确预算安排、责任主体和产出目标。

1.2.4 数据资产入表与价值管理

评价数据商对数据资源资产化确认的规范性及数据资产价值转化能力。重点关注是否建立数据资源资产化识别标准与确认流程，数据资源确认为无形资产或存货等会计科目的判断依据是否充分合规，以及实现商业化变现的数据资产占总体数据资产的比例。

1.3 基础设施与运维

1.3.1 技术基础设施保障能力

评价数据商技术基础设施对业务运行的支撑保障水平，重点关注计算、存储、网络等资源在日常运行与突发流量情形下的弹性伸缩与扩容能力，业务高峰期的性能冗余与突发流量承载能力，数据备份、异地容灾、恢复演练及多活部署等灾备能力，以及数据平台功能的完整性，包括数据采集、存储、管理、治理、分析、服务与审计等功能及数据质量、权限管控、血缘分析等能力。

1.3.2 业务连续性管理能力

评价数据商业务连续性管理体系的建设与目标达成情况，重点关注关键业务识别与影响分析的开展情况，灾备方案对人员、场所、系统、供应商等要素的覆盖程度及定期评审机制，以及恢复点目标与恢复时间目标的设定合理性、测试验证与实际达成情况。

1.4 组织运营管理

1.4.1 组织架构完善度

评价数据商组织架构对数据业务与安全合规管理的支撑程度，重点关注数据安全与数据合规职能的设置情况，包括专职岗位或独立部门的设立，数据安全与数据合规专职负责人的任命及履职评价机制，以及数据采集、加工、交易、审核等关键岗位的责任人明确程度、岗位相互备岗覆盖情况和岗位胜任力评估开展情况。

1.4.2 企业资质认证覆盖度

评价数据商持有与数据业务相关资质认证的充分性与有效性，重点关注企业在数据安全、数据治理、信息安全管理等领域取得并保持有效的资质认证类型与覆盖范围，如信息安全管理体系认证、网络安全等级保护测评、数据管理能力成熟度评估等。

1.5 数据质量与治理

1.5.1 数据质量管理体系建设

评价数据商数据质量管理体系的制度完备性与责任落实情况，重点关注质量管理制度对质量规划、质量规则、质量监测、问题管理、变更管理与发布管理等环节的覆盖程度，质量责任体系中责任划分、审批体系与责任矩阵的建立情况及质量责任纳入绩效考核的情况，以及差异化数据质量标准的制定情况与核心数据的标准覆盖程度。

1.5.2 数据质量问题追溯与改进机制

评价数据商对数据质量问题的定位追溯与闭环改进能力，重点关注质量问题定位至数据源、字段级血缘、版本及责任人的能力与跨系统端到端追溯能力，根因分析方法的应用、整改复测闭环管理、预防措施制定与问题按期关闭情况，以及根因知识库建设与定期复盘机制的落实情况。

1.5.3 数据描述符合性

评价数据商对外提供数据产品描述信息与实际数据的一致性与可信程度，重点关注数据标签与对外文档、业务含义及实际内容的一致性，必填元数据的有效填写与完整程度，产品标注的更新时间、更新频率、数据量、覆盖范围与实际交付数据的一致性，以及合同约定的交付质量承诺的实际兑现情况。

1.5.4 客户满意度

评价数据商数据产品与服务的客户认可程度与口碑表现，重点关注客户满意度调查的开展情况及有效样本对主要客户群体的覆盖程度，客户续约情况，客户推荐意愿水平，以及因产品内容、规模、质量与描述不符所产生投诉的比例与处理情况。

(二)合规管理能力

评价数据商在数据安全、个人信息保护、合规管理和数据交易合规等方面的风险控制水平。

2.1 数据安全与个人信息保护

2.1.1 数据分类分级与加密保护

评价数据商依据数据敏感程度、影响范围和使用场景对数据资产开展分类分级并落实差异化保护的情况，重点关注分类分级制度的建设与覆盖程度、分类分级结果随业务和风险变化的更新机制，以及对各级数据在传输和存储环节采用相适应加密或等效保护措施的情况。

2.1.2 数据安全管理制度建设及执行

评价数据商数据安全管理制度体系的完备性及实际执行效果，重点关注制度对数据资产、访问控制、开发运维、共享流通等数据全生命周期环节和主要参与方的覆盖程度，制度随重大变更更新和定期评审的机制，制度执行中开展检查或独立审计的范围与问题发现能力，以及违规事件的分级、报告、调查、问责、整改和经验复用情况。

2.1.3 安全事件应急响应能力

评价数据商应对数据泄露、篡改、丢失、勒索、攻击等安全事件的应急响应水平，重点关注应急预案的职责分工、处置流程及其与威胁情报、业务连续性和监管报告要求的衔接情况，应急演练的参与范围、跨部门实战场景和外部关键方参与情况、演练发现问题的整改验证，以及从预警到确认、遏制、恢复和报告的处置时效与自动化编排能力。

2.1.4 数据去标识化与匿名化技术能力

评价数据商面向个人信息数据集运用脱敏、去标识化、匿名化等技术手段的覆盖度与保护情况，重点关注个人信息保护技术方案的体系化建设情况，脱敏、去标识化、匿名化技术对个人敏感信息字段的覆盖范围及处理深度，脱敏方案参数、版本和审批流程的可追溯性，常用脱敏规则与场景模板能否复用、脱敏工作能否自动执行及持续优化，以及历史是否出现过个人信息数据泄露事件，泄露事件的记录、根因追溯与整改情况。

2.1.5 个人信息保护影响评估(仅适用于处理个人信息的数据商)

评价数据商对处理个人信息的业务开展个人信息保护影响评估(PIA)的规范性与有效性，重点关注评估对各类个人信息处理活动的覆盖范围，新产品、新业务上线前评估的前置落实情况，评估发现问题的分级、整改、复核和残余风险接受与跟踪的闭环管理情况。

2.1.6 个人信息跨境传输合规性(仅适用于存在数据出境业务的数据商)

评价数据商落实个人信息跨境传输法定合规要求的情况，重点关注安全评估、标准合同、认证等合规路径的选用与落实，出境活动和数据清单的管理及相关责任落实情况，出境业务归档材料的完整性，以及对异常跨境传输行为的预警或阻断能力。

2.2 合规管理机制

2.2.1 数据合规责任落实

评价数据商数据合规体系建设和责任落实情况，重点关注决策、监督和执行层数据合规职责的设立，专职合规岗位及合规管理委员会或类似组织的配置，合规职能独立升级和停止高风险活动的权限保障，数据获取、加工、使用、共享、交易、退出等全生命周期环节责任落实到岗位的情况，以及责任矩阵的建立、履职情况纳入考核及履职证据的可追溯性。

2.2.2 数据合规审核机制建设

评价数据商合规审核机制的健全性与执行有效性，重点关注对数据获取、产品设计、算法应用、内容服务、共享交易和重大变更等事项设置合规审核节点的情况，审核前置到立项和设计阶段的落实程度，应审核事项按规定完成审核的覆盖情况、重大事项有无漏审，以及审核意见和整改要求的跟踪闭环管理。

2.2.3 合规风险监测与预警及处置能力

评价数据商对合规风险进行持续监测、分级预警和规范处置的能力，重点关注对法规变化、业务活动、数据流向、权限使用、合同履行和第三方合作等方面合规风险的识别与监测机制，依据风险影响与可能性设置风险等级、通知对象和升级路径的分级预警机制，以及风险从登记、责任分派、措施落实、验证到关闭的处置流程和证据完整性。

2.3 数据交易合规

2.3.1 数据来源合法性审查能力

评价数据商对数据来源合法性进行审查把关的能力，重点关注对自采、采购、授权、公开获取等各类来源的主体资质、获取渠道、收集目的和证明文件的核验机制，对权利主体、授权范围、期限、地域、用途、转授权等授权链条连续性完整性的审查，授权与产品用途的逐项映射，授权变更和到期的预警管理，以及对来源不明、异常低价、涉嫌侵权或证据不足数据的识别、隔离、调查、审批、销毁或退回闭环处置情况。

2.3.2 数据权属合规管理

评价数据商对数据处理活动合法依据的管理水平，重点关注将每项数据处理、加工和对外提供活动与适用的合同、同意、法定义务或其他合法依据进行匹配映射的情况，在数据用途变更时重新审核的机制，在授权撤回、合同到期、用途变化或权利争议发生时，及时停止使用、下架、删除或重新授权的控制能力，以及相关处置证据的完整性和可审计性。鼓励数据商通过数据产权登记建立完善的数据权属合规管理体系。

2.3.3 数据流通溯源能力

评价数据商对数据流通全过程进行追踪溯源的技术能力，重点关注数据从来源、加工、交易、授权、交付到二次流转和退出各环节的关联追踪能力，字段或数据集级别的追踪粒度以及影响范围自动分析能力，日志的覆盖范围、时间一致性、留存管理和完整性防篡改保护，以及授权人员提出审计请求后准确检索流通链路、日志和责任证据的能力。

(三)创新发展能力

评价数据商在技术创新、产品研发和商业模式方面的持续创新能力，反映企业的发展潜力和市场竞争力。

3.1 技术创新

3.1.1 核心技术自主可控率

评价数据商核心技术的自主可控水平，重点关注核心技术组件中由企业自主研发并拥有合法知识产权或可持续使用权的比例，以及核心产品持续运行对不可替代的外部技术、服务或许可证的依赖程度及替代方案、退出计划的完备性。

3.1.2 知识产权积累量

评价数据商在知识产权积累方面的情况，重点关注与主营数据产品直接相关且处于有效状态的专利、软件著作权等知识产权的数量及其与企业研发人员规模的协调性，知识产权与核心产品的关联程度及其创造的经济或社会价值。

3.1.3 数据建模与分析关键技术能力

评价数据商在数据建模、数据分析、数据挖掘等核心技术方面的成果转化水平，重点关注核心技术成果进入正式产品、项目或内部生产流程并实际发挥作用的转化情况。

3.1.4 新技术应用能力

评价数据商对隐私计算、联邦学习、区块链、数据编织等新技术在产品中的融合应用水平，重点关注新技术在产品中的实际落地情况及应用新技术所产生的收入在数据业务收入中的占比情况。

3.2 数据产品服务

3.2.1 数据产品线丰富度

评价数据商数据产品线的丰富程度，重点关注有效产品类型的多样性，对仅修改描述而无实质差异的同质化产品不重复计数；产生有效交付或收入的数据产品所覆盖的行业范围；以及真实有效、可独立销售的产品库存单位数量。

3.2.2 产品技术先进性

评价数据商产品的技术先进水平，重点关注产品技术架构在横向扩展、灵活组合、运行可观测、跨环境部署和平台化复用等方面的先进性，以及核心性能指标与行业平均水平的对标情况及其是否经第三方机构或客户验证。

3.2.3 产品迭代速度

评价数据商产品迭代更新的及时性和活跃度，重点关注产品实现实质性功能改进的迭代周期，以及各主要产品线持续发布有效功能版本的频率情况。

3.2.4 客户服务体系完善度

评价数据商客户服务体系的健全与规范水平，重点关注服务流程的标准化及执行情况，是否覆盖客户全生命周期、实现数字化可度量管理并开展客户分层差异化服务；响应、解决、可用性、数据质量等服务等级的定义、达成与合同化约定情况，以及未达标时的补救补偿安排；电话、工单、在线、自助等服务渠道的覆盖情况、首次响应时效和智能分派能力。

3.3 商业模式

3.3.1 商业模式创新度

评价数据商在商业模式方面的创新能力，重点关注商业模式定期评审更新、成功经验纳入标准产品、快速试错退出和规模化的常态化迭代机制；采用新收费、新交付、新合作或新价值分配模式所产生的收入占数据业务收入的比例；以及在明确应用场景中首次形成可验证客户、合同和交付结果的新型数据服务模式落地情况及其规模化与行业示范效果。

3.3.2 商业模式可持续性

评价数据商商业模式的可持续水平，重点关注数据业务毛利、经营性现金流及亏损改善趋势所反映的盈利与现金流稳定性；最大单一客户收入占比及产品或行业收入来源的多元化程度；订阅、持续服务或可预测复购等经常性收入的占比情况及续约机制的健全性。

(四)生态协同能力

评价数据商在数据生态中的协同合作能力、资源整合能力以及对行业规范和标准建设的参与贡献度，反映企业在产业生态中的地位和影响力。

4.1 生态合作与资源整合

4.1.1 行业组织参与度

评价数据商参与数据领域行业组织的广度与深度，重点关注企业持续参与国际、国家、区域或专业行业组织的范围与承担的角色层级，以及参加会议、研究、标准、培训或联合项目等实质活动的活跃程度、持续性和实质性建议输出情况。

4.1.2 生态合作伙伴数量与合作深度

评价数据商构建生态合作网络的情况，重点关注形成联合项目等实质合作成果的有效合作伙伴规模(仅签署协议而无实质履行的不计入)。合作方角色是否覆盖数据供给、技术、平台、渠道、科研和专业服务等多元类型，以及战略合作是否形成共同投入、联合研发、联合产品、收益共享或长期治理机制。

4.1.3 数据供应商管理能力

评价数据商对上游数据供应商的全生命周期管理水平，重点关注是否建立对供应商主体资质、数据来源合法性、权利状况、质量、安全、合规及持续服务能力的准入审查并按风险分级管理；是否对交付质量、时效、合规、安全和服务改进情况开展定期绩效评价并应用评价结果；以及对风险事件和不合格供应商的预警、替代与退出机制是否健全。