2026年数据保护法律与知识试题及答案

2026年数据保护法律与知识试题及答案一、单项选择题（每题2分，共20分）1.根据2026年修订的《中华人民共和国个人信息保护法实施条例》，以下哪项不属于“个人信息”的范畴？A.经过匿名化处理后无法识别特定自然人的编码数据B.某用户在购物平台留下的收货地址C.医疗机构记录的患者诊疗记录D.社交平台用户的注册手机号答案：A解析：《个人信息保护法》第4条规定，个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。2.甲公司拟处理14周岁未成年人的个人信息，根据现行法规，下列哪项操作符合“最小必要原则”？A.要求未成年人提供家庭所有成员的身份证号码以完成注册B.仅收集与未成年人网课服务直接相关的姓名、年级、课程偏好信息C.未经监护人同意，通过算法分析未成年人的社交关系D.为优化广告推送，收集未成年人近3年的所有消费记录答案：B解析：《个人信息保护法》第6条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。处理未成年人信息需额外遵循《未成年人网络保护条例》关于“最小必要”的严格要求。3.乙企业因业务需要向境外提供用户健康数据，根据《数据出境安全评估办法》（2026年修订），下列哪项情形无需申报安全评估？A.数据处理者为关键信息基础设施运营者B.累计向境外提供10万人以上个人信息C.数据出境目的、范围、方式符合国家数据安全战略D.数据出境可能影响国家安全或公共利益答案：C解析：2026年修订的《数据出境安全评估办法》第5条明确，关键信息基础设施运营者、累计向境外提供10万人以上个人信息或1万人以上敏感个人信息的处理者，以及数据出境可能影响国家安全或公共利益的，应当申报安全评估；符合国家战略且风险可控的情形可豁免。4.某电商平台用户发现自己的购物记录被擅自用于商业推广，根据《个人信息保护法》，用户可主张的核心权利是？A.信息更正权B.信息删除权C.查阅、复制权D.反对自动化决策权答案：D解析：《个人信息保护法》第24条规定，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，个人有权拒绝仅通过自动化决策方式作出的决定。5.丙公司因数据泄露导致5000名用户个人信息被非法获取，根据《数据安全法》，监管部门可对其作出的最重行政处罚是？A.警告并罚款50万元B.没收违法所得，罚款2000万元C.暂停相关业务6个月D.吊销相关业务许可证答案：B解析：《数据安全法》第45条规定，违反规定造成数据安全事件的，可处200万元以下罚款；情节严重的，处200万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或营业执照；有违法所得的，没收违法所得。2026年司法解释将“情节严重”标准调整为影响超过3000人，此时最高罚款可达2000万元。6.下列哪项情形符合“告知-同意”原则的要求？A.某APP在用户注册时以极小字体在隐私政策中列明信息处理范围，用户勾选“同意”即视为授权B.医疗机构在诊疗过程中口头告知患者将共享其病历至合作科研机构，患者未明确反对C.金融机构通过弹窗明确列出数据处理目的、方式、保存期限，用户点击“同意”后开始处理D.教育平台在用户首次登录时默认开启“个性化推荐”功能，未提供关闭选项答案：C解析：《个人信息保护法》第17条规定，告知应当采用显著方式、清晰易懂的语言，真实、准确、完整；同意应当由个人在充分知情的前提下自愿、明确作出。选项C符合“显著方式”和“明确同意”要求。7.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者在数据保护方面的特殊义务不包括？A.制定数据安全事件应急预案并定期演练B.自行对数据处理活动进行安全评估，无需第三方参与C.优先采购安全可信的网络产品和服务D.在境内存储重要数据，确需出境的需申报安全评估答案：B解析：《关键信息基础设施安全保护条例》第15条规定，运营者应当自行或者委托网络安全服务机构对数据处理活动每年至少进行一次安全评估，并将评估报告报保护工作部门备案。8.丁公司拟处理用户的生物识别信息（如指纹），根据《个人信息保护法》，下列哪项操作不符合敏感个人信息的处理要求？A.向用户说明处理生物识别信息的必要性及对个人权益的影响B.获得用户的书面单独同意C.仅用于身份验证，不扩展至其他业务场景D.存储期限设定为“永久保存”答案：D解析：《个人信息保护法》第29条规定，处理敏感个人信息应当取得个人的单独同意；第19条规定，存储期限应当为实现处理目的所必要的最短时间，“永久保存”违反“最小必要”原则。9.某用户发现某平台未经同意收集其位置信息，向省级网信部门投诉。根据《个人信息保护法》，监管部门的最长处理期限是？A.15个工作日B.30个工作日C.60个工作日D.90个工作日答案：C解析：2026年《个人信息保护行政处罚程序规定》明确，对于投诉事项，监管部门应当自受理之日起60个工作日内完成调查并作出处理决定；情况复杂的可延长30个工作日。10.下列哪项行为不构成“非法提供个人信息”？A.银行员工将客户信息出售给贷款中介B.医院按卫生健康部门要求向疾控中心报送传染病患者信息C.电商平台未经用户同意将购物记录共享给关联公司用于营销D.社交平台员工因工作失误导致用户聊天记录泄露至境外服务器答案：B解析：《个人信息保护法》第13条规定，为履行法定职责或者法定义务所必需处理个人信息的，无需取得个人同意。卫生健康部门要求报送传染病信息属于法定职责。二、多项选择题（每题3分，共30分）1.根据《数据安全法》，数据分类分级保护制度的核心要素包括？A.数据的重要程度B.数据对国家安全、公共利益的影响C.数据的提供主体性质（如企业、政府）D.数据泄露可能造成的危害程度答案：ABD解析：《数据安全法》第21条规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。2.个人信息处理者在以下哪些情形下可无需取得个人同意？A.为应对突发公共卫生事件，紧急收集患者信息用于疫情防控B.为新闻报道，合理处理已公开的个人信息C.为学术研究，处理匿名化后的用户行为数据D.为履行劳动合同，处理员工的考勤记录答案：ABCD解析：《个人信息保护法》第13条规定了无需同意的情形，包括：（一）履行法定职责或义务；（二）应对突发公共事件；（三）为公共利益实施新闻报道、舆论监督等；（四）已公开的个人信息（合理处理）；（五）为维护个人或他人重大利益；（六）其他法律、行政法规规定。3.关于数据跨境流动，下列说法正确的有？A.非关键信息基础设施运营者向境外提供个人信息，可通过签订标准合同的方式合规B.数据出境安全评估需由国家网信部门组织专家进行C.个人信息主体有权要求知悉数据出境的接收方及处理规则D.数据处理者应在数据出境前向用户告知境外接收方的基本信息答案：ABCD解析：2026年《数据出境安全评估办法》及《个人信息跨境处理活动安全认证规范》明确，标准合同、安全评估、认证是主要合规路径；安全评估由国家网信部门组织；个人信息主体享有知情权。4.敏感个人信息包括？A.宗教信仰B.生物识别C.行踪轨迹D.15周岁未成年人的个人信息答案：ABC解析：《个人信息保护法》第28条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。14周岁以下未成年人为特殊保护群体，其个人信息默认视为敏感信息（《未成年人网络保护条例》第16条）。5.数据处理者的安全保障义务包括？A.制定内部数据安全管理制度和操作规程B.采取加密、去标识化等安全技术措施C.定期进行数据安全影响评估并留存记录D.设立专门的数据保护官（DPO）答案：ABCD解析：《个人信息保护法》第51条规定，处理者应采取相应的技术和管理措施，包括制定制度、技术防护、评估记录等；第52条规定，处理敏感个人信息或超过一定规模的个人信息的，应当设立DPO。6.用户行使“删除权”的法定情形包括？A.处理目的已实现，无需继续保存B.用户撤回同意，且无其他合法处理依据C.处理行为违反法律、行政法规规定D.用户因个人原因要求删除无关信息答案：ABC解析：《个人信息保护法》第47条规定，有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意，且没有法律、行政法规规定的其他处理依据；（四）个人信息处理者违反法律、行政法规或者约定处理个人信息。7.下列哪些行为可能构成刑事犯罪？A.非法获取、出售500条以上普通个人信息B.非法获取、提供50条以上敏感个人信息C.数据处理者因过失导致10万人信息泄露D.网络服务提供者拒不履行数据安全管理义务，造成严重后果答案：ABD解析：《刑法》第253条之一（侵犯公民个人信息罪）规定，非法获取、出售或提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上，或住宿信息、通信记录、健康生理信息、交易信息500条以上，或其他信息5000条以上的，构成犯罪；第286条之一（拒不履行信息网络安全管理义务罪）规定，拒不履行监管部门的要求导致数据泄露等严重后果的，构成犯罪。过失泄露一般不构成犯罪（需故意或重大过失）。8.关于未成年人个人信息保护，下列说法正确的有？A.处理14周岁以下未成年人信息，需取得其父母或其他监护人的同意B.未成年人可单独同意处理其信息的情形仅限于“学习教育类”APPC.网络服务提供者应设置青少年模式，限制未成年人信息处理范围D.监护人有权查阅、复制、更正未成年人的个人信息答案：ACD解析：《未成年人网络保护条例》第16条规定，处理14周岁以下未成年人个人信息的，应当取得其父母或其他监护人的同意；第20条规定，网络服务提供者应当建立青少年模式，在使用时段、功能和内容等方面设置限制；第18条规定，监护人有权行使查阅、复制、更正、删除等权利。未成年人单独同意的情形需符合“与其年龄、智力相适应”，不限于学习教育类。9.数据安全影响评估的内容包括？A.数据处理的合法性、正当性、必要性B.对个人权益的影响及安全风险C.所采取的安全保护措施的有效性D.数据跨境流动的必要性及风险答案：ABCD解析：《个人信息保护法》第55条规定，数据安全影响评估应当包括：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。涉及跨境流动时需额外评估必要性及境外接收方的保护能力。10.监管部门在数据保护执法中可采取的措施包括？A.进入场所检查B.询问相关人员C.查阅、复制相关资料D.查封、扣押相关设备答案：ABCD解析：《个人信息保护法》第64条规定，履行个人信息保护职责的部门在履行职责时，有权采取下列措施：（一）询问有关当事人，调查与个人信息处理活动有关的情况；（二）查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他资料；（三）实施现场检查，对涉嫌违法的个人信息处理活动进行调查；（四）检查与个人信息处理活动有关的设备、物品；对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。三、判断题（每题1分，共10分）1.个人信息处理者可以将“不同意提供非必要信息”作为拒绝提供服务的理由。（）答案：×解析：《个人信息保护法》第19条规定，处理个人信息应当限于实现处理目的的最小范围，不得过度收集；第26条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务。2.匿名化数据的处理不受《个人信息保护法》约束。（）答案：√解析：《个人信息保护法》第4条明确，匿名化处理后的信息不属于个人信息，因此不受该法调整。3.数据处理者可以将用户的“默认同意”作为处理个人信息的依据。（）答案：×解析：《个人信息保护法》第14条规定，同意应当由个人在充分知情的前提下自愿、明确作出，默认勾选、捆绑同意等方式无效。4.关键信息基础设施运营者的重要数据必须存储在境内。（）答案：√解析：《数据安全法》第31条规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据应当在境内存储；确需向境外提供的，应当通过安全评估。5.个人信息泄露后，处理者只需向监管部门报告，无需通知受影响的个人。（）答案：×解析：《个人信息保护法》第57条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括泄露的原因、可能造成的影响、已采取的补救措施等。6.数据处理者可以将用户的生物识别信息与其他个人信息结合使用，无需额外告知。（）答案：×解析：《个人信息保护法》第29条规定，处理敏感个人信息应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；结合使用可能扩大处理范围，需重新告知并取得单独同意。7.未成年人的父母可以代为行使查阅、复制未成年人个人信息的权利。（）答案：√解析：《未成年人网络保护条例》第18条规定，未成年人的父母或其他监护人有权查阅、复制、更正、删除未成年人的个人信息。8.数据安全影响评估报告只需保存3年即可。（）答案：×解析：《个人信息保护法》第55条规定，数据安全影响评估报告和处理情况记录应当至少保存3年；涉及敏感个人信息或跨境流动的，保存期限延长至5年（2026年实施细则补充）。9.境外机构在中华人民共和国境内处理中国公民个人信息的，不受《个人信息保护法》约束。（）答案：×解析：《个人信息保护法》第3条规定，在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。10.用户因个人信息权益受侵害提起诉讼的，举证责任由用户全部承担。（）答案：×解析：《个人信息保护法》第69条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任，即举证责任倒置。四、简答题（每题8分，共40分）1.简述个人信息处理的“告知-同意”原则的具体要求。答案：（1）告知要求：应当采用显著方式、清晰易懂的语言，真实、准确、完整地告知个人信息处理的目的、方式、范围、保存期限、个人行使权利的方式和程序、数据接收方信息（如共享或转移）、数据跨境情况等。（2）同意要求：同意应当由个人在充分知情的前提下自愿、明确作出，不得通过默认勾选、捆绑选项等方式强迫或变相强迫同意；处理敏感个人信息、向境外提供个人信息等特殊情形需取得单独同意；未成年人信息处理需取得其父母或其他监护人的同意（14周岁以下）。（3）动态更新：当处理目的、方式、范围等发生变化时，需重新履行告知义务并取得同意；个人有权撤回同意，处理者需停止处理（法律另有规定的除外）。2.列举敏感个人信息的类型，并说明处理敏感个人信息的特殊规则。答案：（1）敏感个人信息类型：生物识别、宗教信仰、特定身份（如犯罪记录）、医疗健康、金融账户、行踪轨迹等信息，以及14周岁以下未成年人的个人信息（《未成年人网络保护条例》特别规定）。（2）特殊规则：①必要性原则：仅在具有特定的目的和充分的必要性，并采取严格保护措施的情形下方可处理；②单独同意：需取得个人的单独同意（书面或其他明确方式）；③强化告知：需向个人告知处理敏感个人信息的必要性及对个人权益的影响；④安全措施：应采取更高标准的加密、访问控制等技术措施，限制处理范围和存储期限（最短必要时间）；⑤风险评估：处理前需进行数据安全影响评估，并留存评估报告至少5年。3.数据跨境流动的主要合规路径有哪些？2026年新增了哪些要求？答案：（1）主要合规路径：①数据出境安全评估：适用于关键信息基础设施运营者、累计向境外提供10万人以上个人信息或1万人以上敏感个人信息的处理者，以及数据出境可能影响国家安全或公共利益的情形；②个人信息跨境处理活动安全认证：通过国家认可的认证机构认证，证明符合规定的个人信息保护标准；③签订标准合同：非关键信息基础设施运营者且数据出境规模未达安全评估标准的，可与境外接收方签订由国家网信部门制定的标准合同；④法律、行政法规或者国家网信部门规定的其他条件（如参与国际数据跨境流动试点）。（2）2026年新增要求：①数据处理者需在数据出境前60日内向所在地省级网信部门备案（标准合同路径）；②境外接收方需承诺遵守中国法律对个人信息保护的要求，否则不得接收数据；③增加“数据出境风险预警机制”，对高风险国家或地区的跨境流动实施额外审查；④要求数据处理者每2年对跨境流动活动进行一次全面安全评估，并提交评估报告。4.数据处理者的安全保障义务包括哪些具体内容？答案：（1）制度保障：制定内部数据安全管理制度和操作规程，明确各岗位的数据安全责任；（2）技术措施：采取加密、去标识化、访问控制等安全技术措施，防止数据泄露、篡改、丢失；（3）人员管理：对数据处理人员进行安全培训，限制其访问权限至必要范围；（4）风险评估：定期开展数据安全影响评估，评估处理活动的合法性、正当性、必要性，以及对个人权益的影响和安全风险；（5）应急响应：制定数据安全事件应急预案，发生泄露等事件时立即采取补救措施，通知监管部门和受影响个人；（6）特殊主体义务：处理敏感个人信息或超过一定规模个人信息的，需设立专门的数据保护官（DPO），并公开其联系方式；关键信息基础设施运营者需将重要数据存储在境内，出境需经安全评估。5.简述数据主体的“数字权利”及其法律依据。答案：数据主体的“数字权利”是指个人对其个人信息享有的法定权利，主要包括：（1）知情权：有权知悉个人信息的处理目的、方式、范围、保存期限、接收方等（《个人信息保护法》第17条）；（2）查阅、复制权：有权查阅、复制其个人信息（第45条）；（3）更正、补充权：有权要求更正不准确或补充不完整的个人信息（第46条）；（4）删除权：在法定情形下（如处理目的实现、撤回同意等）有权要求删除个人信息（第47条）；（5）反对权：有权拒绝仅通过自动化决策方式作出的决定（第24条）；（6）撤回同意权：有权撤回已作出的同意，处理者需停止处理（法律另有规定的除外）（第15条）；（7）解释权：有权要求处理者对自动化决策的影响进行说明（第24条）；（8）未成年人特殊权利：14周岁以下未成年人的信息处理需由监护人同意，监护人可代为行使上述权利（《未成年人网络保护条例》第16、18条）。五、案例分析题（每题10分，共20分）案例1：2026年3月，某在线教育平台（非关键信息基础设施运营者）因系统漏洞导致12万名用户的个人信息（含姓名、手机号、课程购买记录）泄露至境外黑客组织。经调查，该平台未对用户信息进行加密存储，且近1年未开展数据安全培训。部分用户发现信息泄露后，接到大量诈骗电话。问题：分析该平台的违法点及可能承担的法律责任。答案：（1）违法点：①未履行安全保障义务：未采取加密等技术措施（违反《个人信息保护法》第51条）；②未开展数据安全培训：未对员工进行必要的安全培训（违反《数据安全法》第27条）；③未及时处理数据泄露事件：发生泄露后未立即采取补救措施并通知用户和监管部门（违反《个人信息保护法》第57条）；④数据泄露规模超过10万人，可能触发安全评估义务（2026年《数据出境安全评估办法》修订后，非关键信息基础设施运营者累计向境外提供10万人以上信息需申报评估，该平台未申报）。（2）法律责任：①行政责任：由省级网信部