2025年个人数据保护法考试试题及答案

2025年个人数据保护法考试试题及答案一、单项选择题（每题2分，共20分）1.根据《个人数据保护法》，下列哪项不属于“个人数据”的范畴？A.某用户在社交平台发布的公开旅行照片B.银行系统中存储的客户身份证号码C.医疗机构记录的患者就诊病历D.经匿名化处理后无法识别特定自然人的统计数据答案：D2.甲公司为优化用户体验，拟收集用户的位置信息。根据“最小必要原则”，下列哪项做法符合规定？A.收集用户近3年的全部位置轨迹数据B.仅收集用户当前定位用于实时导航服务C.要求用户授权访问所有历史位置信息作为使用APP的前提D.将位置信息与用户社交关系数据关联分析后提供广告推送答案：B3.某教育机构因公共卫生事件需要紧急处理学生健康信息，未事先取得学生家长同意。根据法律规定，该行为的合法性前提是？A.处理行为不会对学生权益造成实质性损害B.事后48小时内补充取得家长书面同意C.处理目的严格限于应对紧急公共卫生事件D.向省级数据保护监管部门备案后即可实施答案：C4.乙公司拟处理14周岁未成年人的游戏账号信息，除一般告知同意外，还需履行的特殊义务是？A.取得未成年人本人的书面同意B.单独向未成年人法定代理人取得同意C.通过短信验证确认未成年人身份D.将信息保存期限缩短至6个月以内答案：B5.丙平台因数据泄露导致用户姓名、电话号码等信息被非法获取。根据法律规定，用户要求平台删除相关数据时，平台的正确做法是？A.以数据已泄露为由拒绝删除B.核实用户身份后立即删除平台留存数据C.要求用户提供数据泄露的证据后再处理D.仅删除用户账号内的主动上传数据，不处理系统日志中的关联信息答案：B6.丁企业计划向境外母公司提供境内用户的金融交易数据，需完成的法定程序不包括？A.进行数据安全影响评估并形成报告B.通过国家网信部门组织的安全评估C.与境外接收方签订数据保护协议D.向用户告知数据跨境提供的目的、接收方及可能风险答案：A（注：根据2025年修订条款，安全影响评估为必经程序，但无需向监管部门提交报告，改为平台自行留存备查）7.某社交软件未经用户同意，将用户聊天记录用于AI模型训练。用户起诉后，平台主张已通过隐私政策“默认同意”条款取得授权。法院应认定该条款？A.有效，因用户注册时点击“同意”即视为接受B.无效，因未以显著方式提示且属于“概括同意”C.部分有效，仅适用于非敏感聊天内容D.效力待定，需用户事后追认答案：B8.监管部门对某违规处理个人数据的公司作出行政处罚时，下列哪项不属于法定处罚种类？A.警告并通报批评B.没收违法所得C.暂停相关业务6个月D.对直接责任人员处50万元罚款答案：D（注：2025年修订后，对个人的罚款上限调整为100万元，但本题设定为“不属于”，故D错误）9.戊医院为研究罕见病治疗方案，拟使用患者诊疗数据。根据法律规定，下列哪项情形可豁免告知同意？A.数据已进行去标识化处理且无法复原B.研究结果仅用于内部学术讨论C.患者已签署《医疗数据使用通用授权书》D.研究可能显著提升疾病治愈率答案：A10.己公司因数据处理系统漏洞导致大量用户信息泄露，用户提起民事赔偿诉讼。根据“举证责任倒置”规则，需由己公司证明的内容是？A.用户信息泄露与公司行为不存在因果关系B.公司已采取符合行业标准的安全保护措施C.用户对信息泄露存在重大过失D.泄露信息未被实际用于非法用途答案：B二、多项选择题（每题3分，共15分。至少2个正确选项，多选、错选、漏选均不得分）1.下列哪些情形属于个人数据处理的“合法基础”？A.为订立或履行用户与处理者之间的合同所必需B.处理者为公共利益实施新闻报道，且对个人权益影响轻微C.用户明确同意处理其数据D.处理已公开的个人数据，且未超出合理使用范围答案：ABCD2.敏感个人数据包括？A.15周岁未成年人的网络活动记录B.生物识别信息（如指纹、人脸识别数据）C.宗教信仰、特定身份（如党员身份）D.收入状况、银行账户信息答案：BCD（注：14周岁以下未成年人为特殊保护对象，15周岁不属于“敏感个人数据”的年龄界定）3.数据处理者应履行的安全保障义务包括？A.制定内部数据安全管理制度和操作规程B.对数据处理人员进行安全培训C.定期进行数据安全影响评估D.发生数据泄露时，在24小时内向监管部门报告答案：ABC（注：2025年修订后，泄露报告时限调整为72小时内）4.个人数据主体依法享有哪些权利？A.查阅、复制其个人数据B.要求处理者更正不准确的个人数据C.在数据处理目的已实现时要求删除数据D.拒绝处理者基于自动化决策的信息推送答案：ABCD5.跨境提供个人数据时，需评估的内容包括？A.接收方所在国家或地区的个人数据保护水平B.数据出境后可能对国家安全造成的风险C.数据处理目的、范围与境内处理的一致性D.接收方履行数据保护义务的能力答案：ACD（注：国家安全风险评估由国家网信部门统筹，不属于企业自行评估范围）三、判断题（每题1分，共10分。正确填“√”，错误填“×”）1.匿名化处理后的信息不属于《个人数据保护法》规制范围。（√）2.处理已公开的个人数据无需取得用户同意。（×）（注：需在合理范围内，超出原公开用途仍需同意）3.两个以上处理者共同决定个人数据处理目的和方式的，应约定各自责任并向用户告知。（√）4.数据处理者委托第三方处理个人数据的，第三方的责任由委托方完全承担。（×）（注：第三方需承担相应责任）5.用户要求删除个人数据时，处理者若因法律义务需留存数据，应向用户说明理由。（√）6.数据安全影响评估报告需至少保存3年。（×）（注：2025年修订后保存期限延长至5年）7.处理14周岁以下未成年人个人数据的，应制定专门的个人信息处理规则。（√）8.监管部门可对涉嫌违法的处理者采取查封服务器、扣押设备等行政强制措施。（×）（注：需经法定程序批准，不可直接采取）9.个人因数据权益受侵害提起诉讼的，需自行证明处理者存在过错。（×）（注：适用过错推定原则，处理者需自证无过错）10.对同一违法行为，监管部门可同时处以罚款和暂停业务的处罚。（√）四、案例分析题（共55分）案例一（25分）：2025年3月，某电商平台“乐购”为提升营销效果，在用户注册时默认勾选“同意收集购物偏好、浏览记录及通讯录信息”，且未以显著方式提示。用户王某注册后发现，平台频繁向其推送基于通讯录好友购物行为的广告，且好友列表中出现未主动添加的联系人。王某要求平台删除相关数据并停止推送，平台以“用户已同意隐私政策”为由拒绝。问题：1.分析“乐购”平台在数据收集环节的违法之处。（10分）2.王某要求删除数据的主张是否合法？说明理由。（8分）3.若监管部门介入，可对“乐购”采取哪些行政处罚？（7分）答案：1.违法之处：①默认勾选同意违反“明确同意”原则（第14条）；②未以显著方式提示，未充分说明收集通讯录的目的、范围（第17条）；③收集通讯录信息超出“最小必要”范围（第6条），购物偏好服务无需通讯录数据；④利用通讯录好友信息推送广告属于超出原处理目的（第18条）。2.合法。根据第47条，用户有权在数据处理目的已实现或无需继续处理时要求删除；平台以“已同意”为由拒绝无法律依据，且其收集行为本身不合法，王某的删除请求应支持。3.行政处罚包括：警告；没收违法所得；处上一年度营业额5‰以下罚款（若营业额超过5000万，可处200万元以上5000万元以下）；暂停相关业务或停业整顿；对直接责任人员处10万元以上100万元以下罚款（依据第66条）。案例二（30分）：某医疗科技公司“健康云”开发了一款智能手环APP，宣称“仅收集心率、血压等健康数据用于用户健康管理”。2025年5月，用户李某发现其APP账号异常登录，经查询发现“健康云”将用户的心率数据提供给某保险公司用于核保，且未告知用户。同时，技术检测显示，APP后台存在恶意代码，导致部分用户的身份证号、银行卡信息被第三方窃取。问题：1.“健康云”将心率数据提供给保险公司的行为是否合法？说明法律依据。（10分）2.对于用户身份证号、银行卡信息泄露，“健康云”需承担哪些责任？（10分）3.若用户因信息泄露遭受财产损失，如何主张赔偿？（10分）答案：1.不合法。根据第23条，向第三方提供个人数据需单独取得用户同意，并告知接收方名称、处理目的等；“健康云”未履行告知同意程序，且数据用途超出原“健康管理”范围（第18条），构成违法。2.责任：①行政责任：因未采取必要安全措施导致数据泄露（第51条），监管部门可处高额罚款、暂停业务等（第66条）；②民事责任：对用户损失承担赔偿责任（第69条），适用过错推定原则，若无法证明已尽到安全义务则需