2026年数据安全行政执法试题（含答案）

2026年数据安全行政执法试题（含答案）一、单项选择题（共20题，每题1.5分，共30分。每题只有一个正确选项，请将正确选项的代码填入括号内）1.根据《中华人民共和国数据安全法》的规定，国家建立数据分类分级保护制度。按照数据对国家安全、公共利益或者个人、组织合法权益的重要性和紧迫程度，将数据划分为不同级别。其中，核心数据是指（）。A.关系国家安全、国民经济命脉、重要民生、重大公共利益等数据B.一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害人身和财产安全的数据C.仅涉及组织内部运营管理的数据D.普通的个人信息和商业数据2.2026年某省公安机关在开展数据安全行政执法检查时，发现某互联网公司未履行数据安全保护义务，导致大量用户数据泄露。根据《数据安全法》，对于该公司的直接负责的主管人员，可以处以（）。A.一万元以上十万元以下罚款B.五万元以上二十万元以下罚款C.十万元以上五十万元以下罚款D.一日以上十五日以下拘留3.国家数据安全工作协调机制统筹协调有关部门制定重要数据目录。下列不属于制定重要数据目录时应当考虑的因素是（）。A.数据在经济社会发展中的重要性B.数据遭到篡改、破坏、泄露或者非法获取、非法利用后对国家安全的风险程度C.数据的数量规模D.数据的格式类型4.某数据处理者处理一百万人以上个人信息的，应当遵守《个人信息保护法》的规定，并按照规定（）。A.仅需向省级网信部门备案B.仅需制定内部安全管理制度C.委任独立的数据保护官（DPO），并在国家网信部门指定网站备案D.定期开展个人信息保护审计5.关于数据安全行政执法的管辖，下列说法正确的是（）。A.数据安全违法行为由违法行为发生地的公安机关管辖B.网络数据安全违法行为由违法行为发生地的网信部门管辖C.涉及国家秘密的数据安全案件，应当由国家安全机关管辖D.数据安全案件一律由被告住所地的人民法院管辖6.根据《数据出境安全评估办法》，数据处理者向境外提供数据，通过数据出境安全评估的有效期为（）。A.1年B.2年C.3年D.长期有效7.在行政执法过程中，行政机关收集证据时，在证据可能灭失或者以后难以取得的情况下，经行政机关负责人批准，可以先行登记保存，并应当在（）日内及时作出处理决定。A.3B.7C.15D.308.某关键信息基础设施运营者（CIIO）在采购网络产品和服务时，未按规定通过网络安全审查。根据《网络安全法》，相关主管部门可以对该运营者处以（）。A.一万元以上十万元以下罚款B.十万元以上五十万元以下罚款C.二十万元以上一百万元以下罚款D.处采购金额一倍以上十倍以下罚款9.数据安全行政执法中，当事人对行政处罚决定不服的，申请行政复议或者提起行政诉讼的途径是（）。A.必须先申请行政复议，对复议决定不服再提起行政诉讼B.可以直接提起行政诉讼，也可以先申请行政复议C.必须先提起行政诉讼，对判决不服再申请行政复议D.只能通过信访渠道解决10.根据《行政处罚法》，违法行为在（）内未被发现的，不再给予行政处罚；涉及公民生命健康安全、金融安全且有危害后果的，上述期限延长至（）。A.1年；3年B.2年；5年C.3年；5年D.5年；10年11.某公司违反《数据安全法》规定，向境外提供重要数据。如果情节严重，由公安机关处（）罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。A.一百万元以上五百万元以下B.二百万元以上一千万元以下C.五百万元以上五千万元以下D.一千万元以上一亿元以下12.行政机关在作出责令停产停业、吊销许可证或者执照、较大数额罚款等行政处罚决定之前，应当告知当事人有要求举行听证的权利。当事人要求听证的，行政机关应当组织听证。当事人（）。A.不承担行政机关组织听证的费用B.承担行政机关组织听证的费用C.承担听证人员的差旅费D.承担听证笔录的制作费13.数据安全事件的应急处置中，发生重要数据泄露时，数据处理者应当立即启动应急预案，并采取补救措施。同时，应当按照规定向（）报告。A.仅向公安机关报告B.仅向行业主管部门报告C.向公安机关、网信部门和相关行业主管部门报告D.仅向网信部门报告14.下列关于数据安全行政执法中“一事不再罚”原则的理解，正确的是（）。A.对当事人的同一个违法行为，不得给予两次以上罚款的行政处罚B.对当事人的同一个违法行为，不得给予两次以上行政处罚C.对当事人的同一个违法行为，不得由两个不同的行政机关进行管辖D.对当事人的同一个违法行为，罚款和没收违法所得不能并用15.某数据处理者开展数据处理活动，未制定数据安全管理制度。依据《数据安全法》，应由有关主管部门责令改正，给予警告，可以并处（）罚款。A.五万元以上五十万元以下B.十万元以上一百万元以下C.二十万元以上一百万元以下D.一万元以上十万元以下16.根据《网络数据安全管理条例（征求意见稿）》的精神，互联网平台运营者应当建立与数据相关的平台规则，该规则应当（）。A.仅在公司内部公开B.对社会公开，并接受社会监督C.仅向监管部门备案D.仅对付费用户公开17.在数据安全行政执法检查中，执法人员对于涉及个人隐私、商业秘密的数据，应当（）。A.公开披露以警示他人B.依法予以保密C.仅在执法部门内部传阅D.自由决定是否公开18.国家网信部门负责统筹协调网络数据安全和相关监管工作。公安机关、国家安全机关等在各自职责范围内负责（）。A.网络数据安全监管B.网络安全等级保护监管C.数据安全监管和风险防范D.关键信息基础设施安全保护19.某省网信办在对一家企业进行执法时，发现该企业数据出境未通过安全评估。该企业辩称其出境的是“经过匿名化处理的数据”，不再属于个人信息。关于该辩解，下列说法正确的是（）。A.匿名化处理后的数据必然不属于重要数据，无需评估B.匿名化处理后的数据如果无法复原且无法识别特定个人，则不属于个人信息，但仍可能属于重要数据C.只要经过匿名化处理，即可直接向境外提供D.匿名化处理后的数据不受任何法律限制20.行政处罚决定书应当在宣告后当场交付当事人；当事人不在场的，行政机关应当在（）内依照《中华人民共和国民事诉讼法》的有关规定，将行政处罚决定书送达当事人。A.三日B.五日C.七日D.十五日二、多项选择题（共15题，每题3分，共45分。每题有两个或两个以上正确选项，不选、错选、漏选均不得分，请将正确选项的代码填入括号内）1.依据《数据安全法》，中央国家安全领导机构负责国家数据安全工作的决策和议事协调，研究制定、指导实施国家数据安全战略以及有关重大方针政策。其主要职责包括（）。A.统筹协调国家数据安全的重大事项和重要工作B.建立国家数据安全工作协调机制C.具体查处数据安全违法案件D.制定具体的数据分类分级标准2.下列属于《数据安全法》规定的“数据处理”活动的是（）。A.数据的收集B.数据的存储C.数据的使用D.数据的加工、传输、提供、公开3.数据处理者在开展数据处理活动时，应当履行的数据安全保护义务包括（）。A.建立健全全流程数据安全管理制度B.组织开展数据安全教育培训C.采取相应的技术措施和其他必要措施，保障数据安全D.重要数据的处理者应当明确数据安全负责人和管理机构4.根据《数据安全法》，任何个人、组织都有权向有关部门举报危害数据安全的行为。收到举报的部门应当（）。A.及时依法处理B.对举报人的相关信息予以保密C.将处理结果向社会公开D.给予举报人物质奖励5.关于数据安全风险评估，下列说法正确的有（）。A.重要数据的处理者应当按照规定定期开展风险评估B.风险评估报告应当包括处理的重要数据的种类、数量C.风险评估报告应当包括开展数据处理活动的情况D.风险评估报告应当包括面临的数据安全风险及其应对措施6.行政机关在调查或者进行检查时，执法人员不得少于两人，并应当向当事人或者有关人员出示证件。当事人或者有关人员应当如实回答询问，并协助调查或者检查，不得拒绝或者阻挠。询问或者检查应当（）。A.制作笔录B.由执法人员签名C.由当事人或者有关人员签名D.进行录音录像7.下列哪些情形，数据处理者应当申报数据出境安全评估？（）A.处理一百万人以上个人信息的数据处理者向境外提供个人信息B.累计向境外提供十万人次以上个人信息C.向境外提供重要数据D.自上年1月1日起累计向境外提供五十万人次以上非敏感个人信息8.根据《行政处罚法》，行政处罚的种类包括（）。A.警告、通报批评B.罚款、没收违法所得、没收非法财物C.暂扣许可证件、降低资质等级、吊销许可证件D.限制开展生产经营活动、责令停产停业、责令关闭、限制从业9.在数据安全行政执法中，下列哪些情形可以视为“情节严重”，从而适用更严厉的处罚？（）A.拒绝、阻挠有关部门依法开展的监督检查B.泄露、篡改、毁损重要数据，造成严重后果C.违法向境外提供重要数据，危害国家安全D.在发生数据安全事件后，未及时采取补救措施或未按规定报告10.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当（）。A.进行安全评估B.通过国家网信部门会同国务院有关部门组织的安全评估C.订立标准合同D.通过专业机构认证11.数据安全行政执法中，证据必须经查证属实，方可作为认定案件事实的根据。下列可以作为证据的有（）。A.书证、物证B.视听资料、电子数据C.证人证言D.当事人的陈述、鉴定意见、勘验笔录、现场笔录12.违反《数据安全法》规定，给他人造成损害的，依法承担民事责任。构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。这体现了法律责任的（）。A.民事责任B.行政责任C.刑事责任D.政治责任13.某科技公司开发了一款人脸识别支付系统，在未征得用户同意的情况下，强制收集用户人脸信息。网信部门在执法中可以采取的措施包括（）。A.责令限期改正B.没收违法所得C.吊销营业执照D.对直接责任人员处以罚款14.关于数据跨境传输的行政执法，下列说法正确的有（）。A.监管部门有权对数据出境活动进行监督检查B.数据处理者应当提供必要的文件、资料，如实说明情况C.监管部门发现数据出境存在重大安全风险的，应当立即责令整改D.未经安全评估向境外提供重要数据，最高可处五千万元罚款15.行政机关实施行政处罚，有下列情形之一的，由上级行政机关或者有关部门责令改正，可以对直接负责的主管人员和其他直接责任人员依法给予处分（）。A.没有法定的行政处罚依据的B.擅自改变行政处罚种类、幅度的C.违反法定的行政处罚程序的D.违反本法第十八条关于委托处罚的规定的三、判断题（共15题，每题1分，共15分。请判断下列说法的正确性，正确的选A，错误的选B）1.国家数据安全工作协调机制承担统筹协调国家数据安全工作和相关监督管理工作。（）2.各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。（）3.行业主管部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责数据安全监管和风险防范工作。（）4.数据安全风险评估是数据处理者的强制性义务，所有数据处理者无论处理何种数据都必须定期开展。（）5.关键信息基础设施运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议。（）6.未经主管机关批准，任何组织和个人不得专门从事危害国家数据安全的活动。（）7.行政机关在收集证据时，如果证据可能灭失，必须经上一级行政机关负责人批准才能先行登记保存。（）8.当事人有权进行陈述和申辩。行政机关必须充分听取当事人的意见，对当事人提出的事实、理由和证据，应当进行复核。（）9.数据安全行政执法中，听证主持人可以由本案调查人员担任，以节省行政资源。（）10.只要数据处理者将数据存储在境外服务器上，就构成了违法的数据出境行为。（）11.涉及国家安全的数据，一律不得出境。（）12.行政处罚决定依法作出后，当事人应当在行政处罚决定的期限内，予以履行。当事人确有经济困难，需要延期或者分期缴纳罚款的，经当事人申请和行政机关批准，可以暂缓或者分期缴纳。（）13.行政机关对当事人进行处罚不使用罚款、没收财物单据或者使用非法定部门制发的罚款、没收财物单据的，当事人有权拒绝处罚。（）14.违反《数据安全法》规定，构成犯罪的，仅需承担刑事责任，不再承担行政责任。（）15.数据安全执法中，对于涉及商业秘密的数据，执法人员可以为了查清事实而强制披露。（）四、填空题（共10题，每题2分，共20分。请将答案填写在横线上）1.《中华人民共和国数据安全法》规定，国家建立数据安全________制度，对数据实行分类分级保护。2.根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益的危害程度，将数据从高到低分为________、重要数据、一般数据。3.国家建立数据安全________机制，对数据安全风险进行监测和预警。4.重要数据的处理者应当按照规定定期开展________，并向有关主管部门报送风险评估报告。5.违反《数据安全法》规定，拒不履行数据安全管理义务，且造成大量数据泄露等严重后果的，可以并处________万元以下罚款。6.行政机关在作出行政处罚决定之前，应当告知当事人拟作出的行政处罚内容、事实、理由、依据，并告知当事人依法享有的________、________等权利。7.数据出境安全评估申报书中应当包含数据出境的目的、范围、________、________等内容。8.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在________存储。9.数据安全行政执法中，对情节复杂的案件，或者重大违法行为给予较重的行政处罚，行政机关的负责人应当________决定。10.当事人对行政处罚决定不服申请行政复议或者提起行政诉讼的，行政处罚________执行，法律另有规定的除外。五、简答题（共5题，每题8分，共40分）1.请简述《数据安全法》中规定的“重要数据”的认定思路及其在执法中的意义。2.根据《行政处罚法》，行政机关在作出行政处罚决定前，应当履行哪些法定程序以确保程序公正？3.简述数据处理者在开展数据处理活动时，应当履行的全流程数据安全管理制度的主要内容。4.在数据安全行政执法中，如何区分“责令改正”与“行政处罚”？二者在法律适用上有何关系？5.请列举至少五种《数据安全法》中规定的可以处以罚款的违法行为，并简述其对应的罚款幅度（针对单位）。六、案例分析题（共3题，每题40分，共120分）1.案例背景：A公司是一家大型网约车平台公司，掌握着数千万用户的出行数据，其中包括车辆轨迹、精准位置信息等。2026年3月，A公司为了拓展海外业务，未经安全评估，直接将包含国内主要城市交通热力图的数据（该数据已被当地交通主管部门列为重要数据）传输至位于国外的服务器。同年5月，A公司因内部系统漏洞，导致50万用户的个人信息（包括姓名、电话号、身份证号）在暗网售卖。当地网信部门在接到举报后介入调查。问题：(1)A公司向境外传输交通热力图数据的行为违反了哪些法律规定？应当承担何种法律责任？（15分）(2)针对用户个人信息泄露事件，A公司应当采取哪些应急处置措施？网信部门在执法中可以采取哪些行政强制或处罚措施？（15分）(3)假设A公司在调查过程中积极配合，主动消除危害后果，并在发生泄露后及时启动了应急预案，这在行政处罚裁量中应当如何考虑？（10分）2.案例背景：B省某市卫生健康委员会（行政机关）在对本市一家三甲医院C医院进行数据安全专项执法检查时发现：C医院未建立数据安全管理制度；未对电子病历数据进行分类分级；且未对收集的患者敏感个人信息采取加密措施。执法人员在检查时，仅出示了执法证件中的执法记录仪，未出示纸质执法证件原件。C医院以此为由拒绝配合检查。问题：(1)卫健委对C医院是否有管辖权？请说明理由。（10分）(2)执法人员在执法程序上是否存在瑕疵？C医院拒绝配合检查的理由是否成立？为什么？（15分）(3)针对C医院存在的数据安全违法行为，卫健委应当如何适用法律进行处罚？请依据《数据安全法》具体分析。（15分）3.案例背景：D公司是一家为金融机构提供风控服务的科技公司，2026年因非法爬取并出售公民个人征信数据，被公安机关立案侦查。经查，D公司非法获取并出售公民征信数据100万条，获利人民币500万元。该行为严重扰乱了金融市场秩序，并导致大量受害者接到诈骗电话。问题：(1)D公司的行为可能触犯《刑法》中的哪些罪名？请简述数据安全行政执法与刑事司法的衔接机制。（15分）(2)假设该案件在进入刑事审判前，公安机关先进行了行政处罚。请运用公式计算D公司可能面临的行政罚款金额上限（不考虑从轻减轻情节）。并说明“违法所得”在计算罚金或罚款时的作用。（注：请使用LaTeX格式书写公式）（10分）(3)在行政执法中，对于D公司非法获取的数据，应当如何处理？（15分）参考答案及解析一、单项选择题1.A2.B3.D4.D5.C6.B7.B8.D9.B10.B11.B12.A13.C14.A15.A16.B17.B18.C19.B20.C二、多项选择题1.AB2.ABCD3.ABCD4.AB5.ABCD6.ABC7.AC8.ABCD9.ABCD10.AB11.ABCD12.ABC13.ABD14.ABCD15.ABCD三、判断题1.B（国家数据安全工作协调机制统筹协调，不承担具体监督管理工作，监督由各部委负责）2.A3.A4.B（仅重要数据处理者必须定期开展风险评估）5.A6.A7.B（需经本行政机关负责人批准）8.A9.B（听证主持人应由非本案调查人员担任）10.B（需看是否属于向境外提供，且是否经过安全评估或符合其他条件）11.A12.A13.A14.B（刑事责任不能替代行政责任，如吊销执照等）15.B（应当依法予以保密）A.正确B.错误四、填空题1.分类分级保护2.核心数据3.审查4.风险评估5.五千6.陈述、申辩7.数据类型、数据量（或数据规模）8.境内9.集体讨论10.不停止五、简答题1.答：认定思路：重要数据的认定主要基于数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益的危害程度。通常由各地区、各部门在制定重要数据目录时具体确定，考虑因素包括数据所属行业、业务类型、数据聚合程度、数据敏感性等。执法意义：(1)确定监管重点：执法部门将重要数据作为监管的重中之重，投入更多执法资源。(2)适用特殊义务：涉及重要数据的处理者需要履行更严格的数据安全保护义务，如定期风险评估、明确数据安全负责人等。(3)限定出境：重要数据出境通常需要通过安全评估，是执法检查出境合规性的关键对象。(4)量刑与罚款基准：在涉及行政处罚或刑事犯罪时，涉及重要数据往往属于“情节严重”，导致更重的处罚。2.答：根据《行政处罚法》，行政机关在作出行政处罚决定前，应当履行以下程序：(1)立案与调查：全面、客观、公正地调查，收集证据。(2)告知义务：告知当事人拟作出的行政处罚内容、事实、理由、依据。(3)告知权利：告知当事人依法享有的陈述、申辩权利。(4)听取意见：充分听取当事人的意见，对当事人提出的事实、理由和证据进行复核；当事人提出的事实、理由或者证据成立的，应当采纳。(5)法制审核：对于重大复杂案件，在作出决定前进行法制审核。(6)听证程序：对于责令停产停业、吊销许可证、较大数额罚款等，当事人要求听证的，应当组织听证。3.答：数据处理者应当建立的全流程数据安全管理制度主要包括：(1)数据分类分级制度：按照国家规定和标准对数据进行分类分级，并制定相应保护策略。(2)数据安全管理机构与人员：明确数据安全负责人和管理机构，落实数据安全保护责任。(3)风险监测与评估制度：建立数据安全监测预警机制，定期开展风险评估（特别是重要数据处理者）。(4)应急响应机制：制定数据安全事件应急预案，并定期进行演练。(5)数据访问控制与操作审计：对数据访问权限进行严格管理，并对数据处理操作进行日志记录和审计。(6)教育培训制度：对员工进行数据安全法律法规和技能培训。(7)合规申报制度：建立数据出境、算法备案等合规申报流程。4.答：区别：(1)性质不同：“责令改正”是行政命令，旨在纠正违法状态，恢复合法秩序；“行政处罚”是制裁手段，旨在惩戒违法行为。(2)内容不同：“责令改正”要求当事人停止违法行为、修复后果；“行政处罚”包括警告、罚款、吊销证照等。关系：(1)依从性：《行政处罚法》规定，行政机关实施行政处罚时，应当责令当事人改正或者限期改正违法行为。二者通常结合使用。(2)前置条件：在某些数据安全执法中，对于轻微违法行为，可能先责令改正，逾期不改再处以罚款。(3)不可替代：责令改正不能替代行政处罚，如果造成了危害后果，即使改正了，仍需依法给予处罚。5.答：(1)未履行数据安全保护义务：未建立全流程安全管理制度等。罚款幅度：责令改正，给予警告，可以并处五万元以上五十万元以下罚款。(2)开展危害国家安全数据处理活动：未经批准向境外提供重要数据等。罚款幅度：二百万元以上一千万元以下，并可以责令停业整顿等。(3)拒绝提供数据或阻碍执法：拒绝、阻挠有关部门监督检查。罚款幅度：五万元以上五十万元以下；情节严重的，处五十万元以上二百万元以下。(4)未经安全评估向境外提供数据：违反数据出境管理规定。罚款幅度：十万元以上一百万元以下；情节严重的，处一百万元以上一千万元以下。(5)交易数据未进行审核：数据交易中介服务机构未审核交易双方身份、数据来源等。罚款幅度：责令改正，没收违法所得，处十万元以上五十万元以下罚款。六、案例分析题1.答：(1)违法行为与法律责任：A公司未经安全评估向境外提供交通热力图（重要数据），违反了《数据安全法》第三十一条及《数据出境安全评估办法》关于重要数据出境必须通过安全评估的规定。法律责任：根据《数据安全法》第四十六条，由有关主管部门责令改正，给予警告，没收违法所得，并处二百万元以上一千万元以下罚款；情节严重的，并处五百万元以上五千万元以下罚款，可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款。(2)应急处置与执法措施：应急处置措施：立即启动应急预案；采取补救措施（如修补漏洞、通知受影响用户）；向网信、公安、行业主管部门报告。执法措施：网信部门可责令暂停数据出境业务；责令限期改正；进行立案调查；依据调查结果进行罚款、警告等处罚；若涉嫌犯罪，移送司法机关。(3)裁量考量：根据《行政处罚法》第三十二条，当事人配合行政机关查处违法行为有立功表现或主动消除危害后果的，应当从轻或者减轻行政处罚。A公司积极配合、主动消除危害、及时启动应急预案，符合从轻或减轻处罚的法定情节，执法部门应在法定罚款幅度内选择较低的数额，或适用减轻处罚（如低于法定下限罚款）。2.答：(1)管辖权：有管辖权。根据《数据安全法》第六条，工业、电信、自然资源、卫生健康、教育、科技等主管部门在各自职责范围内负责数据安全监管和风险防范工作。卫健委作为医疗行业主管部门，对辖区内医院的数据安全负有监管职