信息安全与隐私保护合规培训考试测试题

1、信息安全与隐私保护合规培训考试为防止信息安全与隐私保护违规导致的企业和客户的损失，请各位项目成员深入学习本培训内容并完成相应考试。您的姓名： 填空题 *_1. 数据主体有权知道有关自己的个人信息是否被处理并获取有关处理的信息 判断题 *对(正确答案)错2. 为了保护自然人的数据权利，可以限制或禁止个人数据在欧盟内部的自由流动。 判断题 *对错(正确答案)答案解析：不得以保护与个人数据处理相关的自然人为由，限制或禁止个人数据在欧盟内部的自由流动3. 在CDP项目中，华为公司将原始数据传输给Hypers，功能场景的开发，数据的呈现等由Hypers实现，所以Hypers也是数据的控制者。 判断题 *

2、对错(正确答案)答案解析：Hypers并不能超越华为公司（甲方客户）来决定数据的使用目的，所以Hypers并不是控制者。“控制者” 是能单独或联合决定个人数据处理目的和处理方式的自然人、法人、公共机构、行政机关或其他非法人组织。4. 即使事先未经控制者特别的或一般的书面授权，该处在一般的书面授权的情况下，处理者应该通知控制者任何有关增加或替换其他处理者的变化，以使控制者有机会应对这样的变化 判断题 *对(正确答案)错5. 在获取数据主体的同意后，可以通过增加“撤回同意”的难度来保证一直处于“已经获取数据主体同意“的状态。 判断题 *对错(正确答案)答案解析：数据主体有权随时撤回其同意。同意的撤

3、回不应影响在撤回前基于同意做出的合法数据处理。在做出同意前，数据主体应被告知上述权利。撤回同意应与做出同意拥有同样的难易度。6. 处理者应当记录任何个人数据泄露情况，包括和个人数据泄露有关的事实、影响和采取的补救性措施，这些能够便于监督机构对行为合规性进行核查。 判断题 *对(正确答案)错答案解析：控制者应当记录任何个人数据泄露情况，包括和个人数据泄露有关的事实、影响和采取的补救性措施，这些能够便于监督机构对行为合规性进行核查。控制者有向监督机构汇报及合规的责任，处理者一般直接向控制者汇报（控制者一般以合同形式约束处理者的行为）7. 自然人在纯粹的个人或家庭活动中处理个人数据，不属于GDPR的

4、管辖范围。 判断题 *对(正确答案)错8. GDPR适用于设立在欧盟内的控制者或处理者对个人数据的处理，当且仅当处理行为是否发生在欧盟内 判断题 *对错(正确答案)答案解析：本法适用于设立在欧盟内的控制者或处理者对个人数据的处理，无论其处理行为是否发生在欧盟内9. Hypers当前并未在欧盟范围内设立子公司，也不为欧盟的数据主体提供货物或服务，所以Hypers如果因为业务需要对海外项目进行网页监测，那么hypers不受GDPR管辖 判断题 *对错(正确答案)答案解析：本法适用于对欧盟内的数据主体的个人数据处理，即使控制者和处理者没有设立在欧盟内，其处理行为是对数据主体发生在欧盟内行为的监控10

5、. 如果数据处理采用非自动化手段，如手工增删改查等，那么就不属于GDPR规定的“数据处理” 判断题 *对错(正确答案)答案解析：“处理”是指针对个人数据或个人数据集合的单一操作或一系列操作，诸如收集、记录、组织、建构、存储、自适应或修改、检索、咨询、使用、披露、传播或以其他方式应用，排列、组合、限制、删除或销毁，无论此操作是否采用自动化手段。11. “匿名化”是一种处理个人资料的方式，即不使用额外信息便不能将个人资料归于某一特定资料主题，该处理方式需将额外信息统一存储， 并施加技术和组织措施，以确保个人资料不属于已识别或可识别的自然人。 判断题 *对错(正确答案)答案解析：【个人资料需要和自然

6、人信息分开存储】12. 自然人的健康、性生活或性取向数据的处理必须被禁止。 判断题 *对错(正确答案)答案解析：【自然人的健康、性生活或性取向数据的处理应当被禁，特殊个人信息并非完全“禁止处理”，而是有更严格的要求。】13. Facebook应Harry要求以结构化、通用和机器可读的格式将其控制的与Harry相关的个人信息提供给了Harry，并且为了避免数据传输给Twitter，Facebook对数据进行了严格加密，保证Twitter无法解密相关信息。这样的作法没有违反GDPR的要求。 判断题 *对错(正确答案)答案解析：【数据可移植性权利：数据主体有权以结构化、通用和机器可读的格式接收其提供

7、给控制者的与其有关个人数据，当满足以下任意条件时，数据主体有权将这些数据不受提供该个人信息的控制者阻碍地传输给另一个控制者】14. 即使事先未经控制者特别的或一般的书面授权，处理者在自身业务需要的情况下也可以引入另一个处理者参与处理。 判断题 *对错(正确答案)答案解析：引入其他处理者需要控制者授权15. 在CDP项目中，以下哪些公司属于数据的”处理者“ *华为公司Hypers公司(正确答案)易思智公司(正确答案)微吼直播公司(正确答案)答案解析：数据处理者角色判定的关键在于华为是否代表数据控制者并按照数据控制者的要求处理个人数据（下面两项都满足才成为数据处理者）。 不决定以上应由数据控制者决

8、定的个人数据的处理目的及方式； 按照数据控制者关于个人数据处理的指示及要求进行处理（比如根据业务场景采用适当的IT系统或方法收集个人数据、采用适当的方式确保遵循数据控制者关于数据存留期限的要求等）。在CDP项目中，华为虽然自身也可以处理数据，但是由于华为控制“个人数据处理地目的及方式”，所以不满足条件1，所以只算是控制者，不算处理者。16. 在CDP项目中，以下哪些公司属于数据的”控制者“ *华为公司(正确答案)Hypers公司易思智公司微吼直播公司答案解析：数据控制者角色判定的关键在于华为是否决定了个人数据处理的目的及方式（下面任何一项满足即成为数据控制者）。 决定了个人数据处理的目的o 决

9、定了个人数据处理的一个或多个目的（比如为了提供手机维修服务需要收集IMEI码来标识用户移动设备）；o 决定了处理个人数据所依赖的合法基础（比如数据主体的同意、履行合同的必要、履行法定义务的必要等）。 决定了个人数据处理的方式o 决定了收集哪些个人数据；o 决定了向哪些人收集个人数据；o 决定了披露个人数据以及被披露的对象；o 决定了数据主体访问权利及其他数据主体权利的适用；o 决定了个人数据存留的期限或对个人数据进行更新的要求；o 决定了个人数据跨境转移（包括：跨境转移的目的国、个人数据接收方、跨境转移的个人数据的种类、拟采取的跨境转移的合规方案等）。17. 数据主体的同意应该包含哪些特征？

10、*自由(正确答案)具体(正确答案)知情(正确答案)毫不含糊(正确答案)答案解析：对数据主体的“同意” 是指任何自由、具体、知情和毫不含糊地表示数据主体意愿的行为，通过声明或明确的肯定行动表示同意处理与其有关的个人数据如果通过“将特殊目的隐藏在众多条款中、通过较小的字号使用户没有“明确知情“，就不算是”同意“18. 以下哪些情况不属于“个人数据外泄”？ *意外或非法毁坏、遗失、更改未经授权披露或访问传输、存储正在处理的个人数据的安全破坏行为华为在征得数据主体同意情况下，将用户个人信息传输给第三方公司(正确答案)19. 个人数据处理应遵守以下哪些原则？ *合法性、公平性和透明性(正确答案)目的限制

11、(正确答案)数据最小化(正确答案)准确性(正确答案)储存限制(正确答案)完整性和机密性(正确答案)问责制(正确答案)20. 若以A目的收集个人数据，只需要个人信息中的“姓名、身份证号、联系方式”，如果额外收集了“健康状况、社会地位等信息”违反了什么原则？ *目的限制(正确答案)数据最小化准确性储存限制21. 数据主体应当有权从管理者处确认关于该主体的个人数据是否正在被处理，以及有权在该种情况下访问个人数据和获得以下信息*处理的目的；(正确答案)有关个人数据的类别；(正确答案)个人数据已被或者将会被泄露给的接受者或接受者类别，特别是第三国或国际组织的接受者；(正确答案)有权要求管理者纠正或删除该

12、个人数据，或者限制或拒绝处理关于该数据主体的个人数据；(正确答案)向监督机构提出投诉的权利；(正确答案)在个人数据并非由数据主体收集的情况下，关于其来源的任何可用信息；(正确答案)22. 处理儿童（未满 16 周岁）数据，应该征得以下那些人的同意或授权才合法？ *儿童父母责任（parental responsibility）持有者(正确答案)儿童本人23. 以下哪些数据类型属于特殊种类个人数据？*揭示种族或民族出身，(正确答案)个人政治观点、宗教或哲学信仰(正确答案)工会成员的个人数据(正确答案)以唯一识别自然人为目的的基因数据、生物特征数据(正确答案)自然人的健康、性生活或性取向数据(正确答

13、案)姓名身份证号24. 数据主体权利有哪些？*数据访问权(正确答案)纠 正 权(正确答案)删除权（被遗忘权）(正确答案)限制处理权(正确答案)数据可移植性权利(正确答案)拒 绝 权(正确答案)追回权25. 数据主体应当有权限制控制者处理（数据）的情况有哪些？*处理是非法的，并且数据主体反对删除该个人数据，同时要求限制使用该个人数据(正确答案)控制者基于该处理目的不再需要该个人数据，但数据主体为设立、行使或捍卫合法权利而需要该个人数据(正确答案)26. 数据控制者有哪些义务？*告知义务：个人信息收集前须告知数据主体相关信息(正确答案)数据泄露报告义务：发生数据泄露时及时向监管机构和数据主体报告(

14、正确答案)处理记录义务：记录并保存其负责的数据处理的相关信息(正确答案)安全保障义务：实施适当的措施保障数据安全(正确答案)27. 数据控制者可以采取哪些措施进行数据保护？ *匿名化处理(正确答案)遵循数据最小化原则(正确答案)记录并保存其负责的数据处理的相关信息(正确答案)只处理对每个特定处理目的有必要的个人数据(正确答案)无限期存储个人数据答案解析：个人数据的存储有时间限制，无限期存储对数据保护无益28. 控制者的处理活动记录应该包含以下哪些信息？ *控制者以及适用的联合控制者、控制者代理人和数据保护专员的姓名和联系信息；(正确答案)处理的目的；(正确答案)数据主体类别和个人数据类别的描述

15、；(正确答案)个人数据已经或将要被公开的接收者的类别，包括位于第三国家或国际组织的接收者；(正确答案)29. 控制者的处理活动记录应该包含以下哪些信息？ *处理者的名称和联系方式，以及代表其行为的每个控制者的名称和联系方式，以及在适用的情况下，控制者或处理者的代表以及数据保护专员的名称和联系方式；(正确答案)代表各控制者进行的处理类别；(正确答案)30. 安全账户的等级评估应当重视哪些风险？ *抵御对个人数据的意外和非法销毁、损失、变更、未经授权披露(正确答案)对个人数据的传送、存储或其他处理过程中的风险问题(正确答案)31. 发生信息泄露的情况下，处理者应当： *在72H内通知控制者毫不延误

16、地通知控制者(正确答案)在72H内通知监督机构毫不延误地通知监督机构答案解析：处理者应该毫无延误地通知控制者，控制者应该在72H内通知监督机构32. 满足GDPR数据跨境传输要求的情况包括： *传输至保护程度与欧盟相当的国家（比如德国和中国）。已经采取了相应的保护措施。(正确答案)例外情况，如执行契约所必须、当事人同意(正确答案)答案解析：中国不是33. 个人资料可能包含以下哪些内容 *姓名、身份证号码(正确答案)位置数据(正确答案)在线身份识别等标识符(正确答案)身体健康数据、遗传信息(正确答案)收入与消费情况(正确答案)宗教信仰(正确答案)34. 控制者应当在获取个人信息时，向数据主体提供

17、以下信息 *控制者的身份和详细联系方式，适当时还要提供代表人的身份和详细联系方式(正确答案)个人信息处理的目的以及处理的法律基础(正确答案)个人数据接收方或者接收方的种类(正确答案)控制者意图将个人数据向第三国或者国家组织进行传输的事实、欧洲委员会是否就此问题做出过充分决议(正确答案)向监督机构提起申诉的权利(正确答案)35. 发生数据泄露的情况下，通知控制者/监督机构的内容应当包括： *对于所泄露的个人数据的性质进行描述，尽可能地包括相关数据主体以及个人数据记录的类别和大致数量；(正确答案)交流数据保护专员或其他能够获取更多信息的联系点的名称和联系方式；(正确答案)描述个人信息泄露的可能情况；(正确答案)描述控制者采取的或者计划采取的措施，以应对个人数据泄露，包括在适当情况下能够减轻可能的负面影响的措施。(正确答案)36. 个人数据安全要重点考虑哪些方面？ *个人数据的匿名化和加密；(正确答案)确保处理系统和服务现行的保密性、完整性、可用性以及可恢复性；(正确答案)在发生物理事故或技术事故的情况下，恢复可用性以及及时获取个人信息的能力；(正确答案)定期对技