2026年数据隐私保护师考试GDPR专项试卷及答案

2026年数据隐私保护师考试GDPR专项试卷及答案单选题（每题1分，共20分。每题只有一个正确答案，请将正确选项字母填入括号内）1.根据GDPR第6条，以下哪一项不属于合法处理个人数据的法律依据？A.数据主体同意B.履行合同之必要C.数据控制者合法利益D.数据主体为公众人物答案：D2.某法国电商将欧盟客户数据存储于美国AWS俄勒冈区域，未采取额外补充措施。下列哪一条款最有可能被违反？A.第5条完整性保密性原则B.第44条跨境传输一般禁止原则C.第25条数据保护设计默认义务D.第32条安全处理义务答案：B3.GDPR下对“匿名化”概念的界定，下列表述正确的是：A.使用哈希函数即视为匿名化B.数据与任何可识别自然人不再合理关联C.删除姓名即完成匿名化D.假名化等同于匿名化答案：B4.数据保护影响评估（DPIA）必须事先咨询监管机构的情形规定于：A.第30条记录义务B.第35条DPIAC.第36条事先咨询D.第57条监管机构任务答案：C5.依据第83条，对违反第58条2款临时限制处理命令的行政罚款上限为：A.10000000EURB.20000000EURC.上一财年全球年营业额2%D.上一财年全球年营业额4%答案：B6.数据可携权（第20条）不适用于下列哪类数据？A.用户在音乐流媒体平台创建的播放列表B.医院提供的电子健康记录C.基于数据主体同意处理的CookieIDD.基于法定义务处理的税务数据答案：D7.根据第34条，数据泄露通知数据主体的豁免条件之一是：A.泄露数据已加密且密钥未泄露B.泄露发生在欧盟境外C.泄露仅涉及员工姓名D.控制者已通知监管机构答案：A8.以下哪项措施最能降低“高风险”处理活动对数据主体权利的影响，从而可能免除事先咨询义务？A.增加服务器带宽B.引入差分隐私算法C.缩短隐私声明篇幅D.使用开源软件答案：B9.根据第7条，同意必须满足所有要件，下列哪项描述错误？A.同意必须是具体的B.同意可捆绑于服务条款C.同意必须易于撤回D.沉默不等于同意答案：B10.主营业机构（mainestablishment）概念用于确定：A.数据主体国籍B.一站式监管机构（leadSA）C.数据保护官人选D.记录保存语言答案：B11.依据第17条，删除权（被遗忘权）不适用于：A.数据已公开且儿童同意无效B.数据为履行法定义务所必需C.数据用于直接营销D.数据主体已撤回同意答案：B12.根据第30条，员工人数少于250人的企业可豁免记录义务的情形之一是：A.处理仅为偶发且不包含敏感数据B.年营业额低于500万欧元C.未设立数据保护官D.使用第三方云服务答案：A13.依据第37条，必须指定DPO的情形不包括：A.公立医院处理患者健康数据B.市政府在公共广场进行视频监控C.初创公司开发广告程序化交易平台D.法院处理诉讼档案答案：D14.监管机构依第58条1款(f)可采取的临时措施是：A.发布警告B.处以罚款C.命令暂停数据流向第三国D.颁发认证答案：C15.认证机制（第42条）的主要目的为：A.替代DPIAB.证明符合跨境转移要求C.豁免记录义务D.降低罚款上限答案：B16.根据第4条，生物识别数据要被视为“特殊类别数据”，必须：A.经过加密B.用于唯一识别自然人C.存储于本地设备D.由公共机构处理答案：B17.数据保护官（DPO）向谁报告其职责履行情况？A.股东会B.数据控制者最高管理层C.数据主体D.欧盟数据保护委员会答案：B18.依据第5条1款(e)，个人数据保存期限的确定应基于：A.数据主体年龄B.处理目的所需时间C.服务器容量D.行业标准惯例答案：B19.根据第48条，第三国法院或行政命令在欧盟境内直接产生效力需满足：A.经欧盟委员会充分性认定B.与欧盟签订互助条约C.经成员国批准D.任何情形下均无效答案：D20.依据第77条，数据主体向监管机构提出投诉的管辖地为：A.数据控制者注册地B.数据主体惯常居住地或工作地C.服务器所在地D.数据保护官国籍国答案：B多选题（每题2分，共20分。每题有两个或以上正确答案，多选少选均不得分，请将正确选项字母填入括号内）21.以下哪些情形触发第33条“72小时内”向监管机构报告数据泄露的义务？A.俄罗斯黑客窃取未加密欧盟用户邮箱列表B.员工误发含客户订单附件的邮件给错误收件人，已立即删除C.云端数据库因配置错误暴露，含明文密码，已在线公开12小时D.加密备份磁带在运输中丢失，密钥另行保管答案：A、C22.根据第35条，DPIA应至少包含：A.处理目的与方式系统性描述B.评估数据主体权利与自由风险C.拟采取的风险缓释措施D.数据保护官薪酬水平答案：A、B、C23.以下哪些属于第9条规定的特殊类别数据？A.工会会员身份B.16岁前儿童出生证明C.宗教信仰D.基因数据答案：A、C、D24.依据第46条，可采用的“适当保障措施”包括：A.欧盟标准合同条款（SCC）B.经监管机构批准的绑定企业规则（BCR）C.公共机构间行政安排附加可执行数据主体权利D.数据控制者口头承诺答案：A、B、C25.根据第5条，个人数据处理原则包括：A.目的限制B.数据最小化C.存储限制D.绝对安全答案：A、B、C26.以下哪些行为可能构成对第32条“安全处理义务”的违反？A.使用TLS1.0传输敏感数据B.将生产数据库密码硬编码在开源仓库C.定期渗透测试D.未对远程桌面启用多因素认证答案：A、B、D27.根据第12条，控制者向数据主体提供信息的通信方式应：A.使用清晰平实语言B.以电子形式（如适用）C.可收取合理工本费（无依据请求）D.提供表格模板答案：A、B、C28.认证机构（第43条）需满足：A.在道德上正直B.具备专业能力C.经成员国监管机构认可D.由欧盟委员会直接任命答案：A、B、C29.以下哪些属于第4条定义的“处理”活动？A.收集B.结构化C.储存D.披露答案：A、B、C、D30.根据第58条，监管机构可命令控制者：A.向数据主体通报泄露B.修正或删除个人数据C.限制或暂停处理D.支付数据主体精神损害赔偿答案：A、B、C填空题（每空1分，共20分。请用GDPR原文条款或专业术语作答，保持精确）31.GDPR第1条将本条例定位为保护自然人的________权利与基本自由，尤其是其在________处理中的权利。答案：基本；个人数据32.根据第4条，个人数据是指与已识别或可识别________相关的任何信息。答案：自然人33.第5条2款规定的“________责任”原则要求控制者不仅遵守本条例，还须能够________其合规性。答案：可问责；证明34.第13条1款(c)要求，在收集数据时须向数据主体告知数据的预期________期限。答案：存储35.第14条适用于控制者________从数据主体处获得个人数据的情形。答案：未直接36.依据第16条，数据主体有权要求________不准确个人数据的权利。答案：更正37.第18条2款规定，若处理被限制，除存储外，控制者仅在以下情形可继续处理：获得数据主体________、为法律主张之成立行使或________、为保护其他自然人或法人之权利。答案：同意；辩护38.第21条1款赋予数据主体基于其特定情况反对为________目的进行的处理。答案：直接营销39.根据第22条1款，数据主体有权不受仅基于________对其产生法律效果或________的决定的制约。答案：自动化处理；类似重大影响40.第24条1款要求控制者实施适当________与________措施以确保并能够证明处理符合本条例。答案：技术；组织41.依据第26条，当两个控制者共同确定处理目的与方式时，他们被称为________控制者。答案：联合42.第27条规定，在欧盟境外设立的控制者，若其处理活动与向欧盟境内数据主体提供________相关，则必须书面指定代表。答案：商品或服务43.第28条4款要求控制者就处理器的任何________行为向监管机构承担责任。答案：侵权44.第29条工作组在________年5月25日被欧洲数据保护委员会（EDPB）取代。答案：201845.第31条要求控制者在监管机构________下予以配合。答案：要求46.第38条3款规定，控制者或处理器须确保数据保护官在履职时不会收到任何________。答案：解职或惩罚指示47.第40条鼓励制定行为守则，以促进行业间________合规。答案：自律48.第49条1款(a)允许在数据主体________下将数据传输至第三国或国际组织。答案：明确同意49.第50条鼓励在欧盟对外合作中推广________保护标准。答案：个人数据50.第79条规定，任何数据主体若认为其在本条例下的权利因________或________的处理而受到侵害，有权向司法法院寻求有效救济。答案：非法；不符合本条例简答题（共6题，每题10分，共60分。请用简洁专业语言作答，必要时引用条款）51.简述GDPR下“假名化”与“匿名化”的法律区别，并说明二者对数据泄露通知义务的影响。答案：假名化指在不使用额外信息情况下无法将数据归于特定主体，且该额外信息被单独保存并采取技术与组织措施，仍属个人数据（第4条）。匿名化则使数据与已识别或可识别自然人不再合理关联，不再适用GDPR。影响：假名化数据泄露仍需按第33、34条评估并通知；若数据已真正匿名化，则不再触发个人数据泄露通知义务，因不在条例适用范围。52.列举并简要说明数据控制者在进行“高风险”处理前必须完成的两大程序性义务。答案：1.数据保护影响评估（DPIA，第35条）：识别风险、评估对权利自由影响、制定缓释措施；2.事先咨询（第36条）：若DPIA显示高风险且控制者无法降低，须在处理前向主管监管机构提交材料并等待至少8周意见（可延长）。53.说明“一站式机制”（One-Stop-Shop）的适用条件及其对跨境企业的实际意义。答案：条件：企业在欧盟多成员国设有机构或处理活动影响多成员国，且主营业机构（mainestablishment）明确（第4条）。意义：企业仅接受主营业机构所在国监管机构（leadSA）主导调查，减少多头执法，降低合规成本，提高法律确定性；同时保障其他相关监管机构参与权，确保一致性（第56条）。54.解释第49条“必要转移例外”中“重要公共利益”之含义，并给出两个可适用场景。答案：“重要公共利益”指欧盟或成员国法律承认的、超越个体权益的紧迫社会目标，如公共卫生、环境保护、国际税收合作。场景示例：1.欧盟疾控中心向WHO传输传染病数据以防控大流行；2.成员国税务机关向第三国财政机关提供跨境逃税调查所需银行数据，且无法及时取得充分性决定或适当保障。55.简述数据主体在自动化决策（第22条）下的三项权利，并指出企业可采用的合规替代方案。答案：权利：1.不受仅基于自动化处理的决定；2.获得人工干预；3.表达意见及质疑决定。替代方案：引入人工复核环节、提供透明逻辑说明、允许用户选择退出并请求人工服务，确保存在“实质性人工干预”。56.说明“绑定企业规则”（BCR）作为跨境传输工具的五大核心内容要求。答案：1.具有法律约束力并适用于集团内所有成员；2.赋予数据主体可执行权利（第70条）；3.明确处理目的、类型、主体群体；4.设立数据保护官与投诉程序；5.接受监管机构审计与持续报告义务。应用题（共4题，每题20分，共80分。需展示计算或分析过程，结论应附条款依据）57.计算题背景：德国某SaaS公司年营业额1.8亿欧元，因违反第35条未进行DPIA即大规模处理员工生物识别考勤数据，被汉堡数据保护局拟处以行政罚款。监管机构认定违法属“严重”且系故意，公司配合但未减轻风险。请按第83条计算罚款区间并给出最终建议金额，说明理由。答案：步骤1：确定上限——第83条5款，最高20000000EUR或上一财年全球营业额4%，取高者。1.8亿×4%=7200万欧元，故上限7200万欧元。步骤2：评估情节——严重、故意、未减轻风险，但配合调查可小幅降低。步骤3：参考EDPB罚款指南，基础水平取上限的40%：7200×40%=2880万欧元；配合减10%：2880×0.9=2592万欧元；建议金额：2600万欧元（取整）。58.分析题某中国电商平台通过荷兰子公司向欧盟用户销售商品，将订单数据（姓名、地址、电话）传至北京总部服务器，未采用SCC，也未取得用户明确同意。荷兰监管机构收到投诉。请分析：a)本次传输的法律缺陷；b)监管机构可依据的即时命令；c)企业可立即采取的补救路径。答案：a)缺陷：无充分性决定（中国未获欧盟认定），未使用第46条适当保障（如SCC），亦不符合第49条例外，属非法跨境传输（第44条）。b)依据第58条2款(f)，监管机构可命令暂停或限制向第三国数据传输；可依据第83条处以罚款。c)补救：1.立即与用户补签SCC并实施TIA（传输影响评估）；2.加密数据并考虑本地存储；3.申请BCR（长期）；4.向监管机构提交整改计划以换取中止命令。59.综合题一家西班牙健康科技初创公司拟推出AI辅助诊断App，需处理用户上传的面部照片（用于皮肤癌检测）与GPS位置。公司计划与一家美国云AI供应商共享数据训练模型，并保留数据5年用于算法优化。任务：1.指出适用的GDPR核心条款；2.列出必须完成的合规清单（至少6项）；3.说明如何设计同意界面以满足第7条。答案：1.核心条款：第6条合法性、第9条特殊数据、第35条DPIA、第44条跨境传输、第25条设计与默认、第32条安全。2.合规清单：a)取得明确同意（第7条）并区分诊断与科研目的；b)进行DPIA并事先咨询（高风险健康数据）；c)与美国供应商签署SCC并附加加密、假名化；d)实施最小化原则（不收集无关GPS精度）；e)设定5年保留期并建立删除策略；f)指定DPO并向监管机构备案；g)建立数据主体行使权利渠道（第12-22条）。3.同意界面：分层信息设计，首屏用简明标题“我们将使用您的面部照片用于皮肤癌检测与科研，数据将传至美国，详见隐私声明”；提供两排独立勾选框“我同意进行皮肤癌检测”“