2026年法考网络安全与数据安全法规题库及答案

2026年法考网络安全与数据安全法规题库及答案一、单项选择题（每题1分，共20分）1.根据《中华人民共和国网络安全法》，下列哪一主体的活动不适用该法调整？A.在我国境内建设、运营、维护和使用网络的自然人、法人和非法人组织B.境外运营但持续向我国境内自然人提供消费类互联网服务的境外企业C.某涉密单位内部完全物理隔离、存储国家秘密信息的专用信息系统运维活动D.境内关键信息基础设施运营者采购网络产品开展的安全审查活动答案C解析根据《网络安全法》第78条规定，军事网络、存储国家秘密的涉密信息系统按照保密法律法规及中央军委另行制定的规则管理，不适用《网络安全法》的一般调整规范。2.根据《网络安全法》规定，网络运营者应当按照网络安全等级保护制度履行安全保护义务，下列哪项不属于所有网络运营者的通用等级保护义务？A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取监测、记录网络运行状态、网络安全事件的技术措施，相关网络日志留存不少于六个月C.每年至少开展一次网络安全应急演练，并将演练情况报设区的市级以上网信部门备案D.采取数据分类、重要数据备份和加密等措施答案C解析定期开展应急演练并向监管部门备案属于关键信息基础设施运营者的特殊义务，并非所有网络运营者的通用等级保护义务。3.根据《关键信息基础设施安全保护条例》，负责组织认定本行业、本领域关键信息基础设施的主体是？A.国家网信部门统筹协调，省级网信部门具体负责B.公安机关会同通信管理部门C.重要行业和领域的主管部门、监督管理部门D.县级以上人民政府答案C4.根据《中华人民共和国个人信息保护法》，下列哪一情形处理个人信息无需取得个人同意？A.电商平台基于用户浏览记录推送个性化商品广告B.航空公司为履行与旅客的航空运输合同，核对旅客身份信息办理值机C.市场调研公司通过公开爬取用户社交平台公开信息制作用户画像用于商业营销D.物业服务企业收集小区住户的人脸信息作为小区门禁唯一验证方式答案B解析根据《个人信息保护法》第13条，为订立、履行个人作为一方当事人的合同所必需处理个人信息的，无需取得个人同意。5.根据《个人信息保护法》，下列哪项不属于敏感个人信息？A.金融账户信息B.医疗健康信息C.个人的工作单位、职务信息D.不满十四周岁未成年人的个人信息答案C6.根据《中华人民共和国数据安全法》，我国数据分类分级保护制度的核心划分依据是？A.数据的存储规模大小B.数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用对国家安全、公共利益或者个人、组织合法权益造成的危害程度C.数据的生成主体是政府机关还是市场主体D.数据是否可以公开获取答案B7.下列哪一情形下，数据处理者无需向国家网信部门申报数据出境安全评估？A.关键信息基础设施运营者向境外提供在中华人民共和国境内运营中收集和产生的个人信息B.关键信息基础设施运营者向境外提供在中华人民共和国境内运营中收集和产生的重要数据C.非关基的一般互联网企业，自上年度1月1日起累计向境外提供8000人非敏感个人信息，未涉及重要数据D.数据处理者向境外提供重要数据答案C解析根据《数据出境安全评估办法》第4条，自上年1月1日起累计向境外提供10万人以上非敏感个人信息或1万人以上敏感个人信息才需申报安全评估，C选项未达到申报门槛，可通过标准合同、个人信息保护认证等合法路径出境。8.根据《个人信息保护法》，个人信息处理者因业务需要确需向境外提供个人信息的，下列哪一条件不是法定必备前提？A.具备《个人信息保护法》规定的个人信息处理合法性基础B.取得个人的单独同意（法定豁免情形除外）C.与境外接收方约定双方的权利义务，监督境外接收方的个人信息处理活动达到我国保护标准D.按照国家网信部门的规定，必须投保数据安全责任保险答案D9.根据《网络安全法》，网络运营者发生网络安全事件时，应当立即启动应急预案，采取补救措施，并按照规定向哪个部门报告？A.公安机关B.有关主管部门C.网信部门D.通信管理部门答案B10.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者的核心责任定位是？A.仅承担技术中立的网络服务提供者责任，对生成内容不承担责任B.对生成的人工智能内容承担网络信息内容生产者责任，履行网络信息安全义务C.仅对用户利用服务生成的违法内容承担通知删除责任D.由训练数据提供方对生成内容承担全部责任答案B11.某互联网企业违法处理个人信息情节严重，根据《个人信息保护法》，执法部门可以对其处以多少罚款？A.一百万元以下B.一千万元以下C.五千万元以下或者上一年度营业额百分之五以下D.上一年度营业额百分之十以下答案C12.关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少开展几次检测评估？A.1次B.2次C.3次D.4次答案A13.根据《个人信息保护法》，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者进行的操作是？A.删除B.更正、补充C.转移D.解释说明答案B14.重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任，下列哪类主体的数据安全负责人还需要按照规定报有关主管部门备案？A.所有数据处理者B.关键信息基础设施运营者C.一般互联网企业D.小微企业答案B15.根据《网络安全法》，网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供什么信息？A.真实身份信息B.联系方式C.生物识别信息D.财产信息答案A16.根据《网络产品安全漏洞管理规定》，任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动，下列哪类漏洞披露行为属于违法情形？A.向国家网络与信息安全信息通报机制报送漏洞信息B.在补丁发布前公开披露网络产品存在的零日漏洞细节，且未提前告知产品提供者C.受产品提供者委托开展漏洞测试D.在合规的漏洞响应平台提交发现的漏洞答案B17.根据《互联网信息服务深度合成管理规定》，深度合成服务提供者提供生成或者编辑人脸、人声等生物识别信息的服务的，应当对可能导致公众混淆的生成内容履行什么义务？A.加密存储B.显著标识，避免公众混淆或者误认C.提前向网信部门备案D.强制添加用户水印答案B18.根据《数据安全法》，负责统筹协调重要数据目录制定、建立数据分类分级保护制度的主体是？A.各行业主管部门B.国家数据安全工作协调机制C.省级人民政府D.公安机关答案B19.根据《网络安全审查办法》，网络安全审查一般审查的法定期限是多长？A.15个工作日B.30个工作日C.45个工作日D.60个工作日答案B20.下列哪一情形下，个人信息处理者无需事前开展个人信息保护影响评估？A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息，与受托方签订委托处理合同D.为企业内部人事管理目的处理员工的基本联系方式答案D二、多项选择题（每题2分，共30分）1.根据《网络安全法》，下列属于网络运营者应当履行的通用网络安全义务的有？A.制定内部安全管理制度，确定网络安全负责人B.对收集的用户信息严格保密，建立用户信息保护制度C.网络日志留存不少于六个月D.采购网络产品和服务应当与提供者签订安全保密协议答案ABCD2.根据《个人信息保护法》，下列属于敏感个人信息的有？A.生物识别信息B.行踪轨迹信息C.未成年人的社交媒体昵称D.医疗健康信息答案ABD解析仅不满14周岁未成年人的所有个人信息属于敏感个人信息，普通未成年人的社交媒体昵称不属于敏感个人信息范畴。3.下列哪些情形下，数据处理者应当申报数据出境安全评估？A.关键信息基础设施运营者向境外提供其在境内运营收集的个人信息B.处理超过100万人个人信息的普通互联网企业，计划向境外关联公司提供用户个人信息C.某科技公司自上年1月1日起累计向境外提供1.2万人敏感个人信息D.某小微企业仅在内部办公系统中存储员工信息，未向境外传输任何数据答案ABC4.关键信息基础设施运营者相较于一般网络运营者，需要额外履行的特殊安全义务包括？A.每年至少开展一次网络安全检测评估B.采购网络产品和服务可能影响国家安全的，应当通过国家网络安全审查C.个人信息和重要数据出境应当通过安全评估D.对网络安全事件进行应急处置答案ABC解析网络安全事件应急处置是所有网络运营者的通用义务，并非关基运营者特有。5.根据《个人信息保护法》，个人信息处理者在下列哪些情形下可以拒绝个人提出的权利行使请求？A.个人请求删除的信息是处理者为履行法定职责或者法定义务所必需的B.个人请求查阅、复制其个人信息，处理者以保护商业秘密为由直接拒绝所有请求C.个人请求转移其个人信息，但该信息存储方式不具备转移可能性，且转移将导致公共利益受损D.个人反复提出超出合理范围的相同信息查询请求，处理者酌情收取必要成本费用后仍拒绝提供服务答案AC解析处理者不得以商业秘密为由完全拒绝个人的查阅请求，应当隐去涉密部分后提供相关信息；对于合理范围内的个人请求不得拒绝，超出合理范围的重复请求可收取成本费用但不得无理由直接拒绝。6.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当履行的合规义务包括？A.对生成内容进行审核，采取有效措施防止生成违法有害信息B.对训练数据来源的合法性负责，不得侵害他人知识产权C.落实真实身份信息认证要求，对生成的图片、视频等可能导致混淆的内容进行标识D.对用户输入信息和使用记录依法承担保密义务答案ABCD7.根据《网络安全审查办法》，网络安全审查重点评估的国家安全风险因素包括？A.产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或者破坏的风险B.产品和服务供应中断对关键信息基础设施业务连续性的危害C.产品和服务提供者遵守中国法律、行政法规、部门规章情况D.产品和服务的价格是否低于市场平均水平答案ABC8.根据《数据安全法》，重要数据处理者应当履行的法定义务包括？A.明确数据安全负责人和管理机构B.定期开展数据安全风险评估，向有关主管部门报送风险评估报告C.数据出境必须通过国家网信部门组织的安全评估D.所有处理活动必须取得数据主体的同意答案ABC解析部分重要数据属于政务数据、公共数据，处理此类数据不必然需要取得个人同意。9.根据《个人信息保护法》，处理个人信息无需取得个人同意的法定情形包括？A.为订立、履行个人作为一方当事人的合同所必需B.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需C.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息D.为企业市场营销需要，批量购买第三方收集的个人手机号用于发送营销短信答案ABC10.根据《互联网信息服务算法推荐管理规定》，算法推荐服务提供者应当履行的合规要求包括？A.不得利用算法推荐服务从事违法活动，不得利用算法实施垄断和不正当竞争行为B.应当向用户提供不针对其个人特征的选项，或者向用户提供便捷的关闭算法推荐服务的选项C.不得利用算法对未成年人在上网时间、消费等方面设置不合理的限制，保护未成年人合法权益D.可以根据消费者的偏好，利用算法对同一商品向不同消费者设置差异化的交易价格答案ABC解析D选项属于“大数据杀熟”，是法律明确禁止的不合理差别待遇行为。11.关于个人信息共同处理者的责任，下列说法正确的有？A.两个以上个人信息处理者共同决定个人信息处理目的和方式的，应当约定各自的权利和义务B.共同处理者的内部约定不得对抗个人，个人可以向其中任何一个处理者主张权利C.共同处理者侵害个人信息权益造成损害的，应当依法承担连带责任D.共同处理者之间平均承担责任，个人不得要求其中一方承担全部赔偿责任答案ABC12.根据《网络数据安全管理条例》，下列关于数据安全保护义务的说法正确的有？A.数据处理者应当建立全流程数据安全管理制度，采取技术措施保障数据安全B.数据处理者利用生物特征进行个人身份认证的，应当为个人提供非生物特征的替代验证方式C.数据处理者不得收集与业务无关的个人信息，不得采取胁迫、欺诈、误导等方式收集个人信息D.大型互联网平台运营者应当每年发布数据安全社会责任报告，接受社会监督答案ABCD13.关于自动化决策的合规要求，下列说法正确的有？A.自动化决策应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇B.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者提供便捷的拒绝方式C.通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求处理者予以说明，并有权拒绝处理者仅通过自动化决策的方式作出决定D.自动化决策只要算法不做人工干预，就不需要承担任何个人信息保护责任答案ABC14.根据《关键信息基础设施安全保护条例》，下列关于关键信息基础设施运营者安全保护责任的说法正确的有？A.运营者的主要负责人是关键信息基础设施安全保护第一责任人B.运营者应当优先采购安全可信的网络产品和服务C.运营者应当每年至少进行一次网络安全应急演练D.运营者的安全管理机构负责人可以由技术部门员工兼职担任，无需专门设置答案ABC解析关基运营者应当设置专门的安全管理机构，配备专职安全负责人，不得由其他岗位人员兼职。15.履行个人信息保护职责的部门在履行职责时，可以采取的执法措施包括？A.询问有关当事人，调查与个人信息处理活动有关的情况B.查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料C.对涉嫌违法的个人信息处理活动场所进行现场检查D.直接查封、扣押与违法个人信息处理活动相关的财物，无需出具执法文书答案ABC三、不定项选择题（每题2分，共20分）（一）某省民生服务平台运营公司A，经行业主管部门认定为关键信息基础设施运营者，平台覆盖全省80%以上常住人口，累计存储用户个人信息达7200万，包含大量用户的身份信息、社保信息、医疗记录等。请根据相关法律法规，回答第1-3题：1.关于A公司的网络安全保障义务，下列说法正确的是？A.A公司应当设置专门的网络安全管理机构，配备专职安全管理人员B.A公司采购第三方网络产品服务时，可能影响国家安全的，应当申报网络安全审查C.A公司可以根据自身业务需要，自主决定将存储的用户个人信息传输给境外合作机构，无需履行额外程序D.A公司应当每年至少开展一次网络安全检测评估，并将评估情况报主管部门答案ABD2.A公司在开展下列哪些活动前，应当开展个人信息保护影响评估？A.计划在平台新增人脸支付功能，收集用户人脸信息进行身份验证B.计划与省内某商业银行开展数据合作，向银行提供用户的社保缴费记录用于信贷资质审核C.计划将平台留存的100万条用户社保信息提供给省外某数据分析公司用于公共政策研究D.内部调整员工考勤系统，仅记录员工的每日到岗时间用于人事管理答案ABC3.若A公司违反规定，未履行数据安全保护义务导致大量用户个人信息泄露，情节严重的，下列关于法律责任的说法正确的是？A.可以由省级以上履行个人信息保护职责的部门对A公司处五千万元以下或者上一年度营业额百分之五以下罚款B.可以对A公司直接负责的主管人员处十万元以上一百万元以下罚款C.可以决定禁止A公司直接负责的主管人员在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人D.因A公司是公共服务平台，应当免予行政处罚，仅需责令整改答案ABC（二）某科技公司B开发上线一款生成式人工智能对话产品，面向公众提供智能问答、文案生成、医疗咨询等服务，上线6个月累计注册用户达500万人。请根据相关法律法规，回答第4-7题：4.B公司作为生成式AI服务提供者，应当履行的义务包括？A.落实网络实名制，要求用户提供真实身份信息注册B.对训练数据来源的合法性负责，不得非法获取个人信息、侵犯知识产权C.对生成的内容进行审核，防止生成违法有害信息D.对用户输入的对话信息和使用记录严格保密，不得非法泄露答案ABCD5.B公司在服务运营过程中，下列哪些行为违反法律规定？A.对用户提出的医疗健康咨询，直接生成处方药推荐内容，未提示用户咨询专业医师B.未经用户同意，将用户输入的个人健康信息用于大模型迭代训练C.对生成的涉及他人肖像的深度合成内容未添加标识，导致用户误以为是真实人物内容D.设置便捷的用户投诉举报渠道，及时处理公众投诉答案ABC6.若B公司计划赴境外证券交易所上市，下列说法正确的是？A.B公司作为掌握超过100万用户个人信息的网络平台运营者，赴国外上市必须向网络安全审查办公室申报网络安全审查B.B公司上市前应当开展数据安全风险评估，保障数据安全C.B公司作为非关基运营者，赴境外上市无需经过任何网络安全审查程序D.B公司在申报网络安全审查时，应当提交数据安全风险评估报告、拟上市情况等材料答案ABD7.关于B公司处理用户个人信息的规则，下列说法正确的是？A.B公司处理用户个人信息应当遵循合法、正当、必要、诚信原则B.B公司不得过度收集个人信息，不得在用户不同意的情况下强制收集非必要个人信息C.B公司提供服务时，必须以用户同意所有信息收集要求作为提供服务的前提，不得允许用户部分授权D.B公司应当为用户提供便捷的个人信息查询、更正、删除渠道答案ABD（三）某电商平台C注册用户达3000万，日常处理大量用户的购物记录、收货地址、支付信息等数据，2026年2月，C平台被监管部门发现存在以下行为：①利用算法对新老用户实施“大数据杀熟”，同一商品对老用户显示的价格高于新用户；②未经用户同意，将用户的浏览记录、消费偏好等信息提供给第三方广告公司用于精准营销；③平台安全防护措施不到位，被黑客攻击导致10万条用户收货地址、联系电话泄露，C公司发现后未告知用户也未向监管部门报告，自行采取技术措施封堵了漏洞。请回答第8-10题：8.C平台的“大数据杀熟”行为违反了下列哪些法律规定？A.《个人信息保护法》关于自动化决策不得对个人在交易价格上实行不合理差别待遇的规定B.《消费者权益保护法》关于消费者享有公平交易权的规定C.《算法推荐管理规定》关于算法推荐服务不得实施不合理差别待遇的规定D.该行为属于企业自主定价范畴，不违反任何法律规定答案ABC9.关于C平台将用户信息提供给第三方广告公司的行为，下列说法正确的是？A.该行为属于向第三方提供个人信息，应当取得用户的单独同意B.C公司应当告知用户第三方的名称、联系方式、处理目的、处理方式和个人信息的种类C.该行为属于商业合作，无需取得用户同意D.若第三方超出约定范围处理个人信息，C公司不需要承担责任答案AB10.针对C平台发生的用户信息泄露事件，下列说法正确的是？A.C公司应当立即启动应急预案，采取补救措施B.C公司应当及时将事件情况告知履行个人信息保护职责的部门C.若泄露信息可能危害个人人身、财产安全的，C公司应当将事件情况告知受影响的用户D.只要C公司自行封堵漏洞，就不需要告知任何主体答案ABC四、案例分析题（共30分）案例材料A市智慧医疗平台运营公司甲，是经A市卫生健康委员会认定的关键信息基础设施运营者，平台接入A市全部29家公立三甲医院及187家基层医疗机构，累计存储全市680万居民的电子健康档案、就诊记录、医保结算信息、生物识别信息等数据。2025年10月至2026年3月期间，甲公司开展了如下活动：1.为降低存储成本，甲公司与境外乙公司签订云服务采购合同，采购乙公司位于境外的数据存储服务存储全市医疗数据，合同签订前甲公司未申报网络安全审查，也未开展数据出境安全评估，合同签订后直接将全部医疗数据迁移至乙公司境外服务器。2.甲公司与境内某医药企业丙公司开展科研合作，在未取得患者单独同意的情况下，将包含患者病史、基因信息、就诊记录在内的200万条敏感个人信息批量提供给丙公司用于新药临床试验效果分析，未对丙公司的数据处理活动进行监督。3.甲公司在平台上线AI智能问诊功能，接入某大模型为患者提供疾病自诊、用药建议服务，未安排专业医师对AI生成的医疗建议进行审核，也未对生成内容设置医疗风险提示，导致37名患者采信平台给出的错误用药建议出现药物不良反应，其中2人因延误治疗造成重伤。4.2026年2月，甲公司平台因存在系统漏洞被黑客攻击，导致120万条患者的医疗记录、联系方式等数据在暗网被公开售卖，甲公司技术部门发现泄露事件后，为避免影响企业声誉，未向卫生健康主管部门、网信部门、公安机关报告，也未通知受影响患者，仅自行采取技术措施修复了漏洞，直至1个月后经网民举报该数据泄露事件才被监管部门发现。###问题1.请指出甲公司采购境外云服务并迁移数据的行为存在哪些违法之处，并说明应当承担的法律责任。（8分）2.请指出甲公司向丙公司提供患者医疗数据的行为违反了哪些法律规定，并说明合规整改要求。（8分）3.甲公司上线AI智能问诊功能应当履行哪些法定合规义务？（7分）4.针对本次数据泄露事件，甲公司应当履行哪些法定的处置、报告与通知义务？（7分）答案：1.（1）违法之处：①甲公司作为关键信息基础设施运营者，采购可能影响国家安全的境外云服务，应当依法申报网络安全审查，其未经审查直接签订采购合同的行为违反《网络安全法》《网络安全审查办法》关于关基采购安全审查的规定；（2分）②甲公司作为关基运营者，在境内运营中收集和产生的个人信息和重要数据应当在境内存储，确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估，其未经评估直接将包含大量敏感个人信息、重要医疗数据的全部数据迁移至境外服务器的行为违反《网络安全法》《数据安全法》《个人信息保护法》《数据出境安全评估办法》关于数据出境安全管理的规定。（2分）（2）法律责任：监管部门可以责令甲公司改正，给予警告，没收违法所得，处一百万元以上一千万元以下罚款；情节严重的，可以处一千万元以上五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款，情节严重的处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和数据安全、个人信息保护负责人。（4分）2.（1）违法之处：①甲公司提供的医疗数据包含患者的病史、基因信息等敏感个人信息，向第三方提供敏感个人信息应当取得个人的单独同意，履行充分告知义务，甲公司未取得患者单独同意即批量提供敏感个人信息的行为违反《个人信息保护法》关于敏感个人信息处理、个人信息对外提供的规则；（2分）②甲公司作为个人信息处理者，向第三方提供个人信息应当与接收方约定处理目的、处理方式、信息种类、保护措施等，并对接收方的处理活动进行监督，甲公司未监督丙公司数据处理活动的行为违反法定监督义