合规测试题3及答案

合规测试题3及答案一、单项选择题（每题2分，共20分）1.根据《中华人民共和国网络安全法》，网络运营者收集、使用个人信息，应当遵循（）的原则，公开收集、使用规则，明示收集、信息的目的、方式和范围，并经被收集者同意。A.合法、正当、必要B.安全、可靠、保密C.公开、公平、公正D.高效、便捷、透明答案：A解析：《网络安全法》第四十一条明确规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。2.在处理涉及个人敏感信息的业务时，下列哪项措施最不符合“数据最小化”原则？A.仅收集业务功能所必需的最少类型和数量的个人信息。B.为潜在的未来业务分析需求，一次性收集用户的详细身份、职业、收入等信息。C.对收集的个人信息设置明确的存储期限，到期后予以删除或匿名化。D.在App中提供关闭非核心业务功能信息收集的选项。答案：B解析：“数据最小化”原则要求只处理与处理目的有关的最少数据。为不确定的“未来需求”而过度收集信息，违反了该原则。3.依据《个人信息保护法》，个人信息处理者处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。A.十二B.十四C.十六D.十八答案：B解析：《个人信息保护法》第三十一条规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。4.下列情形中，哪一项不属于《个人信息保护法》规定的可以不经个人同意处理个人信息的情形？A.为订立、履行个人作为一方当事人的合同所必需。B.为应对突发公共卫生事件，紧急情况下为保护自然人的生命健康和财产安全所必需。C.为进行学术研究，在公共场所安装摄像头收集行人面部信息用于统计。D.为履行法定职责或者法定义务所必需。答案：C解析：根据《个人信息保护法》第十三条，在公共场所进行图像采集、个人身份识别设备安装，应当为维护公共安全所必需，并设置显著的提示标识。学术研究目的通常不构成“必需”情形，且未取得单独同意或设置显著提示，不符合法定豁免情形。5.关于数据跨境传输，以下描述正确的是？A.所有个人信息出境都必须通过国家网信部门组织的安全评估。B.关键信息基础设施的运营者收集和产生的个人信息和重要数据可以自由出境。C.处理个人信息达到国家网信部门规定数量的处理者，确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估。D.只要与境外接收方签订标准合同，任何个人信息都可以出境。答案：C解析：根据《个人信息保护法》及《数据出境安全评估办法》，关键信息基础设施运营者和处理个人信息达到规定数量的处理者，向境外提供个人信息，应当通过国家网信部门组织的安全评估。A项过于绝对，存在安全评估、标准合同、保护认证等多种合规路径。B项错误，关键信息基础设施运营者的数据出境受到严格限制。D项错误，标准合同仅适用于非关键信息基础设施运营者且未达到规定数量的情形。6.根据《常见类型移动互联网应用程序必要个人信息范围规定》，地图导航类App的基本功能服务为“定位和导航”，其必要个人信息范围是（）。A.注册用户移动电话号码B.位置信息、出发地、到达地C.身份信息、联系方式、行程信息D.无需个人信息，即可使用基本功能服务答案：B解析：根据该规定，地图导航类App的必要个人信息仅为位置信息、出发地、到达地。7.当发生个人信息泄露、篡改、丢失事件时，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和（）。A.所有可能受影响的个人B.上级主管部门C.公安机关D.个人，但通知可能不及时或难以逐一通知的，应采取合理、有效的方式及时发布公告答案：D解析：《个人信息保护法》第五十七条规定，发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知个人时，如果难以逐一通知，应当采取合理、有效的方式及时发布公告。8.下列哪项权利不属于《个人信息保护法》赋予个人的权利？A.知情权、决定权B.查阅、复制权C.收益权（从个人信息处理中获利的权利）D.删除权答案：C解析：《个人信息保护法》第四章规定了个人在个人信息处理活动中的权利，包括知情权、决定权、查阅复制权、更正补充权、删除权、解释说明权等，但并未规定个人对自身信息享有法定的收益权。9.关于App隐私政策，以下做法不符合要求的是？A.在用户首次使用App时，以弹窗等明显方式提示用户阅读。B.隐私政策内容冗长复杂，使用大量专业法律术语。C.将收集使用个人信息的规则（如目的、方式、范围）在隐私政策中予以明确。D.提供拒绝或撤回同意的选项，且撤回同意不影响此前基于同意进行的个人信息处理活动的效力。答案：B解析：根据相关标准与指南，隐私政策应清晰易懂，避免使用晦涩难懂的法律或技术术语。内容冗长复杂、难以理解不符合“公开、透明”的原则。10.根据《数据安全法》，国家建立数据安全（）机制，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。A.风险评估B.应急处置C.审查D.分类分级答案：C解析：《数据安全法》第二十四条规定，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。二、多项选择题（每题3分，共15分。全部选对得满分，漏选得部分分，错选或不选得0分）11.《个人信息保护法》规定的个人信息处理者应当采取的必要措施包括（）。A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训答案：ABCD解析：根据《个人信息保护法》第五十一条，个人信息处理者应当根据具体情况采取包括上述所有选项在内的措施，确保个人信息处理活动符合法律、行政法规的规定。12.以下哪些情形，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录？（）A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息D.向境外提供个人信息答案：ABCD解析：《个人信息保护法》第五十五条规定，有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。13.关于“告知-同意”规则，以下说法正确的有（）。A.处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知相关事项。B.个人信息的处理目的、处理方式发生变更的，应当重新取得个人同意。C.基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。D.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项。答案：ABCD解析：A、C项是《个人信息保护法》第十四条、第十七条关于告知和同意的核心要求。B项是第十七条关于变更目的需重新同意的要求。D项是第二十四条关于自动化决策透明度和公平性的要求。14.根据相关法律法规，以下哪些数据属于“重要数据”的范畴？（）A.未公开的政务数据、工作秘密B.达到一定精度的地理、人口、自然资源等基础数据C.汽车充电网运行数据D.关键信息基础设施在运营中收集和产生的个人信息答案：ABC解析：根据《数据安全法》、《网络安全法》及相关行业规定，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。A、B、C项均符合此特征。D项，关键信息基础设施运营者收集的个人信息受到严格保护，但其本身是否构成“重要数据”需根据具体内容判断，并非全部自动归入，且《数据安全法》对重要数据和个人信息是并列的概念。15.企业在进行数据处理活动时，可能涉及的法律责任类型包括（）。A.民事责任，如赔偿损失、赔礼道歉等B.行政责任，如警告、罚款、没收违法所得、责令暂停相关业务、停业整顿、吊销业务许可等C.刑事责任，如侵犯公民个人信息罪D.党纪政纪处分答案：ABC解析：违反数据合规相关法律，根据行为性质和后果，可能分别或同时承担民事、行政和刑事责任。D项主要针对公职人员，不普遍适用于所有企业。三、填空题（每空1分，共10分）16.《个人信息保护法》的核心原则包括：合法、正当、必要和______原则。答案：诚信17.个人信息处理者处理敏感个人信息，除法律另有规定外，应当取得个人的______同意。答案：单独18.个人信息处理者应当自收到个人行使查阅、复制权申请之日起______日内答复并提供相关个人信息。答案：十五（15）19.根据《数据安全法》，开展数据处理活动应当依照法律、法规的规定，建立健全______治理体系，提高数据安全保障能力。答案：全流程数据安全20.个人信息处理者违反《个人信息保护法》规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向______提起诉讼。答案：人民法院21.《网络安全法》规定，国家实行网络安全______保护制度。答案：等级22.个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送______的部门。答案：履行个人信息保护职责23.自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行______的活动。答案：决策24.个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和______。答案：联系方式25.关键信息基础设施的具体范围和安全保护办法由______制定。答案：国务院四、简答题（每题5分，共25分）26.简述《个人信息保护法》中规定的“敏感个人信息”主要包括哪些类别。答案：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。27.企业在委托第三方（受托方）处理个人信息时，作为委托方应承担哪些主要合规义务？答案：（1）应当与受托方订立委托合同，约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等。（2）对受托方的个人信息处理活动进行监督。（3）受托方应当遵循委托合同约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托方应当将个人信息返还委托方或者予以删除，不得保留。（4）未经委托方同意，受托方不得转委托他人处理个人信息。28.什么是“去标识化”？它与“匿名化”有何关键区别？答案：去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。关键区别：匿名化处理后的信息不属于个人信息，可以自由使用；而去标识化处理后的信息仍属于个人信息，其使用仍需遵守个人信息保护相关规定，因为借助额外信息有可能重新识别到个人。29.根据《数据安全法》，数据处理者开展数据处理活动，应当履行哪些数据安全保护义务？（至少列出四项）答案：（1）依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。（2）加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。（3）重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任；定期开展风险评估，并向有关主管部门报送风险评估报告。（4）法律、行政法规规定的其他义务。30.简述在App合规场景下，“不同意就不提供基本服务功能”的“强制索权”行为主要违反了哪些规定。答案：主要违反了：（1）《个人信息保护法》第十六条：个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。（2）《常见类型移动互联网应用程序必要个人信息范围规定》：App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。（3）《网络安全法》关于遵循合法、正当、必要原则收集使用个人信息的规定。五、应用题（共30分）31.案例分析题（15分）背景：“便捷出行”是一款提供网约车服务的App。为了提升服务效率和用户体验，该App计划实施以下新功能/措施：（a）在用户注册时，除手机号外，强制要求用户上传人脸照片进行实名认证。（b）在用户下单后，系统会根据用户的常驻地、历史订单价格敏感度、当前时段供需情况，通过算法动态调整并显示一个“个性化预估价格”（该价格可能高于或低于标准计价），用户只能选择接受或取消，无法知晓标准价格。（c）为拓展业务，该App希望将注册用户的手机号码、出行偏好标签共享给其关联的金融科技子公司，用于推广信贷和理财产品。（d）该App的服务器部署在境内，但其技术支持和数据分析团队部分位于境外，需要访问境内的用户订单数据（含姓名、手机号、行程起终点）进行分析优化。问题：请结合《个人信息保护法》、《数据安全法》、《网络安全法》及相关规定，逐一分析上述（a）至（d）项计划可能存在的合规风险，并提出相应的合规建议。答案：（a）风险：人脸信息属于生物识别信息，是敏感个人信息。强制要求所有用户上传人脸照片进行认证，可能违反“必要性”原则。对于非从事高安全等级要求的业务（如金融支付），仅手机号短信验证可能已满足法律法规要求的实名制，强制人脸识别存在过度收集敏感个人信息的风险。建议：评估人脸认证是否为履行法律法规要求的实名制所必需，或是否为保障用户账户安全（防冒用）所必需且无其他更少侵害性的替代方案。若非必需，应提供非人脸识别的替代验证方式（如身份证OCR+活体检测，但需注意身份证号也是敏感信息）。若必需，必须取得用户的单独同意，并告知处理目的、方式、存储期限等。（b）风险：此行为属于“自动化决策”。主要风险在于：①透明度缺失：未以显著方式告知用户其价格是自动化决策的结果，也未说明决策的逻辑和对用户权益的重大影响。②公平性缺失：利用用户的个人信息特征（如价格敏感度）进行“大数据杀熟”式差异化定价，可能构成不合理的差别待遇，侵害消费者公平交易权。③拒绝权缺失：未提供不针对其个人特征的选项（例如一个公开的、基于标准计价的参考价格）。建议：①在价格展示页面，以显著方式说明该价格为“算法推荐预估价”，并简要说明主要影响因素（如供需），保障用户知情权。②确保自动化决策的透明度和结果公平、公正，不得在交易价格等交易条件上实行不合理的差别待遇。③应同时向用户提供不针对其个人特征的选项（例如，提供一个基于公开计价规则的“标准预估价”供用户对比选择）。c）风险：将用户的手机号、出行偏好共享给关联公司用于金融营销，属于向其他个人信息处理者提供个人信息。处理目的从“出行服务”变更为“金融营销”，超出了原收集时的目的范围。未重新取得用户同意，违反了“目的明确”和“告知同意”规则。建议：必须事先向用户清晰、明确地告知共享的目的（金融产品推广）、接收方的身份和联系方式、共享的个人信息类型（手机号、偏好标签），并取得用户的单独同意。应在隐私政策中独立章节说明，并通过弹窗等交互方式获取有效同意。同时，应评估共享的数据是否最小必要。（d）风险：用户订单数据包含个人行踪轨迹（敏感个人信息）。允许境外团队访问境内存储的这些数据，构成事实上的“数据出境”行为。需要遵守《个人信息保护法》第三章关于个人信息跨境提供的规则，以及《数据出境安全评估办法》等规定。未经安全评估或采取标准合同等合规路径，擅自允许境外访问，属于违规出境。建议：首先，评估该出境行为是否确属必需。其次，根据企业是否属于关键信息基础设施运营者、处理个人信息的数量等情形，判断应适用的合规路径：通过国家网信部门组织的安全评估、按照国家网信部门制定的标准合同与境外接收方订立合同，或者通过专业机构进行的个人信息保护认证。在完成合规手续前，应暂停此类跨境访问，或采取数据脱敏、去标识化等技术措施，在满足业务需求的同时降低合规风险。32.制度设计与流程题（15分）背景：你是一家正在快速发展的电商平台“易购网”新任命的数据合规官。公司业务涉及收集、存储、使用大量用户个人信息（包括身份、交易、浏览记录、部分场景下的人脸信息用于支付验证）和重要数据（如特定品类的整体销售趋势数据）。公司目前数据合规管理基础薄弱。任务：请为你所负责的部门设计一份简要的《年度数据合规重点工作计划》框架。该计划需至少涵盖以下四个核心方面，并为每个方面列出2-3项具体的工作举措。要求：措施具体、有针对性，符合电商平台业务特点。答案：《易购网年度数据合规重点工作计划（框架）》一、制度与组织建设目标：建立并完善数据合规治理体系，明确责任。具体举措：1.制定/修订核心制度：完成《个人信息保护政策》、《数据分类分级管理办法》、《数据安全事件应急预案》、《个人信息保护影响评估指南》等关键制度的起草、评审与发布。2.明确组织与职责：正式设立数据保护官（DPO）职位并报备，明确其职责与权限；成立跨部门的数据安全工作小组，定期召开会议。3.建立考核机制：将数据安全与个人信息保护合规要求纳入相关部门和关键岗位的绩效考核指标。二、数据生命周期