2026年公需科目跨境数据流动安全管控规则试题及完整答案

2026年公需科目跨境数据流动安全管控规则试题及完整答案一、单项选择题（共20题，每题1.5分）1.根据《网络安全法》、《数据安全法》和《个人信息保护法》的规定，关键信息基础设施运营者（CIIO）在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当进行（）。A.数据出境安全评估B.签订标准合同C.进行个人信息保护认证D.企业内部合规审查2.2024年国家网信办发布的《促进和规范数据跨境流动规定》中，对需要通过数据出境安全评估的情形进行了优化。预计在2026年的公需科目考试中，对于数据处理者向境外提供个人信息，若未达到（）万人，通常不需要申报数据出境安全评估。A.10B.50C.100D.2003.在数据跨境流动的风险自评估中，评估有效期为（）年。若在有效期内出现特定情形，应当重新申报评估。A.1B.2C.3D.54.根据《数据出境安全评估办法》，省级网信部门收到申报材料后，应当在（）个工作日内完成初步审核，并将申报材料报送国家网信部门。A.5B.7C.10D.155.关于“重要数据”的识别，下列哪一项描述是错误的？A.重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据B.重要数据不包括个人信息C.各行业、各地区可以制定本地区、本行业的重要数据具体目录D.重要数据的识别仅依据数据量的大小决定6.数据处理者向境外提供数据，未通过国家网信部门组织的安全评估，且未向国家网信部门申报安全评估的，由主管部门责令改正，给予警告，可以并处（）罚款。A.五万元以上五十万元以下B.十万元以上一百万元以下C.五百万元以下D.五千万元以下7.在个人信息出境标准合同备案中，标准合同应当（）。A.由网信部门提供范本，企业不得修改B.完全由企业自主拟定C.使用网信部门提供的标准合同范本，但可根据实际情况补充必要的条款D.必须经过公证机构公证8.根据《个人信息保护法》，向境外提供个人信息的，应当具备下列条件之一：通过安全评估、经专业机构认证、（）。A.获得数据接收方所在国政府批准B.签订标准合同并备案C.告知单个个人信息主体并获得单独同意D.注册为跨国公司9.数据出境风险自评估报告是申报安全评估的必备材料。在风险自评估中，不需要重点评估的内容是（）。A.数据出境的目的、范围、方式B.数据接收方所在国家或地区的数据安全保护政策法规C.数据接收方的数据安全保护能力D.数据处理者的员工薪酬结构10.预计在2026年的监管实践中，对于非CIIO处理者，累计向境外提供（）万人以上个人信息（不含敏感个人信息）的，应当申报数据出境安全评估。A.10B.50C.100D.50011.在计算数据出境量时，某企业一年内分批次向境外提供数据，应当（）。A.按照单次提供量计算B.按照月度累计量计算C.按照自然年度累计量计算D.按照季度累计量计算12.关于自由贸易试验区（FTZ）的数据跨境流动政策，下列说法正确的是（）。A.自贸区内完全不受数据出境限制B.自贸区可以制定负面清单，清单外的数据出境自由C.自贸区内的数据必须全部本地化存储D.自贸区没有特殊政策，执行国家标准13.数据处理者向境外提供数据，若数据包含（），无论数量多少，原则上都应当通过数据出境安全评估。A.普通员工姓名B.敏感个人信息C.公开信息D.产品型号信息14.网信部门在收到完备的申报材料后，对于数据出境安全评估，应当在（）个工作日内完成评估。A.30B.45C.60D.9015.下列哪项不属于《数据出境安全评估办法》规定的重点评估风险因素？A.数据出境及出境后被篡改、破坏、泄露、丢失、非法利用等风险B.数据接收方的保护能力是否达到中华人民共和国法律、行政法规规定和标准要求C.数据出境对国家安全、公共利益、个人或者组织合法权益带来的风险D.数据处理者的商业利润预期16.某跨国企业在中国设立分公司，需将人力资源数据传输至总部进行统一薪酬管理。若不涉及重要数据且员工人数不足1万人，该企业最便捷的合规路径是（）。A.申请数据出境安全评估B.申请个人信息保护认证C.签订并备案个人信息出境标准合同D.直接进行传输，无需任何手续17.在数据跨境流动中，若境外接收方所在国家或地区的数据安全保护水平低于中国，但采取了（）措施，可以降低风险。A.加密传输B.本地化存储C.签订法律文件并监督执行D.仅进行口头承诺18.关于“再传输”的管控，下列说法正确的是（）。A.境外接收方可以将数据自由转交给任何第三方B.境外接收方需在达到中国法律规定的保护水平后，方可再传输C.只要合同中允许，再传输无需限制D.再传输必须经过中国网信部门再次审批19.数据处理者向境外提供数据，应当在数据出境前完成（）。A.安全评估或标准合同备案B.数据删除C.税务缴纳D.商务部备案20.2026年公需科目重点考察的《促进和规范数据跨境流动规定》中，为了促进国际贸易，对于（）情形，明确免予申报数据出境安全评估、订立标准合同。A.为订立、履行个人作为一方当事人的合同所必需B.企业内部管理需要C.跨国公司内部数据整合D.所有商业数据传输二、多项选择题（共15题，每题3分）1.下列哪些主体在向境外提供数据时，必须申报数据出境安全评估？（）A.关键信息基础设施运营者（CIIO）B.处理100万人以上个人信息的数据处理者C.累计向境外提供10万人以上个人信息的数据处理者D.累计向境外提供1万人以上敏感个人信息的数据处理者2.数据出境安全评估的申报材料应当包括哪些内容？（）A.数据出境安全评估申报书B.数据出境风险自评估报告C.数据处理者与境外接收方拟订立的合同或者其他具有法律效力的文件D.省级网信部门的初审意见3.下列哪些情形属于《促进和规范数据跨境流动规定》中豁免安全评估、标准合同及认证的情形？（）A.国际贸易、跨境运输、学术合作等活动中收集和产生的个人信息向境外提供B.非敏感个人信息且在规定数量阈值以下C.为履行合同必需向境外提供个人信息，且未通过该个人信息向境外提供其他信息D.预计在一年内累计向境外提供非敏感个人信息不足1万人4.在进行数据出境风险自评估时，需要评估境外接收方的哪些情况？（）A.所在国家或者地区的数据安全保护政策法规B.所在国家或者地区网络安全环境C.数据接收方的数据安全保护能力D.数据接收方的组织架构5.下列关于“重要数据”出境的表述，正确的有（）。A.重要数据出境必须通过国家网信部门的安全评估B.重要数据的识别应当依据相关行业主管部门的重要数据目录C.企业可以自行决定是否将某类数据定义为重要数据D.涉及国家秘密的数据严禁出境6.个人信息出境标准合同的主要内容应当包括（）。A.境外接收方的义务B.个人信息主体的权利C.救济机制D.合同终止后的数据处置方式7.违反《数据安全法》规定，给他人造成损害的，应当依法承担（）。A.民事责任B.行政责任C.刑事责任D.道德责任8.数据处理者在开展数据出境活动前，应当开展数据出境风险自评估，重点评估（）。A.数据出境的必要性B.数据出境的合法性C.数据出境对国家安全的影响D.数据出境后遭受泄露的风险9.下列哪些地区或区域的数据保护法律通常被认为具有“充分性认定”，与数据跨境流动相关？（）A.欧盟B.日本E.英国F.韩国10.企业在建立跨境数据流动合规体系时，应当采取的技术措施包括（）。A.数据加密B.数据去标识化C.访问控制D.数据出境监测审计11.关于通过个人信息保护认证进行数据出境，下列说法正确的有（）。A.适用于跨国公司内部的数据跨境传输B.认证机构需是经国家网信部门认可的机构C.获得认证后无需再进行任何备案D.认证有效期通常为3年12.若数据处理者向境外提供数据未履行安全评估、标准合同备案等义务，网信部门可以采取的措施有（）。A.责令改正B.给予警告C.没收违法所得D.吊销营业执照13.在跨境数据流动中，关于个人信息主体的权利，下列说法正确的是（）。A.个人有权知道其个人信息被传输至境外B.个人有权拒绝其信息出境C.个人有权要求境外接收方删除其信息D.个人无权对境外接收方提起诉讼14.下列属于敏感个人信息的有（）。A.生物识别信息B.宗教信仰C.医疗健康信息D.行程轨迹15.2026年跨境数据管控规则中，强调的“最小必要原则”包含哪些要素？（）A.处理目的最小B.处理方式最小C.处理范围最小D.存储时间最短三、判断题（共15题，每题1分）1.只要企业通过了ISO27001认证，在向境外提供数据时就可以自动免除中国的数据出境安全评估。（）2.关键信息基础设施运营者向境外提供数据，无论数据量大小，都必须通过国家网信部门的安全评估。（）3.数据出境安全评估是行政许可行为，具有法律效力。（）4.个人信息出境标准合同备案生效后，若合同内容发生变更，企业无需重新备案。（）5.《数据出境安全评估办法》适用于所有在中华人民共和国境内处理数据并向境外提供数据的活动。（）6.数据处理者向境外提供数据，必须对数据进行分类分级。（）7.境外司法机构或者执法机构要求提供存储于中华人民共和国境内的数据的，境内组织、个人应当无条件提供。（）8.非法向境外提供重要数据，情节严重的，可能构成危害国家安全罪。（）9.数据出境风险自评估报告必须由第三方专业机构出具。（）10.如果数据接收方所在国法律与中国法律存在冲突，应当以中国法律为准，或者在合同中约定适用中国法律。（）11.为了促进数据跨境流动，所有未列入重要数据目录的数据都可以自由出境，无需任何手续。（）12.数据出境安全评估通过后，只要出境目的不变，评估结果长期有效。（）13.累计向境外提供非敏感个人信息不足10万人的，不需要进行标准合同备案。（）14.在跨境数据传输过程中，采用SSL/TLS加密传输即可满足所有安全要求。（）15.企业在进行数据出境申报时，可以隐瞒部分业务细节以保护商业秘密。（）四、填空题（共10题，每题2分）1.《中华人民共和国数据安全法》规定，国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施______。2.根据《个人信息保护法》，在中华人民共和国境外处理中华人民共和国境内个人个人信息，旨在向境内提供产品或者服务的，应当适用本法。这确立了______原则。3.数据出境安全评估的结果有效期为______年。4.向境外提供个人信息，应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及______。5.省级网信部门负责对数据出境安全评估申报材料进行______，并将申报材料报送国家网信部门。6.重要的数据出境安全评估中，数据量超过______的，属于必须申报的情形之一（注：此处指重要数据或特定规模个人信息）。7.个人信息保护认证是数据出境的三条路径之一，主要适用于______公司内部的数据跨境传输。8.数据处理者向境外提供数据，未通过安全评估、未订立标准合同或未通过认证的，不得______。9.2024年发布的《促进和规范数据跨境流动规定》中，设立了______制度，简化了合规流程。10.风险评估中，数据在境外被篡改、破坏、泄露、丢失、非法利用等的风险，属于______风险。五、简答题（共5题，每题6分）1.简述数据出境安全评估、个人信息保护认证和标准合同备案三种路径的适用场景区别。2.根据《数据出境安全评估办法》，申报数据出境安全评估时，提交的自评估报告应当重点评估哪些内容？3.简述在跨境数据流动中，数据处理者对个人信息主体应当履行的告知义务包含哪些要素？4.什么是“重要数据”？其识别的主要依据是什么？5.简述《促进和规范数据跨境流动规定》中对于免予申报数据出境安全评估、订立标准合同的主要豁免情形。六、案例分析题（共2题，每题15分）1.案例背景：A公司是一家注册在中国境内的全球知名电商平台，拥有注册用户1.2亿人。A公司为了提升全球用户体验，计划在新加坡建立海外数据中心。计划一：将中国境内用户的“浏览记录”、“商品偏好”等非敏感日志数据传输至新加坡进行大数据分析，预计年度传输量约为500GB，涉及用户约8000万人。计划二：将中国境内用户的“真实姓名”、“身份证号”、“家庭住址”等敏感个人信息传输至新加坡进行统一身份验证，涉及用户约100万人。A公司未通过关键信息基础设施认定。问题：(1)针对计划一和计划二，A公司分别应当采取哪种数据出境合规路径？请说明理由。(2)若A公司选择申报数据出境安全评估，其申报流程是怎样的？(3)在风险自评估中，针对计划二涉及的敏感个人信息，应重点评估哪些风险？2.案例背景：B公司是一家主营汽车电子的跨国企业，中国分公司是其全球研发中心之一。B公司中国分公司研发过程中产生了一批涉及自动驾驶算法的测试数据，其中包含部分在公共道路测试时采集的车外行人面部特征（已做模糊处理）和车辆轨迹数据。B公司中国分公司计划将这些数据回传至位于德国的全球总部进行算法训练。经核查，该批数据不包含国家秘密，且根据汽车行业相关规定，车辆轨迹数据未被列入重要数据目录。数据涉及的车外行人面部特征虽然已模糊处理，但仍属于去标识化后的个人信息，总量约为5万条。问题：(1)B公司中国分公司将数据回传德国总部，是否需要申报数据出境安全评估？为什么？(2)假设不需要申报安全评估，B公司中国分公司是否完全不需要履行任何合规手续？请简述其合规义务。(3)如果德国当地法律要求B公司总部必须向政府提供该数据，B公司中国分公司应如何应对？请结合《数据安全法》说明。参考答案一、单项选择题1.A2.C3.B4.B5.D6.C7.C8.B9.D10.C11.C12.B13.B14.C15.D16.C17.C18.B19.A20.A二、多项选择题1.ABCD2.ABC3.ACD4.ABC5.ABD6.ABCD7.ABC8.ABCD9.ABCD10.ABCD11.ABD12.ABC13.ABC14.ABCD15.ABCD三、判断题1.×2.√3.√4.×5.√6.√7.×8.√9.×10.√11.×12.×13.√14.×15.×四、填空题1.出口管制2.域外管辖（或长臂管辖）3.24.个人行使权利的方式和程序5.形式审查6.100万人（注：指个人信息）或1万人（指敏感个人信息）7.跨国8.向境外提供9.负面清单（或免予申报清单）10.数据出境及出境后五、简答题1.简述数据出境安全评估、个人信息保护认证和标准合同备案三种路径的适用场景区别。答：(1)数据出境安全评估：适用于①CIIO；②处理100万人以上个人信息；③累计向境外提供10万人以上个人信息或1万人以上敏感个人信息；④向境外提供重要数据。这是门槛最高、监管最严的路径。(2)个人信息保护认证：主要适用于跨国公司内部的数据跨境传输，或者境外机构在境内处理数据的情形。需要通过国家网信部门认可的机构进行认证。(3)标准合同备案：适用于未达到安全评估门槛，且不符合认证条件的中小型数据处理者。企业需使用网信办发布的标准合同范本，签订后向省级网信部门备案。2.根据《数据出境安全评估办法》，申报数据出境安全评估时，提交的自评估报告应当重点评估哪些内容？答：(1)数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性和必要性；(2)境外接收方所在国家或者地区的数据安全保护政策法规和网络安全环境对出境数据安全的影响；(3)境外接收方的数据安全保护能力是否达到中华人民共和国法律、行政法规规定和标准要求；(4)数据出境及出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，以及对个人信息权益维护的影响；(5)数据出境对国家安全、公共利益、个人或者组织合法权益带来的风险；(6)与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件是否充分约定了数据安全保护责任义务。3.简述在跨境数据流动中，数据处理者对个人信息主体应当履行的告知义务包含哪些要素？答：数据处理者应当向个人信息主体告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人向境外接收方行使权利的方式和程序等事项。此外，还应当告知数据出境可能存在的安全风险，并取得个人的单独同意。4.什么是“重要数据”？其识别的主要依据是什么？答：重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。识别主要依据：①国家行业主管部门制定的重要数据识别指南或目录；②各地区制定的重要数据目录；③数据自身的属性，如涉及国家经济运行、国防科技、公共卫生等领域。5.简述《促进和规范数据跨境流动规定》中对于免予申报数据出境安全评估、订立标准合同的主要豁免情形。答：主要包括：①为订立、履行个人作为一方当事人的合同所必需；②按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；③为履行法定职责或者法定义务所必需；④为应对突发公共卫生事件等紧急情况所必需；⑤在国际贸易、跨境运输、学术合作、跨国生产制造等活动中收集和产生的个人信息向境外提供；⑥非敏感个人信息且在规定数量阈值以下；⑦法律、行政法规规定的其他情形。六、案例分析题1.案例一分析(1)合规路径：计划一：必须申报数据出境安全评估。理由：A公司处理100万人以上个人信息（1.2亿人），且计划一涉及向境外提供8000万人个人信息，虽然是非敏感数据，但累计数量巨大，