2026年客户个人信息保护专题培训试题及答案

2026年客户个人信息保护专题培训试题及答案一、单项选择题（共15题，每题3分，共计45分。每题只有1个正确答案，错选、漏选、不选均不得分）1.根据2025年国家互联网信息办公室修订发布的《生物识别信息处理合规专项指引》要求，非法定强制场景下，企业出于客户核验需求采集的人脸、指纹等生物识别信息，在初始核验目的达成后，无特殊合理事由的最长存储期限不得超过（），到期后必须完成不可逆匿名化处理或彻底删除。A.15日B.30日C.90日D.180日答案：B。解析：2025年网信办针对近年生物信息滥采滥用的投诉量同比上涨32%的监管背景下，更新了原有指引的模糊条款，明确非法定必需场景的生物识别信息存储上限为核验完成后30日，禁止企业以“后续提供个性化服务”“风险回溯备用”等模糊理由无限期存储客户人脸、声纹、虹膜等高度敏感个人信息，违反该要求的企业最高可处上年全球营业额5%的罚款，相关责任人最高可处100万元人民币罚款。2.2026年1月正式实施的《个人信息保护合规审计实施细则》要求，处理个人信息数量达到（）的企业，必须每年至少开展1次全覆盖的个人信息保护合规审计，审计报告需同步报送属地网信部门备案。A.10万人B.50万人C.100万人D.500万人答案：B。解析：此前《个人信息保护法》仅对处理100万人以上个人信息的个人信息处理者作出了年度审计的原则性要求，2026年落地的实施细则进一步扩大了强制审计的覆盖范围，将处理50万以上100万以下个人信息的企业纳入强制年度审计范畴，同时新增要求审计必须由具备个人信息保护审计专项资质的第三方机构参与，企业内部审计报告不得替代合规审计报告，未按要求完成审计并报备的企业将被纳入个保合规异常名录，限制其后续开展个人信息跨境传输、新用户大规模运营推广等活动。3.客户发起个人信息查询权申请，要求调取企业持有的本人全部个人信息副本，根据2025年《个人信息主体权利响应规范》，企业必须在（）内完成响应反馈，因信息调取难度大需延期的，最长延长期限不得超过15个工作日，且必须向客户出具加盖公章的延期告知函。A.7个工作日B.15个工作日C.20个工作日D.30个工作日答案：B。解析：原有个保法规定的个人信息权利响应最长期限是30个工作日，2025年网信办针对个人信息主体权利响应滞后的投诉占比超过47%的问题，出台专项规范将常规查询、更正、删除申请的基础响应期限压缩至15个工作日，仅涉及跨多部门、多系统调取历史累计超过10年的个人信息的场景才可申请延期，且延期总时长不得超过30个工作日，严禁企业以“内部流程复杂”“技术运维不足”等理由无限制拖延客户申请。4.某企业计划开展面向存量客户的营销短信推送活动，根据2026年最新的《商业性信息推送合规管理细则》，以下哪类客户属于可正常推送营销短信的范畴（）A.3年前注册会员、从未主动明确拒绝过营销短信的存量客户B.近1年内主动点击过企业营销活动链接、且未后续退订的客户C.刚在门店办理业务时勾选同意接收营销信息、勾选记录留存完整的客户D.从第三方数据平台采购、手机号信息真实有效的潜在客户答案：C。解析：新规明确删除了此前“沉默同意视为授权”的模糊空间，所有商业性营销信息的推送都必须取得客户的主动明示同意，且同意动作留痕可追溯，单纯的会员注册行为不默认包含营销信息推送授权，从第三方采购的潜在客户手机号属于非法获取个人信息范畴，严禁用于任何营销触达。5.以下选项中不属于2025年新增明确的“敏感个人信息”范畴的是（）A.客户的医疗健康体检报告记录B.客户的行程轨迹累计超过30日的定位数据合集C.客户的网购浏览偏好标签D.客户的未成年人子女身份信息答案：C。解析：按照最新的个保法配套规章细化的敏感个人信息名录，网购浏览偏好这类一般属性的用户画像标签不属于敏感个人信息，只有可精准识别特定自然人身份、或一旦泄露容易导致人身财产安全受损的医疗信息、30日以上连续轨迹、未成年人信息、金融账户密码信息等才被纳入敏感范畴，处理敏感个人信息必须取得个人的单独同意，不能通过通用用户协议打包获取授权。6.企业发生客户个人信息安全事件，导致超过10万条个人信息泄露的，按照2026年的应急处置规范要求，企业必须在（）内向属地网信部门、行业监管部门同步报送事件详情、处置方案，同时通过官方渠道向受影响客户发布风险告知。A.24小时B.48小时C.72小时D.7个工作日答案：A。解析：新规针对大规模个人信息泄露事件的报送时限作出了严格压缩，将原有72小时的报送要求调整为“涉10万人以上信息泄露的24小时内必报”，涉100万人以上信息泄露的必须在12小时内报送，同时禁止企业自行和泄露事件的私了方达成数据交易或保密协议隐瞒事件，隐瞒不报的企业处罚额度上浮50%。7.企业处理客户个人信息用于自动化决策的个性化推荐场景，按照2025年《个人信息自动化决策合规指引》，以下哪项操作符合监管要求（）A.客户点击一次美妆产品链接后，后续所有平台页面全部推送同类美妆产品，且无法关闭推荐功能B.针对老年客户群体推送的理财产品，默认设置为高风险产品优先推荐C.在个性化推荐的内容角落设置明显的“关闭个性化推荐”按钮，用户点击后即刻停止基于其个人浏览行为的精准推送D.基于用户的浏览记录对不同客户展示同一商品的差异化定价，新用户看到的价格比老用户更高答案：C。解析：自动化决策个性化推荐必须保障用户的“一键关闭权”，不得设置超过3步以上的操作路径让用户关闭推荐，同时禁止大数据杀熟、针对特殊群体不合理推送高风险内容，完全基于浏览行为的无差别刷屏式推荐也属于违规行为。8.2026年个人信息跨境传输的备案新要求中，企业通过个人信息保护标准合同路径向境外传输个人信息的，单次传输的个人信息规模上限为（），超出该规模的必须申报安全评估。A.1万人B.10万人C.100万人D.1000万人答案：B。解析：原有标准合同备案的上限是100万人，2026年新规收紧了跨境传输的规模阈值，将标准合同路径的上限下调至10万人，单次传输超过10万、不足100万人的场景必须通过补充签订附加约束条款的方式，向省级网信部门单独报备，累计年传输量超过100万人的必须申报国家网信办的安全评估。9.某线下零售门店在入口处安装人脸识别设备，用于统计到店客流数量，无需采集客户人脸身份信息，按照合规要求，该门店必须在设备周边张贴明显的提示标识，标识上的提示文字字号不得小于（），确保进入门店的客户可以清晰看到。A.五号字B.小四号字C.四号字D.二号字答案：C。解析：新规针对客流统计类非身份识别用途的图像采集场景，明确要求采集提示必须设置在客户进入采集区域前的醒目位置，文字字号不小于四号字，清晰告知客户该设备仅用于客流计数、不存储任何可识别个人身份的人脸信息，禁止在无任何提示的情况下暗中采集客户的人脸、步态等生物信息。10.客户要求企业删除本人全部个人信息，企业以下哪类信息可以依法不予删除、继续留存（）A.客户此前在门店消费的历史记录，门店用于会员积分核算的台账B.企业已经对信息完成不可逆匿名化处理、无法再关联到特定自然人的统计数据C.客户主动申请注册会员时填写的手机号、生日信息D.企业此前基于客户同意采集的客户人脸核验数据答案：B。解析：个人信息删除权的适用范畴是“可识别特定自然人的信息”，经过不可逆匿名化处理后完全无法关联到具体个人的统计数据，不属于个人信息范畴，企业无需响应删除申请，除此之外的各类可识别到客户的个人信息，都需要在15个工作日内完成全链路删除操作，并向客户出具删除完成确认函。11.按照2026年出台的《互联网弹窗信息合规规范》，弹窗页面申请收集客户个人信息的授权按钮，以下哪项设计是合规的（）A.将“同意全部授权”按钮设置为亮蓝色醒目样式，“仅使用必要信息”按钮设置为浅灰色半透明样式B.不设置拒绝授权选项，用户点击关闭弹窗即默认视为同意授权C.将“同意”和“拒绝”两个按钮设置为完全同等的字号、醒目程度，不对用户的选择进行不合理干扰D.弹窗连续弹出3次以上，引导用户点击同意授权答案：C。解析：新规明确禁止通过视觉差异化设计诱导用户点击非自愿的授权选项，所有授权申请弹窗的同意、拒绝选项必须具备同等的醒目程度，不得通过反复弹窗的方式骚扰用户强制获取授权，违规企业最高可处100万元罚款。12.企业的个人信息保护专职负责人发生岗位变动的，必须在（）内向属地网信部门完成备案信息更新，确保监管部门可以第一时间对接对应的合规责任人。A.10个工作日B.30个工作日C.60个工作日D.90个工作日答案：A。解析：2026年的个保合规台账管理细则明确要求，处理超过10万人个人信息的企业必须报备专职个保负责人的联系方式、岗位权责，人员变动后10个工作日内必须完成信息更新，未及时更新导致监管部门紧急事件无法对接责任人的，企业将被处以最高10万元的警告处罚。13.处理不满（）周岁未成年人的个人信息，企业必须取得其监护人的单独同意，不得通过未成年人本人的点击操作默认获取授权。A.10B.14C.16D.18答案：B。解析：《未成年人个人信息网络保护条例》2025年修订版再次明确，不满14周岁的未成年人所有个人信息处理活动都必须取得监护人的明示同意，针对14-18周岁的未成年人处理敏感个人信息时，也需要同步告知监护人并取得确认授权。14.某金融机构需要将留存超过10年的客户历史交易记录迁移到新的存储服务器，以下哪项操作不符合合规要求（）A.迁移前对所有传输通道进行加密处理，安排专人全程监控传输过程B.迁移完成后对旧服务器上的所有客户数据进行物理粉碎销毁，不留备份C.为了方便运维，将所有客户交易记录明文导出到普通办公电脑进行校验核对D.邀请第三方合规机构全程见证迁移过程，留存完整的迁移操作日志答案：C。解析：金融类客户的交易记录属于敏感个人信息范畴，严禁将明文数据导出到非涉密级的普通办公终端进行操作，校验核对过程必须在加密的专用安全域内完成，操作全程留痕可追溯，避免出现数据泄露风险。15.针对客户提出的“不同意企业基于个人信息开展自动化决策个性化推荐”的申请，企业在确认客户身份后，必须在（）内完成账号配置，完全停止对该客户的个性化推荐行为。A.24小时B.3个工作日C.7个工作日D.15个工作日答案：A。解析：2025年出台的自动化决策合规指引明确，用户提出关闭个性化推荐的申请后，企业不得设置任何缓冲期限，必须在24小时内完成后台配置，后续向该用户推送的全部内容都不得基于其此前的个人行为数据进行精准画像匹配。二、多项选择题（共10题，每题4分，共计40分。每题有2个及以上正确答案，错选、漏选、不选均不得分）1.2026年最新纳入个人信息跨境传输安全评估白名单、无需额外申报即可合规开展的场景包括（）A.为满足跨境物流交付需求，向境外合作方传输境内收件人的姓名、联系电话、地址信息，单次传输量不超过1万人，且境外合作方承诺仅用于物流派送、派送完成后7日内删除相关信息B.跨国企业内部出于人力资源管理需求，向境外总部传输境内员工的基础身份信息，累计人数不超过1000人，已签署标准合同并完成个保备案C.跨境电商平台向境外品牌方传输境内消费者的订单收货信息，单次传输量2万人，事先取得每个消费者单独同意D.医疗机构为境外患者提供远程诊疗服务，向境外合作医疗机构传输该患者的个人诊疗信息，事先取得患者本人单独签署的纸质同意书答案：ABD。解析：白名单场景明确要求单次传输消费者收货信息的规模不得超过1万人，C选项中单次传输2万人超出了白名单阈值，必须按照标准合同路径完成报备后才能开展传输操作。2.企业在日常运营中发生以下哪些行为，属于明确的个保违规行为，会触发行政处罚（）A.未经客户同意，将客户的会员手机号共享给合作的第三方家电品牌，用于推送营销短信B.客户办理退会员申请后，仍然留存客户的全部个人信息，用于后续大数据分析C.在用户协议中设置“企业有权任意处置用户个人信息”的霸王条款，排除用户的合法权利D.处理客户个人信息的操作日志未留存超过6个月，监管部门核查时无法调取相关记录答案：ABCD。解析：上述四类行为均属于2025-2026年网信部门专项执法行动中的重点查处类型，一旦查实企业最低将被处50万元以上罚款，情节严重的直接责令停业整顿。3.客户个人信息保护全流程的“三同步”合规要求指的是，企业新上线业务功能时，个保合规建设必须和业务功能（）A.同步规划B.同步建设C.同步上线D.同步销毁答案：ABC。解析：三同步原则是当前企业个保合规体系建设的核心要求，所有新业务在立项阶段就要同步规划个保防护方案，在开发阶段同步落地数据加密、权限管控等合规功能，正式面向客户上线时同步完成合规评测，严禁业务功能先上线后补做合规建设。4.以下属于企业一线岗位员工日常处理客户个人信息时的合规操作要求的是（）A.不得使用私人微信、QQ传输未脱敏的客户完整手机号、身份证号信息B.不得在无监控的场景下拍摄含有客户个人信息的纸质单据、屏幕界面C.离职时必须将持有的所有客户相关纸质、电子资料全部交还企业合规部门，不得私自留存D.可以出于工作便利，将自己的客户信息系统账号转借临时顶岗的同事使用答案：ABC。解析：员工的客户信息系统账号属于个人专属权限，严禁转借他人使用，所有操作日志都绑定账号所属人，一旦出现信息泄露问题账号所属人需要首先承担对应责任。5.2025年新增明确的个人信息主体的衍生权利包括以下哪些（）A.个人信息处理规则的知情权，要求企业以通俗易懂的语言向本人解释处理规则B.自动化决策结果的可解释权，要求企业对基于自动化决策作出的限制客户交易、提高服务定价的结果给出合理解释C.个人信息可携权，用户可以要求企业将本人的个人信息以通用可读格式导出，转移到其他同类服务商处D.永久拒绝权，用户可以要求企业永久停止针对本人的所有个人信息处理活动，法定要求留存的信息除外答案：ABCD。解析：四项权利均是2025年《个人信息主体权利落地细则》中明确新增的用户法定权利，企业必须搭建对应的响应通道，设置7*24小时的权利申请入口，不得拒绝用户的合理申请诉求。6.企业在发生个人信息泄露事件后的应急处置流程中，需要完成以下哪些规定动作（）A.第一时间切断泄露传播链路，排查泄露影响范围，统计涉泄露的用户人数、信息类型B.按照监管要求的时限向相关部门报送事件详情，不得隐瞒、谎报事件情况C.通过短信、APP推送、官方公告的方式向所有受影响用户告知泄露风险，给出对应的风险防范建议D.邀请第三方安全机构完成事件溯源，出具后续的防护优化方案，向监管部门提交整改报告答案：ABCD。解析：完整的应急处置流程包含风险阻断、情况上报、用户告知、溯源整改四个核心环节，缺少任意一个环节都属于应急处置不到位，会导致企业面临额外的行政处罚。7.以下关于客户敏感个人信息处理的要求，说法正确的是（）A.处理客户的征信信息、金融账户信息必须取得客户的单独书面同意，不能通过电子弹窗默认勾选的方式获取授权B.处理客户的行踪轨迹信息不得超出提供导航、出行服务的必要范围，不得将轨迹信息用于其他无关的商业用途C.处理客户的传染病病史信息，必须严格遵守医疗数据相关的管理规范，严禁随意泄露传播D.所有敏感个人信息的存储必须采取加密存储方式，访问权限严格控制在2人以内的核心岗位答案：ABC。解析：敏感个人信息的访问权限需要遵循最小必要原则，根据岗位实际需求配置，并没有统一的人数限制要求，D选项表述错误。8.企业开展个人信息保护影响评估（PIA）的法定场景包括（）A.处理超过10万人的个人信息的新项目上线B.利用个人信息开展自动化决策、对用户权益有重大影响的场景C.向境外传输个人信息的所有场景D.处理敏感个人信息的场景答案：ABCD。解析：上述四类场景均属于必须开展个人信息保护影响评估的法定场景，评估报告留存期限不得少于3年，以备监管部门随时抽查。9.以下针对儿童个人信息处理的合规要求，说法正确的是（）A.面向8岁儿童推出的益智类APP，不得强制要求儿童授权获取地理位置、通讯录权限B.儿童使用平台的充值消费行为，必须经过监护人的实名认证确认后才能生效C.不得基于儿童的上网浏览习惯推送针对未成年人的精准商业广告D.儿童的人脸信息必须在监护人确认的场景下才能采集，采集完成后最多保留24小时就必须删除答案：ABCD。解析：针对未成年人尤其是低龄儿童的个人信息，监管采取了最为严格的保护规则，所有处理活动必须以有利于未成年人身心健康为核心前提，严禁任何以牟利为目的的过度采集行为。10.企业搭建内部个人信息日常合规自查机制，需要覆盖以下哪些核心检查维度（）A.用户授权采集维度：检查所有个人信息采集行为都已取得对应用户的明示同意，不存在强制采集、超范围采集问题B.存储防护维度：检查所有客户个人信息都已采取加密防护措施，不存在明文存储、违规导出问题C.权限管控维度：检查所有访问客户个人信息的岗位权限都符合最小必要要求，不存在超权限访问问题D.响应处置维度：检查用户的个人信息权利申请响应流程通畅，不存在拖延响应、拒绝响应问题答案：ABCD。解析：四个维度构成了全流程的日常合规自查体系，企业每月开展一次常规自查、每季度开展一次专项抽查，就可以覆盖95%以上的常规合规风险点，避免出现严重的违规事件。三、判断题（共10题，每题1.5分，共计15分）1.门店营业员为了方便后续给到店客户推送新店开业福利活动，可以使用私人手机拍摄客户填写的纸质会员申请信息表，发送到个人微信账号保存。（）答案：×。解析：根据2025年《个人信息处理全流程防护规范》，严禁任何个人未经企业信息安全部门审批，将客户个人信息导出至非企业统一管理的终端设备、云存储平台，客户会员信息属于企业集中存储的个人资产，私人手机存储存在极高的信息泄露风险，一经发现此类操作，企业可对相关责任人作出绩效扣除、岗位调整等处理，造成大规模信息泄露的还需承担对应的法律责任。2.企业在处理客户个人信息的时候，如果客户明确要求撤回此前的同意授权，企业可以根据业务实际情况，合理拒绝客户的撤回申请。（）答案：×。解析：个人信息处理的同意授权遵循“可撤回”的核心原则，只要客户提出撤回授权的申请，企业必须第一时间停止基于该授权的个人信息处理活动，不得设置任何不合理的撤回门槛，也不得因客户撤回同意拒绝向客户提供基础服务。3.企业为了提升数据价值，可以将手里的客户个人信息做简单的脱敏处理，隐去姓名之后直接在数据交易平台对外出售获利。（）答案：×。解析：简单去掉姓名之后的数据集如果可以通过手机号、地址等其他信息关联到特定自然人，仍然属于个人信息范畴，未经用户同意对外出售属于明确的违规行为，只有经过不可逆的彻底匿名化处理、完全无法关联到任何特定个人的数据集才能对外流通。4.客服人员在接客户电话的时候，为了核验客户身份，可以要求客户完整报出自己的银行卡号、支付密码信息，方便快速完成身份核验。（）答案：×。解析：个人的金融账户支付密码属于高度敏感的个人信息，任何机构的客服人员都不得通过电话、短信等渠道索要用户的完整密码信息，身份核验可以通过身份证号后6位、手机号验证码等低风险的方式完成，索要密码属于严重违规操作。5.疫情防控相关的客户个人健康码通行记录，在公共卫生事件应急响应结束之后，相关运营企业可以将这些数据归档留存3年，之后全部完成删除。（）答案：√。解析：根据公共卫生数据处理的相关专项规定，应急状态下采集的健康码、行程码信息，在应急响应结束后最长留存期限不得超过3年，到期后必须全部彻底删除，不得用于任何其他商业用途。6.企业在和第三方服务商开展合作的时候，如果第三方服务商违规泄露了合作过程中获取的客户个人信息，全部责任由第三方承担，我方作为数据提供方不需要承担任何合规责任。（）答案：×。解析：个人信息处理者和受托处理的第三方属于共同合规责任主体，数据提供方需要对第三方的数据处理活动进行全流程监督，一旦发生泄露事件，数据提供方需要首先承担对应法定责任，再按照双方签署的合作协议向第三方追责。7.针对已经去世的自然人的个人信息，企业可以自由处置，不需要遵守个保相关法规的要求。（）答案：×。解析：2025年《个人信息保护法》修订版新增明确，死者的近亲属可以依法申请查询、复制、更正死者的相关个人信息，也可以要求企业删除死者的个人信息，企业需要配合对应的权利申请，不得随意泄露、处置死者的个人信息。8.企业如果发现内部员工违规下载客户个人信息，打算外传牟利，第一时间制止后不需要向监管部门报备，自行内部处理即可。（）答案：×。解析：涉及超过1万人以上个人信息的违规外泄风险事件，企业必须第一时间向属地公安部门、网信部门报备，同步配合相关部门开展溯源处置，不得自行隐瞒事件情况，避免后续出现大规模数据泄露损害用户权益。9.企业可以基于用户的个人画像标签，将购买能力较