2026年数据安全法专项试题及答案

2026年数据安全法专项试题及答案一、单项选择题（共15题，每题2分，共30分）1.2026年某直辖市公共数据运营机构拟将其持有的政务服务领域敏感公共数据授权给本地某AI企业用于训练民生服务大模型，根据《数据安全法》及2024年发布的《公共数据授权运营实施条例》，该机构应当首先履行以下哪项程序？A.直接与企业签订授权运营协议明确数据安全责任B.报请本级数据安全主管部门开展数据安全风险评估C.向社会公开征求意见不少于10个工作日D.要求企业提交数据安全负责人资质证明答案：B解析：《数据安全法》第二十一条明确国家建立数据分类分级保护制度，《公共数据授权运营实施条例》第十八条规定，涉及敏感公共数据的授权运营活动，授权方应当在实施前报请本级数据安全主管部门开展专项风险评估，经评估确认风险可控后方可推进后续流程，其余选项均为后续程序，不属于首要履行义务。2.某跨境电商企业2026年累计向境外总部传输境内消费者订单数据达120万条，其中包含近18万条敏感个人信息，根据《数据安全法》及2025年修订的《数据出境安全评估办法》，该企业应当履行的出境合规义务是？A.仅需与境外接收方签订标准合同B.应当向国家网信部门申报数据出境安全评估C.只需在企业内部开展出境风险自评估留档备查D.报请所在地市级商务主管部门审批答案：B解析：《数据安全法》第三十一条规定，关键信息基础设施运营者和处理100万条以上个人信息的数据处理者向境外提供数据，应当通过国家网信部门组织的安全评估；2025年修订的《数据出境安全评估办法》新增“处理10万条以上敏感个人信息的数据处理者向境外提供数据应当申报安全评估”的要求，本题中企业同时满足两项申报阈值，必须履行国家层面的出境安全评估程序。3.2026年某省属军工科研院所属于核心数据处理者，其因科研合作需要拟向合作的部属高校共享部分涉及国防科工的核心数据，根据《数据安全法》，该共享行为应当报请以下哪个主体批准？A.省国防科工管理部门B.省网信部门C.核心数据对应的上级行业主管部门D.国家网信部门答案：C解析：《数据安全法》第二十七条规定，核心数据处理者应当对核心数据实行更严格的管理制度，共享、转让、公开披露核心数据的，应当报经相应行业主管部门批准，军工领域核心数据的行业主管部门为对应的国防科工上级主管部门，无需报请属地网信部门或国家网信部门审批。4.某生成式AI企业2026年训练大模型时爬取了大量公开网络数据，其中包含部分未公开的自然人隐私数据且未做脱敏处理，未造成严重后果，根据《数据安全法》，该行为触发的最低处罚标准是？A.责令改正，给予警告，没收违法所得，并处10万元以上100万元以下罚款B.责令暂停相关业务，停业整顿，并处50万元以上500万元以下罚款C.对直接负责的主管人员处1万元以上10万元以下罚款D.吊销相关业务许可证答案：A解析：《数据安全法》第四十五条规定，数据处理者不履行数据安全保护义务的，由有关主管部门责令改正，给予警告，没收违法所得，并处十万元以上一百万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证，对直接责任人员处十万元以上一百万元以下罚款。本题未提及情节严重或严重后果，适用最低档处罚。5.2026年某地级市卫健委拟建立全市居民健康医疗大数据平台，根据《数据安全法》关于数据分类分级保护的要求，以下哪类数据应当纳入核心数据管理范畴？A.全市普通居民的门诊挂号记录B.50万以上居民的基因检测原始数据C.全市乙类传染病年度统计汇总数据D.社区卫生服务中心的医生执业信息答案：B解析：《数据安全法》第二十一条明确核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的最核心层级数据，50万以上规模的居民基因原始数据属于涉及重要民生的高敏感数据，符合核心数据认定标准；A、C选项属于重要数据范畴，D选项属于一般公共数据范畴。6.2026年某县级应急管理部门在处置辖区内化工企业爆炸事故时，需要调取涉事企业存储的近3年的安全生产监测核心数据，根据《数据安全法》，涉事企业应当履行的义务是？A.要求应急管理部门出具数据安全承诺函后方可提供B.无偿、及时提供符合要求的数据C.对调取的核心数据做脱敏处理后提供D.报请上级行业主管部门批准后方可提供答案：B解析：《数据安全法》第三十五条规定，公安机关、国家安全机关等因依法履行职责需要调取数据的，有关组织、个人应当予以配合，无偿提供符合要求的数据，核心数据调取无需企业自行脱敏或报请上级审批，也无权要求调取机关出具承诺函。7.2026年某大型网约车平台作为重要数据处理者，应当指定专人负责核心数据安全管理，该数据安全负责人的任职备案应当向哪个部门提交？A.属地市级交通运输主管部门B.属地省级网信部门C.国家网信部门D.属地市级数据安全主管部门答案：B解析：《数据安全法》第二十七条规定，重要数据处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任，相关负责人任职信息应当向省级网信部门备案，核心数据处理者的备案要求与重要数据处理者一致。8.2026年某外贸企业存储的12万条境内供应商经营数据被境外黑客组织窃取，该企业应当在发现数据泄露后多长时间内向属地数据安全主管部门上报？A.2小时B.8小时C.24小时D.72小时答案：B解析：《数据安全法》第二十九条规定，数据处理者发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告，2024年发布的《数据安全事件应急管理办法》明确重要数据泄露事件应当在发现后8小时内上报主管部门，本题涉及12万条经营数据属于重要数据范畴，适用8小时上报要求。9.2026年某互联网企业拟在境外证券交易所上市，其持有的用户数据超过2亿条，根据《数据安全法》，该企业上市前应当履行的专项合规义务是？A.向国家网信部门申报数据安全审查B.向属地省级商务部门报送数据处理情况说明C.将所有用户数据做匿名化处理D.聘请第三方机构开展数据资产合规评估答案：A解析：《数据安全法》第二十四条规定，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查，《网络安全审查办法》明确掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查，数据安全审查为必备前置程序。10.以下哪类数据处理活动不属于《数据安全法》的规制范围？A.某香港特别行政区企业在香港本地处理境内居民赴港旅游的数据B.某内地企业在上海处理其境外分支机构收集的欧洲用户数据C.某境外企业在新加坡处理其收集的境内用户消费数据用于精准营销D.某军事单位在内部处理涉密军事数据答案：D解析：《数据安全法》第二条规定，在中华人民共和国境内开展数据处理活动及其安全监管，适用本法；在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。涉及国家秘密的数据处理活动适用《保守国家秘密法》等法律法规的规定，军事涉密数据不属于《数据安全法》规制范围。11.2026年某省政务服务大厅推出“一窗通办”服务，收集了企业的经营许可、税务、社保等多维度数据，根据《数据安全法》，该类政务数据的开放共享应当遵循的首要原则是？A.按需共享B.安全可控C.无偿开放D.应开尽开答案：B解析：《数据安全法》第三十七条规定，国家大力推进政务数据开放利用，提升政务数据公开的及时性、准确性、完整性，政务数据开放共享应当遵循安全可控、分级分类、需求导向、便民高效的原则，其中安全可控是首要前提。12.某数据交易中介机构2026年为交易双方提供120笔数据交易撮合服务，其中发现3笔交易涉及未脱敏的敏感个人信息，根据《数据安全法》，该机构应当采取的首要措施是？A.直接终止交易服务并扣除交易保证金B.要求交易双方补充提交数据合规证明C.暂停交易并立即向属地数据安全主管部门报告D.对相关数据做脱敏处理后继续推进交易答案：C解析：《数据安全法》第三十三条规定，从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。发现交易数据存在违法违规情形的，应当立即暂停交易并向有关主管部门报告，不得自行处理或继续推进交易。13.2026年某农业农村部直属科研机构处理的农作物种质资源基因数据被认定为核心数据，该机构对该批核心数据的备份频率应当不低于？A.每日1次B.每周1次C.每半个月1次D.每月1次答案：A解析：《数据安全法》第三十条规定，重要数据处理者应当按照规定对其数据处理活动定期开展风险评估，核心数据处理者应当对核心数据进行高频备份，《核心数据安全管理规范》明确核心数据备份频率不得低于每日1次，确保数据可恢复。14.某短视频平台2026年推出“AI换脸”生成功能，用户上传的人脸数据属于敏感个人信息，根据《数据安全法》，平台处理该类数据时应当取得用户的何种授权？A.通用服务授权即可B.单独同意授权C.书面授权D.无需额外授权答案：B解析：《数据安全法》第二十八条规定，开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理；《个人信息保护法》与《数据安全法》衔接要求，处理敏感个人信息应当取得个人的单独同意，人脸信息属于敏感个人信息，应当取得用户单独同意。15.2026年某企业因违反《数据安全法》相关规定被主管部门作出行政处罚，该处罚信息将被纳入以下哪个档案管理？A.企业信用档案B.企业数据合规档案C.企业经营异常名录D.企业税务征信档案答案：A解析：《数据安全法》第四十八条规定，违反本法规定受到行政处罚的，按照国家有关规定纳入信用档案，并予以公示，行政处罚信息直接纳入企业通用信用档案，而非专项数据合规档案或其他名录。二、多项选择题（共10题，每题3分，共30分，多选、少选、错选均不得分）1.2026年某短视频平台属于处理数据量超过1亿条的大型互联网平台企业，根据《数据安全法》及2025年发布的《大型互联网平台数据安全管理规定》，其应当履行的特殊数据安全义务包括？A.每年至少开展一次数据安全风险评估，并将评估报告报送省级网信部门B.建立数据安全负责人与数据安全管理机构，负责人应当为平台核心管理层成员C.针对平台内生成式AI内容生成模块建立训练数据溯源机制，留存溯源记录不少于3年D.涉及境外上市的，应当将数据安全审查结论作为上市申报材料必备要件答案：ABCD解析：《数据安全法》第三十条要求重要数据处理者定期开展风险评估并报送报告，大型平台属于重要数据处理者，评估频率为每年至少1次；《大型互联网平台数据安全管理规定》明确要求平台数据安全负责人应当为核心管理层成员，生成式AI模块训练数据应当溯源且记录留存不少于3年；《网络安全审查办法》要求赴境外上市的大型平台必须提交数据安全审查结论作为上市必备材料，四个选项均符合要求。2.2026年某医疗机构处理的以下数据中，应当纳入重要数据管理范畴的有？A.10万条以上患者的就诊病历数据B.传染病暴发期间的患者流调原始数据C.医疗机构的药品采购财务数据D.5万条以上未成年人的疫苗接种数据答案：ABD解析：《数据安全法》第二十一条明确重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据，10万条以上就诊数据、流调原始数据、未成年人疫苗接种数据均属于涉及公共利益的重要数据，医疗机构内部财务数据属于一般经营数据，不属于重要数据。3.根据《数据安全法》，以下哪些属于国家数据安全工作协调机制的职责范围？A.统筹协调数据安全的重大政策和重要工作B.组织制定国家数据安全战略C.定期开展全国数据安全风险评估D.查处重大数据安全违法案件答案：ABC解析：《数据安全法》第十一条规定，国家建立数据安全工作协调机制，统筹协调数据安全的重大政策和重要工作，组织制定国家数据安全战略和有关重大标准，定期开展全国数据安全风险评估，提出应对重大数据安全风险的对策建议；查处数据安全违法案件属于各行业主管部门的职责，不属于协调机制职责范围。4.2026年某跨境物流企业拟向境外提供其收集的境内用户快递收寄数据，根据《数据安全法》及相关配套规定，该企业应当证明境外接收方的数据安全保护能力不低于我国法律要求的相关证明材料包括？A.境外接收方的数据安全管理体系认证证书B.与境外接收方签订的数据安全保护协议，明确双方安全责任C.境外接收方所在地的数据安全保护法律制度说明D.数据出境后发生安全事件的应急处置预案答案：ABCD解析：《数据安全法》第三十一条要求数据出境应当确保安全，《数据出境安全评估办法》明确申报出境评估应当提交境外接收方安全能力证明材料，包括认证证书、安全协议、所在地法律环境说明、应急处置预案等，四个选项均属于必备证明材料。5.以下哪些数据处理活动可以免予履行数据出境安全评估程序？A.境内企业为处理跨境贸易纠纷向境外仲裁机构提交的少量涉案个人信息B.境内居民个人自行向境外亲友传输其个人家庭照片C.航空运输企业为执行国际航班运输任务向境外机场传输的少量乘客身份信息D.金融机构为办理跨境支付业务向境外合作银行传输的用户支付信息答案：ABC解析：《数据出境安全评估办法》明确免予评估的情形包括：为处理跨境纠纷、诉讼等需要传输的少量涉案数据，个人自行传输个人信息，航空、航运等国际运输必要的少量乘客信息，金融机构跨境支付涉及的用户信息属于重要数据范畴，应当履行评估程序。6.2026年某公共数据运营机构存在以下哪些行为时，数据安全主管部门可以对其作出行政处罚？A.未按分类分级要求对公共数据进行标注管理B.未经批准擅自将敏感公共数据授权给商业机构使用C.未按要求公开公共数据授权运营的收益使用情况D.未建立公共数据安全事件应急处置预案答案：ABCD解析：《数据安全法》第四十五条、第四十七条明确了数据处理者未履行安全保护义务的处罚情形，《公共数据授权运营实施条例》进一步明确未分类分级标注、擅自授权敏感公共数据、未公开收益情况、未建立应急预案均属于违法违规行为，应当给予行政处罚。7.2026年某生成式AI企业训练大模型时收集使用数据，应当符合《数据安全法》的哪些要求？A.收集公开数据时应当遵守数据来源平台的robots协议要求B.涉及个人信息的应当取得个人同意，法律另有规定的除外C.不得收集含有国家秘密、商业秘密的非公开数据D.应当对训练数据进行合规审核，留存审核记录不少于5年答案：ABCD解析：《数据安全法》第二十八条、第二十九条对数据处理活动的合规要求作出了明确规定，《生成式人工智能服务管理办法》进一步要求AI训练数据收集应当遵守robots协议、取得个人同意、不得收集涉密涉密数据、审核记录留存不少于5年，四个选项均符合要求。8.国家机关在履行政务数据安全保护义务时，应当遵守《数据安全法》的以下哪些规定？A.建立健全政务数据安全管理制度，落实安全保护责任B.按照规定对政务数据进行分类分级，定期开展风险评估C.非因法定事由不得向其他组织、个人提供政务数据D.涉及政务数据出境的，应当报请本级人民政府批准答案：ABC解析：《数据安全法》第三十八条规定了国家机关政务数据安全保护义务，包括建立安全管理制度、分类分级、定期评估、非因法定事由不得提供政务数据等，政务数据出境应当按照数据分类分级情况报请相应行业主管部门和数据安全主管部门批准，无需报请本级人民政府批准，D选项错误。9.2026年某核心数据处理者存在以下哪些行为时，可能被处以一百万元以上一千万元以下罚款？A.未经批准擅自向境外提供核心数据B.未建立核心数据安全管理制度，导致核心数据泄露C.拒绝、阻碍数据安全主管部门的监督检查D.未按要求对核心数据进行备份，导致核心数据灭失答案：ABD解析：《数据安全法》第四十六条规定，违反国家核心数据管理制度，危害国家主权、安全和发展利益的，处一百万元以上一千万元以下罚款，A、B、D选项均属于违反核心数据管理制度的行为；拒绝阻碍监督检查的处罚为处一万元以上十万元以下罚款，情节严重的处十万元以上一百万元以下罚款，不属于千万元级罚款范畴。10.以下属于《数据安全法》规定的数据安全保护义务的有？A.建立健全全流程数据安全管理制度B.组织开展数据安全教育培训C.采取相应的技术措施和其他必要措施保障数据安全D.制定数据安全事件应急预案，定期开展演练答案：ABCD解析：《数据安全法》第二十七条明确规定数据处理者应当履行的数据安全保护义务包括：建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施保障数据安全，制定数据安全事件应急预案并定期开展演练，四个选项均属于法定保护义务。三、判断题（共10题，每题1分，共10分）1.2026年某县政务服务中心将其收集的企业工商登记信息无偿提供给本地商业银行用于企业授信风控，该行为未违反《数据安全法》相关规定。答案：错解析：《数据安全法》第三十八条规定，国家机关应当依照法律、行政法规的规定，建立健全数据安全管理制度，落实数据安全保护责任，保障政务数据安全。政务数据开放用于商业用途的，应当经过分类分级审核、明确使用范围，未经批准擅自向商业机构提供政务数据用于商业运营的，属于违法行为。2.2026年某企业在境内处理境外用户的个人数据，不适用《数据安全法》的规制。答案：错解析：《数据安全法》第二条明确规定，在中华人民共和国境内开展的数据处理活动均适用本法，无论处理的是境内用户还是境外用户的数据，只要处理行为发生在境内，就应当遵守《数据安全法》的相关规定。3.核心数据的目录由国家数据安全工作协调机制统一制定发布，各地方、各部门不得自行制定本地区、本行业的核心数据目录。答案：错解析：《数据安全法》第二十一条规定，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护，各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据和核心数据具体目录，对列入目录的数据进行重点保护。4.2026年某数据交易中介机构未要求数据提供方说明数据来源，被主管部门处以20万元罚款，该处罚符合《数据安全法》的相关规定。答案：对解析：《数据安全法》第四十七条规定，从事数据交易中介服务的机构未履行本法第三十三条规定的义务的，由有关主管部门责令改正，没收违法所得，并处违法所得一倍以上十倍以下罚款，没有违法所得或者违法所得不足十万元的，处十万元以上一百万元以下罚款，20万元罚款符合法定处罚区间。5.2026年某企业因数据安全违法行为被主管部门作出行政处罚后，只要整改到位就可以不纳入信用档案。答案：错解析：《数据安全法》第四十八条明确规定，违反本法规定受到行政处罚的，按照国家有关规定纳入信用档案，并予以公示，无论是否整改到位，行政处罚记录都应当纳入信用档案。6.军事数据的安全保护适用《数据安全法》的相关规定，由中央军事委员会另行制定具体办法。答案：错解析：《数据安全法》第五十四条规定，军事数据安全保护的办法，由中央军事委员会另行制定，军事数据安全保护不适用《数据安全法》的一般性规定。7.2026年某个人为自身家庭使用处理少量个人数据，不需要履行《数据安全法》规定的数据安全保护义务。答案：对解析：《数据安全法》第五十三条明确规定，开展涉及个人信息的数据处理活动，还应当遵守有关法律、行政法规的规定，但是因个人或者家庭事务处理个人信息的，不适用本法相关义务规定。8.2026年某重要数据处理者应当每两年至少开展一次数据安全风险评估，并将评估报告报送有关主管部门。答案：错解析：《数据安全法》第三十条规定，重要数据处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告，《重要数据安全管理规范》明确重要数据处理者的风险评估频率为每年至少一次，而非每两年一次。9.2026年某企业向境外提供核心数据的，不仅会面临行政处罚，还可能被追究刑事责任。答案：对解析：《数据安全法》第四十六条规定，违反国家核心数据管理制度，危害国家主权、安全和发展利益的，依法给予行政处罚，构成犯罪的，依法追究刑事责任。10.公安机关因侦查犯罪需要调取相关数据时，数据处理者可以以涉及商业秘密为由拒绝提供。答案：错解析：《数据安全法》第三十五条规定，公安机关、国家安全机关因依法维护国家安全或者侦查犯罪的需要调取数据，应当按照国家有关规定，经过严格的批准手续，依法进行，有关组织、个人应当予以配合，不得以涉及商业秘密、个人隐私等为由拒绝履行配合义务。四、案例分析题（共2题，每题15分，共30分）1.案例背景：2026年3月，某市属国有出行平台企业A累计注册用户达2200万，存储有近5年的用户出行轨迹、支付信息、身份核验数据共计1.2亿条，其中包含的1800万条用户精确出行轨迹数据被认定为重要数据，200万条涉及特殊群体的出行轨迹数据被认定为核心数据。2026年4月，A企业为优化其自动驾驶调度模型，在未履行任何审批程序的情况下，将120万条包含用户精确出行轨迹的重要数据及30万条核心数据传输给其参股的境外自动驾驶企业B用于模型训练，期间因B企业防护不当导致其中30万条用户数据泄露，被境外不法分子获取用于电信诈骗，造成120余名用户财产损失共计1200余万元。问题：（1）A企业的行为违反了《数据安全法》的哪些具体规定？（7分）（2）监管部门应当对A企业及相关责任人作出何种处罚？（8分）参考答案：（1）A企业的违法行为包括：①违反核心数据与重要数据分类分级保护义务，未对核心数据和重要数据实行严格的保护管理制度，未经批准擅自对外提供核心数据和重要数据，违反《数据安全法》第二十七条的规定；（2分）②违反数据出境合规义务，传输150万条包含个人信息的重要数据和核心数据出境，未向国家网信部门申报数据出境安全评估，违反《数据安全法》第三十一条的规定；（2分）③违反数据安全风险监测与审核义务，未对境外接收方B企业的数据安全防护能力进行审核评估，未建立出境数据的安全跟踪机制，违反《数据安全法》第二十九条的规定；（2分）④违反数据安全事件应急处置义务，发生数据泄露后未及时采取补救措施、上报主管部门并告知受影响用户，违反《数据安全法》第二十九条的规定。（1分）（2）处罚内容：①对A企业：责令改正、停业整顿，没收违法所得，并处800万元罚款，对其数据