2026年法考个人信息处理规则试题(含答案)

2026年法考个人信息处理规则试题(含答案)一、单项选择题（每题1分，共15分）1.根据《个人信息保护法》，下列哪一项不属于个人信息？A.已合法公开的某自然人的姓名B.经匿名化处理后的消费记录C.某自然人的生物识别信息D.某自然人的行踪轨迹答案B解析《个人信息保护法》第4条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。匿名化处理后的信息因无法识别特定自然人且不能复原，不属于个人信息。2.关于敏感个人信息的处理规则，下列说法正确的是：A.处理敏感个人信息无需取得个人同意B.处理敏感个人信息只需履行一般告知义务即可C.处理敏感个人信息应当取得个人的单独同意D.处理不满14周岁未成年人个人信息无需监护人同意答案C解析《个人信息保护法》第29条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。第31条规定，处理不满14周岁未成年人个人信息的，应当取得其父母或者其他监护人的同意。3.个人信息处理者因业务合并、分立等原因需要转移个人信息的，应当：A.无需告知个人B.只需在内部公告C.告知个人接收方的名称或者姓名和联系方式D.重新取得个人同意答案C解析《个人信息保护法》第22条规定，个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。4.某App在用户注册时通过一揽子勾选方式取得用户对其个人信息用于精准营销的同意。该同意方式：A.合法有效，用户已勾选B.合法有效，属于概括同意C.不合法，未取得用户单独同意D.不合法，因为精准营销不属于个人信息处理答案C解析《个人信息保护法》第24条规定，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。第29条规定处理敏感个人信息应当取得单独同意。一揽子勾选不符合单独同意要求，同时涉及商业营销的信息推送应提供不针对个人特征的选项或便捷拒绝方式。5.个人向个人信息处理者查阅、复制其个人信息的请求，个人信息处理者应当：A.收取合理费用后提供B.在合理期限内及时提供C.仅在涉及诉讼时提供D.可以以商业秘密为由拒绝提供答案B解析《个人信息保护法》第45条规定，个人有权向个人信息处理者查阅、复制其个人信息；个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。6.下列关于个人信息处理者安全保障义务的说法，错误的是：A.应当制定内部管理制度和操作规程B.应当对个人信息实行分类管理C.应当采取加密、去标识化等安全技术措施D.只要未造成实际损害，发生个人信息泄露无需通知个人答案D解析《个人信息保护法》第57条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知义务不以实际损害发生为前提。7.根据《个人信息保护法》，个人信息处理者向境外提供个人信息的，下列哪项做法是正确的？A.无需任何条件即可向境外提供B.仅需取得个人同意即可C.应当通过国家网信部门组织的安全评估，或经专业机构进行个人信息保护认证，或与境外接收方签订标准合同D.只需向境外接收方支付合理费用答案C解析《个人信息保护法》第38条规定，个人信息处理者因业务等需要确需向境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同；法律、行政法规或者国家网信部门规定的其他条件。8.某网络平台利用算法对用户进行画像，对不同用户就同一商品展示不同价格，且未向用户提供不针对其个人特征的选项。该行为：A.合法，属于正常商业策略B.合法，平台有自主定价权C.不合法，利用自动化决策实行不合理的差别待遇D.不合法，但仅需向用户说明即可答案C解析《个人信息保护法》第24条规定，个人信息处理者利用个人信息进行自动化决策，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项。9.履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以对个人信息处理者的法定代表人或者主要负责人进行：A.行政拘留B.罚款C.约谈D.刑事拘留答案C解析《个人信息保护法》第64条规定，履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈。10.个人信息处理者处理个人信息未履行告知义务，情节严重的，可以处以的罚款上限为：A.50万元B.100万元C.5000万元D.5000万元以下或者上一年度营业额5%以下答案D解析《个人信息保护法》第66条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处5000万元以下或者上一年度营业额5%以下罚款。11.关于个人信息的委托处理，下列说法正确的是：A.委托处理无需与受托人签订合同B.受托人处理个人信息不受委托目的限制C.个人信息处理者与受托人应当约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务D.委托处理无需对受托人的处理活动进行监督答案C解析《个人信息保护法》第21条规定，个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。12.下列哪一主体不属于《个人信息保护法》规定的“个人信息处理者”？A.自主决定处理目的和处理方式的公司B.仅按照委托人指示处理个人信息的受托人C.自主决定处理目的和处理方式的事业单位D.自主决定处理目的和处理方式的自然人答案B解析《个人信息保护法》第73条规定，个人信息处理者是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。受托人仅按照委托人的指示处理个人信息，不自主决定处理目的和处理方式，不属于个人信息处理者。13.个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者：A.删除B.更正、补充C.撤回同意D.注销账号答案B解析《个人信息保护法》第46条规定，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。14.根据《个人信息保护法》，在公共场所安装图像采集、个人身份识别设备，应当：A.无需告知任何人B.为维护公共安全所必需，并设置显著的提示标识C.可以自由安装，无需限制D.只需取得附近居民同意答案B解析《个人信息保护法》第26条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。15.基于个人同意处理个人信息的，个人撤回同意后，个人信息处理者应当：A.继续处理已收集的个人信息B.停止处理或删除个人信息C.仅在个人提出书面要求时停止处理D.仅需告知撤回同意不影响撤回前的处理答案B解析《个人信息保护法》第15条规定，基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。但撤回同意后，个人信息处理者应当停止处理或者删除该个人信息，除非法律、行政法规另有规定。二、多项选择题（每题2分，共30分）16.根据《个人信息保护法》，处理个人信息应当遵循的原则包括：A.合法、正当、必要和诚信原则B.公开、透明原则C.质量原则D.责任原则答案ABCD解析《个人信息保护法》第5条至第9条规定了处理个人信息应当遵循合法、正当、必要和诚信原则，公开、透明原则，质量原则，责任原则，不得过度收集，不得通过误导、欺诈、胁迫等方式处理个人信息。17.下列哪些情形下，个人信息处理者处理个人信息无需取得个人同意？A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件所必需D.依照法律规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息答案ABCD解析《个人信息保护法》第13条规定了处理个人信息的合法性基础，包括取得个人同意，以及为订立或履行合同所必需、为履行法定职责或法定义务所必需、为应对突发公共卫生事件或紧急情况下保护自然人的生命健康和财产安全所必需、依照法律规定在合理范围内处理已公开信息、法律行政法规规定的其他情形等，这些情形无需取得个人同意。18.下列哪些信息属于敏感个人信息？A.宗教信仰信息B.特定身份信息C.医疗健康信息D.金融账户信息答案ABCD解析《个人信息保护法》第28条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满14周岁未成年人的个人信息。19.关于个人信息处理者向第三方提供个人信息，下列说法正确的有：A.应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类B.应当取得个人的单独同意C.接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息D.接收方变更原先的处理目的、处理方式的，应当重新取得个人同意答案ABCD解析《个人信息保护法》第23条规定，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。20.个人在个人信息处理活动中享有的权利包括：A.知情权、决定权B.查阅、复制权C.更正、补充权D.删除权答案ABCD解析《个人信息保护法》第44条至第47条规定了个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；有权查阅、复制其个人信息；发现信息不准确或不完整的，有权请求更正、补充；符合特定情形时，有权请求删除。21.下列哪些情形下，个人信息处理者应当主动删除个人信息？A.处理目的已实现、无法实现或者为实现处理目的不再必要B.个人信息处理者停止提供产品或者服务C.保存期限已届满D.个人撤回同意答案ABCD解析《个人信息保护法》第47条规定了应当删除个人信息的情形，包括处理目的已实现、无法实现或者为实现处理目的不再必要，个人信息处理者停止提供产品或者服务，保存期限已届满，个人撤回同意，个人信息处理者违反法律、行政法规或者违反约定处理个人信息，以及法律、行政法规规定的其他情形。22.关于个人信息跨境提供，下列说法正确的有：A.关键信息基础设施运营者向境外提供个人信息，应当通过国家网信部门组织的安全评估B.处理个人信息达到国家网信部门规定数量的个人信息处理者向境外提供个人信息，应当通过安全评估C.个人信息处理者应当采取必要措施保障境外接收方处理个人信息的活动达到《个人信息保护法》规定的保护标准D.向境外提供个人信息的，无需告知个人答案ABC解析《个人信息保护法》第38条、第40条规定了跨境提供的条件和安全评估要求。第39条规定，个人信息处理者向境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意。故D项错误。23.下列关于个人信息保护影响评估的说法，正确的有：A.处理敏感个人信息前应当进行个人信息保护影响评估B.利用个人信息进行自动化决策前应当进行个人信息保护影响评估C.委托处理个人信息前无需进行个人信息保护影响评估D.个人信息保护影响评估报告应当至少保存3年答案ABD解析《个人信息保护法》第55条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息等情形，应当事前进行个人信息保护影响评估。第56条规定，个人信息保护影响评估报告和处理情况记录应当至少保存3年。故C项错误。24.根据《个人信息保护法》，下列哪些行为可能承担民事责任？A.个人信息处理者违反规定处理个人信息，侵害个人信息权益造成损害B.个人信息处理者不能证明自己没有过错的C.利用个人信息进行自动化决策实行不合理差别待遇D.违反规定向境外提供个人信息答案ABCD解析《个人信息保护法》第69条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。该条确立了过错推定原则。第24条、第38条等规定了相应禁止性义务，违反这些义务侵害个人信息权益的，依法承担民事责任。25.关于履行个人信息保护职责的部门及其职责，下列说法正确的有：A.国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作B.国务院有关部门和县级以上地方人民政府有关部门在各自职责范围内负责个人信息保护和监督管理工作C.履行个人信息保护职责的部门可以依法调查与个人信息处理活动有关的情况D.履行个人信息保护职责的部门无权查阅、复制与个人信息处理活动有关的合同、记录答案ABC解析《个人信息保护法》第60条、第63条规定了履行个人信息保护职责的部门的设置和职责。第63条规定，履行个人信息保护职责的部门可以依法查阅、复制与个人信息处理活动有关的合同、记录、账簿以及其他有关资料。故D项错误。26.下列哪些信息处理活动不适用《个人信息保护法》？A.自然人因个人或者家庭事务处理个人信息B.企业员工人事管理中处理个人信息C.统计、档案管理活动中处理个人信息D.匿名化处理后的信息答案AD解析《个人信息保护法》第72条规定，自然人因个人或者家庭事务处理个人信息不适用本法。第4条规定，匿名化处理后的信息不属于个人信息，不适用本法。B项企业人事管理中的个人信息处理适用本法；C项统计、档案管理中的个人信息处理活动也应适用本法，法律另有规定的除外。27.关于自动化决策，下列说法正确的有：A.个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正B.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项C.个人有权要求个人信息处理者予以说明D.仅通过自动化决策方式作出对个人权益有重大影响的决定，个人有权拒绝答案ABCD解析《个人信息保护法》第24条规定了自动化决策的透明度和公平公正要求，信息推送和商业营销中提供不针对个人特征的选项或便捷拒绝方式，以及个人要求说明的权利。同时规定，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝仅通过自动化决策方式作出决定。28.下列关于个人信息处理者合规义务的说法，正确的有：A.处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人B.境外个人信息处理者在境内设立专门机构或者指定代表的条件是处理境内自然人个人信息且以向境内自然人提供产品或者服务为目的或以分析评估境内自然人行为为目的C.任何个人信息处理者都应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计D.小型个人信息处理者可以不履行任何合规义务答案ABC解析《个人信息保护法》第52条规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人。第53条规定了境外个人信息处理者在境内设立专门机构或指定代表。第54条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。D项错误，即使是小型个人信息处理者，也应履行基本合规义务，但可在某些义务上简化。29.关于个人信息处理中的共同处理，下列说法正确的有：A.两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务B.共同处理个人信息侵害个人信息权益造成损害的，应当依法承担连带责任C.个人可以向任何一个共同处理者行使权利D.共同处理者的内部约定不影响对个人的连带责任答案ABCD解析《个人信息保护法》第20条规定，两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。共同处理个人信息侵害个人信息权益造成损害的，应当依法承担连带责任。个人有权向任一共同处理者行使权利，内部约定不得对抗个人。30.下列哪些情形属于个人信息处理者可以免除民事责任的事由？A.个人信息处理者能够证明自己没有过错B.损害是因受害人故意造成的C.损害是因不可抗力造成的D.个人信息处理者已取得个人同意答案ABC解析《个人信息保护法》第69条规定了过错推定责任，个人信息处理者能够证明自己没有过错的，不承担民事责任。根据《民法典》侵权责任编的一般规定，损害因受害人故意、不可抗力等造成的，可以免除或者减轻责任。D项取得个人同意是合法性基础之一，但不等于免除因处理行为造成的损害责任。三、不定项选择题（每题2分，共20分）31.某互联网公司拟处理大量人脸识别信息用于商业目的。关于该处理活动，下列说法正确的有：A.应当取得个人的单独同意B.应当事前进行个人信息保护影响评估C.应当指定个人信息保护负责人D.可以以默示方式取得个人同意答案ABC解析人脸识别信息属于敏感个人信息中的生物识别信息，处理敏感个人信息应当取得单独同意（第29条），不得以默示方式取得同意，故A正确、D错误。处理敏感个人信息应当事前进行个人信息保护影响评估（第55条）。处理敏感个人信息达到国家网信部门规定数量的，应当指定个人信息保护负责人（第52条），大量处理人脸识别信息通常达到该数量标准，故C正确。32.某电商平台拟向第三方共享用户个人信息。关于该共享行为，下列说法正确的有：A.应当向用户告知接收方的名称或者姓名、联系方式B.应当取得用户的单独同意C.用户撤回同意后，第三方应当立即停止处理并删除相关个人信息D.共享行为无需进行个人信息保护影响评估答案ABC解析向其他个人信息处理者提供个人信息，应当告知接收方名称或姓名、联系方式、处理目的、处理方式、个人信息种类，并取得单独同意（第23条）。个人撤回同意后，个人信息处理者应当停止处理或删除个人信息（第15条），第三方作为接收方也应停止处理。向其他个人信息处理者提供个人信息属于应当事前进行个人信息保护影响评估的情形（第55条），故D错误。33.关于个人信息处理者的安全事件通知义务，下列说法正确的有：A.发生个人信息泄露的，应当立即采取补救措施B.应当通知履行个人信息保护职责的部门和个人C.通知应当包括泄露的原因、可能造成的危害、已采取的补救措施等信息D.只有在泄露信息数量达到一定规模时才需要通知答案ABC解析《个人信息保护法》第57条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括信息种类、原因、可能造成的危害、已采取的补救措施、个人可以采取的减轻危害的措施以及个人信息处理者的联系方式等。通知义务不以数量达到一定规模为前提，故D错误。34.某跨国公司在境外处理中国境内自然人的个人信息，以向境内自然人提供产品和服务为目的。根据《个人信息保护法》，下列说法正确的有：A.应当在中国境内设立专门机构或者指定代表B.应当将专门机构或者代表的名称、联系方式报送履行个人信息保护职责的部门C.向境外提供个人信息的，应当履行跨境提供相关义务D.可以以境外法律标准替代《个人信息保护法》的保护标准答案ABC解析《个人信息保护法》第53条规定，在境外处理境内自然人个人信息，以向境内自然人提供产品或者服务为目的，或者分析、评估境内自然人行为的，应当在中国境内设立专门机构或者指定代表，并将有关信息报送履行个人信息保护职责的部门。D项错误，向境外提供个人信息应当保障境外接收方处理活动达到《个人信息保护法》规定的保护标准。35.下列哪些情形中，个人信息处理者可以不经过个人同意即处理其个人信息？A.为履行法定职责处理个人信息B.为应对突发公共卫生事件处理个人信息C.为公共利益实施新闻报道，在合理范围内处理个人信息D.为推销商品向个人发送商业广告答案ABC解析《个人信息保护法》第13条规定，为履行法定职责或法定义务所必需、为应对突发公共卫生事件或紧急情况下保护自然人的生命健康和财产安全所必需、为公共利益实施新闻报道和舆论监督等在合理范围内处理个人信息等情形，无需取得个人同意。D项为商业营销目的处理个人信息，需要取得个人同意，故错误。36.关于个人信息处理者向个人告知的事项，根据《个人信息保护法》，应当包括：A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式C.处理的个人信息种类、保存期限D.个人行使权利的方式和程序答案ABCD解析《个人信息保护法》第17条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知：个人信息处理者的名称或者姓名和联系方式；个人信息的处理目的、处理方式；处理的个人信息种类、保存期限；个人行使权利的方式和程序；法律、行政法规规定应当告知的其他事项。37.关于个人信息的保存期限，下列说法正确的有：A.个人信息的保存期限应当为实现处理目的所必要的最短时间B.法律、行政法规对保存期限另有规定的，从其规定C.保存期限届满后应当删除个人信息D.可以无限期保存个人信息以备用答案ABC解析《个人信息保护法》第19条规定，除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。第47条规定，保存期限已届满的，个人信息处理者应当主动删除个人信息。D项无限期保存违反最短必要时间原则，故错误。38.某App在用户注销账号后，仍保留该用户的个人信息用于数据分析。该行为：A.合法，注销账号不影响个人信息处理B.不合法，应当删除或者匿名化处理C.合法，只要不对外泄露即可D.不合法，但仅需停止使用即可答案B解析《个人信息保护法》第47条规定，个人信息处理者停止提供产品或者服务，或者保存期限已届满的，应当主动删除个人信息；法律、行政法规未规定的，应当进行匿名化处理。用户注销账号意味着停止提供产品或者服务，个人信息处理者应当删除或匿名化处理，不得继续保留用于数据分析。39.关于个人信息保护中的举证责任，下列说法正确的有：A.个人信息处理者侵害个人信息权益造成损害的，适用过错推定原则B.个人信息处理者应当对其没有过错承担举证责任C.个人应当对损害事实承担举证责任D.个人信息处理者无需承担任何举证责任答案ABC解析《个人信息保护法》第69条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。该条确立了过错推定原则，由个人信息处理者对其没有过错承担举证责任。个人仍需对损害事实等承担举证责任。故D错误。40.下列对《个人信息保护法》中“匿名化”的理解，正确的有：A.匿名化后的信息不属于个人信息B.匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程C.匿名化后的信息可以自由处理D.匿名化与去标识化是同一概念答案ABC解析《个人信息保护法》第73条规定，匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。第4条规定，匿名化处理后的信息不属于个人信息，不适用本法，因此可以自由处理。去标识化是指个人信息经过处理，在不借助额外信息的情况下无法识别特定自然人的过程，去标识化后的信息仍属于个人信息，两者不是同一概念，故D错误。四、案例分析题（每题15分，共30分）41.案情：某科技公司开发了一款健康管理App，用户注册时需填写姓名、身份证号、手机号、身高体重、既往病史等信息。该公司在《用户协议》中以加粗字体载明：“用户注册即视为同意本公司将用户个人信息用于App功能优化、个性化推荐以及与关联公司共享。”用户张某注册后，发现该App未经其另行同意，将其医疗健康信息共享给了一家保险公司用于保险产品精准营销。张某向该公司提出删除其医疗健康信息并停止共享的请求，该公司拒绝，称用户已通过《用户协议》一揽子同意。问题：(1)该公司处理张某医疗健康信息的行为在合法性方面存在哪些问题？(2)该公司将张某个人信息共享给保险公司的行为是否合法？为什么？(3)张某提出的删除请求是否应当得到支持？为什么？答案：(1)该公司处理张某医疗健康信息存在以下合法性问题：第一，医疗健康信息属于敏感个人信息。根据《个人信息保护法》第29条，处理敏感个人信息应当取得个人的单独同意。该公司以《用户协议》一揽子同意的方式取得同意，不符合“单独同意”的要求。第二，根据《个人信息保护法》第17条，个人信息处理者应当在处理个人信息前，以显著方式、清晰易懂的语言真实、准确、完整地向个人告知处理目的、处理方式、处理的个人信息种类、保存期限等事项。该公司将医疗健康信息用于关联公司共享和保险营销，超出了用户注册时合理预期的处理目的，未能充分履行告知义务。第三，根据《个人信息保护法》第6条，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。该公司将医疗健康信息用于保险营销，超出了App功能优化的合理范围，违反必要原则。(2)该公司将张某个人信息共享给保险公司的行为不合法。理由如下：第一，根据《个人信息保护法》第23条，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。该公司仅以《用户协议》中的格式条款取得概括同意，未取得张某的单独同意。第二，张某的医疗健康信息属于敏感个人信息，向第三方提供敏感个人信息更应取得单独同意。保险公司将医疗健康信息用于保险产品营销，属于商业营销目的，根据《个人信息保护法》第24条，利用个人信息进行商业营销应当同时提供不针对个人特征的选项或者便捷的拒绝方式，该公司未提供上述机制。第三，根据《个人信息保护法》第55条，向其他个人信息处理者提供个人信息应当事前进行个人信息保护影响评估，该公司未进行影响评估。(3)张某提出的删除请求应当得到支持。理由如下：第一，根据《个人信息保护法》第47条，个人撤回同意，或者个人信息处理者违反法律、行政法规或者违反约定处理个人信息的，个人信息处理者应当主动删除个人信息；个人有权请求删除。该公司以不符合“单独同意”要求的方式取得同意，张某有权撤回该同意，并请求删除。第二，张某的医疗健康信息被用于保险营销，超出了原有处理目的，张某有权拒绝该处理并请求删除。第三，根据《个人信息保护法》第50条，个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。该公司无正当理由拒绝，张某可以依法向履行个人信息保护职责的部门投诉或提起诉讼。42.案情：某市公交集团在公交车内安装摄像头，采集乘客面部图像信息，用于“安全监控和防范违法犯罪