2026年法考个人信息保护法案例模拟试题及答案

2026年法考个人信息保护法案例模拟试题及答案一、单项选择题（每题1分，共20分）1.根据《中华人民共和国个人信息保护法》，以下关于个人信息处理者义务的表述，正确的是：A.个人信息处理者可以委托他人处理个人信息，无需向个人告知受托人的信息B.发生个人信息泄露时，个人信息处理者应当立即采取补救措施，但无需通知履行个人信息保护职责的部门和个人C.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计D.处理个人信息达到国家网信部门规定数量的个人信息处理者，无需指定个人信息保护负责人答案：C2.下列情形中，个人信息处理者处理个人信息无需取得个人单独同意的是：A.为订立、履行个人作为一方当事人的合同所必需B.向其他个人信息处理者提供其处理的个人信息C.处理敏感个人信息D.在公共场所安装图像采集、个人身份识别设备，用于维护公共安全以外的目的答案：A3.甲公司开发了一款健身APP，在用户注册时，其《隐私政策》以一行小字在冗长用户协议中提及“可能会与合作伙伴共享您的设备信息”。用户乙未仔细阅读便勾选同意。后甲公司将乙的设备信息共享给第三方广告公司用于精准营销。根据《个人信息保护法》，以下说法正确的是：A.甲公司已通过隐私政策告知，履行了告知义务，处理行为合法B.甲公司共享个人信息无需取得乙的单独同意C.甲公司对个人信息的处理目的、方式、种类等发生变更，应当重新取得个人同意，其现有告知方式不满足“显著方式、清晰易懂语言”的要求，可能被认定为未取得有效同意D.乙可以主张甲公司侵犯其隐私权，但不能依据《个人信息保护法》主张权利答案：C4.关于个人信息跨境提供的规则，根据《个人信息保护法》，以下表述错误的是：A.关键信息基础设施运营者处理个人信息，应当将个人信息存储在境内B.处理个人信息达到规定数量的个人信息处理者，确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估C.个人信息处理者因业务需要向境外提供个人信息，只要与境外接收方订立合同约定双方权利义务即可，无需取得个人单独同意D.中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求答案：C5.以下不属于《个人信息保护法》规定的敏感个人信息的是：A.金融账户信息B.行踪轨迹信息C.已公开的职业信息D.不满十四周岁未成年人的个人信息答案：C6.某大型电商平台“购易网”利用平台内商户的交易数据，通过算法分析，对用户进行“大数据杀熟”，即对老客户显示更高价格。该行为主要违反了《个人信息保护法》的哪项原则？A.合法、正当、必要和诚信原则B.目的明确和最小必要原则C.公开、透明原则D.个人信息质量原则答案：A7.根据《个人信息保护法》，个人对其个人信息的权利不包括：A.查阅、复制权B.更正、补充权C.删除权（即被遗忘权）D.无条件限制或拒绝处理权答案：D8.个人信息处理者拒绝个人行使查阅、复制权的请求时，下列做法符合法律规定的是：A.直接拒绝，无需说明理由B.告知其向法院起诉C.说明理由并告知其可以依法申请行政复议或提起行政诉讼D.说明理由并告知其可以依法向履行个人信息保护职责的部门进行投诉、举报答案：D9.以下关于死者个人信息保护的表述，正确的是：A.死者个人信息不再受法律保护，近亲属无权行使相关权利B.死者近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利C.死者生前另有安排的，其安排无效，仍由近亲属决定D.任何组织和个人均可随意处理死者个人信息答案：B10.某网络公司为进行“个性化推荐”，在未告知用户的情况下，在其APP后台持续收集用户的通讯录、精确地理位置、应用列表等信息。该行为主要侵犯了用户的：A.知情权B.决定权C.查阅复制权D.删除权答案：A二、多项选择题（每题2分，共20分）1.根据《个人信息保护法》，以下哪些情形下，个人信息处理者处理个人信息可以不经个人同意？（）A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息E.依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息答案：ABCDE2.个人信息处理者处理敏感个人信息，应当满足以下哪些条件？（）A.具有特定的目的和充分的必要性B.采取严格保护措施C.告知处理敏感个人信息的必要性以及对个人权益的影响D.取得个人的单独同意E.如果是法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定答案：ABCDE3.下列哪些活动属于《个人信息保护法》规定的“个人信息处理”？（）A.个人信息的收集、存储、使用B.个人信息的加工、传输、提供C.个人信息的公开、删除D.对个人信息进行匿名化处理E.在个人信息被泄露后采取补救措施答案：ABC。解析：D项匿名化处理后的信息不属于个人信息，E项是安全事件应对措施，不属于典型的“处理”行为。4.关于个人信息保护影响评估，下列说法正确的有：（）A.处理敏感个人信息应当事前进行个人信息保护影响评估B.利用个人信息进行自动化决策应当事前进行个人信息保护影响评估C.委托处理个人信息、向他人提供个人信息、公开个人信息应当事前进行个人信息保护影响评估D.个人信息保护影响评估报告和处理情况记录应当至少保存两年E.评估内容包括个人信息的处理目的、方式等是否合法、正当、必要，对个人权益的影响及安全风险，所采取的保护措施是否合法、有效并与风险程度相适应答案：ABE。解析：C项，委托处理无需事前评估；D项，应当至少保存三年。5.某市交通管理部门为了查处交通违法行为，在市区主要路口安装了具有人脸识别功能的高清摄像头，自动抓拍并识别闯红灯的行人身份信息。对此，下列表述正确的有：（）A.该行为属于为履行法定职责所必需，可以不经个人同意B.该行为涉及在公共场所收集个人生物识别信息，应当设置显著的提示标识C.该行为收集的个人信息只能用于维护公共安全的目的，不得用于其他用途D.个人如果对处罚不服，有权要求交通管理部门对其个人信息处理规则进行解释说明E.交通管理部门应当采取严格措施保护所收集的个人信息，防止泄露答案：ABCDE三、案例分析题（不定项选择题，每题2分，共20分）案例一：“智学”公司运营一款面向中小学生的在线教育平台。为提升教学效果和进行市场分析，该公司在其用户协议中规定：将收集学生的姓名、学校、年级、学习成绩、上课时长、答题记录、设备信息、IP地址等信息；可能会利用算法对学生的学习行为进行分析，并据此向学生推荐课程和内容；为提供更好的服务，可能会与关联公司共享部分信息。所有注册用户均需勾选同意该协议。学生甲（13岁）在其监护人乙不知情的情况下，使用乙的手机号注册了平台账号并学习了半年。后乙发现此事，要求“智学”公司删除甲的所有个人信息，并拒绝其继续使用甲的信息进行算法推荐。“智学”公司以甲已同意用户协议为由拒绝。1.关于“智学”公司处理学生甲个人信息的行为，下列说法正确的有：（）A.甲为未成年人，其同意无效，“智学”公司应当取得其监护人乙的同意B.即使甲已同意，“智学”公司处理其个人信息也应当取得监护人乙的单独同意C.“智学”公司处理不满十四周岁未成年人个人信息，应当制定专门的个人信息处理规则D.“智学”公司利用算法对甲的学习行为进行分析并推荐课程，属于自动化决策，应当保证决策的透明度和结果公平、公正答案：BCD。解析：根据《个人信息保护法》第三十一条，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并应当制定专门的个人信息处理规则。故A错，B、C对。D项符合第二十四条关于自动化决策的规定。2.若“智学”公司向关联公司共享学生信息，应当：（）A.向个人告知共享方的身份、联系方式、处理目的、方式和个人信息的种类B.取得个人的单独同意C.与关联公司约定双方的权利和义务，并对关联公司的处理行为进行监督D.共享后，关联公司变更原先的处理目的、方式的，无需重新取得个人同意答案：ABC。解析：根据《个人信息保护法》第二十三条，向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的身份、联系方式、处理目的、方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、方式和个人信息的种类等范围内处理个人信息。变更的，应当重新取得个人同意。故D错。3.监护人乙要求“智学”公司删除甲的个人信息，在下列哪些情形下，“智学”公司应当及时删除？（）A.处理目的已实现、无法实现或者为实现处理目的不再必要B.乙撤回同意C.“智学”公司违反法律、行政法规或者违反约定处理个人信息D.乙要求删除，且“智学”公司没有必须保留的法律依据答案：ABC。解析：根据《个人信息保护法》第四十七条，删除的法定情形包括A、B、C，以及法律、行政法规规定的其他情形。D项表述不准确，个人有权请求删除，但处理者若因法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，可以停止除存储和采取必要的安全保护措施之外的处理，并非必须删除。案例二：“迅达”快递公司为提高分拣效率，在其分拣中心安装了智能监控系统。该系统不仅能监控场地安全，还能通过扫描快递面单，自动识别收寄件人的姓名、电话、地址等个人信息，并与内部管理系统关联，实现包裹轨迹的全程自动化记录。公司内部规定，监控数据保存三个月后自动覆盖。员工丙因对公司不满，利用工作权限，私自下载了包含大量客户个人信息的监控片段，并在网络黑市出售，导致大量客户信息泄露，遭到诈骗电话骚扰。事件发生后，“迅达”公司次日才向主管部门报告，并在一周后通过官网公告方式告知受影响的用户。4.关于“迅达”公司安装智能监控系统处理个人信息的行为，下列说法正确的有：（）A.为提升分拣效率处理个人信息，属于“为订立、履行合同所必需”，无需取得个人单独同意B.在快递分拣中心这一工作场所收集个人信息，应当设置显著的提示标识C.其处理个人信息的目的超出了公共安全范围，应当向个人履行告知义务D.其内部规定的三个月保存期限，可能短于履行快递服务合同所需的合理期限答案：BCD。解析：A错误，提升分拣效率并非订立、履行快递运输合同本身所“必需”的环节，尤其是通过监控扫描面单自动识别信息，超出了履行合同的核心范畴，应当履行告知义务。B、C正确。D正确，快递信息的保存需满足《快递暂行条例》等相关规定，可能长于三个月。5.对于员工丙的行为及“迅达”公司的应对，下列表述正确的有：（）A.员工丙的行为构成侵犯公民个人信息罪，“迅达”公司无需承担民事责任B.“迅达”公司未采取充分的管理措施和技术措施防止信息泄露，存在过错C.“迅达”公司在发生泄露事件后，未立即采取补救措施并履行通知义务，违反了法律规定D.受影响的用户有权要求“迅达”公司对其损失承担赔偿责任答案：BCD。解析：A错误，根据《个人信息保护法》，个人信息处理者应当对内部工作人员进行权限管理和安全教育，因内部人员原因导致泄露的，处理者可能因未尽到管理责任而承担相应的民事、行政责任。B、C、D符合《个人信息保护法》关于个人信息安全事件应对及侵权责任的规定。四、简答题（每题10分，共20分）1.简述《个人信息保护法》中规定的个人信息处理者共同处理个人信息时，各方承担连带责任的情形及法理依据。答案：根据《个人信息保护法》第二十条，两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者行使本法规定的权利。如果个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。其法理依据主要在于共同侵权理论。当多个处理者共同决定个人信息的处理目的和方式时，意味着它们对可能产生的风险和对个人权益的影响具有共同的认识和意志，构成了一个共同的处理行为。因此，当该共同行为造成损害时，法律将其视为一个整体，要求所有参与者对外承担连带责任，这有利于充分保护个人信息权益，避免个人在求偿时因内部责任划分不清而陷入困境。同时，法律也允许处理者内部通过约定划分责任，但这种内部约定不能对抗外部的权利人。2.个人信息处理者如何保障个人在自动化决策中的权利？请结合《个人信息保护法》的具体规定说明。答案：根据《个人信息保护法》第二十四条，个人信息处理者利用个人信息进行自动化决策，应当保障个人的以下权利：（1）知情权与决策透明度保障：自动化决策应当保证决策的透明度和结果公平、公正。处理者应当以显著方式、清晰易懂的语言，向个人告知其个人信息被用于自动化决策的情况，包括决策的逻辑、可能产生的结果及其重要性。（2）拒绝权与选择权：通过自动化决策方式作出对个人权益有重大影响的决定（如是否给予贷款、是否录用等），个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。这意味着处理者必须提供不依赖完全自动化决策的人工复核渠道或替代方案。（3）获得人工干预和救济的权利：当个人认为自动化决策对其权益造成重大影响时，有权要求处理者进行人工复核或提出异议。处理者应当建立相应的申诉和处理机制。为落实上述权利，处理者在进行自动化决策前，特别是涉及对个人权益有重大影响时，应当事前进行个人信息保护影响评估，并对决策过程和结果进行记录，确保可追溯、可解释。五、论述题（20分）试论述《个人信息保护法》确立的“告知-同意”核心规则体系，并分析其在实践中面临的挑战及可能的完善方向。答案：《个人信息保护法》构建了以“告知-同意”为核心的个人信息处理规则体系，这是保障个人对其信息自决权的基础性制度安排。一、“告知-同意”规则体系的主要内容：1.告知义务的强化：处理者在处理个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知法定事项（第十十七条），包括处理者的身份和联系方式、处理目的和方式、个人信息种类和保存期限、个人行使权利的方式和程序等。特别是处理敏感个人信息、向他人提供个人信息、公开个人信息、在公共场所安装图像采集设备等场景下，告知要求更为严格。2.同意规则的细化与分层：一般同意：处理个人信息原则上需取得个人同意，该同意应当由个人在充分知情的前提下自愿、明确作出。单独同意：在特定高风险场景下，法律要求取得个人的“单独同意”，包括处理敏感个人信息（第二十八条）、向他人提供个人信息（第二十三条）、公开个人信息（第二十五条）、在公共场所安装图像采集设备用于维护公共安全以外的目的（第二十六条）等。这要求处理者就特定事项进行特别告知并获得明确授权，避免“一揽子”同意。书面同意：法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。同意撤回权：个人有权随时撤回其同意，且不影响撤回前基于个人同意已进行的个人信息处理活动的效力（第十五条）。3.“告知-同意”的例外情形：法律明确规定了十三种无需取得个人同意的情形（第十三条），如为订立履行合同所必需、履行法定职责义务、应对突发公共卫生事件、为公共利益实施新闻报道等，平衡了个人信息保护与其他重要法益。二、实践中面临的挑战：1.同意疲劳与形式化：互联网环境下，用户面临海量、复杂的隐私政策，往往未阅读即勾选同意，导致同意并非真正“充分知情”和“自愿”的结果，“告知-同意”机制流于形式。2.权力结构失衡下的“胁迫同意”：在“要么同意、要么无法使用服务”的模式下