2026年大数据中心数据合规岗笔试题及答案

2026年大数据中心数据合规岗笔试题及答案一、单项选择题（共20题，每题1分，共20分）1.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度。以下关于数据分类分级的说法，错误的是（）。A.各地区、各部门应当按照国家数据分类分级要求，对本地区、本部门以及相关行业、领域的数据进行分类分级管理B.数据分类分级的具体规则由国家网信部门单独制定C.重要数据应当受到重点保护D.数据分类分级是数据安全保护工作的基础2.大数据中心在处理个人信息时，应当遵循“最小必要”原则。以下场景中，违反该原则的是（）。A.电商APP在用户下单时收集收货地址和联系方式B.导航APP在用户使用路线规划功能时获取地理位置信息C.运动健康类APP在用户注册时强制要求填写真实姓名和身份证号D.银行APP在用户进行大额转账时要求进行人脸识别3.某跨国企业在中国境内运营大数据中心，需将境内收集的个人信息传输至境外母公司。根据《个人信息保护法》，该企业不需要采取的措施是（）。A.通过国家网信部门组织的安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.将传输数据的具体内容向全社会公开公示4.在隐私计算技术中，能够在不泄露原始数据的前提下实现多方数据联合计算的技术是（）。A.分布式存储技术B.联邦学习与多方安全计算C.数据脱敏技术D.数据备份与容灾技术5.大数据中心某运维人员利用职务便利，非法获取并出售中心存储的数十万条用户住宿记录，获利巨大。该行为涉嫌构成的罪名是（）。A.破坏计算机信息系统罪B.侵犯公民个人信息罪C.侵犯商业秘密罪D.非法获取计算机信息系统数据罪6.根据《个人信息保护法》，个人信息处理者处理已公开的个人信息，应当符合的条件是（）。A.必须重新取得个人同意B.必须向个人支付费用C.应当在合理的范围内进行处理D.必须经过网信部门的审批7.大数据中心在进行数据销毁时，为了确保数据无法被恢复，应当采用（）。A.逻辑销毁（仅删除文件系统索引）B.物理销毁（如消磁、粉碎存储介质）C.数据覆盖一次D.格式化硬盘8.关于个人信息删除权，以下说法正确的是（）。A.个人信息处理者只有在处理目的已实现时才必须主动删除B.个人请求删除的，个人信息处理者应当及时删除C.法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者可以停止处理该信息，无需采取其他措施D.个人信息处理者可以以内部管理为由拒绝个人的删除请求9.在数据安全等级保护2.0（等保2.0）标准中，大数据中心的核心业务系统通常应至少定级为（）。A.第一级（用户自主保护级）B.第二级（系统审计保护级）C.第三级（安全标记保护级）D.第四级（结构化保护级）10.匿名化与去标识化的核心区别在于（）。A.去标识化后的数据仍属于个人信息，而匿名化后的数据不属于个人信息B.匿名化后的数据仍属于个人信息，而去标识化后的数据不属于个人信息C.去标识化需要加密，匿名化不需要加密D.匿名化可以使用假名，去标识化不能使用假名11.根据《网络数据安全管理条例（征求意见稿）》及相关法规，数据处理者应当建立网络安全等级保护制度，其网络日志留存时间不得少于（）。A.三个月B.六个月C.一年D.三年12.大数据中心向第三方提供个人信息时，不需要进行的活动是（）。A.向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息种类B.取得个人的单独同意C.与接收方订立合同约定双方的权利和义务D.要求接收方将数据再次公开共享13.关于个人信息保护的“单独同意”机制，以下场景必须适用的是（）。A.处理一般的业务通知短信B.处理已公开的学术论文信息C.向第三方提供其处理的个人信息D.在商场内使用监控摄像头进行安全管理14.某大数据中心发生个人信息泄露事件，可能造成严重后果的，应当立即采取补救措施，并按规定通知履行个人信息保护职责的部门和个人。通知内容不应包含（）。A.发生或者可能发生个人信息泄露的信息种类、原因和可能造成的危害B.数据中心采取的补救措施和个人可以采取的减轻危害的措施C.数据中心负责处理此事的内部员工的个人家庭住址D.数据中心处理个人信息的负责人的联系方式15.大数据中心在进行数据采集时，应当遵循“知情同意”原则。对于无法通过书面形式取得同意的，可以通过（）方式取得同意。A.默认勾选协议B.强制弹窗点击C.口头或录音录像D.捆绑授权16.下列数据中，不属于“重要数据”的是（）。A.反映宏观经济运行的大规模经济数据B.涉及国家人口基数的大规模人口健康数据C.某私企内部员工的团建活动照片D.关键信息基础设施的运行数据17.在GDPR（欧盟《通用数据保护条例》）中，数据主体享有的要求以结构化、常用和机器可读格式接收其个人数据的权利被称为（）。A.被遗忘权B.数据可携权C.反对权D.访问权18.大数据中心在进行自动化决策时，应当保证决策的透明度和结果公平合理。个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定，这体现了个人的（）。A.决策参与权B.拒绝自动化决策权C.解释说明权D.限制处理权19.大数据中心委托第三方进行数据处理时，应当在相关合同中明确约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务。这体现了数据合规中的（）。A.透明性原则B.责任明确与合同约束原则C.最小必要原则D.公开原则20.关于数据分类，根据《网络安全标准实践指南——网络数据分类分级指引》，数据按照行业领域分类，以下分类不正确的是（）。A.工业数据B.电信数据C.财务数据D.个人爱好数据二、多项选择题（共15题，每题2分，共30分。少选、错选均不得分）1.根据《中华人民共和国个人信息保护法》，个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取相应措施确保个人信息处理活动符合法律、行政法规的规定。这些措施包括（）。A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训E.制定并组织实施个人信息安全事件应急预案2.大数据中心在进行数据出境合规评估时，以下属于必须申报数据出境安全评估情形的有（）。A.关键信息基础设施运营者向境外提供个人信息或者重要数据B.处理100万人以上个人信息的数据处理者向境外提供个人信息C.自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息D.国家网信部门规定的其他需要申报数据出境安全评估的情形E.跨国企业在内部共享非敏感的普通员工通讯录3.隐私保护计算技术在大数据合规中的应用日益广泛，目前主流的隐私计算技术体系主要包括（）。A.多方安全计算（MPC）B.联邦学习（FL）C.同态加密（HE）D.差分隐私（DP）E.零知识证明（ZKP）4.以下情形中，个人信息处理者可以不经同意取得个人信息的情形包括（）。A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息E.处理自行公开或者其他已经合法公开的个人信息，但个人明确拒绝的除外5.大数据中心在开展个人信息保护影响评估（PIA）时，评估的内容应当包括（）。A.个人信息的处理目的、处理方式等是否合法、正当、必要B.对个人权益的影响及安全风险C.所采取的保护措施是否合法、有效并与风险程度相适应D.数据中心硬件设备的采购成本E.数据处理者的财务盈利状况6.根据《数据安全法》，国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制。数据安全风险信息的要素通常包括（）。A.风险发生概率B.影响范围C.危害程度D.风险来源E.处置建议7.数据合规审计是大数据中心数据合规的重要保障。数据合规审计的重点领域通常涵盖（）。A.数据安全治理组织架构建设情况B.数据全生命周期安全管理情况C.数据跨境流动合规性D.个人信息保护合规情况E.供应商及第三方合作中的数据安全管控情况8.下列数据中，属于敏感个人信息的有（）。A.生物识别信息（如人脸、指纹）B.宗教信仰信息C.特定身份信息（如身份证号）D.医疗健康信息E.金融账户信息9.在数据全生命周期管理中，数据传输阶段需要采取的安全合规措施包括（）。A.使用SSL/TLS等加密传输协议B.对敏感数据进行传输前加密或脱敏C.校验数据传输的完整性，防止数据被篡改D.记录并审计数据传输日志E.对接收方进行身份认证和授权管理10.关于个人信息去标识化技术，以下说法正确的有（）。A.去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程B.假名化是去标识化的一种常见技术手段C.去标识化后的数据仍需作为个人信息进行管理，因为可能存在重标识风险D.K-匿名是一种去标识化模型，要求数据集中任意一条记录无法与其他至少K-1条记录区分E.去标识化可以直接等同于数据销毁11.根据《网络安全法》，网络运营者收集、使用个人信息，应当遵循（）的原则。A.合法B.正当C.必要D.最大化收集E.公开透明12.大数据中心在发生重大数据安全事件后，应当向相关部门报告。报告的时限和程序通常要求（）。A.立即启动应急预案，采取补救措施B.在事件发生后规定时间内（通常为24小时或立即）向属地网信、公安等部门报告C.报告事件原因、数据类型、影响范围等初步情况D.在事件处置完毕后进行总结报告E.必须召开全球新闻发布会13.数据分类分级中，数据分级的维度通常考虑数据的（）。A.安全属性（保密性、完整性、可用性）B.合规监管要求C.数据的潜在价值D.数据规模E.受到篡改、破坏、泄露或非法获取、非法利用后，可能造成的危害程度14.依据《中华人民共和国刑法》相关规定，以下行为构成犯罪的有（）。A.违反国家有关规定，向他人出售或者提供公民个人信息，情节严重B.窃取或者以其他方法非法获取公民个人信息C.违反国家有关规定，将在履行职责、提供服务过程中获得的公民个人信息，出售或者提供给他人D.在数据销毁过程中，因过失导致大量个人信息泄露，造成严重后果E.未经授权访问大数据中心计算机信息系统，获取其中存储的数据15.在数据交易场景中，大数据中心作为数据提供方，应履行的合规义务包括（）。A.确认数据来源合法正当B.对交易数据进行合规审核，确保不包含国家秘密、未脱敏的敏感个人信息等禁止交易数据C.与买方签订数据交易合同，明确数据用途、使用范围及安全保护义务D.要求买方提供数据安全能力证明E.对数据交易过程进行完整记录留存三、填空题（共10题，每题1分，共10分）1.《中华人民共和国数据安全法》自______起正式施行。2.个人信息处理者处理个人信息，应当遵循合法、正当、必要和______原则。3.数据安全保护义务中的“等保2.0”是指《信息安全技术网络安全等级保护基本要求》GB/T______系列标准。4.个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所______的除外。5.国家建立数据分类分级制度，将数据分为一般数据、重要数据和______数据。6.敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满______周岁未成年人的个人信息。7.去标识化技术中，通过泛化处理使得数据集中任意一条记录至少与k条其他记录在准标识符上完全相同，这种模型被称为______模型。8.数据生命周期通常包括数据采集、传输、存储、处理、______和销毁六个阶段。9.在进行个人信息出境前，数据处理者需按照《数据出境安全评估办法》进行评估。其中，处理100万人以上个人信息的数据处理者向境外提供个人信息，必须申报______。10.在差分隐私机制中，隐私预算通常用希腊字母______表示，其值越小，表示隐私保护强度越高。四、判断题（共10题，每题1分，共10分，正确的打“√”，错误的打“×”）1.个人信息处理者委托他人处理个人信息，如果受托人发生违规行为，应当由受托人承担全部法律责任，个人信息处理者无需承担责任。（）2.匿名化处理后的数据依然属于《个人信息保护法》规定的个人信息范畴，处理时仍需取得个人同意。（）3.大数据中心在处理不满十四周岁未成年人个人信息时，应当取得未成年人的父母或者其他监护人的同意。（）4.数据处理者向第三方提供个人信息时，只需向个人告知接收方的名称即可，无需告知处理目的和方式。（）5.利用个人信息进行自动化决策时，应当保证决策的透明度和结果公平、合理，不得对个人在交易价格等交易条件上实行不合理的差别待遇。（）6.国家机关为履行法定职责处理个人信息，无需遵循《个人信息保护法》的规定，无需承担相应的个人信息保护义务。（）7.大数据中心在进行个人信息保护影响评估时，评估报告和处理情况记录应当至少保存三年。（）8.任何组织和个人不得收集、买卖、使用未经去标识化处理的敏感个人信息，除非取得个人的单独同意且具有特定的目的和充分的必要性。（）9.数据交易场所应当建立数据来源可追溯机制，但数据买方在购买数据后，可以随意将数据再次转让给任意第三方。（）10.网络日志的留存时间不得少于六个月，这是为了满足网络安全的追溯要求。（）五、简答题（共5题，每题5分，共25分）1.简述《个人信息保护法》中关于“最小必要”原则（必要原则）在业务实践中的具体要求。2.简述大数据中心发生数据安全事件后的应急处置流程。3.什么是个人信息保护影响评估（PIA）？请列举至少四种法定必须开展个人信息保护影响评估的情形。4.简述数据出境合规的三种法定路径（机制）及其适用条件。5.简述K-匿名模型的两种主要实现技术（泛化与抑制），并说明其在数据脱敏中的作用。六、应用题/案例分析题（共3题，每题5分，共15分）1.案例一：数据委托处理合规分析某电商平台A将其收集的数千万条用户交易数据委托给大数据中心B进行算法模型训练。双方签订了服务合同。在训练过程中，B中心的一名算法工程师私自将部分包含用户姓名、电话和购买记录的数据集下载到个人电脑，并上传至公开的GitHub仓库，导致大规模数据泄露。问题：根据《个人信息保护法》，电商平台A和大数据中心B在此事件中各自应承担什么责任？个人是否有权向A和B主张权利？2.案例二：数据出境安全评估分析某外资医疗研究机构C在中国设立的大数据中心D，收集了全国多家合作医院上传的50万名患者的电子病历和基因测序数据（均为去标识化处理但可结合密钥还原）。现D中心计划将这批数据通过专线传输至位于美国的总部C进行研究分析，未做任何申报。问题：D中心的行为是否违规？请结合《数据出境安全评估办法》及相关法规说明理由，并指出D中心应当采取的合规措施。3.案例三：自动化决策与大数据杀熟合规分析某网约车平台利用大数据中心构建的用户画像系统，根据用户的手机型号、历史打车频次、消费能力等特征，对同一时间、同一出发地和目的地的行程，向不同用户显示不同的预估价格。用户张三发现其价格比同事李四高出20%，且平台未向张三说明定价机制。张三要求平台说明理由并拒绝该定价。问题：平台的上述行为违反了《个人信息保护法》的哪些规定？张三享有哪些法定权利？七、综合分析题（含计算）（共2题，每题10分，共20分）1.综合题一：差分隐私技术应用与计算某大数据中心需要发布一份区域医疗健康统计报告。报告中含有某特定区域某项罕见病患者的人数信息。已知该区域总人口为10000人，罕见病患者实际人数为X人。为了保护患者隐私，中心决定采用拉普拉斯机制实现差分隐私，在真实查询结果X上加入拉普拉斯噪声。已知拉普拉斯分布的概率密度函数为p(x)=exp(−要求：（1）若中心设定的隐私预算ϵ=0.1，请计算加入噪声的尺度参数b的值，并说明该（2）计算当实际患者人数X=50时，加噪后的结果落在[40（3）在数据脱敏与隐私保护中，除了差分隐私，中心还计划对数据进行K-匿名化处理。如果数据集包含“性别、年龄、邮编”三个准标识符，要求实现k=2.综合题二：数据安全成熟度与风险评估计算某大型大数据中心进行年度数据安全风险评估。评估模型采用加权评分法，包含三个评估维度：管理制度合规性（权重=0.3）、技术防护能力（权重=0.4）、人员与运营安全（权重各维度满分均为100分。经过专家组打分，该中心在三个维度的得分分别为：=85，=70，中心的数据风险值R定义为威胁值T与脆弱性值V的乘积除以防护能力值P，即R=已知威胁值T=80，脆弱性值V与管理制度得分成反比，公式为V=100−要求：（1）计算该大数据中心的综合加权得分。（3分）（2）根据公式计算该中心的数据风险值R。（4分）（3）若风险等级划分标准为：R<20为低风险，20≤R<=========================================试卷答案=========================================一、单项选择题（共20题，每题1分，共20分）1.B（数据分类分级的具体规则并非由国家网信部门单独制定，而是由国家网信部门和国务院有关部门等共同制定或根据各自职责制定。）2.C（运动健康类APP在用户注册时强制要求填写真实姓名和身份证号，超出了提供基础运动记录服务的必要范围，违反最小必要原则。）3.D（向境外提供个人信息无需将传输数据的具体内容向全社会公开公示。）4.B（联邦学习与多方安全计算能够在不泄露原始数据的前提下实现多方数据联合计算。）5.B（违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，构成侵犯公民个人信息罪。）6.C（处理已公开的个人信息，应当在合理的范围内进行处理。）7.B（物理销毁如消磁、粉碎存储介质是确保数据无法恢复的最可靠方法。）8.B（个人请求删除的，个人信息处理者应当及时删除。）9.C（大数据中心核心业务系统通常涉及大量用户数据和重要业务，应至少定级为等保三级。）10.A（去标识化后的数据仍可通过结合额外信息识别个人，属于个人信息；匿名化后的数据无法识别且不能复原，不属于个人信息。）11.B（《网络安全法》规定网络日志留存时间不得少于六个月。）12.D（向第三方提供个人信息时，不得要求接收方将数据再次公开共享，反而应当约束其不得随意公开。）13.C（向第三方提供其处理的个人信息，应当取得个人的单独同意。）14.C（通知内容不应包含内部员工个人家庭住址等非必要且可能侵犯员工隐私的信息。）15.C（无法通过书面形式取得同意时，可以通过口头或录音录像等可留痕方式取得同意。）16.C（某私企内部员工的团建活动照片一般不涉及国家安全、经济运行或公共利益，不属于重要数据。）17.B（GDPR中的数据可携权允许数据主体以结构化、常用和机器可读格式接收并传输其数据。）18.B（个人有权拒绝个人信息处理者仅通过自动化决策的方式作出决定，体现了拒绝自动化决策权。）19.B（委托处理需在合同中明确约定相关事项，体现了责任明确与合同约束原则。）20.D（个人爱好数据属于个人属性数据，不属于行业领域层面的数据分类。）二、多项选择题（共15题，每题2分，共30分）1.ABCDE（均为《个人信息保护法》第五十一条规定的应当采取的措施。）2.ABCD（E选项不符合强制申报安全评估的情形。）3.ABCDE（均为主流隐私计算技术体系。）4.ABCDE（均为《个人信息保护法》第十三条规定的可不经同意取得个人信息的情形。）5.ABC（D和E与个人信息保护影响评估的内容无关。）6.ABCDE（风险信息要素通常包含概率、范围、程度、来源及处置建议。）7.ABCDE（审计重点涵盖了组织、全生命周期、跨境、个人保护及第三方管控。）8.ABCDE（敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满14周岁未成年人信息等。）9.ABCDE（传输阶段需保证机密性、完整性、可审计性和身份认证。）10.ABCD（E错误，去标识化不等于数据销毁，数据依然存在。）11.ABCE（D错误，应为最小化收集而非最大化。）12.ABCD（E不是法定义务。）13.ABE（数据分级主要考虑安全属性、合规要求及危害程度等。）14.ABCE（D选项过失导致泄露可能构成过失泄露国家秘密或侵犯公民个人信息罪的共犯或相关罪名，但D选项表述模糊。根据刑法及相关司法解释，未经授权访问获取数据构成非法获取计算机信息系统数据罪；出售提供构成侵犯公民个人信息罪。D选项中因过失导致大量个人信息泄露，若非国家机关工作人员过失泄露国家秘密，一般不直接构成侵犯公民个人信息罪，但可能违反行政法。本题D选项存在争议。根据刑法第253条之一，侵犯公民个人信息罪主观方面为故意。故D不选。）15.ABCDE（数据交易中提供方应确保来源合法、审核数据、签订合同约束用途、评估买方能力并留存记录。）三、填空题（共10题，每题1分，共10分）1.2021年9月1日2.诚信3.222394.必需5.核心6.十四（或14）7.K-匿名（或k-anonymity）8.交换（或共享/提供）9.数据出境安全评估10.ϵ(或epsilon)四、判断题（共10题，每题1分，共10分）1.×（个人信息处理者应当对受托人的个人信息处理活动进行监督，受托人违规，处理者亦需依法承担相应责任。）2.×（匿名化信息不属于个人信息；去标识化信息才属于。）3.√4.×（必须向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息种类。）5.√6.×（国家机关为履行法定职责处理个人信息也需遵循《个人信息保护法》规定并承担义务。）7.√8.√9.×（数据买方必须遵守合同约定的使用范围，未经允许不得再次转让。）10.√五、简答题（共5题，每题5分，共25分）1.答：“最小必要”原则在业务实践中的具体要求包括：（1）收集的个人信息的类型应与实现产品或服务的业务功能直接相关。（2）自动采集个人信息的频率应是实现业务功能所必需的最低频率。（3）间接获取个人信息的数量应是实现业务功能所需的最少数量。（4）处理目的达成后或者保存期限已届满，应当主动删除个人信息或者进行匿名化处理。（5）不得因个人不同意处理非必要个人信息而拒绝提供基础产品或服务。2.答：（1）立即启动应急预案，采取技术措施切断数据泄露源，控制事态发展。（2）及时开展事件调查，查明泄露原因、涉及数据类型、规模及影响范围。（3）评估可能造成的危害程度，并根据规定立即向网信、公安等主管部门报告事件情况。（4）及时通知受影响的个人信息主体，告知泄露情况、可能危害及建议采取的防范措施。（5）进行事后复盘，完善安全制度和技术防护措施，进行整改并形成总结报告。3.答：个人信息保护影响评估（PIA）是指个人信息处理者在开展个人信息处理活动前，对处理目的、方式等进行合法性、正当性、必要性评估，并对个人权益影响和安全风险进行分析评价的过程。法定必须开展PIA的情形包括：（1）处理敏感个人信息；（2）利用个人信息进行自动化决策；（3）委托处理个人信息、向第三方提供个人信息、公开个人信息；（4）向境外提供个人信息；（5）其他对个人权益有重大影响的个人信息处理活动。4.答：数据出境合规的三种法定路径为：（1）数据出境安全评估：适用于关键信息基础设施运营者、处理100万人以上个人信息的数据处理者、累计向境外提供一定量个人信息或包含重要数据等情形。（2）个人信息保护认证：适用于跨国公司内部或同一经济实体内的数据跨境传输，需要按照国家网信部门规定经专业机构进行个人信息保护认证。（3）订立标准合同：数据处理者通过与境外接收方订立国家网信部门制定的标准合同，并向省级网信部门备案。5.答：（1）泛化：通过降低数据的精度，将特定的属性值替换为更宽泛的类别。例如将年龄“25岁”泛化为“20-30岁”，将邮编“100089”泛化为“1000**”。其作用是在保留数据统计分析价值的同时，降低单条记录被精确识别的可能性。（2）抑制：直接删除或隐藏某些准标识符属性。例如在发布数据集时完全移除“姓名”或“身份证号”字段。其作用是消除可以直接关联到特定自然人的核心标识，防止重标识攻击。六、应用题/案例分析题（共3题，每题5分，共15分）1.案例一答案：（1）责任划分：电商平台A作为个人信息处理者（委托方），负有对受托人大数据中心B的数据处理活动进行监督的法定义务。若A未尽到监督义务，应当对B的违规泄露行为依法承担相应的法律责任。大数据中心B作为受托人，违反了委托合同约定和《个人信息保护法》规定，应当对其实施的非法泄露行为直接承担法律责任；若构成侵犯公民个人信息罪，B中心及直接责任人员（算法工程师）将承担刑事责任。（2）个人权利：受害者（个人）有权依法向电商平台A或大数据中心B任一方主张权利，要求其承担停止侵害、消除影响、赔礼道歉及赔偿损失等民事责任。2.案例二答案：（1）违规判断：D中心的行为违规。（2）理由：去标识化的医疗电子病历和基因测序数据结合密钥仍可还原，属于敏感个人信息。50万名患者的敏感个人信息规模巨大，且基因数据可能涉及国家安全和生物安全。根据《数据出境安全评估办法》，处理100万人以上个人信息的数据处理者向境外提供个人信息，或者累计向境外提供10