2026年个人信息保护合规测试试卷及答案

2026年个人信息保护合规测试试卷及答案单项选择题（每题5分，共50分）1.某生成式人工智能服务提供者训练大模型时，使用了从公开渠道爬取的10万条用户个人社交动态，其中包含5000条可识别到特定自然人的信息，根据《个人信息保护法》及2025年出台的《生成式人工智能服务管理暂行办法补充规定》，以下做法合规的是（）A.因为是公开渠道获取，所以无需取得个人同意，可以直接用于训练B.仅对敏感个人信息取得同意，一般个人信息无需同意C.该爬取行为若超出公开信息发布者公开时的合理预期，应当依法取得个人同意后方可用于模型训练D.只要对个人信息做了匿名化处理，依然需要取得个人同意参考答案：C答案解析：根据现行监管规定，处理公开个人信息不得超出信息主体公开信息时的合理预期，大模型训练利用公开个人信息一般不属于原公开目的范畴，因此应当依法取得个人同意；匿名化处理后的信息不属于个人信息，无需取得同意，因此C选项正确。2.某网约车平台拟向境外母公司传输境内收集的98万用户的出行轨迹信息，以下哪种传输路径符合我国现行合规要求（）A.该平台已经通过了个人信息出境标准合同备案，直接按备案内容传输B.因为出境信息不到100万人，不需要做任何合规程序，直接传输即可C.只要境外母公司符合欧盟GDPR要求，就可以直接传输D.经过用户口头同意后就可以直接传输参考答案：A答案解析：根据《个人信息出境管理办法》，我国个人信息出境实行分类合规管理，处理个人信息不满100万人的出境业务，可选择标准合同备案、认证或者安全评估三种路径，未经合规备案或评估不得擅自出境；用户同意不替代法定合规程序要求，因此A选项正确。3.用户张三向某互联网公司提出删除其个人信息的申请，以下哪项情况互联网公司可以拒绝删除（）A.张三注销了该平台账号，且无未了结业务B.该互联网公司收集的张三个人信息存储期限已经届满C.该公司为了完成向税务机关报送纳税申报的法定义务，留存张三作为劳动者的身份信息、收入信息D.张三撤回了同意该公司处理其个人信息的同意参考答案：C答案解析：根据《个人信息保护法》，个人信息处理者为履行法定职责或者法定义务所必需留存的个人信息，可不予删除，因此C选项正确。4.某商场在出入口安装人脸识别设备用于统计客流，以下做法合规的是（）A.为了提升统计精度，将抓取的人脸图像存储3个月用于算法优化B.在入口处张贴醒目的告知牌，说明采集人脸识别信息用于客流统计，顾客不接受可以选择其他方式进出商场，不设置额外限制C.为了防盗，同时将抓取的人脸信息同步共享给辖区派出所用于寻找在逃人员，无需额外告知D.将客流统计中获得的人脸数据匿名化后卖给数据公司获得收益参考答案：B答案解析：根据个人信息保护相关规定，公共场所安装图像采集、个人身份识别设备，应当遵守国家有关规定，不得违规存储抓取的个人人脸图像，不得擅自共享、出售个人信息，同时应当为不愿意接受信息采集的用户提供替代进入方式，因此B选项正确。5.关于处理不满十四周岁未成年人个人信息，以下说法正确的是（）A.只要未成年人自己同意就可以处理B.只需要未成年人同意或者监护人同意任意一方即可C.处理不满十四周岁未成年人个人信息应当取得未成年人的父母或者其他监护人的单独同意D.未成年人使用互联网产品必须提供监护人身份信息，因此产品运营者可以随意处理未成年人信息参考答案：C答案解析：《个人信息保护法》明确规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的单独同意，因此C选项正确。6.某电商平台推出个性化推荐服务，用户关闭个性化推荐后，平台以下做法正确的是（）A.以用户关闭推荐会降低服务匹配效率为由，要求用户注销账号才能关闭B.收取10元手续费后为用户提供关闭服务C.在用户账号设置页面提供一键关闭的入口，无附加条件为用户关闭D.要求用户提供身份证原件线下核验身份后才能关闭参考答案：C答案解析：《个人信息保护法》明确要求，个人信息处理者应当为个人提供便捷的拒绝个性化推荐的渠道，不得设置不合理的附加条件，因此C选项正确。7.下列哪一项不属于我国法律规定的敏感个人信息（）A.生物识别信息B.宗教信仰信息C.个人行踪信息D.个人普通收件地址信息参考答案：D答案解析：我国法律规定的敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，普通收件地址不属于敏感个人信息范畴，因此D选项正确。8.某个人信息处理者发生个人信息泄露事件后，以下哪项处置顺序是符合法律规定的（）A.立即采取补救措施→通知履行个人信息保护职责的部门→通知可能受影响的个人B.先通知媒体引导舆论→再采取补救措施→最后通知监管部门C.先封锁消息避免恐慌→悄悄处置后不需要通知任何主体D.先通知用户，再采取补救措施，不需要通知监管部门参考答案：A答案解析：根据《个人信息保护法》，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和受影响的个人，因此A选项正确。9.个人信息保护影响评估报告应当至少保存（）A.1年B.3年C.5年D.永久保存参考答案：B答案解析：根据《个人信息保护法》及配套监管规定，个人信息保护影响评估报告应当至少保存三年，因此B选项正确。10.以下哪一项不属于个人信息处理者可以合法拒绝个人行使权利申请的情形（）A.个人信息处理者已经停止合法运营，且完成了个人信息的注销或删除B.申请事项超出了个人信息处理者的处理能力范围，且无合理解决途径C.申请系重复、不合理申请，属于权利滥用情形D.个人要求更正其错误的身份信息，个人信息处理者经核验确认信息确属错误参考答案：D答案解析：根据《个人信息保护法》，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充，个人信息处理者负有更正义务，不得拒绝，因此D选项正确。多项选择题（每题6分，共30分）1.某互联网企业开发AI换脸类消费App，下列做法符合合规要求的有（）A.就处理用户人脸生物识别信息取得用户的单独同意B.为了提升平台算法换脸效果，将用户上传的原始人脸信息存储5年用于算法迭代C.明确告知用户人脸信息的使用用途、存储期限以及安全保护措施D.用户删除账号后，平台在7个工作日内删除用户上传的所有原始人脸信息参考答案：ACD答案解析：处理个人信息应当遵循最小必要存储原则，AI换脸服务完成后，无需长期存储用户原始人脸信息用于算法迭代，该存储行为超出了实现服务目的的最短期限要求，B选项不合规；A选项符合敏感个人信息单独同意的要求，C选项符合告知义务要求，D选项符合用户删除个人信息的响应要求，因此ACD正确。2.根据我国现行个人信息出境监管规定，下列哪些个人信息出境情形需要向网信部门申报个人信息出境安全评估（）A.处理个人信息达到100万人的个人信息处理者向境外提供个人信息B.向境外提供10万人以上的个人信息C.向境外提供敏感个人信息D.关键信息基础设施运营者向境外提供个人信息参考答案：ABCD答案解析：根据《个人信息出境安全评估办法》，上述四类情形均属于应当申报出境安全评估的范畴，因此四个选项均正确。3.下列哪些行为属于不合法的个人信息处理行为（）A.某装修商家为了电话推销业务，从本地房产中介购买小区业主个人信息B.某三甲医院为了开展临床医学研究，经过匿名化处理后使用患者病历信息C.某课外培训机构为了获利，未经同意将收集到的意向学员个人信息转卖给同行D.某生鲜超市为了完成配送服务，记录会员的收货地址和联系电话用于配送参考答案：AC答案解析：买卖个人信息未取得信息主体同意，属于违法处理行为；匿名化处理后的信息不属于个人信息，用于医学研究符合合规要求，记录会员收货地址属于履行配送合同所必需，属于合法处理，因此AC正确。4.关于个人信息处理的合法基础，下列属于我国法律规定的合法处理事由的有（）A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息参考答案：ABCD答案解析：上述四项均为《个人信息保护法》明确规定的合法处理个人信息的事由，因此全选。5.某移动互联网App申请以下系统权限，下列哪些权限申请符合最小必要原则属于合规行为（）A.一款本地天气App申请位置权限用于推送当地实时天气预报B.一款离线笔记App申请通讯录权限用于将用户笔记同步到所有通讯录联系人的设备端C.一款原生相机App申请存储权限用于保存用户拍摄的照片和视频D.一款单纯的手电筒App申请通话权限用于获取手机IMEI码推送个性化广告参考答案：AC答案解析：B选项离线笔记的核心功能不需要获取通讯录权限，同步笔记到联系人手机超出了服务的必要范围，属于过度索权；D选项手电筒App的核心功能不需要通话权限，申请权限用于推送广告明显超出必要范围，不合规；AC的权限申请对应核心功能需求，符合合规要求，因此AC正确。案例分析题（共20分）2025年，A市某本地生活平台公司推出一款社区团购小程序，为了快速拓展用户规模，平台推出“邀请好友注册得10元无门槛优惠券”活动，活动规则设置为：参与活动的用户必须先授权平台获取其手机通讯录中的所有联系人信息，才能领取优惠券。平台获得用户通讯录信息后，一方面向通讯录中的所有联系人发送带有邀请链接的营销短信，另一方面将该部分通讯录信息长期存储在平台服务器中，用于后续平台各类营销活动的触达。有多位用户向监管部门投诉该平台，认为平台的个人信息处理行为不合规。请结合《个人信息保护法》及相关监管规定，指出该平台存在的不合规之处，并说明理由。参考答案：该平台的个人信息处理行为存在三处核心不合规：第一，违反个人信息处理的最小必要原则，过度收集个人信息。本次邀请好友活动只需要用户自行分享邀请链接，或者自行输入邀请对象的联系方式即可实现活动目的，不需要收集参与活动用户的全部通讯录信息，平台强制要求授权获取全部通讯录作为领取优惠券的前提，属于超出处理目的最小范围收集个人信息，违反最小必要原则。第二，未取得合法有效的同意，违规处理第三方个人信息。一方面，平台将获取通讯录授权作为领取优惠券的前提，