2026年个人信息保护法考试题库及答案

2026年个人信息保护法考试题库及答案一、单项选择题（共20题，每题1分，共20分。每题只有一个正确答案）1.2026年某生成式AI企业为训练大语言模型，未征得许可爬取了大量公开的个人社交平台动态、求职简历、公开出版的个人自传中包含的姓名、联系方式、人生经历等信息用于模型训练，根据《个人信息保护法》，下列说法正确的是（）A.公开的个人信息可以无条件处理，企业行为合法B.只要公开的个人信息个人未明确拒绝处理，企业即可用于任意用途C.企业处理公开的个人信息应当符合合理范围，若用于AI训练并对外提供生成服务需评估对个人权益的影响D.公开的个人信息不属于个人信息范畴，企业无需履行任何保护义务2.下列选项中，不属于《个人信息保护法》规定的敏感个人信息的是（）A.14周岁未成年人的游戏充值记录B.某冠心病患者的心电图诊断报告C.某公民的宗教信仰登记信息D.某上市公司公开披露的高管姓名与职务3.下列处理个人信息的情形中，无需取得个人同意的是（）A.超市为精准营销收集到店消费者的人脸信息B.急救中心为抢救突发疾病的路人，查询其绑定在政务平台的过敏史、血型信息C.婚恋平台为匹配交友对象收集用户的收入、房产信息D.教育培训机构为推送课程广告收集学生家长的联系方式4.某网约车平台利用自动化决策机制，针对经常使用商务车型的用户在相同路线、相同时间段的打车价格，比普通用户高出15%，该行为违反了《个人信息保护法》中关于自动化决策的哪项规定（）A.自动化决策不得向用户推送商业广告B.自动化决策应当保证决策的透明度和结果公平公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇C.自动化决策处理个人信息无需进行个人信息保护影响评估D.自动化决策结果不得作为对个人作出决定的唯一依据5.某短视频平台针对14周岁以下未成年人用户推出专属青少年模式，根据《个人信息保护法》，该平台处理不满14周岁未成年人个人信息的，应当取得下列哪一主体的同意（）A.未成年人所在学校B.未成年人的父母或者其他监护人C.未成年人本人D.当地网信部门6.某跨境电商平台将收集的中国消费者的姓名、地址、支付信息等个人信息传输至其位于境外的总部进行数据分析，根据《个人信息保护法》，下列不属于该平台可以合法传输个人信息出境的路径的是（）A.依照国家网信部门的规定经专业机构进行个人信息保护认证B.与境外接收方订立网信部门制定的标准合同，约定双方的权利义务C.仅取得消费者的单独同意即可直接传输D.属于国家网信部门规定的关键信息基础设施运营者的，应当通过国家网信部门组织的安全评估7.张某发现某电商平台收集的自己的职业信息有误，将自己的职业标注为“无业”，导致其无法享受平台针对特定职业群体推出的消费补贴，张某有权依据《个人信息保护法》要求平台对其个人信息进行（）A.查阅B.复制C.更正D.删除8.李某2025年去世，其子女发现某社交平台仍公开显示李某生前发布的包含家庭住址、联系方式的动态，且有不法分子利用该信息实施诈骗，根据《个人信息保护法》，李某的近亲属不可以为了下列哪项利益行使查阅、复制、更正、删除等个人信息主体的权利（）A.维护李某的名誉权B.维护自身的合法、正当利益C.查询李某生前的银行存款信息用于遗产分配D.将李某的个人信息打包出售给数据交易平台牟利9.某大型互联网企业处理的个人信息数量达到1亿条，根据《个人信息保护法》，该企业应当指定（）负责个人信息保护工作，对其处理活动以及采取的保护措施等进行监督。A.个人信息保护负责人B.首席财务官C.首席技术官D.法务总监10.某医疗健康平台违反《个人信息保护法》规定，未经同意将100万用户的健康体检报告出售给保险公司用于保险产品精准营销，情节严重，若该平台上一年度营业额为20亿元，省级以上履行个人信息保护职责的部门可以对其处以的最高罚款金额为（）A.500万元B.1000万元C.1亿元D.10亿元11.某小区物业为了提升安保水平，在小区出入口安装人脸识别设备，仅允许业主刷脸进入小区，根据《个人信息保护法》，下列说法正确的是（）A.物业有权强制要求业主刷脸进入，无需提供其他验证方式B.物业应当取得业主的单独同意，同时提供其他非生物识别的验证方式供业主选择C.物业可以将收集的人脸信息共享给周边商铺用于客流统计D.人脸信息属于公开信息，物业无需采取加密等保护措施12.下列处理个人信息的情形中，无需事前进行个人信息保护影响评估的是（）A.处理敏感个人信息B.利用个人信息进行自动化决策C.为履行法定职责处理个人信息且处理数量不足100条D.向境外提供个人信息13.王某此前同意某外卖平台收集自己的常用地址信息用于快速派单，后来王某不再使用该平台，想要撤回同意，根据《个人信息保护法》，下列说法正确的是（）A.王某一旦同意就不能撤回，否则平台无法提供服务B.王某撤回同意后，平台应当停止处理并及时删除其地址信息，法律、行政法规另有规定的除外C.王某撤回同意的，应当赔偿平台此前收集其信息产生的成本D.王某撤回同意的，其此前使用平台产生的交易记录也应当全部失效14.某导航APP为了提供路线规划服务，下列收集的个人信息中，不符合最小必要原则的是（）A.用户的实时位置信息B.用户的常用目的地信息C.用户的通讯录、短信内容信息D.用户的车辆型号信息（若用户选择驾车导航）15.某企业对收集的个人信息进行处理后，无法识别到特定自然人且不能复原，该处理后的数据属于（）A.敏感个人信息B.去标识化个人信息C.匿名化信息D.公开个人信息16.某电商平台和入驻的商家共同处理消费者的订单信息，因信息泄露导致消费者权益受损，根据《个人信息保护法》，下列关于责任承担的说法正确的是（）A.仅由平台承担责任B.仅由商家承担责任C.平台和商家依法承担连带责任D.消费者只能要求其中一方承担责任17.某银行委托第三方科技公司处理其客户的征信信息用于信用评估，根据《个人信息保护法》，下列说法错误的是（）A.银行应当对第三方科技公司的处理活动进行监督B.第三方科技公司可以超出银行委托的处理范围处理征信信息C.委托合同终止后，第三方科技公司应当将征信信息返还给银行或者删除，不得留存D.银行应当与第三方科技公司约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务等18.某培训机构发生个人信息泄露事件，涉及10万学生和家长的联系方式、家庭地址信息，根据《个人信息保护法》及配套规定，该机构应当在发生泄露后（）内向履行个人信息保护职责的部门报告，并通知受影响的个人。A.24小时B.48小时C.72小时D.10个工作日19.某租房平台大量泄露租客的身份证、银行卡信息，涉及人数众多、社会影响恶劣，根据《个人信息保护法》，下列主体无权针对该行为提起公益诉讼的是（）A.人民检察院B.法律规定的消费者组织C.由国家网信部门确定的组织D.租客本人20.履行个人信息保护职责的部门工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予（）A.民事处分B.政务处分C.行政处罚D.刑事处罚二、多项选择题（共15题，每题2分，共30分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.根据《个人信息保护法》的规定，下列主体中属于个人信息处理者的有（）A.自主决定收集、处理用户健康信息的医疗APP运营者B.受医院委托处理患者病历信息、自主决定处理方式的科技公司C.决定为员工办理社保收集员工个人信息的企业D.仅提供信息存储空间服务、不对用户上传信息进行任何处理的云服务商2.下列选项中，属于个人信息处理应当遵循的原则的有（）A.合法、正当、必要和诚信原则B.公开、透明原则C.目的限制原则D.最小必要原则E.完整性、准确性原则F.责任原则3.下列属于敏感个人信息的有（）A.生物识别信息B.宗教信仰信息C.特定身份信息D.医疗健康信息E.金融账户信息F.行踪轨迹信息4.处理敏感个人信息除了符合一般处理规则外，还应当符合下列哪些要求（）A.取得个人的单独同意，法律、行政法规规定应当取得书面同意的从其规定B.向个人告知处理敏感个人信息的必要性以及对个人权益的影响C.事前进行个人信息保护影响评估D.法律、行政法规规定需要取得相关行政许可的，应当取得许可5.个人信息主体享有的权利包括（）A.知情权、决定权B.查阅、复制权C.更正、补充权D.删除权E.可携带权F.要求解释说明权6.下列关于自动化决策的说法中，符合《个人信息保护法》规定的有（）A.自动化决策应当遵守公开、透明、公平公正的原则B.不得通过自动化决策对个人在交易价格等交易条件上实行不合理的差别待遇C.通过自动化决策向个人推送商业广告、信息推送的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式D.自动化决策作出对个人权益有重大影响的决定的，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定7.个人信息处理者向境外提供个人信息的，应当符合下列哪些条件（）A.依照国家网信部门的规定经安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务D.法律、行政法规或者国家网信部门规定的其他条件8.下列处理个人信息的情形中，可以不取得个人同意的有（）A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息E.在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，个人明确拒绝的除外9.个人信息处理者应当履行的个人信息保护义务包括（）A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训E.制定并组织实施个人信息安全事件应急预案10.下列关于公共区域安装图像采集、个人身份识别设备的说法中，正确的有（）A.只能为维护公共安全所必需，且遵守国家有关规定B.应当设置显著的提示标识C.收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，取得个人单独同意的除外D.可以随意向第三方提供收集的人脸信息11.生成式AI企业处理个人信息用于模型训练的，下列符合《个人信息保护法》规定的做法有（）A.优先使用匿名化、去标识化的个人信息进行训练B.对于未公开的个人信息，取得个人的同意后再用于训练C.对于公开的个人信息，处理前评估对个人权益的影响，若个人明确拒绝处理则不得用于训练D.对训练数据进行个人信息去敏处理，避免模型生成可识别特定个人的信息12.下列关于逝者个人信息保护的说法中，正确的有（）A.自然人死亡后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利B.死者生前另有安排的，近亲属行使权利应当尊重死者的意愿C.近亲属不得将逝者的个人信息用于非法牟利D.逝者的个人信息不受法律保护，任何主体均可随意处理13.履行个人信息保护职责的部门可以采取的措施包括（）A.询问有关当事人，调查与个人信息处理活动有关的情况B.查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料C.实施现场检查，对涉嫌违法的个人信息处理活动进行调查D.检查与个人信息处理活动有关的设备、物品；对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押14.个人信息处理者违反《个人信息保护法》规定，可能承担的法律责任包括（）A.责令改正，给予警告，没收违法所得B.暂停相关业务或者停业整顿C.通报有关主管部门吊销相关业务许可或者吊销营业执照D.对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款，情节严重的处10万元以上100万元以下罚款15.下列关于个人信息可携带权的说法中，符合法律规定的有（）A.个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径B.个人信息可携带权的行使不受任何限制，个人可以要求处理者转移任意个人信息C.可携带的个人信息应当是个人提供的以及处理者在处理活动中积累的与个人相关的电子信息D.个人行使可携带权不得损害第三方的合法权益三、判断题（共10题，每题1分，共10分。正确打√，错误打×）1.个人信息处理者可以在处理活动中超出与个人约定的处理目的、方式、范围处理个人信息，只要事后告知个人即可。（）2.处理不满14周岁未成年人个人信息的，只需要取得未成年人本人的同意即可。（）3.个人撤回同意的，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。（）4.公共区域安装的人脸识别设备收集的人脸信息，可以用于商业广告推送，只要取得物业的同意即可。（）5.个人信息处理者委托第三方处理个人信息的，无需对第三方的处理活动进行监督，由第三方自行承担全部责任。（）6.匿名化处理后的信息不属于个人信息，不受《个人信息保护法》的调整。（）7.个人信息处理者可以拒绝个人查阅、复制其个人信息的请求，无需说明理由。（）8.发生个人信息泄露事件后，个人信息处理者采取措施能够有效避免信息泄露造成的损害的，可以不通知个人。（）9.只有关键信息基础设施运营者向境外提供个人信息才需要进行安全评估，其他个人信息处理者无需进行。（）10.个人信息保护公益诉讼只能由人民检察院提起。（）四、案例分析题（共3题，每题8分，共24分）案例一：2026年3月，消费者李某向当地市场监管局和网信部门投诉，称其在使用某电商平台APP时，发现同一时间同一收货地址购买同一款手机，自己作为平台VIP会员的结算价格比非会员的朋友高出210元。同时李某发现，其在注册该平台APP时，平台默认勾选了“同意收集我的通讯录、位置信息、浏览记录用于个性化推荐”的选项，李某未注意到该勾选内容就完成了注册，之后平台每天向其推送大量基于通讯录好友浏览记录的商品广告。另查明，该平台处理的个人信息数量超过2亿条，未指定个人信息保护负责人，也未定期对个人信息处理活动进行合规审计。请回答：1.该电商平台的“大数据杀熟”行为违反了《个人信息保护法》的哪些规定？2.该平台在告知同意环节存在哪些违法情形？3.该平台未履行哪些个人信息保护的法定义务？应当承担哪些法律责任？案例二：2026年5月，某生成式AI公司推出一款AI语音生成产品，用户只要上传某个人的10段以上语音即可生成高度拟真的该人语音包，可用于配音、直播等场景。有用户发现，该公司的训练数据中包含了大量未经授权的公众人物、普通公民的公开演讲、社交平台发布的语音内容，还有用户将公众人物的语音包上传至平台后，平台未进行审核就对外提供下载，有不法分子利用下载的某知名企业家的语音包实施诈骗，造成受害人损失100万元。另查明，该公司训练模型时处理了超过5000万条个人语音信息（属于敏感个人信息），事前未进行个人信息保护影响评估，也未向个人告知处理其语音信息的用途。请回答：1.该AI公司处理个人语音信息用于模型训练的行为违反了《个人信息保护法》的哪些规定？2.该公司在AI语音生成产品的运营中存在哪些违法情形？3.受害人的损失应当由谁承担赔偿责任？赔偿数额如何确定？案例三：2026年7月，某区教育局在辖区内的10所中小学推广“智慧校园”项目，为所有学生免费发放带有人脸识别、定位、心率监测功能的智能手环，要求所有学生必须佩戴，否则不允许进入校园。该手环不仅可以收集学生的考勤、位置、心率数据，还可以实时监听学生的语音通话内容、浏览的网页内容。教育局将收集的所有学生数据提供给某商业科技公司，用于开发青少年消费行为画像，向学生推送学习机、辅导班等广告。部分学生家长向教育部门投诉，教育局回应称该项目是为了提升校园管理效率，无需取得家长同意。请回答：1.该区教育局强制要求学生佩戴智能手环收集个人信息的行为违反了《个人信息保护法》的哪些规定？2.教育局将学生数据提供给第三方商业公司的行为是否合法？为什么？3.学生和家长可以通过哪些途径维护自身的合法权益？五、论述题（共2题，每题8分，共16分）1.结合《个人信息保护法》的规定，论述生成式人工智能服务提供者在处理个人信息过程中的合规要点。2.结合《个人信息保护法》及相关配套规定，论述跨境电商场景下个人信息出境的合规路径及注意事项。参考答案与解析一、单项选择题1.答案：C。解析：根据《个人信息保护法》第13、27条，处理已公开的个人信息应当在合理范围内，个人明确拒绝的除外；处理公开个人信息对个人权益有重大影响的，应当取得个人同意。AI训练属于对个人权益有重大影响的处理活动，需进行权益影响评估，因此C正确，ABD错误。2.答案：D。解析：上市公司公开披露的高管姓名与职务属于依法公开的政务/商事信息，不属于敏感个人信息，其余选项均符合《个人信息保护法》第28条规定的敏感个人信息范畴。3.答案：B。解析：根据《个人信息保护法》第13条，紧急情况下为保护自然人的生命健康所必需处理个人信息的，无需取得个人同意，其余选项均需取得个人同意。4.答案：B。解析：该行为属于典型的大数据杀熟，违反《个人信息保护法》第24条关于自动化决策不得实行不合理差别待遇的规定。5.答案：B。解析：《个人信息保护法》第31条规定，处理不满14周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。6.答案：C。解析：个人单独同意只是跨境传输的前提之一，还需符合《个人信息保护法》第38条规定的安全评估、认证、标准合同等法定路径，因此C错误。7.答案：C。解析：《个人信息保护法》第45条规定，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。8.答案：D。解析：近亲属行使逝者个人信息相关权利只能出于合法正当利益，不得用于非法牟利，违反《个人信息保护法》第49条规定。9.答案：A。解析：《个人信息保护法》第52条规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人。10.答案：C。解析：情节严重的，可处上一年度营业额百分之五以下罚款，计算公式为20×11.答案：B。解析：《个人信息保护法》第26条规定，公共区域安装身份识别设备应当为维护公共安全所需，且应当提供其他替代验证方式，不得强制收集生物识别信息。12.答案：C。解析：《个人信息保护法》第55条规定的应当进行个人信息保护影响评估的情形不包括小范围履行法定职责的处理活动。13.答案：B。解析：《个人信息保护法》第15条规定，个人有权撤回同意，撤回后处理者应当停止处理并删除相关信息，法律另有规定除外。14.答案：C。解析：通讯录、短信内容与导航服务无关，违反最小必要原则。15.答案：C。解析：匿名化信息是指无法识别特定自然人且不能复原的信息，不属于个人信息范畴。16.答案：C。解析：《个人信息保护法》第20条规定，两个以上的个人信息处理者共同决定个人信息的处理目的和方式的，应当依法承担连带责任。17.答案：B。解析：受托方不得超出委托约定的范围处理个人信息，违反《个人信息保护法》第21条规定。18.答案：C。解析：根据《个人信息保护法》第57条及配套实施细则，个人信息泄露事件应当在72小时内履行报告和告知义务。19.答案：D。解析：租客本人属于个人维权，不属于公益诉讼主体，公益诉讼主体包括检察院、消费者组织、网信部门确定的组织，见《个人信息保护法》第70条。20.答案：B。解析：《个人信息保护法》第68条规定，公职人员违反规定尚不构成犯罪的，依法给予政务处分。二、多项选择题1.答案：ABC。解析：仅提供存储服务不进行处理的云服务商不属于个人信息处理者，其余选项均符合处理者定义（自主决定处理目的、方式）。2.答案：ABCDEF。解析：所有选项均为《个人信息保护法》第5-9条规定的个人信息处理基本原则。3.答案：ABCDEF。解析：所有选项均属于《个人信息保护法》第28条规定的敏感个人信息范畴。4.答案：ABCD。解析：所有选项均为处理敏感个人信息的法定要求，见《个人信息保护法》第28、29、30、55条。5.答案：ABCDEF。解析：所有选项均为《个人信息保护法》第44-48条规定的个人信息主体权利。6.答案：ABCD。解析：所有选项均符合《个人信息保护法》第24条关于自动化决策的规定。7.答案：ABCD。解析：所有选项均为《个人信息保护法》第38条规定的个人信息出境法定条件。8.答案：ABCDE。解析：所有选项均为《个人信息保护法》第13条规定的无需取得个人同意的处理情形。9.答案：ABCDE。解析：所有选项均为《个人信息保护法》第51条规定的个人信息处理者保护义务。10.答案：ABC。解析：公共区域收集的身份识别信息不得随意向第三方提供，D错误，其余选项符合《个人信息保护法》第26条规定。11.答案：ABCD。解析：所有选项均符合生成式AI场景下个人信息保护的法定要求，符合《个人信息保护法》的基本原则和具体规则。12.答案：ABC。解析：逝者的个人信息依然受法律保护，D错误，其余选项符合《个人信息保护法》第49条规定。13.答案：ABCD。解析：所有选项均为《个人信息保护法》第63条规定的监管部门职权。14.答案：ABCD。解析：所有选项均为《个人信息保护法》第66条规定的法律责任形式。15.答案：ACD。解析：可携带权行使需符合法定条件，不得损害公共利益和第三方权益，并非不受限制，B错误，其余选项符合法律规定。三、判断题1.×。解析：处理个人信息应当符合约定的目的、范围，超出范围的需重新取得个人同意。2.×。解析：处理不满14周岁未成年人个人信息应当取得监护人同意。3.√。解析：符合《个人信息保护法》第15条规定。4.×。解析：公共区域收集的人脸信息只能用于维护公共安全，除非取得个人单独同意，物业无权同意用于商业用途。5.×。解析：委托方应当对受托方的处理活动进行监督，共同承担相应责任。6.√。解析：匿名化信息不属于个人信息，不受《个人信息保护法》调整。7.×。解析：拒绝个人查阅复制请求的，应当说明理由。8.√。解析：符合《个人信息保护法》第57条规定。9.×。解析：处理重要数据或者达到规定数量的个人信息的处理者向境外提供信息的，都需要进行安全评估。10.×。解析：法律规定的消费者组织、网信部门确定的组织也可以提起公益诉讼。四、案例分析题案例一参考答案：1.违反了《个人信息保护法》第24条关于自动化决策应当公平公正，不得对个人在交易价格上实行不合理差别待遇的规定，属于典型的大数据杀熟行为。2.违法情形包括：①默认勾选同意选项，违反了告知同意应当清晰、明确、自愿的要求，个人同意应当是个人主动作出的明确意思表示；②未明确告知收集信息的范围、用途，违反了公开透明原则；③收集通讯录等与服务无关的信息，违反了最小必要原则。3.未履行的义务包括：①未指定个人信息保护负责人；②未定期开展个人信息处理活动合规审计；③未履行自动化决策的透明度义务。应当承担的责任：由监管部门责令改正，没收违法所得，并处以罚款；情节严重的可责令暂停相关业务、停业整顿，对直接负责的主管人员和其他责任人员处以罚款；同时应当对消费者承担损害赔偿责任。案例二参考答案：1.违反规定包括：①处理敏感个人信息（语音属于生物识别信息）未取得个人单独同意，未告知处理用途；②处理敏感个人信息事前未进行个人信息保护影响评估；③处理公开的个人信息超出合理范围，未评估对个人权益的影响。2.违法情形包括：①未对用户上传的语音包进行内容审核，未履行个人信息保护义务；②未采取措施防止语音包被用于违法活动，未尽到安全保障义务；③未建立违法内容投诉举报机制，对用户上传的侵权内容未及时处置。3.受害人的损失由AI公司和实施诈骗的不法分子承担连带责任，若不法分子无法找到的，由AI公司承担相应的赔偿责任。赔偿数额按照受害人因此受到的损失或者侵权人因此获得的利益确定，难以确定的，由人民法院根据实际情况判决赔偿数额，同时还可以主张精神损害赔偿。案例三参考