2026旅游行业客户旅行数据保护审计知识考察试题及答案

2026旅游行业客户旅行数据保护审计知识考察试题及答案一、单项选择题（共15题，每题4分，合计60分）1.根据文化和旅游部2025年正式实施的《旅游行业客户旅行数据安全管理规范》，下列不属于旅游行业专属敏感个人旅行数据范畴的是A旅客入住民宿时采集的人脸核验生物识别信息B跟团游旅客全程未公开的实时行程轨迹C旅客主动填报的餐饮口味偏好D出境游旅客提交的签证申请指纹信息答案：C解析：该规范附录A明确列示旅游行业敏感个人数据共12类，包含生物识别信息、未公开实时行踪轨迹、签证类生物核验信息、旅行过程中的健康应急信息四类核心敏感数据，普通餐饮偏好属于一般个人信息，不属于专属敏感数据保护范畴，审计过程中针对该类数据的管控要求可适当降低。2.旅游数据保护审计过程中，要求境内酒店、民宿、旅行社代留存的旅客入住身份登记信息，需自旅客离店之日起计算的法定最低留存期限为A90天B180天C1年D3年答案：B解析：根据《旅馆业治安管理办法（2024修订版）》及文旅部配套管理要求，所有旅游经营主体留存的旅客身份登记信息最低留存时限为180天，除公安机关、文旅管理部门依法调取需求外，任何主体不得在留存期内提前销毁、匿名化处理相关身份信息。3.对于年累计处理超过100万人次旅客旅行数据的OTA平台，按照《个人信息保护法（2025修订）》要求，必须每年定期开展客户旅行数据保护专项审计的最低频次为A1次B2次C每季度1次D无需强制审计答案：B解析：2025版《个人信息保护法》新增重要数据处理者强制审计条款，用户规模超100万的旅游平台属于法定重要数据处理者，每年至少开展2次独立第三方专项数据安全审计，审计报告需同步报送属地文化和旅游主管部门、网信部门备案，审计过程中发现的风险隐患整改完成率需达到100%。4.审计人员核查出境游组团社数据跨境传输流程时，发现某旅行社拟将境内游客的身份信息、行程信息传输至境外目的地国家的地接社，下列哪种情形下该传输行为无需提前申请国家网信部门组织的安全评估A单次向境外传输超过10万人的旅行数据B累计向境外传输超过100万游客的旅行数据C向境外传输单次不足1000人的普通旅行数据，已通过出境个人信息保护认证D向境外传输游客的生物识别核验数据答案：C解析：根据《个人信息出境安全评估办法》相关要求，只有累计传输数据量超100万、单次超10万或涉及核心敏感生物识别数据的场景才需要申请国家级安全评估，传输小规模普通旅行数据且已通过合规的个人信息出境保护认证的，可无需提交国家级安全评估申请，仅需向属地网信部门完成备案即可。5.旅游行业客户旅行数据保护审计过程中，针对旅游经营主体部署的客流统计摄像头采集的旅客公共区域人脸数据，最长存储时限不得超过A7天B30天C90天D180天答案：A解析：文旅部2025年规范明确，景区、酒店公共区域部署的客流统计类摄像头采集的人脸数据，仅可用于客流分析、安全预警用途，不得对外共享、不得关联旅客个人身份信息，最长存储时限不得超过7天，到期后必须自动永久删除。6.审计人员核查某老年游旅行社的数据处理流程时，发现其收集了70岁以上参团老人的既往病史、紧急联系人联系方式数据，下列哪种处理行为属于合规范畴A将老人健康数据打包出售给第三方保健品营销机构B未做加密直接上传至公共云空间存储C仅用于旅行过程中的突发健康事件应急处置，行程结束后30天内完成匿名化销毁D用于给老人推送针对性的养老产品广告答案：C解析：老年参团旅客的健康数据属于核心敏感个人信息，仅可用于约定的应急处置用途，不得超范围使用、不得对外泄露，行程结束后30天内需完成匿名化处置或销毁，不得长期留存。7.按照2026年旅游行业数据审计最新要求，旅游经营主体发生客户旅行数据泄露事件，涉及旅客数量超过多少人时，必须第一时间向属地文旅部门和网信部门上报A10人B100人C1000人D10000人答案：B解析：文旅部2025年底印发的《旅游行业数据安全事件应急预案》明确，涉及100人以上旅客旅行数据的泄露事件属于一般以上等级数据安全事件，旅游经营主体必须在事件发现后24小时内完成上报，不得迟报、瞒报。8.审计过程中核查某OTA平台的旅客行程大数据分析系统，发现其基于旅客的历史出行记录进行差异化定价，也就是行业俗称的“大数据杀熟”，该行为按照现有法规最高可处多少金额的罚款A50万元B500万元C上一年度全年营业额的5%D上一年度全年营业额的20%答案：C解析：2025版《个人信息保护法》针对大数据杀熟类的个性化定价违规行为，明确最高可处上一年度全年营业额5%的罚款，情节特别严重的可责令暂停相关业务、停业整顿、吊销相关业务许可证。9.下列哪项不属于旅游行业客户旅行数据保护审计的必查流程节点A旅客隐私政策的告知同意合规性核查B数据存储系统的等级保护合规性核查C旅游经营主体的营收纳税情况核查D数据对外共享的审批流程合规性核查答案：C解析：营收纳税情况核查不属于旅行数据保护审计的覆盖范畴，其余三项均为审计流程中的核心必查节点。10.针对旅客提出的查询自身旅行数据、删除自身出行记录的申请，旅游经营主体法定最长的响应办理时限为A7个工作日B15个工作日C30个工作日D60个工作日答案：B解析：按照《个人信息保护法》要求，旅客申请查询、删除自身旅行数据的，旅游经营主体必须在15个工作日内完成核实并反馈结果，不得故意拖延、无正当理由拒绝旅客的合法申请。11.审计人员核查某景区的电子票务系统时，发现其要求未携带身份证的旅客扫码购票时必须采集人脸信息才能入园，下列说法正确的是A景区的要求完全合规，所有旅客必须刷脸入园B景区不得强制采集人脸信息，必须为旅客提供身份证核验、人工登记等替代入园方案C只要旅客勾选同意隐私政策就可以强制采集人脸信息D人脸信息采集之后可以永久留存用于后续营销答案：B解析：旅游经营主体不得将生物识别信息采集作为旅客入园、入住的唯一核验方式，必须提供非生物识别的替代核验方案，充分保障旅客的个人信息选择权。12.旅游行业重要旅行数据的处理者，应当按照网络安全等级保护多少级的要求完成系统建设和测评A第一级B第二级C第三级D第四级答案：C解析：用户规模超100万的旅游平台、年接待游客量超100万人次的5A级景区的票务和数据存储系统，必须按照网络安全等级保护第三级的要求完成建设，每年度开展至少一次第三方等级保护测评。13.审计过程中发现某旅行社内部员工将手中掌握的2000条客户旅行数据对外出售，非法获利3万元，按照《数据安全法》相关规定，该直接责任人最高可处多少年以下有期徒刑A1年B3年C7年D10年答案：C解析：非法向他人出售提供公民行踪轨迹等敏感旅行数据，情节特别严重的可处3年以上7年以下有期徒刑，并处罚金。14.下列关于旅游行业客户旅行数据匿名化处理后的使用规则，说法正确的是A匿名化之后的数据可以直接关联到特定自然人身份B匿名化处理后的数据集无需经过任何审批就可以对外公开C经过严格不可恢复匿名化处理后的数据集，不属于个人信息范畴，可用于公共旅游服务研究等合规用途D匿名化处理过程中可以不用留存操作日志答案：C解析：符合国家标准的不可恢复匿名化处理后的旅行数据集，不再属于个人信息保护范畴，可用于旅游消费趋势分析、公共服务设施布局优化等合规用途，无需单独取得旅客授权。15.旅游行业客户旅行数据保护审计报告的法定保存期限不得少于多少年A3年B5年C10年D永久留存答案：B解析：文旅部明确所有旅游经营主体的专项数据安全审计报告，必须至少留存5年，以备监管部门后续回溯核查。二、多项选择题（共10题，每题6分，多选、少选、错选均不得分，合计60分）1.旅游行业客户旅行数据保护审计实施过程中，必须覆盖的核心审计对象包括以下哪些主体A线上OTA预订平台及其下属的各地分公司B线下实体旅行社及所有营业网点CA级景区的智能票务系统运营主体D连锁酒店及县域乡村民宿经营主体E为旅游行业提供数据存储、数据分析服务的第三方云服务商答案：ABCDE解析：2026年全国旅游行业数据安全专项整治行动要求明确，上述五类主体全部纳入年度数据保护审计全覆盖范围，不得出现监管盲区，第三方云服务商作为数据存储的实际管控方，也属于审计延伸核查的必要对象。2.出境游组团社处理境内旅客跨境旅行数据时，必须落实的合规管控措施包括A提前向旅客明确告知数据出境的接收方、用途、范围和安全保障措施B不得向境外地接社传输旅客的生物识别敏感数据，确需传输的必须取得旅客单独书面同意C建立专门的出境旅行数据审批登记台账，所有数据出境操作全程留痕可追溯D定期评估境外数据接收方的数据安全保障能力E所有出境旅行数据都无需备案可直接传输答案：ABCD解析：出境游数据传输必须履行告知、审批、评估全流程管控义务，不存在无需备案直接传输的例外情形。3.旅游经营主体发生客户旅行数据泄露事件之后，应当立即采取的应急处置措施包括A第一时间启动应急预案，阻断数据泄露渠道B及时将事件风险和处置方案告知受影响的相关旅客C按照法定时限向属地文旅、网信、公安部门上报事件情况D对泄露的数据影响范围进行全面排查评估E故意隐瞒事件不对外通报答案：ABCD解析：发生数据泄露事件后迟报、瞒报属于严重违规行为，将依法从重处置。4.审计人员核查旅游经营主体的数据对外共享流程时，下列哪些行为属于违规情形A未经旅客同意，将旅客的出行记录共享给第三方保险公司用于定向推送保险产品B未经审批，将全量旅客数据集出售给第三方大数据营销机构C为了配合公安机关的合法执法需求，按照法定流程向公安机关提供相关旅客数据D未做去标识化处理，直接向合作的餐饮商家共享旅客的预订入住信息E经过旅客单独授权，向合作的接送机服务商提供必要的航班抵达信息答案：ABD解析：未经授权对外共享旅客数据、用于营销用途的行为均属于违规，配合执法、取得单独授权后的必要数据共享属于合规行为。5.旅游行业客户旅行数据保护审计过程中，需要重点核查的内部管控机制包括A旅行数据分级分类管理制度B内部员工数据访问权限分级授权机制C数据安全定期培训考核机制D数据泄露事件应急响应机制E长期无限制开放所有员工全量旅客数据访问权限的机制答案：ABCD解析：无差别开放全量数据访问权限属于重大数据安全风险隐患，是审计过程中重点要求整改的违规情形。6.针对未满14周岁的未成年旅客的旅行数据处理，下列说法符合合规要求的有A处理未成年旅客的出行相关数据，必须取得其监护人的明确同意B不得基于未成年旅客的出行行为开展面向未成年人的定向营销活动C必须采取专门的加密存储措施保护未成年旅客的敏感数据D可以随意向第三方共享未成年旅客的个人信息E行程结束后可直接销毁所有未成年旅客的相关数据，无需满足180天留存要求答案：ABC解析：未成年旅客的旅行数据属于特殊重点保护范畴，对外共享必须取得监护人同意，基础身份信息仍需满足法定最低留存180天的要求。7.下列属于旅游行业重要旅行数据范畴的有A未公开的跨区域旅游团队的全程行程数据B年累计超过100万旅客的全量旅行出行数据集C涉及国家边境地带未开放区域的旅客旅行轨迹数据D普通旅客的单张景区门票购票信息E发生突发公共卫生事件期间的大规模游客流动统计数据答案：ABCE解析：普通单张门票的购票信息不属于重要旅行数据范畴，其余四类均属于旅游行业重要数据名录明确列示的内容。8.审计人员开展现场审计工作之前，需要提前准备的材料包括A符合资质的第三方审计机构资质证明文件B正式的审计通知书C旅游行业数据保护相关的法规规范文件汇编D事先制定的审计工作方案和核查清单E无需任何准备直接进场核查答案：ABCD解析：旅游数据保护审计属于法定专项审计，必须提前做好全流程准备，不得随意进场开展工作。9.旅游经营主体可以向旅客提供的旅行数据查询服务，包括旅客本人的哪些信息A自身的历史出行订单记录B平台基于自身出行偏好生成的用户画像核心内容C此前平台存储的自身身份登记信息D其他陌生旅客的出行轨迹数据E平台未公开的数据分析底层算法逻辑答案：ABC解析：旅客无权查询其他无关旅客的信息，也无权要求平台公开核心算法的商业秘密内容。10.2026年旅游行业客户旅行数据保护审计的核心目标包括A排查旅游行业的数据安全风险隐患B督促旅游经营主体落实个人信息保护主体责任C防范大规模旅行数据泄露事件发生D全面保障广大旅客的个人旅行信息合法权益E直接干预旅游经营主体的正常商业运营活动答案：ABCD解析：审计工作仅负责排查风险、督促整改，不会直接干预旅游经营主体的合法正常商业运营活动。三、判断题（共10题，每题3分，合计30分）1.某乡村民宿经营者认为只要在前台显眼位置公示了隐私政策，旅客扫码登记身份信息就默认同意其后续将出行数据推送至周边商户做营销，该操作完全合规。答案：错误解析：《个人信息保护法》明确要求处理个人信息用于初始收集目的之外的营销用途，必须取得旅客单独的书面同意，公示默认同意不具备法律效力，属于典型的违规处理个人信息行为。2.旅游经营主体为了优化服务体验，收集旅客的旅行行程数据之后做了严格的加密存储，即使没有告知旅客相关用途也属于合规行为。答案：错误解析：所有个人信息处理行为都必须遵循公开透明原则，提前向旅客明确告知数据收集的用途、范围和处理方式，未告知的处理行为均不合规。3.按照文旅部2025年规范要求，旅游行业客户旅行数据保护审计的工作底稿必须全程留痕，所有核查记录不得随意篡改、销毁。答案：正确解析：专项审计全过程的操作记录、工作底稿均属于法定档案材料，需至少留存5年备查。4.旅行社在旅客旅行行程结束之后，只要旅客没有提出异议，就可以永久留存旅客的身份证、照片等敏感信息。答案：错误解析：旅客身份信息满足法定180天留存期限之后，旅客提出删除申请的必须及时删除，不得无理由永久留存旅客的非必要个人信息。5.审计过程中发现旅游经营主体的旅行数据存储系统没有完成等保测评，只要没有发生数据泄露事件就无需整改。答案：错误解析：未完成网络安全等级保护测评属于明确的合规短板，即使未发生泄露事件也必须在规定时限内完成整改，逾期未整改的将依法受到处罚。6.公益性质的旅游消费趋势研究机构，使用经过完全不可恢复匿名化处理后的旅行数据集开展研究，无需取得旅客的单独授权。答案：正确解析：匿名化处理后的数据集已经无法关联到特定自然人，不属于个人信息范畴，可直接用于合规的公共研究用途。7.某OTA平台为了提升核验效率，要求所有用户注册账号的时候必须上传手持身份证照片，不提供就无法使用平台所有服务，该操作符合合规要求。答案：错误解析：平台不得强迫旅客提供非必要的个人信息，旅客仅预订单张景区门票这类低风险场景下，无需上传手持身份证照片即可正常使用服务。8.旅游行业数据保护审计人员开展现场核查工作时，有权按照规定调取被审计单位的所有旅行数据存储日志、操作记录等材料，被审计单位不得拒绝。答案：正确解析：专项审计属于法定监管延伸工作，被审计单位必须配合提供所有必要的核查材料，无正当理由拒绝配合的将依法被追责。9.小规模个体旅行社全年接待旅客不足1000人，没有必要开展客户旅行数据保护专项审计。答案：错误解析：2026年审计全覆盖要求明确，所有从事旅游经营活动的主体无论规模大小，都需要按要求纳入审计覆盖范围，不存在例外情形。10.发生旅行数据泄露事件之后，旅游经营主体只要缴纳相应罚款就无需再向受影响的旅客履行告知义务。答案：错误解析：即使接受了行政处罚，旅游经营主体仍然需要向受影响的旅客逐一告知数据泄露的范围、风险和后续防护建议，充分保障旅客的知情权。四、情景案例分析题（共2题，每题70分，合计140分）1.情景案例：2026年某地文旅部门联合网信部门开展年度旅游行业数据保护专项审计，对当地头部OTA平台开展现场核查，过程中发现三个风险点：第一，平台基于用户的历史出行记录对经常预订商务舱的用户进行机票、酒店产品的差异化加价，也就是大数据杀熟，过去一年累计涉及旅客12.7万人次，违规获取超额收益共计2100万元；第二，平台未经过用户单独授权，将320万条用户的出行偏好数据对外共享给合作的航空公司、奢侈品品牌用于定向营销，累计获取数据服务费870万元；第三，平台的内部员工数据访问权限管控混乱，近半年有17名普通运营员工可以无限制下载全量用户的旅行数据，已经出现3起员工私下倒卖用户数据的报警记录。请结合上述场景回答下列问题：（1）审计人员针对上述三个风险点应当出具哪些合规整改意见？（2）按照现行法规该平台和相关责任人应当承担哪些法律责任？参考答案：首先针对三个风险点的整改意见：第一，立即下线大数据差异化定价的算法系统，全额向12.7万名被加价的旅客退还超额费用，在官方平台向全体用户发布公开致歉声明，同时委托第三方合规机构对整个定价算法做全面合规审计，建立公开透明的定价规则，不得基于用户的身份属性、历史消费记录实施歧视性定价；第二，立即停止所有未经授权的用户数据对外共享行为，和合作的所有第三方机构签署数据删除协议，要求第三方在15个工作日内彻底销毁此前获取的所有非合规旅行数据，退还所有违规获取的870万元数据服务费用，建立严格的数据对外共享多级审批流程，所有对外共享行为必须取得用户单独明示同意，全程留痕可追溯；第三，立即全面梳理内部员工的数据访问权限，按照最小必要原则配置分级权限，普通运营员工不得接触全量敏感用户数据，给所有涉及数据访问的操作日志加装防篡改系统，设置操作预警机制，一旦出现批量下载用户数据的行为自动触发风控报警，同时把此前倒卖用户数据的员工线索移交公安机关做进一步处置。法律责任层面，该平台属于情节严重的个人信息违规处理行为，按照《个人信息保护法》相关规定可处上一年度营业额5%的罚款，相关直接负责的主管人员和直接责任人可处100万元以上1000万元以下的罚款，同时面临责令