2025年跨境数据合规理论知识测试题(含答案)

2025年跨境数据合规理论知识测试题(含答案)第一部分单项选择题（共20题，每题1.5分，共30分）1.根据中国《个人信息保护法》（PIPL）及2024年发布的《促进和规范数据跨境流动规定》，关键信息基础设施运营者（CIIO）处理个人信息达到（）数量，确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。A.10万人B.50万人C.100万人D.500万人2.在欧盟《通用数据保护条例》（GDPR）框架下，若将个人数据传输至被视为“缺乏充分保护水平”的第三国（如中国），企业不能采取以下哪种合规机制作为合法传输依据？A.标准合同条款B.约束性企业规则（BCR）C.企业自行签署的保密协议（NDA）D.数据主体的明确同意3.根据美国《加州消费者隐私法案》（CCPA/CPRA），对于“敏感个人信息”的处理，企业必须提供（）。A.“不出售”选项B.“限制使用”选项C.“删除”选项D.“携带”选项4.中国《数据出境安全评估办法》规定，数据处理者在申报数据出境安全评估时，应当提交（）。A.数据出境风险自评估报告B.数据出境商业合同C.数据接收方的资信证明D.以上皆是5.在跨境数据流动中，关于“数据本地化”存储的要求，下列说法正确的是（）。A.全球所有国家都要求核心数据必须本地化存储B.俄罗斯要求所有公民个人信息必须首先存储在俄罗斯境内服务器C.欧盟GDPR严禁数据出境，必须全部存储在欧盟境内D.中国法律仅要求CIIO的数据本地化，非CIIO无此义务6.GDPR第49条规定的“例外情形”允许在缺乏适当保障措施的情况下进行数据传输，以下哪项不属于此类例外？A.数据主体明确同意且知晓风险B.为履行数据主体与控制者之间的合同所必需C.为公共利益的重要任务所必需D.企业为优化内部管理结构所必需7.根据中国《个人信息出境标准合同办法》，标准合同的有效期限通常为（），届满需重新签署或备案。A.1年B.2年C.3年D.5年8.随着人工智能的发展，欧盟《人工智能法案》对生成式AI模型提出了透明度义务，要求训练受版权保护数据的数据提供者需（）。A.支付高额罚款B.详细披露训练数据摘要C.获得欧盟委员会的特别许可D.完全公开源代码9.在计算GDPR下的行政罚款时，若企业违反数据主体权利（如访问权、删除权），最高可处以（）的罚款。A.1000万欧元或全球年营业额的2%（取高者）B.2000万欧元或全球年营业额的4%（取高者）C.500万欧元或全球年营业额的1%（取高者）D.1000万欧元或全球年营业额的5%（取高者）10.中国《网络安全法》规定，因业务需要，确需向境外提供的，应当按照（）会同国务院有关部门制定的办法进行安全评估。A.公安部B.工业和信息化部C.国家网信部门D.商务部11.关于“长臂管辖权”，下列哪部法律最典型地体现了其对他国企业处理本国公民数据的管辖效力？A.中国《数据安全法》B.美国《云法案》（CLOUDAct）C.新加坡《个人数据保护法》D.日本《个人信息保护法》12.在进行个人信息保护影响评估（PIA/DPIA）时，若评估表明跨境传输的风险过高且无法通过措施降低至可接受水平，企业应当（）。A.继续传输但加强监控B.寻求数据主体的单独同意后传输C.停止传输D.向监管机构报告后继续传输13.根据《个人信息出境标准合同规定》，个人信息处理者应当在标准合同生效之日起（）日内，向所在地省级网信部门备案。A.10B.15C.30D.6014.AEO（授权经济运营商）制度主要涉及（）领域的跨境数据便利化。A.金融B.税务C.海关与国际贸易D.知识产权15.下列哪种数据类型通常被各国法律定义为“重要数据”，受到最严格的出境管控？A.用户的浏览偏好记录B.泛化的地理位置数据C.关键基础设施的运行参数日志D.公开的社交媒体评论16.跨境数据传输中，若接收方所在国法律要求提供数据，而该要求可能导致违反原发国法律（如GDPR），企业应采取的最佳措施是（）。A.立即提供数据以避免当地法律制裁B.立即拒绝并提供法律依据C.寻求法律救济，尽可能通知数据主体，并评估提供数据的合法性D.销毁相关数据以逃避要求17.中国《数据安全法》确立了数据分类分级保护制度，其中“核心数据”的定义是（）。A.关系国家安全、国民经济命脉的重要数据B.一旦泄露可能危害个人权益的数据C.涉及商业秘密的数据D.仅涉及公共利益的数据18.在亚太经济合作组织（APEC）跨境隐私规则（CBPR）体系中，认证机构主要负责（）。A.制定各国法律法规B.处理跨境数据传输的技术标准C.评估企业是否符合CBPR要求并授予认证D.解决所有数据泄露的民事赔偿19.若一家中国企业向欧盟提供产品并收集用户数据，且在欧盟境内无实体，根据GDPR，其必须指定（）。A.数据保护官（DPO）B.欧盟代表C.数据控制者D.数据处理者20.2024年中国发布的《促进和规范数据跨境流动规定》明确了（）的数据出境免予申报安全评估、订立标准合同或通过认证。A.预计一年内向境外提供1万人以上非敏感个人信息B.为订立合同所必需向境外提供非敏感个人信息C.涉及重要数据的所有情形D.跨国公司内部人力资源数据第二部分多项选择题（共10题，每题3分，共30分。多选、少选、错选不得分）1.下列哪些情形属于中国法律规定的需要进行数据出境安全评估的条件？（）A.关键信息基础设施运营者（CIIO）B.处理100万人以上个人信息的数据处理者向境外提供个人信息C.累计向境外提供10万人非敏感个人信息D.自上年1月1日起累计向境外提供1万人敏感个人信息E.所有外资企业向总部发送员工考勤数据2.根据GDPR，作为合法的跨境数据传输机制，包括以下哪些？（）A.充分性认定B.标准合同条款C.约束性企业规则D.克制性征兆E.第49条规定的例外情况3.企业在进行跨境数据合规体系建设时，通常需要关注的核心要素包括（）。A.数据映射与盘点B.数据主体的权利响应机制C.第三方供应商的尽职调查D.数据泄露应急响应计划E.员工数据保护培训4.关于个人信息保护影响评估（PIA），下列说法正确的有（）。A.是PIPL要求处理敏感个人信息必须履行的义务B.评估报告至少保存三年C.评估结果应告知个人信息保护负责人D.只有在发生数据泄露时才需要进行E.应包括对个人信息权益的影响和安全风险的评估5.美国《云法案》（CLOUDAct）的主要内容包括（）。A.允许美国执法机构调取存储在海外的美国公司数据B.提供了“适格外国政府”与美国互惠执行数据请求的机制C.废除了“隐私盾”协议D.规定了数据泄露的通知时限为72小时E.取代了美国1986年的《存储通信法》（SCA）部分条款6.中国《个人信息保护法》规定，个人信息处理者向境外提供个人信息前，应当向个人告知的事项包括（）。A.境外接收方的名称B.境外接收方的联系方式C.处理目的、方式、类型D.个人向境外接收方行使权利的方式和程序E.境外接收方的详细财务报表7.面对各国数据主权的冲突，跨国企业通常采取的合规策略包括（）。A.数据本地化存储B.区域化数据中心架构C.采用端到端加密技术D.忽视冲突，仅遵循总部所在国法律E.实施数据最小化原则减少传输量8.下列哪些行为可能违反《中华人民共和国网络安全法》关于数据安全的规定？（）A.未经用户同意收集其个人信息B.窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息C.对关键信息基础设施造成损害D.未按规定留存网络日志E.自愿向监管机构报送网络运营安全状况9.在跨境数据传输中，关于“匿名化”技术的描述，正确的有（）。A.匿名化后的数据不属于个人信息，不受PIPL约束B.匿名化是不可逆的过程C.假名化等同于匿名化D.GDPR下的匿名化标准要求信息无法关联到已识别或可识别的自然人E.重新识别风险是评估匿名化效果的关键指标10.2024年《促进和规范数据跨境流动规定》的出台，主要旨在（）。A.扩大数据出境安全评估的适用范围B.放宽一般性个人信息的出境限制C.促进数字经济的高质量发展D.细化重要数据的识别标准E.建立全球统一的数据监管规则第三部分判断题（共10题，每题1分，共10分）1.只要企业在跨境数据传输中签署了标准合同条款（SCC），就完全避免了GDPR下的合规风险。（）2.中国的《数据出境安全评估办法》不仅适用于个人信息出境，也适用于重要数据出境。（）3.根据CCPA，消费者有权要求企业删除其出售给第三方的个人信息。（）4.约束性企业规则（BCR）主要适用于大型跨国集团内部的跨境数据传输，需要获得欧盟监管机构的批准。（）5.企业在申报数据出境安全评估时，若自评估报告显示风险可控，但未与境外接收方签订具有法律约束力的文件，依然可以通过评估。（）6.新加坡PDPA允许个人数据传输至新加坡境外，只要接收方提供与PDPA相当的保护标准。（）7.关键信息基础设施（CII）的认定范围只包括电信、能源等传统行业，不包括互联网金融行业。（）8.如果境外接收方所在国家的法律环境发生变化，导致标准合同无法得到有效执行，企业必须立即停止数据传输。（）9.根据《个人信息保护法》，未成年人（不满十四周岁）的个人信息属于敏感个人信息。（）10.跨境数据合规中，“数据控制者”和“数据处理者”承担的法律责任在任何司法管辖区都是完全相同的。（）第四部分填空题（共10空，每空1分，共10分）1.GDPR规定，企业违反数据保护原则（如合法性、公正性、透明性），最高可处以上一财政年度全球营业额______的罚款。2.中国《个人信息保护法》确立了以______为基础，以______为例外的个人信息处理原则。3.针对向境外提供个人信息，中国提供了三条合规路径：安全评估、______和______。4.欧盟-美国数据隐私框架引入了新的独立审查机制，由美国______委员会（DPC）负责调查和解决欧盟居民的投诉。5.在数据分类分级保护制度中，数据的级别从低到高通常分为：一般数据、重要数据和______。6.若发生个人信息泄露，企业应当立即采取补救措施，并通知______和______。第五部分简答题（共5题，每题6分，共30分）1.简述中国《个人信息保护法》中“敏感个人信息”的定义及其处理所需满足的特殊条件。2.请对比分析“数据本地化”与“数据出境限制”的区别与联系。3.在GDPR框架下，什么是“充分性认定”（AdequacyDecision）？请列举两个已被欧盟认定为提供充分保护水平的国家或地区。4.简述跨国企业在应对美欧数据跨境传输冲突（如SchremsII判决后）时，可以采取的TIA（传输影响评估）中应考虑的核心要素。5.根据中国《数据出境安全评估办法》，申报数据出境安全评估通常需要经历哪些主要流程？第六部分案例分析题（共2题，每题20分，共40分）案例一：智能网联汽车跨境数据传输案某跨国汽车制造商A公司（总部位于德国，在中国设有子公司B）在中国生产并销售高端智能网联汽车。为了提升全球用户的驾驶体验和自动驾驶算法的训练效率，A公司计划将中国境内收集的部分车辆数据传输至位于德国的全球数据中心进行云端分析。涉及的数据类型包括：1.车辆基础识别码（VIN）、车辆型号、生产日期等非个人信息。2.车主及驾驶员的姓名、手机号、身份证号（用于身份验证）。3.车辆行驶过程中的高清道路视频、激光雷达点云数据（包含人脸、车牌等外界环境信息）。4.车辆实时定位轨迹数据。已知：B公司在中国境内累计处理个人信息超过200万人。A公司尚未通过中国数据出境安全评估。问题：1.根据中国相关法律法规，上述四类数据中，哪些可能属于“重要数据”？哪些属于“敏感个人信息”？请简要说明理由。2.B公司计划将这些数据传输至德国，应选择哪种数据出境合规路径（安全评估、标准合同、认证）？请说明选择该路径的法律依据。3.在进行数据出境前，B公司应当在技术和管理方面采取哪些合规措施以降低风险？（至少列举三点）4.假设传输过程中发生数据泄露，导致1000名车主的身份证号和轨迹信息在暗网泄露，B公司应如何应对？案例二：跨国电商集团GDPR合规危机某知名中国电商平台C公司拓展欧洲市场，在法国、德国设立了办事处，并在欧盟境内拥有50万活跃用户。C公司为了降低IT成本，将所有欧洲用户的个人信息（包括姓名、地址、支付记录、浏览历史）存储在位于新加坡的服务器上，并允许位于深圳的技术团队进行远程维护。此外，C公司还使用第三方的美国营销分析工具D公司对用户行为进行分析。2025年3月，法国数据保护局（CNIL）接到用户投诉，称C公司在未获得充分同意的情况下将数据传输至美国，且未签署标准合同条款。CNIL随即展开调查，发现：1.C公司未指定欧盟代表。2.C公司与D公司的合作协议中未包含GDPR要求的数据保护条款。3.C公司向新加坡传输数据未进行传输影响评估（TIA）。问题：1.C公司违反了GDPR的哪些核心条款？请结合案例分析。2.针对C公司向深圳团队和新加坡服务器传输数据的情形，C公司应当采取哪些补救措施以符合GDPR要求？3.针对美国营销工具D公司的问题，C公司应如何构建合规的数据传输链条？4.若CNIL决定对C公司处以罚款，请依据GDPR的罚款计算公式/逻辑，估算可能的罚款额度及其考量因素。参考答案第一部分单项选择题1.C2.C3.B4.D5.B6.D7.C8.B9.B10.C11.B12.C13.A14.C15.C16.C17.A18.C19.B20.B第二部分多项选择题1.A,B,D2.A,B,C,E3.A,B,C,D,E4.A,B,C,E5.A,B,E6.A,B,C,D7.A,B,C,E8.A,B,C,D9.A,D,E10.B,C,D第三部分判断题1.错（SCC只是基础，还需配合TIA确保进口国保护水平足够）2.对3.对4.对5.错（必须签订法律文件）6.对7.错（也包括互联网金融等行业）8.错（应立即终止，若无法律文件支撑）9.对10.错（责任在不同法域下有区别，控制者通常责任更重）第四部分填空题1.4%（或20,000,000欧元）2.同意、单独同意3.个人信息保护认证、订立标准合同4.数据保护审查5.核心数据6.个人信息处理者、监管部门（或网信部门）第五部分简答题1.答：定义：敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。特殊条件：1.具有特定的目的和充分的必要性；2.采取严格保护措施；3.取得个人的单独同意（注：法律另有规定的除外）；4.向个人告知处理敏感个人信息的必要性以及对个人权益的影响。2.答：区别：数据本地化是指数据必须存储在境内服务器，物理上不得出境；数据出境限制是指允许数据在境内存储，但对向境外传输设置了门槛（如安全评估、审批等）。本地化是物理空间的强制限制，出境限制是流向的管控。联系：两者都是为了保障国家数据安全和公民隐私。数据本地化往往能极大地降低数据出境风险，是实现数据出境限制的一种极端手段；而数据出境限制政策通常在数据必须跨境流动的背景下，作为本地化政策的替代或补充存在。3.答：定义：充分性认定是指欧盟委员会决定第三国、一个或多个特定领域、或在第三国内的特定国际组织具有与GDPR相当的数据保护水平。一旦通过认定，个人数据向该地区的传输可以像在欧盟内部一样自由进行，无需额外的特殊授权。示例：日本、英国、韩国（部分）、加拿大（商业组织）、瑞士等（答对其中两个即可）。4.答：传输影响评估（TIA）的核心要素包括：1.传输目的、背景和性质：为什么要传，传什么，谁在传。2.传输期限：数据会在国外存多久。3.原发国和接收国法律框架：详细评估接收国的法律环境（如surveillancelaws,intelligencelaws），特别是当地政府访问数据的权限。4.保障措施的有效性：评估SCC、BCR等合同条款是否能真正对抗接收国的不良法律要求。5.补充措施：如果现有措施不足，是否采取了加密、匿名化等技术手段进一步保护数据。6.最终风险判定：确定剩余风险是否在可接受范围内，以及对数据主体的影响。5.答：主要流程包括：1.自评估：数据处理者自行进行数据出境风险自评估，形成报告。2.申报材料准备：准备申报书、自评估报告、与境外接收方签订的合同及其他必需材料。3.提交申报：向省级网信部门提交申报材料。4.材料补正：若材料不完备，按省级网信部门要求补正。5.部级评估：省级网信部门初审通过后，报送国家网信部门进行安全评估。6.评估结果与复评：等待国家网信部门出具评估结果（通过、不予通过或需整改）。若对结果有异议，可申请复评。第六部分案例分析题案例一：智能网联汽车跨境数据传输案1.数据定性分析：重要数据：第3类（包含人脸、车牌的激光雷达点云数据）。理由：根据《汽车数据安全管理若干规定（试行）》，涉及个人信息主体超过10万人的个人信息属于重要数据，且此类测绘类数据可能涉及国家地理信息安全。第4类（车辆实时定位轨迹）若涉及军事管理区、国家机密单位或由于规模效应（累计处理人数超过10万）也极大概率被认定为重要数据。敏感个人信息：第2类（身份证号）属于生物识别之外的特定身份信息；第3类（包含人脸、车牌）涉及生物识别信息和行踪轨迹，属于敏感个人信息；第4类（轨迹）属于行踪轨迹信息，属于敏感个人信息。2.合规路径选择：应选择：数据出境安全评估。法律依据：B公司属于处理100万人以上个人信息的数据处理者；且涉及重要数据（即使是推断的）。根据《数据出境安全评估办法》第四条，关键信息基础设施运营者（CIIO）或处理100万人以上个人信息的数据处理者向境外提供个人信息，必须通过国家网信部门的安全评估。此外，涉及重要数据的出境也强制要求通过安全评估。3.合规措施（技术与管理）：技术措施：去标识化/匿名化处理：对点云数据中的人脸、车牌进行局部模糊化或删除处理，力争使其不再属于个人信息或敏感信息。端到端加密：对传输中和存储后的数据进行强加密。本地化存储优先：仅将分析后的统计结果传回德国，原始数据留在中国境内（数据不出域）。管理措施：签署法律文件：与德国总部签署具有法律约束力的文件，明确双方责任。建立数据出境监测机制：实时监控数据跨境流动的流量和异常行为。DPO制度：设立数据保护负责人，监督跨境传输活动。4.数据泄露应对：立即补救：启动应急预案，阻断漏洞，防止损失扩大。通知监管：立即向国家网信部门、公安部门报告（由于涉及敏感个人信息和可能的众多用户）。通知用户：及时通知每一位受影响的车主，告知泄露情况、影响范围及已采取/建议的补救措施。事件调查：组织调查泄露原因，形成调查报告，留存备查。案例二：跨国电商集团GDPR合规危机1.违反GDPR的核心条款：第27条（欧盟代表）：C公司在欧盟无实体，但监控欧盟用户