《数据安全法》《个人信息保护法》应知应会知识学习测试题及答案

《数据安全法》《个人信息保护法》应知应会知识学习测试题及答案一、单项选择题（共20题，每题1.5分）1.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度。以下哪项不是数据分类分级的主要依据？（）A.数据在经济社会发展中的重要程度B.数据遭到篡改、破坏、泄露或者非法获取后对国家安全造成的危害程度C.数据遭到篡改、破坏、泄露或者非法获取后对公共利益或者个人、组织合法权益的危害程度D.数据的存储格式与文件大小2.《中华人民共和国个人信息保护法》规定，个人信息处理者处理个人信息应当遵循合法、正当、必要和（）原则。A.公开透明B.诚信原则C.对等原则D.效率优先3.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）存储。A.云端B.境内C.企业总部D.任何符合安全标准的地方4.根据《个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响（）的方式。A.最大B.适中C.最小D.可控5.下列哪种情形属于《个人信息保护法》规定的“敏感个人信息”？（）A.用户的昵称B.用户的浏览记录C.用户的生物识别信息D.用户的设备型号6.《数据安全法》规定，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。关于“重要数据”，下列说法错误的是？（）A.一旦泄露可能直接影响国家安全B.一旦泄露可能直接影响经济运行C.仅包括国家政务数据D.关系国家安全、经济运行、公共利益等重要数据7.个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的（）的同意。A.本人B.父母或者其他监护人C.学校老师D.任何亲属8.根据《数据安全法》，因数据业务活动可能对国家安全、公共利益或者个人、组织合法权益造成危害的，应当按规定开展（）。A.数据安全审计B.数据出境风险评估C.数据安全风险评估D.数据质量检测9.企业A向境外提供个人信息，应当具备下列哪项条件？（）A.只需告知个人即可B.只要通过企业内部安全检测C.通过国家网信部门组织的安全评估D.签署商业合同即可10.《个人信息保护法》规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下（）作出。A.口头B.默示C.自愿、明确D.书面11.处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定（）负责个人信息保护工作。A.法定代表人B.首席技术官（CTO）C.个人信息保护负责人D.安全运维人员12.在公共场所安装图像采集、个人身份识别设备，应当设置显著的（）。A.警示标识B.提示标识C.隐私政策链接D.备案号13.《数据安全法》规定，从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核（）。A.数据的交易价格B.数据的交易数量C.数据供需双方的身份D.数据的数据格式14.个人发现其个人信息被违法违规处理或者权益受到侵害的，有权要求个人信息处理者及时删除；个人信息处理者应当（）删除。A.根据业务需要决定是否B.在核实后立即C.在三十个工作日内D.在收集满一定期限后15.违反《数据安全法》规定，给他人造成损害的，依法承担（）。A.行政责任B.刑事责任C.民事责任D.纪律责任16.根据《个人信息保护法》，通过自动化决策方式向消费者进行商业营销，应当同时提供不针对其个人特征的（）。A.选项B.促销信息C.广告屏蔽功能D.退款通道17.重要数据的处理者应当按照规定对其数据处理活动定期开展（），并向有关主管部门报送风险评估报告。A.审计B.数据安全风险评估C.备份D.应急演练18.《个人信息保护法》规定，个人信息保护影响评估应当包括下列哪些内容？（）A.仅评估处理目的B.仅评估处理方式C.处理目的、处理方式是否合法、正当、必要D.仅评估数据存储位置19.任何国家、地区在与数据和数据开发利用技术等有关的投资、贸易等方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家、地区采取（）。A.对等措施B.制裁措施C.武力威慑D.外交抗议20.违反《个人信息保护法》规定，处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，拒不改正的，并处（）罚款；情节严重的，并可吊销营业执照。A.五千元以上五万元以下B.五万元以上五十万元以下C.一百万元以下D.一百万元二、多项选择题（共15题，每题3分。多选、少选、错选均不得分）1.《数据安全法》所称数据，是指任何以电子或者其他方式对信息的记录。数据安全法保障的数据安全范围包括（）。A.数据存储安全B.数据传输安全C.数据处理安全D.数据跨境流动安全2.根据《个人信息保护法》，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（）A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使权利的方式和程序D.法律、行政法规规定应当告知的其他事项3.下列哪些情形，个人信息处理者可以在不取得个人同意的情况下处理个人信息？（）A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息4.个人信息处理者处理敏感个人信息，应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响，但下列哪些情形可以不向个人告知处理敏感个人信息的必要性以及对个人权益的影响？（）A.法律规定应当保密B.紧急情况下为保护自然人的生命健康和财产安全C.根据个人决定处理方式D.企业内部管理需要5.根据《数据安全法》，国家建立数据安全（）机制。A.审查B.风险评估C.应急处置D.安全审查6.依据《个人信息保护法》，个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行（）。A.监督B.审计C.替代D.忽略7.下列属于《个人信息保护法》规定的个人在个人信息处理活动中的权利包括：（）A.查阅、复制其个人信息B.更正、补充其个人信息C.删除其个人信息D.撤回同意E.解释说明8.《数据安全法》规定，国家建立数据分类分级保护制度，按照数据对国家安全、公共利益或者个人、组织合法权益的危害程度进行分类分级。其中，危害程度包括哪些方面？（）A.安全B.经济C.社会稳定D.隐私9.关于个人信息跨境提供，下列说法正确的有（）。A.关键信息基础设施运营者处理个人信息达到规定数量，确需向境外提供的，应当通过国家网信部门组织的安全评估B.非关键信息基础设施运营者，处理个人信息达到规定数量，确需向境外提供的，应当通过国家网信部门组织的安全评估C.未达到国家网信部门规定数量的个人信息处理者，可以订立合同，明确双方权利义务D.所有数据出境都必须经过安全评估10.发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列哪些事项？（）A.个人信息泄露、篡改、丢失的类型、原因和可能的影响B.个人信息处理者采取的补救措施和即将采取的措施C.个人信息处理者的联系方式D.法律、行政法规规定应当告知的其他事项11.违反《数据安全法》规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。下列哪些行为可能触犯刑法？（）A.窃取或者以其他非法方式获取数据B.数据交易中介机构未履行审核义务C.提供数据处理服务的机构篡改数据D.未按照规定安装安全软件12.根据《个人信息保护法》，利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。这主要针对的是（）行为。A.大数据杀熟B.算法推荐C.用户画像D.数据加密13.个人信息处理者应当履行下列哪些个人信息保护义务？（）A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限14.《数据安全法》要求，中央国家安全领导机构负责国家数据安全工作的决策和议事协调，研究制定、指导实施国家数据安全战略和有关重大方针政策，统筹协调国家数据安全的（）工作。A.重大事项B.重大机制C.重大问题D.重大建设15.依据《个人信息保护法》，履行个人信息保护职责的部门履行下列职责：（）。A.开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作B.接受、处理与个人信息保护有关的投诉、举报C.组织对应用程序等个人信息保护情况进行测评，并公布测评结果D.调查、处理违法个人信息处理活动三、判断题（共15题，每题1分。对的打“√”，错的打“×”）1.《数据安全法》于2021年6月10日通过，自2021年11月1日起施行。（）2.《个人信息保护法》不仅规范个人信息的处理活动，也规范个人信息的所有权的归属。（）3.任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。（）4.经过匿名化处理后的信息，如果无法识别特定自然人且不能复原，就不再属于个人信息。（）5.只有政府机关才需要开展数据安全风险评估，企业不需要。（）6.个人信息处理者可以在未经用户同意的情况下，通过误导、欺诈、胁迫等方式获得个人同意。（）7.基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。（）8.个人信息保护负责人应当具有相关管理工作经历和专业能力，由法定代表人直接负责。（）9.为了提高营销效率，企业可以将收集到的用户手机号码直接出售给第三方推广公司。（）10.在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，只要有处理行为，就必须遵守《个人信息保护法》。（）11.《数据安全法》规定，各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。（）12.重要数据出境必须经过国家网信部门的安全评估。（）13.个人信息处理者处理敏感个人信息，应当取得个人的单独同意。（）14.自动化决策是指利用计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。（）15.违反《个人信息保护法》规定，最高可处五千万元或者上一年度营业额百分之五的罚款，并可以吊销营业执照。（）四、填空题（共10空，每空2分）1.《数据安全法》确立了______、数据安全制度、数据安全保护义务、数据政务体系、数据安全法律责任等基本框架。2.个人信息是以电子或者其他方式记录的与已识别或者可识别的______有关的各种信息，不包括匿名化处理后的信息。3.处理个人信息应当遵循______、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。4.个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所______的除外。5.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当进行______。6.《个人信息保护法》规定，个人有权向个人信息处理者查阅、复制其个人信息；有本法规定情形的，个人信息处理者应当拒绝，除非为了______需要。7.国家网信部门负责统筹协调______和相关数据安全监管工作。8.在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的______标识。9.处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定______负责个人信息保护工作。10.违反《数据安全法》规定，给他人造成损害的，依法承担民事责任；构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究______。五、简答题（共5题，每题5分）1.请简述《数据安全法》中定义的“数据”以及“数据安全”的概念。2.根据《个人信息保护法》，处理敏感个人信息应当具备哪些特别条件？3.请列举个人信息处理者在发生或者可能发生个人信息泄露、篡改、丢失时应当采取的补救措施和通知义务的主要内容。4.简述《数据安全法》中关于数据分类分级保护制度的规定。5.个人信息处理者委托处理个人信息的，双方应当承担怎样的责任与义务？六、应用分析题（共2题，第一题15分，第二题20分）1.案例背景：某知名电商平台A公司为了提升用户购物体验，开发了“猜你喜欢”推荐算法。该算法不仅基于用户的浏览、购买历史，还秘密接入了用户在某社交软件B上的好友关系数据以及用户手机的位置信息（包括夜间常驻地址）。A公司在新用户注册时，通过默认勾选的方式获取了用户对收集所有上述信息的同意。此外，A公司发现部分用户的购物习惯存在异常，为了风控，A公司收集了用户的人脸识别信息用于核验身份，但在未单独告知用户并取得单独同意的情况下进行。后来，A公司为了拓展海外业务，将国内平台收集的100万用户的个人信息直接传输至位于国外的总部服务器进行存储和分析，未进行任何安全评估。请根据《数据安全法》和《个人信息保护法》分析A公司存在的违规行为。2.综合案例分析：某大型健康管理APP“健康宝”（化名）拥有注册用户过亿。该APP提供在线问诊、健康档案存储、步数监测等功能。事件一：为了精准投放医疗广告，“健康宝”公司与一家第三方数据分析公司C签订合同，将用户的疾病诊断记录、用药记录等敏感信息提供给C公司，合同中未对数据安全保护义务作详细约定，也未告知用户。事件二：“健康宝”APP在收集用户位置信息时，隐私政策中写道“收集位置信息是为了提供附近药店推荐”，但实际上该位置信息被APP在后台全天候收集，用于构建用户画像并出售给保险公司用于定价。事件三：“健康宝”APP发现由于服务器漏洞，导致10万用户的身份证号、电话号码被泄露在互联网上。技术人员在2天后发现了该漏洞并修复，但直到一个月后，在媒体曝光的情况下，APP运营方才发布公告承认数据泄露。请结合《数据安全法》与《个人信息保护法》，详细分析“健康宝”在上述三个事件中违反了哪些具体的法律规定？并说明其应当承担的法律后果及正确的应对措施。参考答案及解析一、单项选择题1.D解析：《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用后，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。数据存储格式与文件大小不属于分类分级依据。2.B解析：《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则。3.B解析：《数据安全法》第三十一条规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。4.C解析：《个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。5.C解析：《个人信息保护法》第二十八条第一款规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。6.C解析：重要数据的范围不仅仅包括国家政务数据，还包括各行各业涉及国家安全、经济运行、公共利益的数据。C选项表述过于片面且错误。7.B解析：《个人信息保护法》第三十一条规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。8.C解析：《数据安全法》第二十二条规定，国家建立数据安全风险评估、报告、信息共享、监测预警机制。数据交易中介、数据处理活动都可能触发此要求。9.C解析：《个人信息保护法》第三十八条规定，个人信息处理者确需向境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务等。10.C解析：《个人信息保护法》第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。11.C解析：《个人信息保护法》第五十二条规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。12.B解析：《个人信息保护法》第二十六条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。13.C解析：《数据安全法》第三十三条规定，从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份。14.B解析：《个人信息保护法》第四十七条规定了应当删除个人信息的情形，且通常要求在核实后及时删除。15.C解析：《数据安全法》第六十七条规定，违反本法规定，造成他人损害的，依法承担民事责任。同时也可能涉及行政和刑事责任。16.A解析：《个人信息保护法》第二十四条规定，通过自动化决策方式向消费者进行商业营销，应当同时提供不针对其个人特征的选项或者向消费者提供便捷的拒绝方式。17.B解析：《数据安全法》第三十二条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展数据安全风险评估，并向有关主管部门报送风险评估报告。18.C解析：《个人信息保护法》第五十六条规定，个人信息保护影响评估应当包括处理目的、处理方式等是否合法、正当、必要。19.A解析：《数据安全法》第二十六条规定，任何国家、地区在与数据和数据开发利用技术等有关的投资、贸易等方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家、地区采取对等措施。20.D解析：《个人信息保护法》第六十六条规定，违反本法规定处理个人信息，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元或者上一年度营业额百分之五罚款。一般违法则适用较低的罚款额度，但选项D作为“一百万”并未完全覆盖法条完整表述，但在给出的选项中，D项对应的严重情形下的高罚款门槛（以及一般情形下的罚款逻辑）对比其他选项，D最接近法条规定的高额处罚特征。注意：题目问的是“拒不改正的，并处...”，依据第六十六条，拒不改正且情节严重的，才涉及高额。一般拒不改正也涉及罚款。此处选项设计意在考察对高额罚则的认知。二、多项选择题1.A,B,C,D解析：数据安全涵盖数据全生命周期的安全，包括收集、存储、使用、加工、传输、提供、公开等。2.A,B,C,D解析：《个人信息保护法》第十七条详细规定了处理个人信息前应当告知的事项，A、B、C、D均为法定告知内容。3.A,B,C,D解析：《个人信息保护法》第十三条规定了不需取得个人同意的情形，包括A、B、C、D以及法律、行政法规规定的其他情形。4.A,B解析：《个人信息保护法》第三十条规定，只有在法律、行政法规规定应当保密或者不需要告知的情形下，才可以不告知处理敏感个人信息的必要性及影响。5.A,B,C解析：《数据安全法》规定了国家建立数据安全审查制度、数据安全风险评估、报告、信息共享、监测预警机制等。6.A,B解析：《个人信息保护法》第五十九条规定，委托处理个人信息的，应当对受托人的个人信息处理活动进行监督。7.A,B,C,D,E解析：《个人信息保护法》第四章详细规定了个人在个人信息处理活动中的权利，包括查阅复制权、更正补充权、删除权、撤回同意权、解释说明权等。8.A,B,C,D解析：数据分类分级的危害程度考量包括国家安全、公共利益、个人/组织合法权益，具体涵盖安全、经济、社会稳定、隐私等多个维度。9.A,B,C解析：根据《个人信息保护法》第三十八条和第四十条，达到规定数量（如100万）的处理者必须通过安全评估（A、B）；未达到数量的可以订立标准合同（C）。D选项“所有”过于绝对。10.A,B,C,D解析：《个人信息保护法》第五十七条规定了通知应当包含的事项，A、B、C、D均包含在内。11.A,B,C解析：窃取数据、未履行审核义务导致严重后果、篡改数据均可能触犯刑法（如侵犯公民个人信息罪、破坏计算机信息系统罪等）。D项未安装安全软件属于行政违法范畴，除非造成严重后果才可能涉及犯罪，但直接关联度较低。12.A解析：禁止不合理的差别待遇主要针对的是“大数据杀熟”，即利用用户画像对不同用户实施不同价格。13.A,B,C,D解析：《个人信息保护法》第五十一条规定了个人信息处理者应当履行的各项保护义务，包括制定制度、分类管理、采取技术措施、确定权限等。14.A,C解析：《数据安全法》第五条规定，中央国家安全领导机构负责统筹协调国家数据安全的重大事项和重大问题。15.A,B,C,D解析：《个人信息保护法》第六十条详细规定了履行个人信息保护职责的部门的职责，包括宣传教育、接受投诉举报、组织测评、调查处理违法活动等。三、判断题1.√解析：《数据安全法》于2021年6月10日通过，自2021年9月1日起施行。（注意：题目写的是11月1日，而实际施行日期是9月1日。此处为考察记忆准确性。故答案应为×）。更正：《数据安全法》自2021年9月1日起施行。《个人信息保护法》自2021年11月1日起施行。因此本题错误。2.×解析：《个人信息保护法》规范的是个人信息的“处理活动”，并未规定个人信息的“所有权”归属。民法上对数据所有权的归属尚有争议，该法侧重于规制处理行为。3.√解析：符合《个人信息保护法》第十条规定。4.√解析：符合《个人信息保护法》第四条关于个人信息的定义，匿名化后的信息不属于个人信息。5.×解析：《数据安全法》规定，重要数据的处理者应当按照规定对其数据处理活动定期开展数据安全风险评估。企业处理重要数据同样需要评估。6.×解析：《个人信息保护法》明确禁止通过误导、欺诈、胁迫等方式获得个人同意。7.√解析：符合《个人信息保护法》第十四条规定。8.×解析：个人信息保护负责人由个人信息处理者“指定”，通常向管理层汇报，不一定是法定代表人本人负责。9.×解析：非法买卖、提供或者公开他人个人信息属于严重违法行为。10.√解析：符合《个人信息保护法》第三条规定，具有域外效力。11.√解析：符合《数据安全法》第六条规定。12.√解析：根据现行规定，重要数据出境原则上应当通过安全评估。13.√解析：《个人信息保护法》第二十九条、三十条规定，处理敏感个人信息应当取得个人的单独同意。14.√解析：符合《个人信息保护法》第二十四条第一款规定。15.√解析：符合《个人信息保护法》第六十六条规定，这是该法最严厉的处罚条款。四、填空题1.数据安全与发展解析：《数据安全法》强调统筹发展与安全。2.自然人解析：个人信息保护的对象是自然人，不包括法人或非法人组织。3.合法解析：合法、正当、必要和诚信原则。4.必需解析：拒绝提供服务仅限于处理个人信息属于提供产品或者服务所必需的情形。5.安全评估解析：关键信息基础设施运营者数据出境需进行安全评估。6.公共安全解析：除为了公共安全需要外，不得拒绝查阅复制请求。7.个人信息保护解析：国家网信部门的职责之一。8.提示解析：公共场所安装图像采集设备需设置显著提示标识。9.个人信息保护负责人解析：达到规定数量的处理者需指定专门负责人。10.刑事责任解析：违法后果包括民事、行政、刑事责任。五、简答题1.参考答案：（1）数据：是指任何以电子或者其他方式对信息的记录。（2）数据安全：是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。2.参考答案：处理敏感个人信息应当具备下列条件：（1）具有特定的目的和充分的必要性；（2）采取严格保护措施；（3）应当事前进行个人信息保护影响评估；（4）向个人告知处理敏感个人信息的必要性以及对个人权益的影响（法律、行政法规规定应当保密或不需要告知的除外）；（5）应当取得个人的单独同意。3.参考答案：（1）补救措施：个人信息处理者应当立即采取补救措施，防止损失扩大。（2）通知义务：通知履行个人信息保护职责的部门和个人。（3）通知内容：包括个人信息泄露、篡改、丢失的类型、原因和可能的影响；个人信息处理者采取的补救措施和即将采取的措施；个人信息处理者的联系方式；法律、行政法规规定应当告知的其他事项。（4）例外情况：采取措施能够有效避免信息泄露造成危害的，可以不通知个人；监管部门认为可能造成危害的，应当及时通知。4.参考答案：（1）国家建立数据分类分级保护制度。（2）按照数据对国家安全、公共利益或者个人、组织合法权益的危害程度进行分类分级。（3）各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。5.参考答案：（1）合同约定：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等。（2）监督责任：个人信息处理者应当对受托人的个人信息处理活动进行监督。（3）受托人义务：受托人应当按照约定