2026个人信息保护法培训完整试题及答案

2026个人信息保护法培训完整试题及答案第一部分单项选择题1.根据《中华人民共和国个人信息保护法》，个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。下列哪项不属于个人信息？A.自然人的姓名B.自然人的生物识别信息C.经过匿名化处理无法识别特定自然人且不能复原的信息D.自然人的行踪轨迹信息2.处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。这体现了个人信息保护的哪一项原则？A.权责一致原则B.目的限制原则C.最小必要原则D.公开透明原则3.基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意的，从其规定。下列哪种情形需要取得个人单独同意？A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.处理敏感个人信息D.为应对突发公共卫生事件4.个人信息处理者处理敏感个人信息的，除本法第十八条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。下列哪项不属于敏感个人信息？A.生物识别B.宗教信仰C.特定身份D.电子邮箱地址5.个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。下列关于自动化决策的说法，错误的是？A.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项B.通过自动化决策方式向个人进行信息推送、商业营销，应当提供便捷的拒绝方式C.个人信息处理者可以仅根据自动化决策的结果做出对个人权益有重大影响的决定D.通过自动化决策方式做出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明6.在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法。下列哪项不符合适用条件？A.以向境内自然人提供产品或者服务为目的B.分析、评估境内自然人的行为C.法律、行政法规规定的其他情形D.境外企业仅在境外存储数据，完全不涉及境内业务7.个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。关于委托处理，下列说法正确的是？A.受托人可以再将委托事项转委托给第三方处理，无需征得个人信息处理者同意B.受托人应当依照本法规定严格履行个人信息处理的义务C.受托人无需承担相应的法律责任D.委托关系终止后，受托人可以保留个人信息备份8.处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。该负责人通常被称为什么？A.首席信息安全官（CISO）B.个人信息保护官（DPO）C.数据合规官（DCO）D.首席隐私官（CPO）9.个人信息处理者应当在处理个人信息前，以显著方式、清晰易懂的语言真实、准确、完整地告知下列事项。哪一项不是必须告知的事项？A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人信息处理者的商业模式D.个人行使本法规定权利的方式和程序10.个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。关于撤回同意，下列说法正确的是？A.个人撤回同意后，个人信息处理者可以继续处理已收集的个人信息B.个人撤回同意后，个人信息处理者应当停止处理或删除个人信息C.个人撤回同意不影响撤回前基于个人同意已进行的个人信息处理活动的效力D.个人撤回同意需要经过个人信息处理者的审核11.国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。关于国家机关处理个人信息，下列说法错误的是？A.应当公开履行法定职责所必需的个人信息的处理流程B.应当依法向个人信息处理者收集、使用个人信息，履行告知义务C.可以在履行法定职责之外使用个人信息D.应当依照法律、行政法规规定的权限、程序进行12.个人信息处理者发现个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项。哪项除外？A.个人信息泄露、篡改、丢失的原因B.个人信息泄露、篡改、丢失的种类、原因和可能造成的危害C.个人信息处理者已采取的补救措施和即将采取的措施D.个人信息处理者的联系方式13.违反本法规定，处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，拒不改正的，并处一百万元以下罚款。情节严重的，可能面临的最高罚款金额是多少？A.五千万元B.一亿元C.上一年度营业额的百分之五D.五千万元或者上一年度营业额的百分之五14.关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当进行安全评估。该安全评估由哪个部门负责？A.国家网信部门B.公安部门C.市场监督管理部门D.行业主管部门15.个人信息保护影响评估（PIA）是对处理个人信息可能对个人权益造成的风险进行评估，并采取措施降低风险的过程。下列哪种情形不需要进行个人信息保护影响评估？A.利用个人信息进行自动化决策B.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息C.向境外提供个人信息D.处理不满十八周岁未成年人的个人信息（非敏感信息且不涉及自动化决策）16.中华人民共和国缔结或者参加的国际条约、协定对向境外提供个人信息的条件等有规定的，可以按照其规定执行。关于个人信息跨境提供的规则，下列说法正确的是？A.必须通过国家网信部门组织的安全评估B.必须经专业机构进行个人信息保护认证C.必须按照标准合同与境外接收方订立合同D.以上三种方式满足其一即可，同时要符合国家网信部门规定的其他条件17.个人有权查阅、复制其个人信息。个人信息处理者拒绝提供查阅、复制的，个人可以向人民法院提起诉讼。查阅、复制权不包括下列哪项内容？A.个人信息处理者的名称B.个人信息的处理目的C.算法逻辑的具体源代码D.个人信息的处理方式18.死亡者的个人信息，其近亲属为了自身的合法、正当利益，可以对死者的个人信息行使查阅、复制、更正、删除等权利。关于死者个人信息保护，下列说法正确的是？A.死者不再享有个人信息权益，任何人都可以随意使用B.死者生前另有安排的除外C.近亲属行使权利必须取得死者生前的明确同意D.只有配偶可以行使权利19.个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。下列哪项不是必要的安全措施？A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.定期向全社会公开所有个人信息的处理清单20.个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知处理个人信息的相关事项。下列哪项属于此类情形？A.处理敏感个人信息B.向境外提供个人信息C.国家机关为履行法定职责处理个人信息，在履行法定职责所必需的范围内D.通过自动化决策方式进行商业营销第二部分多项选择题1.根据《个人信息保护法》，处理个人信息应当遵循哪些原则？A.合法、正当、必要、诚信原则B.最小必要原则C.公开透明原则D.准确性原则E.安全性原则2.下列哪些情形，个人信息处理者可以在不取得个人同意的情况下处理个人信息？A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息E.依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息3.敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息。下列哪些属于敏感个人信息？A.生物识别信息B.宗教信仰、特定身份C.医疗健康信息D.金融账户、行踪轨迹E.不满十四周岁未成年人的个人信息4.个人信息处理者向个人告知处理事项时，应当以显著方式、清晰易懂的语言真实、准确、完整地告知。告知事项包括哪些？A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使权利的方式和程序D.法律、行政法规规定应当告知的其他事项E.公司的股权结构5.个人在个人信息处理活动中享有下列哪些权利？A.知情权、决定权B.查阅、复制权C.更正、补充权D.删除权E.解释说明权6.个人信息处理者处理敏感个人信息，应当向个人告知下列哪些事项？A.处理敏感个人信息的必要性B.对个人权益的影响C.公司的商业利益D.依据本法第十八条第一款规定的事项E.技术实现手段的细节7.个人信息处理者应当采取下列哪些措施保障个人信息安全？A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限E.对从业人员进行安全教育和培训8.在中华人民共和国境内处理个人信息，以及在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，适用本法。下列情形中属于适用范围的有？A.外国企业向中国境内用户提供在线游戏服务并收集用户信息B.中国企业在境内收集员工信息用于考勤C.外国企业分析中国网民的浏览习惯以优化全球广告投放D.中国企业在境外收购当地公司并收集当地员工信息E.外国政府部门出于外交目的处理中国境内自然人的信息9.个人信息处理者利用个人信息进行自动化决策，应当遵守哪些规定？A.保证决策的透明度和结果公平、公正B.不得对个人在交易价格等交易条件上实行不合理的差别待遇C.向个人进行信息推送、商业营销，应当提供不针对其个人特征的选项D.向个人进行信息推送、商业营销，应当提供便捷的拒绝方式E.必须公开算法的源代码10.个人信息处理者需向境外提供个人信息的，应当具备下列哪些条件之一？A.通过国家网信部门组织的安全评估B.经国家网信部门认定专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.法律、行政法规或者国家网信部门规定的其他条件E.境外接收方所在国数据保护水平高于中国11.个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，哪些主体可以依法向人民法院提起诉讼？A.检察院B.履行个人信息保护职责的部门C.由国家网信部门确定的组织D.任何个人E.消费者协会12.个人信息处理者处理个人信息，有下列哪些情形的，应当事前进行个人信息保护影响评估？A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息D.向境外提供个人信息E.处理一般个人信息且数量较少13.提供基础互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列哪些义务？A.建立健全个人信息保护制度B.成立主要由外部成员组成的独立机构对个人信息保护情况进行监督C.遵循公开、公平、公正的原则，制定平台规则D.对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务E.定期发布个人信息保护社会责任报告14.个人信息处理者承担民事责任的情形有哪些？A.因个人信息处理活动侵害他人人格权益B.因个人信息处理活动造成他人财产损失C.个人信息泄露D.未取得个人同意处理个人信息（且无法定豁免情形）E.未按照规定删除个人信息15.关于个人信息的删除权，下列说法正确的有？A.个人信息处理者主动停止提供产品或者服务，或者保存期限已届满的，应当主动删除个人信息B.个人撤回同意后，个人信息处理者应当停止处理或删除个人信息C.个人信息处理者未删除的，个人有权请求删除D.法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者可以不删除，但应当停止除存储和采取必要安全保护措施之外的处理E.个人信息处理者可以收取删除手续费第三部分判断题1.个人信息不包括匿名化处理后的信息。2.基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。个人信息处理者可以通过一揽子授权同意的方式获取所有业务所需的个人信息。3.处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。4.个人信息处理者可以将其收集的个人信息用于未告知的处理目的，只要该目的是合法的即可。5.处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。6.个人信息处理者利用个人信息进行自动化决策，可以仅根据自动化决策的结果对个人权益有重大影响，无需向个人说明。7.在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，一律适用《中华人民共和国个人信息保护法》。8.个人信息处理者委托处理个人信息的，受托人在委托范围内自行处理个人信息产生的法律后果由受托人承担。9.关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。10.个人有权查阅、复制其个人信息，但个人信息处理者可以因商业秘密为由拒绝提供查阅、复制。11.个人信息处理者发现个人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。12.个人信息保护影响评估应当包括处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。13.任何组织、个人有权举报违反《个人信息保护法》的行为。14.国家机关为履行法定职责处理个人信息，可以在履行法定职责所必需的范围和限度内，免除告知义务。15.不满十四周岁未成年人的个人信息属于敏感个人信息。16.个人信息处理者处理个人信息，只要是为了公共利益，就可以不采取任何保护措施。17.个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。18.个人信息处理者可以将个人信息出售给第三方，只要第三方承诺保护个人信息即可。19.境外组织、个人从事侵害中华人民共和国公民个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单。20.个人信息处理者转委托第三方处理个人信息的，无需征得个人同意，只需告知即可。第四部分简答题1.请简述《个人信息保护法》中规定的“敏感个人信息”的定义及类型，并说明处理敏感个人信息应当遵守的特别义务。2.根据《个人信息保护法》，个人信息处理者在哪些情形下可以不取得个人同意处理个人信息？请列举至少四种情形。3.个人信息处理者发现个人信息泄露、篡改、丢失时，应当立即采取哪些补救措施？通知个人时应当包含哪些内容？4.请简述个人信息主体享有的“删除权”的行使情形及个人信息处理者的处理义务。5.个人信息保护影响评估（PIA）是合规的重要环节。请列举必须进行个人信息保护影响评估的五种情形，并简述评估报告应当至少包括的内容。6.根据《个人信息保护法》，个人信息处理者在向境外提供个人信息时，必须满足哪些条件？请简述主要的合规路径。7.个人信息处理者利用个人信息进行自动化决策时，应遵循哪些限制性规定以保护个人权益？8.基础互联网平台服务提供者作为大型个人信息处理者，应当履行哪些特别的个人信息保护义务？第五部分案例分析与应用题案例一：某知名电商平台的“大数据杀熟”争议某大型电商平台A公司，利用其收集的用户历史订单、浏览记录、支付能力、设备信息等个人信息，构建了复杂的个性化定价算法系统。该系统会根据用户的消费习惯和价格敏感度，实时调整同一商品在不同用户APP端显示的购买价格。用户李先生发现，他作为该平台的5年“金牌会员”，购买某品牌家电的价格比新注册用户高出15%。李先生向平台客服投诉，客服回复称：“这是系统根据您的购买偏好推荐的个性化优惠，不同用户享受不同权益是正常的。”李先生不服，向监管部门举报。问题：1.A公司的行为违反了《个人信息保护法》的哪些具体规定？请结合法条进行分析。2.针对李先生的投诉，A公司应当如何整改？3.如果A公司利用该算法系统仅根据自动化决策拒绝了李先生的贷款申请，A公司应当承担什么义务？案例二：某科技公司的跨境数据传输风波B公司是一家总部位于中国深圳的跨国科技公司，主营无人机业务。为了便于全球统一管理和研发协作，B公司将收集的国内用户身份证信息、护照信息、飞行轨迹数据等大量个人信息，未经安全评估，直接传输至其位于美国总部的服务器进行存储和分析。此外，B公司还向一家位于欧洲的第三方数据分析机构提供了部分用户数据，仅签署了简单的商业合同，未签署国家网信部门制定的标准合同。后因美国服务器发生安全漏洞，导致部分用户信息泄露。问题：1.B公司将国内用户个人信息传输至美国总部的行为，存在哪些合规风险？违反了《个人信息保护法》关于数据出境的哪些规定？2.B公司向欧洲第三方机构提供数据的行为是否合规？为什么？3.针对美国服务器发生的信息泄露事件，B公司应当采取哪些应急措施？4.如果B公司希望合法地将数据传输至美国总部，可以选择哪些合规路径？请详细说明其中一种路径的操作要点。案例三：某健康管理APP的隐私政策整改C公司开发了一款健康管理APP，主要功能包括记录步数、心率监测、睡眠分析等。在用户注册时，APP强制要求用户开启通讯录、相机、麦克风权限，否则无法进入APP使用任何功能。隐私政策中写道：“我们可能会收集您的地理位置、通讯录好友信息、录音信息等，用于优化我们的服务和进行社交推荐。”实际上，该APP的核心功能（步数、心率记录）并不需要通讯录、麦克风权限。且APP在后台频繁读取用户剪贴板内容，用于分析用户是否有购买保险的意向，并进行精准营销。问题：1.C公司在收集个人信息环节违反了哪些个人信息处理原则？2.APP强制索要通讯录、麦克风权限的行为是否符合法律规定？请说明理由。3.用户李某发现APP在后台读取剪贴板并分析其保险意向，感到被侵犯，他可以行使哪些权利？4.如果监管部门对C公司进行处罚，可能依据哪些条款？处罚幅度可能是多少？案例四：某大型商场的刷脸支付系统某大型连锁商场D公司为了提升支付效率，在所有收银台安装了人脸识别支付系统。D公司将收集的人脸信息存储在本地服务器，并未对数据进行加密。商场还在入口处设置了“智慧大屏”，实时显示进店消费者的年龄、性别分析数据，并标榜“精准营销”。消费者王某在购物时，收银员告知：“刷脸支付可以打九折，扫码支付没有优惠。”王某为了享受优惠，进行了人脸刷脸。随后，王某得知商场的人脸数据库安全防护薄弱，且并未向消费者明确告知人脸信息的存储期限和删除方式，感到担忧。问题：1.人脸识别信息属于哪类个人信息？处理此类信息应当遵守的特殊规则是什么？2.D公司通过“优惠诱导”的方式获取人脸信息，是否满足了“单独同意”的要求？请结合法条分析。3.D公司在商场入口设置“智慧大屏”显示消费者年龄、性别分析数据的行为，是否合规？为什么？4.假设D公司的数据库被黑客攻击，导致王某的人脸信息泄露，D公司应当承担什么样的法律责任？王某可以主张哪些赔偿？——试卷结束，请查阅参考答案——参考答案及详细解析第一部分单项选择题1.C2.C3.C4.D5.C6.D7.B8.B9.C10.C11.C12.A13.D14.A15.D16.D17.C18.B19.D20.C第二部分多项选择题1.ABCDE2.ABCDE3.ABCDE4.ABCD5.ABCDE6.ABD7.ABCDE8.ABC9.ABCD10.ABCD11.AC12.ABCD13.ABCDE14.ABDE15.ABCD第三部分判断题1.对2.错3.对4.错5.对6.错7.错8.错9.对10.错11.对12.对13.对14.对15.对16.错17.对18.错19.对20.错第四部分简答题参考答案1.敏感个人信息定义及类型与特别义务：定义：敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。类型：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人的个人信息等。特别义务：1.特定目的：只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。2.告知义务：应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。3.同意原则：应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。4.影响评估：处理敏感个人信息应当事前进行个人信息保护影响评估。2.无需取得个人同意的情形：1.为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；2.为履行法定职责或者法定义务所必需；3.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；4.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；5.依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；6.法律、行政法规规定的其他情形。3.泄露补救措施及通知内容：补救措施：立即采取补救措施，如阻断泄露源、恢复数据、修补漏洞、加强加密等；并通知履行个人信息保护职责的部门和个人。通知内容：1.个人信息泄露、篡改、丢失的种类、原因和可能造成的危害；2.个人信息处理者已采取的补救措施和即将采取的措施；3.个人信息处理者的联系方式。（注：如果采取措施能够有效避免信息泄露造成危害的，个人信息处理者可以不通知个人；但监管部门认为可能造成危害的，应当通知。）4.删除权情形及处理者义务：行使情形：1.个人信息处理者停止提供产品或者服务；2.保存期限已届满；3.个人撤回同意；4.个人信息处理者违反法律、行政法规或者违反约定处理个人信息；5.法律、行政法规规定的其他情形。处理者义务：个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除。例外情况：法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要安全保护措施之外的处理。5.个人信息保护影响评估情形及报告内容：五种情形：1.处理敏感个人信息；2.利用个人信息进行自动化决策；3.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；4.向境外提供个人信息；5.其他对个人权益有重大影响的个人信息处理活动。报告内容：1.个人信息保护影响评估报告应当包括处理个人的信息的处理目的、处理方式等是否合法、正当、必要；2.对个人权益的影响及安全风险；3.所采取的保护措施是否合法、有效并与风险程度相适应。6.数据出境条件与合规路径：条件：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当确需向境外提供的，应当通过国家网信部门组织的安全评估；或者经专业机构认证；或者签订标准合同。合规路径：1.安全评估：适用于CIIO和处理量大等情形，向国家网信部门申报评估。2.专业认证：经国家网信部门认定的专业机构进行个人信息保护认证。3.标准合同：按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务。4.其他条件：法律、行政法规规定的其他条件。7.自动化决策的限制规定：1.透明与公平：保证决策的透明度和结果公平、公正。2.禁止不合理的差别待遇：不得对个人在交易价格等交易条件上实行不合理的差别待遇。3.提供不针对个人特征的选项：通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。4.重大决策说明与拒绝权：通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。8.基础互联网平台服务提供者的特定义务：1.独立监督机构：成立主要由外部成员组成的独立机构，对个人信息保护情况进行监督。2.制定规则：遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务。3.停止服务：对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，应当停止提供服务。4.定期报告：定期发布个人信息保护社会责任报告，接受社会监督。第五部分案例分析与应用题参考答案案例一参考答案：1.A公司违反的规定：违反了自动化决策的公平原则。《个人信息保护法》第二十四条规定：“利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。”A公司对老会员价格高于新会员，属于不合理的差别待遇（大数据杀熟）。违反了知情权和拒绝权。未明确告知用户定价机制，且未提供不针对个人特征的选项或便捷拒绝方式。2.整改措施：立即停止基于不合理的价格歧视算法。向李先生退还差价或给予补偿。优化APP功能，为用户提供关闭个性化推荐/定价的选项，或提供不针对其个人特征的通用价格。修改隐私政策，清晰说明自动化决策的逻辑及对用户的影响。3.义务：根据《个人信息保护法》第二十四条，A公司应当向李先生说明仅通过自动化决策作出决定的具体依据（在技术可行且不侵犯商业秘密的前提下）。李先生有权要求A公司人工介入，拒绝仅依据自动化决策结果。案例二参考答案：1.违规点及风险：未进行安全评估：B公司作为跨国企业，很可能属于处理个人信息达到规定数量或CIIO的范畴，向境外提供数据应当通过国家网信部门的安全评估。违规存储：未将境内收集的个人信息存储在境内（除非符合豁免条件）。违反必要性原则：传输身份证、护照等敏感信息至美国总部，需评估必要性。2.向欧洲机构提供数据：不合规。B公司未按照标准合同订立，且未进行认证或安全评估。仅签署简单商业合同不符合《个人信息保护法》第三十八条关于数据出境的三条合规路径之一。3.应急措施：立即启动应急预案，修补漏洞，防止泄露扩大。通知受影响的用户。向监管机构（国家网信部门、公安机关等）报告。配合监管调查。4.合规路径：路径一：申报安全评估。适用于CIIO或处理100万人以上信息的处理者。路径二：个人信息保护认证。适用于跨国公司内部传输或不涉及大量数据的情形。路径三：订立标准合同。与境外接收方签署网信办的标准合同，并进行备案。操作要点（以标准合同为例）：必须使用国家网信部门发布的标准合同文本；双方必须对合同条款进行实质性签署；