2026年APP个人信息合规自查培训试题

2026年APP个人信息合规自查培训试题单项选择题（本大题共15小题，每小题2分，共30分。在每小题给出的四个选项中，只有一项是符合题目要求的）1.根据《中华人民共和国个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这一原则在个人信息保护法中被称为？A.合法、正当、必要原则B.最小影响原则C.诚信原则D.公开透明原则【答案】A【解析】《个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。这统称为合法、正当、必要和诚信原则。2.在APP个人信息合规自查中，关于“必要个人信息”的界定是核心内容。根据《常见类型移动互联网应用程序必要个人信息范围规定》，以下哪类APP的基本功能服务及必要个人信息对应是正确的？A.网络直播类APP，必要个人信息包括注册用户移动电话号码和动态人脸识别信息B.网上购物类APP，必要个人信息包括注册用户移动电话号码、收货人姓名和地址、支付时间与金额C.投资理财类APP，必要个人信息包括注册用户移动电话号码、面部识别信息和银行账户信息D.婚恋相亲类APP，必要个人信息包括注册用户移动电话号码和相亲对象的所有信息【答案】B【解析】根据《常见类型移动互联网应用程序必要个人信息范围规定》，网络直播类APP的必要个人信息仅为注册用户移动电话号码，不包含人脸识别；网上购物类APP必要个人信息包括注册用户移动电话号码、收货人姓名（名称）和地址、支付时间、支付金额、支付渠道等；投资理财类APP必要个人信息为注册用户移动电话号码、用户姓名和证件号码、证件有效期限、银行卡号码；婚恋相亲类APP必要个人信息为注册用户移动电话号码。3.某APP在用户首次安装并启动运行时，未弹出隐私政策提示框，而是直接进入功能主页，用户需手动在设置中寻找隐私政策。根据《App违法违规收集使用个人信息行为认定方法》，该行为属于？A.未明示收集使用个人信息的目的、方式和范围B.未经同意收集使用个人信息C.违反必要原则，收集与其提供的服务无关的个人信息D.未按法律规定提供删除或更正个人信息功能【答案】A【解析】《App违法违规收集使用个人信息行为认定方法》规定，在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则，属于“未明示收集使用个人信息的目的、方式和范围”。4.个人信息处理者处理已公开的个人信息，应当符合该个人信息被公开时的用途。如果个人信息处理者更改公开个人信息的用途，应当履行何种程序？A.直接更改用途并在后台记录B.取得个人的单独同意C.通知用户并发布公告即可D.取得个人的同意，若对个人权益产生重大影响还需取得单独同意【答案】D【解析】《个人信息保护法》第二十七条规定，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。若更改用途，需取得个人同意，对个人权益有重大影响的须取得单独同意。5.根据《个人信息保护法》，对于处理不满多少周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意？A.12周岁B.14周岁C.16周岁D.18周岁【答案】B【解析】《个人信息保护法》第三十一条规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。不满十四周岁未成年人的个人信息属于敏感个人信息。6.关于APP接入第三方SDK（软件开发工具包）的合规要求，下列做法错误的是？A.在隐私政策中逐一列明第三方SDK的名称、提供者、收集的个人信息类型和用途B.APP运营者与第三方SDK提供者通过合同明确双方在个人信息处理活动中的权利和义务C.为了保障SDK功能的正常运行，APP可以代用户同意SDK的隐私政策，无需单独向用户告知D.第三方SDK发生变更或收集信息范围扩大时，APP应及时更新隐私政策并重新取得用户同意【答案】C【解析】根据《移动互联网应用程序（App）收集个人信息基本要求》，APP提供者应向用户告知第三方SDK的名称、提供者、收集的个人信息类型和用途，并取得用户的明示同意。不能代用户同意，必须向用户充分告知。7.在APP合规自查中发现，某社交APP在用户未登录状态下，为了进行用户行为统计，静默收集了用户的设备IMEI号和MAC地址。此行为主要违反了哪项合规原则？A.目的明确原则B.最小必要原则C.公开透明原则D.质量保证原则【答案】B【解析】设备IMEI号和MAC地址属于不可变更的设备唯一标识符。在用户未登录且仅为行为统计目的时，收集此类不可变更的设备标识符超出了实现处理目的的最小范围，违反了最小必要原则。8.某APP提供了用户账号注销功能，但在用户点击注销后，系统提示“由于您的账号存在安全风险，注销申请将在提交后180天内完成审核”。根据相关规定，该APP的注销期限设置是否合规？A.合规，只要最终能够注销即可B.合规，存在安全风险时可以延长注销时间C.不合规，APP注销账号的审核时间最长不得超过15个工作日D.不合规，APP注销账号必须做到点击注销后立即生效【答案】C【解析】根据《信息安全技术个人信息安全规范》及相关监管要求，个人信息处理者应当建立便捷的个人信息注销机制，受理注销请求后应在合理的期限内（通常指15个工作日内）完成注销。不得设置不合理条件或无故延长注销时间。9.个人信息处理者向中华人民共和国境外提供个人信息，应当具备下列条件，其中不包括：A.依照《个人信息保护法》规定通过国家网信部门组织的安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.获得所在省级以上工商管理部门的批准文件【答案】D【解析】《个人信息保护法》第三十八条规定，向境外提供个人信息需满足的条件包括通过国家网信部门安全评估、经专业机构进行个人信息保护认证、按照标准合同与境外接收方订立合同或者法律、行政法规规定的其他条件。不需要工商管理部门的批准文件。10.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。下列关于合规审计的说法，正确的是？A.个人信息处理者可以根据自身情况决定是否进行合规审计，非强制性B.处理大量个人信息的APP运营者，应当自行或者委托专业机构定期进行合规审计C.合规审计的结果属于企业商业秘密，不需要对监管部门公开D.合规审计只需在APP上线前进行一次即可，后续无需重复审计【答案】B【解析】《个人信息保护法》第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。这是法定义务，必须定期进行。11.关于敏感个人信息的处理，以下表述正确的是？A.敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息B.处理敏感个人信息只需在隐私政策中写明即可，无需取得个人的单独同意C.所有APP的注册登录功能都必须收集用户的生物识别信息作为敏感个人信息以保障账号安全D.用户撤回敏感个人信息处理同意后，APP可以继续保留该信息用于商业营销【答案】A【解析】《个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。处理敏感个人信息应当取得个人的单独同意。12.某APP为了实现精准营销，通过后台读取用户的通讯录联系人，以此向用户推荐可能认识的朋友。用户未在APP中主动点击授权通讯录权限。该行为属于：A.合理利用用户社交关系链进行产品推广B.未经用户同意收集使用个人信息C.仅读取通讯录不构成收集个人信息D.只要脱敏处理就不构成违规【答案】B【解析】通讯录包含大量第三方个人信息，未经用户主动授权读取通讯录，属于未经同意收集使用个人信息，且往往违反了必要原则（因为推荐好友可能并非该APP基本功能服务的必要条件）。13.APP在申请可收集个人信息的权限时，应当遵循一定的时机要求。以下哪种做法符合合规要求？A.在用户下载安装包时，一次性申请所有可能用到的权限B.在APP首次启动时，申请相机、位置、麦克风、通讯录等所有敏感权限C.在用户实际使用到某项具体功能时，再动态申请与该功能直接相关的权限D.在用户未登录时，后台静默申请位置权限以备后续使用【答案】C【解析】根据《App违法违规收集使用个人信息行为认定方法》，APP申请可收集个人信息的权限应当与实际功能相匹配，并在用户实际触发对应功能时动态申请，不得提前或一次性申请所有无关权限。14.下列哪种情形下，个人信息处理者无需主动删除个人信息？A.处理目的已实现、无法实现或者为实现处理目的不再必要B.个人信息处理者停止提供产品或者服务，或者保存期限已届满C.用户账号因连续30天未登录被系统自动冻结D.个人撤回同意且个人信息处理者无其他合法处理依据【答案】C【解析】《个人信息保护法》第四十七条规定了个人信息处理者应当主动删除个人信息的情形。账号冻结并不意味着处理目的不再必要或保存期限届满，用户重新解冻后仍需使用原数据，因此无需主动删除。只有在不再提供服务或保存期限届满等法定情形下才需删除。15.在评估APP是否存在“超范围收集个人信息”行为时，应主要对比以下哪两项内容？A.APP实际收集的个人信息类型与《个人信息保护法》的全文条款B.APP隐私政策中声明的收集规则与APP实际在后台收集的个人信息类型和频率C.APP的安装包大小与APP的日活跃用户数D.APP运营者的注册资本与收集的数据总量【答案】B【解析】合规自查的核心在于“言行一致”。评估超范围收集，需要将APP实际运行中（通过代码抓包、动态检测等手段发现）收集的个人信息类型、频率、权限调用情况，与隐私政策中向用户声明的收集目的、方式和范围进行对比，若超出声明范围则为违规。多项选择题（本大题共15小题，每小题3分，共45分。在每小题给出的五个选项中，至少有两个选项是符合题目要求的，多选、漏选或错选均不得分）1.根据《App违法违规收集使用个人信息行为认定方法》，以下哪些情形可被认定为“未明示收集使用个人信息的目的、方式和范围”？A.没有隐私政策，或者在用户首次运行APP时未通过弹窗等明显方式提示用户阅读隐私政策B.隐私政策晦涩难懂，使用大量专业术语，导致用户难以理解其真实含义C.隐私政策存在访问困难（如需多次跳转、链接失效）或字号过小等问题D.隐私政策未逐一列出第三方SDK收集使用个人信息的目的、方式、范围E.隐私政策中未注明个人信息存储地域及期限【答案】A,B,C,D【解析】《App违法违规收集使用个人信息行为认定方法》规定，未明示的情形包括：没有隐私政策或未提示阅读；隐私政策难以访问；隐私政策难以阅读（如字号过小、颜色过淡、大量专业术语）；收集使用个人信息的目的、方式、范围未明确告知（包括未逐一列出第三方SDK的情况）。存储地域和期限属于隐私政策应当包含的内容，但未注明更多涉及“未尽告知义务”，而A、B、C、D明确属于“未明示”范畴。2.某新闻资讯类APP为了改进产品功能，收集了用户的位置信息、设备识别符、浏览记录等。针对此行为，以下评价正确的有？A.如果APP仅提供新闻浏览服务，收集精确位置信息可能违反了“必要原则”B.若要收集位置信息，必须在隐私政策中明确告知，并取得用户的明示同意C.即使在隐私政策中告知并取得同意，如果该信息并非实现新闻浏览功能所必需，仍构成超范围收集D.新闻APP可以通过收集设备识别符来进行用户流失率统计，无需用户同意E.为了改进产品功能收集个人信息，应当进行个人信息保护影响评估【答案】A,B,C,E【解析】新闻资讯类APP的必要个人信息通常不包含精确位置信息。即使为了改进产品功能，收集非必要个人信息也需取得用户明示同意，且不得拒绝用户提供基本功能服务。设备识别符属于个人信息，收集必须取得同意。处理敏感个人信息或对个人权益有重大影响的行为，应当事前进行个人信息保护影响评估。3.关于个人信息保护影响评估（PIA），以下哪些情形下个人信息处理者应当事前进行评估？A.处理敏感个人信息B.利用个人信息进行自动化决策且对个人权益有重大影响C.委托处理个人信息、向第三方提供个人信息或向境外提供个人信息D.收集一个普通用户的电子邮件地址用于发送注册验证码E.其他对个人权益有重大影响的个人信息处理活动【答案】A,B,C,E【解析】《个人信息保护法》第五十五条规定了应当事前进行个人信息保护影响评估的情形，包括处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向第三方/境外提供、向公众公开个人信息以及其他对个人权益有重大影响的处理活动。收集单个邮箱发验证码属于常规处理，不构成重大影响。4.个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知哪些事项？A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使本法规定权利（查阅、复制、更正、删除等）的方式和程序D.法律、行政法规规定应当告知的其他事项E.个人信息处理者的内部组织架构图和员工花名册【答案】A,B,C,D【解析】《个人信息保护法》第十七条明确规定了个人信息处理者在处理个人信息前应当告知的事项，包括A、B、C、D项。内部组织架构和员工花名册不属于法定必须告知用户的事项。5.关于APP用户权利的保障机制，以下哪些做法是合规的？A.提供便捷的撤回同意的途径，如设置专门的“隐私设置”或“权限管理”入口B.用户撤回同意后，拒绝提供服务，除非撤回同意不影响基本功能服务C.建立投诉举报处理机制，公布联系方式，并在受理后15个工作日内或处理完毕后予以回复D.用户要求查阅、复制其个人信息的，APP应当及时提供，且不得收取不合理的费用E.发现个人信息处理者处理个人信息存在错误或有遗漏的，用户有权要求更正、补充【答案】A,C,D,E【解析】撤回同意后，个人信息处理者不得拒绝提供基本功能服务（《个人信息保护法》第十六条）。因此B选项错误。A、C、D、E均符合《个人信息保护法》第四十四条至第五十条关于个人信息主体权利保障的规定。6.根据相关法律法规，当发生或者可能发生个人信息泄露、篡改、丢失时，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列哪些内容？A.发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害B.个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施C.个人信息处理者的主要负责人及直接责任人员的姓名和身份证号D.个人信息处理者的联系方式E.本次安全事件的预估经济损失数额【答案】A,B,D【解析】《个人信息保护法》第五十七条规定，通知应当包括发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害，个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施，以及个人信息处理者的联系方式。C、E不属于法定必须通知的内容。7.在进行APP个人信息合规自查时，针对“第三方代码和SDK（软件开发工具包）”的审查应重点关注以下哪些方面？A.APP中实际集成的所有第三方SDK是否已在隐私政策中逐一披露B.第三方SDK是否存在未经用户同意静默收集个人信息的行为C.第三方SDK提供者是否具备相应的数据安全保障能力D.是否与第三方SDK提供者签订了明确的数据处理和安全保护协议E.第三方SDK收集的个人信息是否超出其实现功能所必需的范围【答案】A,B,C,D,E【解析】第三方SDK是个人信息合规的重灾区。自查时必须覆盖SDK的披露情况、运行行为（是否静默收集）、安全能力、合同约束以及是否符合最小必要原则。这五个选项均是SDK合规审查的核心要点。8.关于个人信息出境的合规要求，以下说法正确的有？A.关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在境内收集和产生的个人信息存储在境内B.确需向境外提供的，必须通过国家网信部门组织的安全评估C.个人信息处理者向境外提供个人信息，应当向个人告知境外接收方的名称、联系方式等，并取得个人的单独同意D.个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准E.所有的APP只要向境外传输一条数据，都必须向网信部门申报安全评估【答案】A,B,C,D【解析】《个人信息保护法》第三十八条至第四十条规定了个人信息出境的条件。A、B、C、D均正确。E选项错误，并非所有出境行为都需要申报安全评估，只有达到规定数量或属于关键信息基础设施运营者才必须申报，其他情况可以通过认证或签标准合同等方式合规。9.根据GB/T35273-2020《信息安全技术个人信息安全规范》，以下哪些属于个人敏感信息？A.银行账户、鉴别信息（口令、指纹、人脸等）B.个人身份信息（身份证、护照、驾驶证等）C.个人财产信息（存款、信贷记录、交易记录等）D.个人通信记录和内容E.14岁以下儿童的个人信息【答案】A,B,C,D,E【解析】根据国标GB/T35273，个人敏感信息包括一旦泄露、非法提供或滥用可能危害人身和财产安全，导致个人名誉、身心健康受到损害等的个人信息。上述五项均在敏感信息判定指南中被明确列为个人敏感信息。10.在APP自动化决策的合规要求中，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正。以下哪些做法符合合规要求？A.通过自动化决策方式向个人进行信息推送、商业营销，同时提供不针对其个人特征的选项B.向用户提供便捷的拒绝自动化决策的方式C.用户提供拒绝方式后，仍然通过其他后台算法隐式进行个性化推送D.通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定E.定期对自动化决策的算法进行评估，确保不存在歧视性或偏见性结果【答案】A,B,D,E【解析】《个人信息保护法》第二十四条规定，自动化决策应当保证透明度和结果公平公正，提供不针对个人特征的选项或提供便捷的拒绝方式；对个人权益有重大影响的，个人有权要求说明并拒绝。C选项违背了提供拒绝方式的要求。11.在开展APP隐私政策文本合规自查时，以下哪些内容属于隐私政策中必须包含的核心要素？A.收集个人信息的业务功能及收集类型、频率B.个人信息的存储地域、期限及到期后的处理方式C.用户行使查阅、复制、更正、删除、撤回同意等权利的途径和方法D.APP开发团队的具体绩效考核标准及KPI指标E.第三方代码或SDK的名称、提供者、收集目的及类型【答案】A,B,C,E【解析】隐私政策应当清晰、准确地说明个人信息处理规则。D选项属于企业内部管理事项，与个人信息处理无关，无需在隐私政策中披露。12.个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务。受托人在此过程中应当遵守的规定包括？A.按照约定处理个人信息，不得超出约定的处理目的、处理方式等B.受托人不得转委托他人处理个人信息，除非取得原个人信息处理者的同意C.委托关系不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留D.未经个人信息处理者同意，受托人不得对外公开其处理的个人信息E.受托人应当协助个人信息处理者履行法定义务，如响应个人行使权利的请求【答案】A,B,C,D,E【解析】《个人信息保护法》第二十一条规定了委托处理各方的权利义务。受托人必须按约定处理，未经同意不得转委托，委托终止后需返还或删除，且需协助处理者履行法定义务。13.以下哪些情形属于个人信息处理者可以免予告知个人（即不需告知即可收集处理）的情形？A.为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.新闻单位为进行新闻报道，在合理范围内处理个人信息E.个人自行公开或者其他已经合法公开的个人信息（对个人权益有重大影响的除外）【答案】A,B,C,D,E【解析】《个人信息保护法》第十三条和第十八条规定了可以不取得个人同意或在特定情况下不需告知的情形。A、B、C、D、E项均符合法定免除告知义务的情形。14.关于个人信息保护负责人（DPO）的设置，以下说法正确的有？A.处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人B.个人信息保护负责人应当具备相关专业知识和管理工作经验C.个人信息保护负责人主要负责对个人信息处理活动进行监督，并对违法违规行为进行制止D.个人信息处理者应当公开个人信息保护负责人的联系方式，并将其报送履行个人信息保护职责的部门E.APP开发公司规模较小，只有5名员工，也必须强制设立专门的个人信息保护负责人全职岗位【答案】A,B,C,D【解析】《个人信息保护法》第五十二条规定，达到规定数量的处理者应当指定个人信息保护负责人。负责人需具备专业知识，负责监督并公开联系方式报送监管部门。小微企业在未达到规定数量时不强制要求设立专门的负责人岗位。15.以下关于APP权限管理合规要求的描述，正确的有？A.APP不得在用户未触发相关业务功能时，提前申请与该功能相关的系统权限B.APP实际申请的系统权限必须与隐私政策中声明的权限用途相一致C.用户明确拒绝授权后，APP不得通过频繁弹窗等方式反复向用户申请该权限D.APP不得因为用户拒绝授权非必要权限而拒绝用户提供基本功能服务E.为了提高用户体验，APP可以在后台自动帮用户开启某些敏感权限，无需用户感知【答案】A,B,C,D【解析】根据《App收集个人信息基本要求》，权限申请需与功能匹配且时机合理；用户拒绝后不得频繁骚扰；不得因拒绝非必要权限而拒绝基本服务。E选项严重违规，后台静默开启权限属于“未经同意收集使用个人信息”。填空题（本大题共10小题，每小题1分，共10分。请将答案填写在横线上）1.个人信息处理者应当遵循公开透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。这体现了个人信息保护中的__________原则。【答案】公开透明2.在APP首次运行时，应当通过__________等明显方式提示用户阅读隐私政策等收集使用规则。【答案】弹窗3.个人信息处理者向其他个人信息处理者提供个人信息时，应当向接收方告知个人信息的处理目的、方式和__________。【答案】个人信息种类4.根据《个人信息保护法》，只有具有__________的目的，方可处理个人信息，且应当限于实现处理目的的最小范围。【答案】明确、合理5.处理已公开的个人信息，对个人权益有重大影响的，应当依照法律规定取得个人的__________。【答案】单独同意6.个人信息处理者处理已公开的个人信息的，应当符合该个人信息被公开时的__________。【答案】用途7.国家网信部门统筹协调有关部门依据本法推进个人信息保护__________工作，促进个人信息保护标准体系的完善。【答案】标准化8.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行__________。【答案】合规审计9.匿名化，是指个人信息经过处理无法识别特定自然人且不能__________的过程。【答案】复原10.APP提供者应当建立__________机制，接入相关工作平台，及时处理用户关于个人信息保护的投诉举报。【答案】个人信息保护投诉、举报判断题（本大题共10小题，每小题1分，共10分。正确的打“√”，错误的打“×”）1.隐私政策中可以使用“等”、“可能”、“例如”等模糊词语来概括收集个人信息的范围，以减少文本长度，提高用户阅读效率。（）【答案】×2.APP在用户注销账号后，可以为了未来可能的数据恢复需求，将用户个人信息继续保留在生产数据库中，只要不对外提供即可。（）【答案】×3.只要用户在APP注册时勾选了“同意隐私政策”，APP就可以在后续任何版本更新中收集隐私政策未列明的新的个人信息类型，无需再次征得用户同意。（）【答案】×4.个人信息处理者委托第三方处理个人信息时，受托人超出约定的处理目的处理个人信息，造成个人信息泄露的，受托人也应当依法承担法律责任。（）【答案】√5.未成年人是指不满16周岁的自然人，处理其个人信息应当取得其父母或者其他监护人的同意。（）【答案】×6.为了保障APP的安全性（如反欺诈、反作弊），APP可以在无需告知用户的情况下，收集用户的设备指纹信息。（）【答案】×7.用户要求查阅、复制其个人信息的，个人信息处理者应当及时提供。即使数据量巨大且提取复杂，也可以直接拒绝用户的查阅请求。（）【答案】×8.APP集成第三方SDK时，如果第三方SDK提供者承诺自行承担合规责任，APP运营者就可以不在自己的隐私政策中向用户披露该SDK的情况。（）【答案】×9.个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务（除非处理个人信息属于提供产品或者服务所必需）。（）【答案】√10.发生个人信息泄露事件后，如果个人信息处理者采取的措施能够有效防止信息危害扩大，则可以不通知履行个人信息保护职责的部门和个人。（）【答案】×简答题（本大题共4小题，每小题5分，共20分）1.请简述《常见类型移动互联网应用程序必要个人信息范围规定》中关于“必要个人信息”的定义，并列出“网络支付类”和“即时通信类”APP的基本功能服务及其对应的必要个人信息范围。【答案】必要个人信息是指保障APP基本功能正常运行所必需的个人信息，缺少该信息APP即无法实现基本功能服务。（1）网络支付类：基本功能服务：网络支付、提现、转账等功能。必要个人信息：注册用户移动电话号码；客户姓名、证件类型和证件号码；证件有效期限、银行卡号码、预留手机号码。（2）即时通信类：基本功能服务：提供文字、图片、语音、视频等即时通信服务。必要个人信息：注册用户移动电话号码。2.在APP个人信息合规自查中，关于“第三方SDK的合规管理”，请列举至少五项自查要点。【答案】（1）清单梳理：全面梳理APP中实际集成的所有第三方SDK，建立包括名称、提供者、收集类型、用途等维度的台账清单。（2）隐私政策披露：确保所有第三方SDK的名称、提供者、收集的个人信息类型和目的、方式、范围在隐私政策中逐一明示。（3）用户同意机制：确保在用户同意隐私政策或单独弹窗授权前，第三方SDK不得提前进行收集个人信息的初始化行为。（4）最小必要审查：评估第三方SDK收集的个人信息是否为实现其功能所必需，是否存在超范围收集（如后台频繁读取位置、扫描应用列表等）。（5）合同与责任约束：与第三方SDK提供者签订数据处理协议或安全承诺书，明确双方在数据安全、用户权利保障、事件响应等方面的权利和义务。（6）版本与更新监控：监测第三方SDK版本更新，防止因SDK升级导致收集范围扩大而隐私政策未同步更新。3.根据《个人信息保护法》，请列举至少五种个人信息处理者不需取得个人同意即可处理个人信息的情形。【答案】（1）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（2）为履行法定职责或者法定义务所必需；（3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（4）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（5）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（6）法律、行政法规规定的其他情形。4.请简述APP在用户权利保障机制（查阅、复制、更正、删除、注销）方面的自查要求。【答案】（1）功能提供：APP内应提供便捷的入口（如设置菜单中的“隐私”或“账号与安全”模块）供用户行使查阅、复制、更正、删除个人信息及注销账号的权利。（2）响应时效：建立内部受理和处理机制，在核实身份后，原则上在15个工作日内或法律法规规定的期限内答复并处理用户请求，不得设置不合理障碍。（3）拒绝限制：不得因用户行使上述权利而拒绝提供基本功能服务，除非该个人信息是实现基本功能所必需的。（4）数据同步：用户行使权利后，应确保APP前端、后端数据库及备份系统中的相应数据得到同步处理（如更正需全量更新，删除需彻底清除或匿名化处理）。（5）委托与共享数据联动：若个人信息已委托第三方处理或共享给第三方，APP运营者应建立机制，确保将用户的行使权利请求传达至第三方并要求其配合执行。应用分析题（本大题共2小题，每小题15分，共30分。需结合法律法规进行详细分析）1.某电商APP在更新版本后，新增了“猜你喜欢”个性化推荐功能。该功能通过收集用户在APP内的浏览记录、搜索记录以及读取设备剪切板内容来构建用户画像。在更新后的首次启动时，APP弹出了一个包含“同意并继续”按钮的提示框，提示框内简短说明了“为了给您提供更好的推荐服务，我们将收集您的浏览记录、搜索记录及剪切板信息”。用户点击“同意并继续”后即可使用APP。若用户未点击“同意”，则直接退出APP，无法浏览任何商品。此外，该APP将收集到的用户画像数据未经脱敏处理直接提供给关联公司用于商业广告投放。根据《中华人民共和国个人信息保护法》及APP个人信息合规相关规定，请详细分析该电商APP在上述场景中存在哪些不合规之处，并提出整改建议。【答案】不合规之处分析：（1）违反“最小必要原则”及基本功能服务拒绝问题：用户未同意个性化推荐（非基本功能服务）时，APP直接退出导致用户无法浏览任何商品。电商APP的基本功能服务是商品浏览与购买，个性化推荐属于附加服务。不得以用户不同意处理非必要个人信息为由，拒绝提供基本功能服务。（2）剪切板信息收集合规风险：剪切板可能包含用户的密码、验证码、复制文本等高度敏感隐私信息。仅为“猜你喜欢”推荐直接读取剪切板内容，显然超出实现推荐功能的最小范围，属于超范围收集个人信息，且可能非法获取敏感个人信息。（3）未明示收集规则及一揽子授权：提示框内简短说明，并未提供完整的隐私政策供用