2026年法考《个人信息保护法》专项练习题及答案

2026年法考《个人信息保护法》专项练习题及答案一、单项选择题（每题1分，共20分，每题所设选项中只有一个正确答案，多选、错选或不选均不得分）1.关于我国《个人信息保护法》的适用范围，下列情形中应当适用该法的是？A.某境外电商平台完全在境外运营，仅向境外当地居民销售商品，不涉及中国境内自然人B.某境外旅游平台面向中国境内自然人提供境外酒店预订服务，为服务需要处理境内用户个人信息C.某我国驻外使领馆处理驻在国公民的签证申请信息，按照对等原则适用驻在国法律D.某境外高校统计本校外籍华人校友信息用于校友联谊，不向境内提供任何服务答案B2.根据《个人信息保护法》对个人信息的定义，下列选项中属于个人信息的是？A.某上市公司公开披露的年度报告中的公司营业收入数据B.经过匿名化处理、无法识别特定自然人且不能复原的用户浏览轨迹数据C.结合公开行政区划信息可以识别到特定自然人的快递收件地址记录D.某平台发布的区域用户消费趋势统计报告，无法识别特定个人且不能复原答案C3.下列选项中，不属于《个人信息保护法》规定的敏感个人信息的是？A.求职者公开投递简历中的普通学历信息B.自然人的银行账户交易记录C.不满14周岁未成年人的个人信息D.自然人的人脸识别信息答案A4.下列个人信息处理活动中，不需要取得个人同意即可实施的是？A.电商平台基于用户浏览记录进行个性化商品推荐B.电信运营商为应对突发公共卫生事件，向疾控部门提供确诊用户的行程信息C.社交平台将用户注册信息共享给关联公司用于拓展信贷业务D.金融机构将客户理财信息提供给第三方催收公司追讨逾期欠款答案B5.个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言向个人告知法定事项，下列不属于法定告知内容的是？A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使法定权利的方式和程序D.处理个人信息可获得的预期商业收益答案D6.关于个人对个人信息处理的同意，下列说法正确的是？A.个人必须一次性概括同意处理者收集、使用其所有类型的个人信息，不得分项作出同意B.个人有权随时撤回其同意，撤回同意不影响撤回前基于同意已进行的处理活动的效力C.用户协议中约定“一经注册即视为永久同意平台处理所有个人信息”的条款当然有效D.个人拒绝同意处理非必要个人信息的，平台有权拒绝提供核心基础服务答案B7.下列个人信息处理活动中，依法不需要取得个人单独同意的是？A.电商平台为履行发货义务，向合作物流公司提供收件人姓名、地址、联系电话用于配送B.互联网平台公开用户发布的包含其人脸信息的摄影作品C.商场将公共安全监控采集的人脸信息用于客流消费偏好分析D.在线教育机构为跨境课程服务将学生个人信息传输至境外合作机构答案A8.根据《个人信息保护法》规定，处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。A.十四B.十六C.十八D.十二答案A9.关于个人信息处理中的自动化决策规则，下列说法错误的是？A.利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正B.通过自动化决策方式进行信息推送、商业营销，应当同时提供不针对个人特征的选项，或者提供便捷的拒绝方式C.通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求处理者予以说明，并有权拒绝处理者仅通过自动化决策作出决定D.自动化决策可以针对不同消费能力的用户在交易价格上设置差别待遇，只要算法细节不公开即不违法答案D10.关于公共场所图像采集、个人身份识别设备的安装和使用，下列说法正确的是？A.商场可以在试衣间内安装人脸识别设备用于防范盗窃B.公共场所为公共安全采集的个人图像、身份识别信息，可以直接用于商业广告投放C.为维护公共安全所必需安装相关设备的，应当设置显著的提示标识D.物业服务企业可以强制采用人脸识别作为小区单元门唯一的出入验证方式答案C11.下列权利中，不属于《个人信息保护法》规定的个人在个人信息处理活动中享有的法定权利的是？A.对个人信息处理的知情权、决定权B.限制或者拒绝他人对其个人信息进行违法处理的权利C.符合法定条件时的个人信息转移权（可携带权）D.无任何前提的永久被遗忘权，即随时有权要求处理者删除所有个人信息，处理者不得拒绝答案D12.两个以上个人信息处理者共同决定个人信息的处理目的和处理方式，因处理活动侵害个人信息权益造成损害的，受害人主张赔偿责任的方式是？A.只能按照内部约定向确定的责任方主张B.只能向实际操作处理个人信息的一方主张C.可以向任何一个共同处理者主张全部赔偿D.必须按照各方过错比例分别主张答案C13.关于个人信息处理者委托他人处理个人信息的规则，下列说法错误的是？A.委托方应当与受托方约定委托处理的目的、期限、处理方式、个人信息种类、保护措施以及双方权利义务B.受托方可以超出约定的处理目的、处理方式处理个人信息，只要不泄露个人信息即不违法C.委托方应当对受托方的个人信息处理活动进行监督D.委托合同终止后，受托方应当将个人信息返还委托方或者予以删除，不得擅自保留答案B14.下列个人信息处理活动中，不需要事前进行个人信息保护影响评估的是？A.处理敏感个人信息B.利用个人信息进行自动化决策C.新闻机构为公共事件报道在合理范围内使用已公开的公众人物个人信息D.向境外提供个人信息答案C15.下列选项中，不属于个人信息跨境提供法定条件的是？A.通过国家网信部门组织的个人信息出境安全评估B.按照国家网信部门的标准合同与境外接收方订立权利义务约定C.就个人信息出境取得个人的单独同意D.按照境外接收方所在国法律要求，向当地执法机关提供存储于境内的所有用户信息答案D16.关于国家机关处理个人信息的规则，下列说法正确的是？A.国家机关履行公务处理个人信息，可以不受法定权限和程序限制B.国家机关处理的个人信息应当在境内存储，确需向境外提供的，应当进行安全评估C.国家机关履行职责处理个人信息，不需要向个人告知任何事项D.国家机关可以将履职收集的个人信息随意提供给其他机关用于非履职用途答案B17.关于个人信息保护负责人的设置要求，下列说法错误的是？A.处理个人信息达到国家网信部门规定数量的处理者，应当指定个人信息保护负责人B.个人信息保护负责人必须由处理者的法定代表人担任C.处理者应当公开个人信息保护负责人的联系方式，并将其信息报送履行个人信息保护职责的部门D.个人信息保护负责人应当具备相应的个人信息保护专业知识和经验答案B18.个人信息权益因个人信息处理活动受到侵害，个人信息处理者承担侵权责任的归责原则是？A.过错责任原则，即个人必须证明处理者存在过错才能主张赔偿B.过错推定原则，即处理者不能证明自己没有过错的，应当承担侵权责任C.无过错责任原则，无论处理者是否有过错都必须承担责任D.公平责任原则，由双方平均分担损失答案B19.违反《个人信息保护法》处理个人信息，情节严重的，省级以上履行个人信息保护职责的部门可以作出的最高罚款限额是？A.一百万元以下B.五千万元以下或者上一年度营业额百分之五以下C.违法所得十倍，无上限D.只能责令整改，不得处以罚款答案B20.下列主体中，无权针对侵害众多个人信息权益的行为向人民法院提起公益诉讼的是？A.人民检察院B.法律规定的消费者组织C.国家网信部门确定的专门组织D.任意从事互联网业务的企业答案D二、多项选择题（每题2分，共40分，每题所设选项中至少有两个正确答案，多选、少选、错选或不选均不得分）1.关于《个人信息保护法》的适用范围，下列说法正确的有？A.在中华人民共和国境内处理自然人个人信息的活动，适用本法B.在境外处理境内自然人个人信息，以向境内自然人提供产品或者服务为目的的，适用本法C.在境外处理境内自然人个人信息，用于分析、评估境内自然人行为的，适用本法D.自然人因个人或者家庭事务处理个人信息的，同样适用本法所有规定答案ABC解析根据《个人信息保护法》第3条、第72条，自然人因个人或者家庭事务处理个人信息的，不适用本法，D选项错误。2.个人信息处理者处理个人信息，应当遵循的法定基本原则包括？A.合法、正当、必要、诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息B.目的明确、最小必要原则，处理活动应当与处理目的直接相关，不得过度收集个人信息C.公开透明原则，公开处理规则，明示处理目的、方式和范围D.信息质量原则，保证个人信息准确、完整，避免因信息错误对个人权益造成不利影响答案ABCD3.下列个人信息处理活动中，不需要取得个人同意即可合法实施的有？A.为订立、履行个人作为一方当事人的合同所必需的处理活动，或按照依法制定的劳动规章制度实施人力资源管理所必需的处理B.为履行法定职责或者法定义务所必需的处理C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需的处理D.为公共利益实施新闻报道、舆论监督等行为，在合理范围内处理个人信息答案ABCD4.下列个人信息处理活动中，依法应当取得个人单独同意的有？A.处理敏感个人信息B.向其他个人信息处理者提供个人信息C.公开个人信息D.向境外提供个人信息答案ABCD解析根据《个人信息保护法》第23条、第25条、第29条、第39条，四类情形均需取得个人单独同意。5.关于敏感个人信息的处理规则，下列说法正确的有？A.处理敏感个人信息应当具有特定的目的和充分的必要性，并采取严格的保护措施B.处理敏感个人信息应当取得个人的单独同意，法律、行政法规要求取得书面同意的从其规定C.处理敏感个人信息应当向个人告知处理的必要性以及对个人权益的影响D.任何情形下都不得处理不满14周岁未成年人的个人信息答案ABC解析D选项错误，处理不满14周岁未成年人个人信息只需取得监护人同意并制定专门规则，并非绝对禁止。6.关于个人撤回同意的规则，下列说法正确的有？A.个人有权随时撤回其对个人信息处理的同意B.个人信息处理者应当提供便捷的撤回同意的方式C.个人撤回同意的，撤回前已经基于同意开展的处理活动自始无效D.个人撤回同意后，处理者应当删除对应的个人信息，法律、行政法规另有规定的除外答案ABD解析C选项错误，根据《个人信息保护法》第15条，撤回同意不影响撤回前已开展的合法处理活动的效力。7.个人信息处理者利用个人信息进行自动化决策，应当遵守的规则包括？A.不得对个人在交易价格等交易条件上实行不合理的差别待遇B.进行信息推送、商业营销时，应当提供不针对个人特征的选项或者便捷的拒绝方式C.作出对个人权益有重大影响的决定时，个人有权要求处理者说明，并有权拒绝仅通过自动化决策方式作出决定D.自动化决策的全部算法细节必须向社会公开，接受公众监督答案ABC解析D选项错误，法律要求自动化决策保证透明度，但并未要求公开涉及商业秘密的算法细节。8.关于公共场所安装图像采集、个人身份识别设备的规则，下列说法正确的有？A.设备安装应当以维护公共安全为必需，遵守国家有关规定，并设置显著提示标识B.采集的个人图像、身份识别信息原则上只能用于公共安全目的，取得个人单独同意的方可用于其他目的C.采集的个人图像、身份识别信息可以经匿名化处理后用于合法的公共管理目的D.物业服务企业不得强制业主人脸识别作为唯一出入验证方式，应当提供其他合理验证渠道答案ABD解析C选项错误，即使匿名化处理，公共场所采集的信息用于公共安全以外目的仍需符合法定要求，且不得随意传播公开。9.根据《个人信息保护法》，个人对其个人信息享有的法定权利包括？A.查阅、复制其个人信息B.发现个人信息不准确、不完整时，请求更正、补充C.符合法定情形时，请求处理者删除个人信息D.符合法定条件时，要求处理者将个人信息转移至其指定的处理者答案ABCD10.下列情形中，个人信息处理者应当主动删除个人信息，个人也有权请求删除的有？A.处理目的已实现、无法实现或者为实现处理目的不再必要B.处理者停止提供产品或者服务，或者个人信息保存期限已届满C.个人撤回同意，且无其他合法处理基础D.处理者违反法律、行政法规或者违反约定处理个人信息答案ABCD11.关于共同处理与委托处理个人信息的规则，下列说法正确的有？A.共同处理是多个处理者共同决定处理目的与方式；委托处理是受托方按照委托方的指示处理个人信息B.共同处理侵害个人信息权益的，共同处理者承担连带责任，内部责任约定不得对抗受害人C.委托处理中受托方超出委托范围处理个人信息造成损害的，委托方无须承担任何责任D.委托关系终止后，受托方应当将个人信息返还委托方或者删除，不得擅自保留答案ABD解析C选项错误，委托方对受托方的处理活动负有监督义务，受托方违法处理个人信息的，委托方不能以超出委托范围为由完全免责。12.个人信息处理者应当采取的安全保障措施包括？A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取加密、去标识化等安全技术措施D.定期对从业人员进行安全教育和培训答案ABCD13.下列情形中，个人信息处理者应当事前开展个人信息保护影响评估并留存记录的有？A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息、向其他处理者提供个人信息、公开个人信息D.向境外提供个人信息答案ABCD14.个人信息处理者确需向境外提供个人信息的，可以通过以下哪些法定路径满足合规要求？A.通过国家网信部门组织的个人信息出境安全评估B.经专业机构按照国家规定开展个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方权利义务D.符合法律、行政法规或者国家网信部门规定的其他条件答案ABCD15.个人信息处理者向境外提供个人信息时，应当向个人告知并取得单独同意的事项包括？A.境外接收方的名称或者姓名、联系方式B.个人信息的处理目的、处理方式C.出境的个人信息种类D.个人向境外接收方行使法定权利的方式和程序答案ABCD16.关于国家机关处理个人信息的特殊规则，下列说法正确的有？A.国家机关处理个人信息应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责的必要范围B.国家机关处理个人信息原则上应当履行法定告知义务，法律、行政法规规定应当保密或不需要告知的除外C.国家机关处理的个人信息应当在境内存储，确需出境的应当进行安全评估D.国家机关之间因履行职责需要提供个人信息的，应当有法律、行政法规依据，不得超出履职范围随意提供答案ABCD17.根据《个人信息保护法》，下列属于法律禁止的个人信息处理行为的有？A.非法收集、存储、使用、加工、传输他人个人信息B.非法买卖、提供或者公开他人个人信息C.从事危害国家安全、公共利益的个人信息处理活动D.采取必要安全措施保护收集的个人信息安全答案ABC解析D选项是处理者的法定义务，不属于禁止行为。18.关于侵害个人信息权益的民事责任，下列说法正确的有？A.个人信息处理者侵害个人信息权益的，适用过错推定责任，处理者不能证明自己无过错的，应当承担赔偿责任B.损害赔偿数额按照个人遭受的损失或者处理者获得的利益确定，损失和获利难以确定的，由法院根据实际情况确定C.违法处理个人信息侵害众多个人权益的，法定主体可以向法院提起公益诉讼D.侵害个人信息权益的责任承担方式不包括赔礼道歉答案ABC解析D选项错误，侵害个人信息权益造成人格利益损害的，受害人可以主张赔礼道歉、消除影响等责任。19.个人信息处理活动违法情节严重的，省级以上履行个人信息保护职责的部门可以采取的处罚措施包括？A.没收违法所得B.处五千万元以下或者上一年度营业额百分之五以下罚款C.责令暂停相关业务、停业整顿，通报有关部门吊销业务许可或营业执照D.对直接负责的主管人员处十万元以上一百万元以下罚款，并可以禁止其在一定期限内担任相关企业高管、个人信息保护负责人答案ABCD20.下列活动中，不适用或者不完全适用《个人信息保护法》一般规则的有？A.自然人因个人或者家庭事务处理个人信息B.处理经过匿名化处理、无法识别特定自然人且不能复原的信息C.其他法律对人民政府统计、档案管理活动中的个人信息处理有特别规定的相关处理活动D.电商平台为履行买卖合同处理用户收货信息答案ABC解析D选项属于典型的个人信息处理活动，完全适用《个人信息保护法》的一般规则。三、不定项选择题（每题2分，共20分，每题所设选项中有一个或多个正确答案，多选、少选、错选或不选均不得分）（一）某短视频运营公司A开发运营一款短视频APP，用户注册时需点击同意《用户服务协议》《个人信息处理规则》，协议中包含“用户一经注册即视为永久同意A公司及其关联公司收集、使用用户通讯录、地理位置、人脸信息、浏览记录等所有个人信息，用户不得撤回同意”“A公司有权基于用户浏览记录进行个性化推荐，用户不得拒绝”“用户使用本APP即视为同意A公司将个人信息传输至境外母公司用于统一用户管理”等条款。用户张某注册后发现APP频繁后台调取通讯录、地理位置信息，推送广告完全匹配其聊天敏感内容，张某要求关闭个性化推荐、删除个人信息被客服以“已同意协议”为由拒绝。根据上述材料，回答1-3题：1.关于A公司用户协议中的格式条款效力，下列说法正确的有？A.“永久同意且不得撤回同意”的条款无效B.“不得拒绝个性化推荐”的条款无效C.跨境传输条款已写入用户协议，即视为用户已作出有效单独同意，符合法律规定D.排除用户主要权利的格式条款，用户可以主张其不成为合同内容答案ABD解析C选项错误，跨境提供个人信息需单独就出境事项取得用户同意，不得通过概括性用户协议一揽子授权。2.关于A公司收集个人信息的行为，下列说法正确的有？A.A公司不得强制用户授权与短视频服务无关的个人信息权限，否则违反最小必要原则B.收集用户人脸信息属于处理敏感个人信息，应当取得用户单独同意并告知必要性及影响C.后台频繁调取非必要的通讯录、地理位置信息属于违法收集个人信息D.因用户已点击同意协议，A公司的所有收集行为均合法答案ABC3.张某可以依法主张的权利包括？A.要求A公司关闭针对其的个性化推荐B.要求A公司删除违法收集的个人信息C.就其遭受的损失要求A公司承担赔偿责任，A公司无法证明自己无过错的即应担责D.直接要求A公司的境外母公司、所有关联公司承担连带赔偿责任答案ABC解析D选项错误，只有共同参与个人信息违法处理、符合共同侵权构成的主体才承担连带责任，关联公司、境外母公司未参与处理的，不直接承担连带责任。（二）某物业服务公司B为其管理的小区提供服务，2025年10月B公司发布通知，称将在所有单元门安装人脸识别门禁，业主必须录入人脸信息方可出入，不提供其他验证方式。同时，B公司将公共区域监控拍摄的业主活动视频提供给周边商业综合体用于客流消费偏好分析，收取10万元服务费。业主王某认为B公司侵权，向法院起诉。根据上述材料，回答4-7题：4.关于B公司强制业主人脸识别出入的行为，下列说法正确的有？A.B公司作为物业服务人，有权决定门禁验证方式，业主必须配合B.B公司不得将人脸识别作为唯一验证方式，应当为业主提供其他合理验证渠道C.收集业主人脸信息属于敏感个人信息处理，应当取得业主单独同意D.强制收集人脸信息的行为违反合法、正当、必要原则答案BCD5.关于B公司向商业综合体提供监控视频的行为，下列说法正确的有？A.公共区域监控为公共安全目的安装，采集的视频原则上只能用于公共安全用途，取得业主单独同意后方可用于商业目的B.未经业主同意将视频提供给商业机构用于商业分析，属于违法处理个人信息C.监控拍摄于公共区域，B公司可任意使用、提供视频资料，无需业主同意D.B公司收取的10万元服务费属于违法所得，应当依法予以没收答案ABD6.王某起诉B公司侵权的举证责任分配，下列说法正确的有？A.王某应当证明B公司存在处理其个人信息的行为B.王某应当证明B公司存在主观过错，否则承担败诉风险C.B公司应当证明其处理行为没有过错，否则承担侵权责任D.本案适用无过错责任，无论B公司是否有过错都必须承担责任答案AC解析个人信息侵权适用过错推定责任，受害人无需证明处理者存在过错，由处理者举证证明自己无过错。7.若B公司的行为涉及上千名业主权益，下列有权提起公益诉讼的主体有？A.当地人民检察院B.当地消费者协会C.小区业主委员会D.国家网信部门确定的专门组织答案ABD（三）某跨境电商C注册于境外，主要面向中国境内消费者销售海外商品，未在境内设立机构，委托境内D公司提供客服、支付辅助服务。C公司在服务中收集了大量中国消费者的身份证信息、支付账户、收货地址、消费记录等信息，为优化存储效率，C公司将所有收集到的中国消费者信息传输至境外数据中心存储，未履行出境法定程序。2025年12月，C公司服务器被黑客攻击，导致数百万中国消费者信息泄露，大量用户遭遇电信诈骗。根据上述材料，回答8-10题：8.关于我国《个人信息保护法》对C公司的适用，下列说法正确的有？A.C公司为境外注册主体，处理行为发生在境外，不适用我国法律B.C公司面向中国境内消费者提供商品服务，属于我国法域外适用的情形，应当遵守我国《个人信息保护法》C.C公司应当在我国境内设立专门机构或者指定代表，负责个人信息保护相关事务D.C公司作为境外企业，无需遵守我国个人信息跨境提供规则答案BC9.关于C公司将消费者信息传输至境外存储的行为，下列说法正确的有？A.该行为属于个人信息跨境提供，应当符合我国法定的出境条件B.C公司应当就出境事项取得中国消费者的单独同意C.C公司应当通过安全评估、认证或签订标准合同等法定程序后方可出境D.信息存储于C公司自有境外服务器，不属于跨境提供，无需遵守我国规定答案ABC10.针对本次信息泄露事件，下列说法正确的有？A.C公司未采取必要安全措施导致信息泄露，应当承担侵权责任，除非能证明自己无过错B.D公司作为受托方，若未履行安全保护义务导致信息泄露，应当承担相应责任C.省级以上监管部门可以对C公司处以五千万元以下或者上一年度营业额百分之五以下罚款（情节严重时）D.消费者只能向C公司主张责任，无权向D公司主张权利答案ABC四、案例分析题（共20分）某互联网公司E开发运营一款健身类APP，提供运动记录、健身课程、社区交流服务。2026年1月监管检查发现E公司存在以下行为：1.用户首次打开APP时，弹窗申请通讯录、地理位置、相机、麦克风、存储、电话权限，所有权限设置为“不同意即无法使用”，其中通讯录、电话权限与健身核心服务无直接关联，拒绝授权则APP直接退出。2.注册流程中“接收个性化健身课程及商品推荐”选项为默认勾选，注册后持续基于用户运动数据、身体状况、地理位置推送精准广告，设置中无关闭个性化推荐的入口。3.用户协议中约定“公司有权收集用户心率、睡眠、健康状况等信息用于优化课程”，未就健康信息收集进行单独提示，未告知收集该类信息的必要性和对用户的影响。4.举办“健身达人”评选活动时，将报名用户的人脸照片、体重、健康档案公开在APP首页用于投票，未就公开信息征得用户单独同意。5.计划将用户健康数据、运动数据提供给境外某科研机构用于研究，仅在用户协议中概括提及“同意将信息提供给合作方优化服务”，未单独告知境外接收方信息、出境事项，未取得单独同意，未履行出境法定程序。6.数据库存在安全漏洞，2025年10月导致10万余用户健康信息、身份信息、联系方式被窃取，多名用户遭遇诈骗，E公司未及时通知用户和监管部门，也未采取补救措施。问题：1.结合《个人信息保护法》规定，分析E公司的6项行为分别违反了哪些个人信息保护规则？（12分）2.针对E公司的违法行为，监管部门可以依法采取哪些行政处罚措施？（4分）3.信息泄露受损用户主张民事赔偿的路径是什么？举证责任如何分配？（4分）答案1.（12分，每点2分）（1）强制用户授权非必要权限的行为，违反最小必要原则和知情同意规则。根据《个人信息保护法》第5条、第6条、第14条，处理个人信息应当遵循最小必要原则，收集的信息应当与处理目的直接相关，不得通过强制授权非必要权限的方式强迫用户同意，不得过度收集个