2026年数据安全与个人信息保护试卷附答案

2026年数据安全与个人信息保护试卷附答案一、单项选择题（每题2分，共20分）1.根据《数据安全法》及相关规定，下列哪项不属于数据处理者应当履行的数据安全保护义务？A.制定数据安全管理制度和操作规程B.定期对数据安全风险进行评估C.对数据处理活动中的个人信息进行匿名化处理（仅当法律要求时）D.采取技术措施保障数据完整性、保密性和可用性答案：C（数据处理者需主动采取必要措施，匿名化处理并非仅在法律要求时履行）2.某智能医疗设备厂商收集患者的心电图、血压等生理数据，根据《个人信息保护法》，此类数据属于：A.一般个人信息B.敏感个人信息C.健康医疗数据（特殊类别）D.生物识别信息答案：B（生理健康信息属于敏感个人信息，需取得单独同意并采取严格保护措施）3.甲公司拟将境内收集的用户行为数据传输至境外母公司用于AI模型训练，根据《数据出境安全评估办法》，下列哪项情形无需申报安全评估？A.数据涉及10万人以上个人信息B.数据属于重要数据C.数据处理者上一年度处理个人信息达到100万人D.数据仅用于境外市场调研且不涉及任何个性化分析答案：D（仅用于非个性化分析且不涉及重要数据或大规模个人信息时，可能适用其他合规路径）4.乙平台在用户注册时默认勾选“同意收集位置信息用于精准推荐”，用户未注意勾选直接完成注册。根据《个人信息保护法》，该行为的违法性在于：A.未以显著方式提示B.未取得明确同意C.超范围收集个人信息D.未提供拒绝选项答案：B（默认勾选不符合“明确同意”要求，需用户主动确认）5.丙企业因数据泄露导致500名用户银行卡信息被窃取，根据《数据安全法》，其应当在多长时间内向设区的市级以上主管部门报告？A.立即B.24小时内C.48小时内D.72小时内答案：A（发生数据安全事件应立即采取措施并报告）6.丁公司开发的儿童教育类APP拟收集7岁儿童的人脸信息，根据《儿童个人信息网络保护规定》，应当取得：A.儿童本人同意B.儿童监护人的书面同意C.儿童监护人的单独同意D.教育行政部门备案答案：C（儿童个人信息需监护人单独同意，无需书面形式）7.依据《数据分类分级指引》，某金融机构将客户交易记录划分为“核心数据”，其判定的关键标准是：A.数据规模大小B.一旦泄露可能对国家安全、公共利益造成特别严重损害C.数据处理频率D.数据存储介质答案：B（核心数据的界定以对国家安全、公共利益的影响程度为核心）8.戊平台在用户注销账户后，仍保留用户历史评论数据用于算法优化，根据《个人信息保护法》，该行为合法的前提是：A.已获得用户明示同意保留B.数据已进行去标识化处理且无法复原C.平台与用户协议中约定可保留D.保留时间不超过6个月答案：B（去标识化后不属于个人信息，可合法使用）9.己企业委托第三方数据公司处理用户订单信息，根据《数据安全法》，下列哪项不属于委托处理时的义务？A.与受托方签订书面协议明确安全责任B.对受托方的数据处理活动进行监督C.向用户告知受托方的名称和处理目的D.要求受托方定期删除所有处理后数据答案：D（委托处理需约定责任，但删除义务需根据处理目的确定，非必须定期删除）10.庚市交通管理部门将交通流量数据向社会开放，根据《数据安全法》，开放前应当重点评估的风险是：A.数据准确性B.数据开放后的再利用是否危害公共安全C.数据存储成本D.数据格式统一性答案：B（公共数据开放需评估对国家安全、公共利益的潜在风险）二、多项选择题（每题3分，共15分）1.根据《个人信息保护法》，处理敏感个人信息应当满足的条件包括：A.取得个人的单独同意B.具有特定的目的和充分的必要性C.采取严格的保护措施D.向个人告知处理的必要性以及对个人权益的影响答案：ABCD（全选，敏感信息处理需满足“单独同意+特定目的+严格措施+充分告知”）2.下列属于《数据安全法》规定的“重要数据”的有：A.某省人口普查中的民族分布数据B.某企业内部研发的客户偏好分析模型C.某城市电网实时运行数据D.某高校收集的学生心理健康测评结果（涉及500人）答案：AC（重要数据涉及国家安全、经济发展、公共利益，民族分布和电网运行属于典型场景）3.个人信息跨境提供时，数据处理者可选择的合规路径包括：A.通过国家网信部门组织的安全评估B.与境外接收方签订标准合同C.获得个人信息保护认证机构认证D.经境外接收方所在国认可的等效保护认证答案：ABCD（《数据出境安全评估办法》规定的四种路径）4.数据安全影响评估的内容应当包括：A.数据处理的合法性、正当性、必要性B.数据泄露、篡改、丢失的风险及影响C.所采取的安全保护措施的有效性D.个人信息主体的投诉处理机制答案：ABC（影响评估侧重风险与措施，投诉机制属于日常管理）5.依据《网络安全法》，关键信息基础设施运营者应当履行的个人信息保护义务包括：A.对个人信息实行分类管理B.每年至少进行一次个人信息保护合规审计C.制定个人信息安全事件应急预案D.优先使用境内数据存储服务答案：ABC（优先境内存储是数据安全法对重要数据的要求，非关键信息基础设施的普遍义务）三、判断题（每题1分，共10分）1.处理已公开的个人信息无需告知个人，因为信息已处于公开状态。（）答案：×（需告知，除非法律、行政法规另有规定）2.数据处理者可以将人脸信息与其他个人信息结合使用，无需单独说明结合使用的目的。（）答案：×（结合使用需明确告知并取得同意）3.重要数据的具体目录由国家网信部门统一制定，地方和行业无权补充。（）答案：×（国家、行业、地方均可制定重要数据目录）4.个人信息主体要求查阅、复制个人信息时，数据处理者可以收取合理成本费用。（）答案：√（法律允许收取必要成本）5.数据安全事件发生后，数据处理者只需向主管部门报告，无需告知受影响的个人。（）答案：×（可能影响个人权益的，需及时告知）6.儿童个人信息的处理规则优先适用《儿童个人信息网络保护规定》，与《个人信息保护法》冲突时以特别法为准。（）答案：√（特别规定优先）7.数据去标识化后，处理活动不受《个人信息保护法》约束。（）答案：√（去标识化后不属于个人信息）8.数据处理者可以将用户的设备MAC地址作为匿名化信息使用，无需告知用户。（）答案：×（MAC地址仍可关联到特定设备，可能属于个人信息）9.金融机构将客户信用数据提供给关联公司用于风控，属于“向第三方提供”，需取得用户同意。（）答案：√（关联公司视为第三方，需同意）10.数据安全责任可通过签订委托协议转移给受托方，委托方无需承担连带责任。（）答案：×（委托方需监督受托方，仍需承担相应责任）四、简答题（每题8分，共32分）1.简述数据分类分级的基本原则及实践步骤。答案：基本原则：（1）以风险为导向，根据数据对国家安全、公共利益、个人权益的影响程度分类；（2）动态调整，结合业务变化更新分类；（3）最小必要，避免过度分类。实践步骤：（1）识别数据资产，建立数据清单；（2）评估数据涉及的主体（国家、组织、个人）及潜在风险；（3）参照国家/行业标准划分类别（如公共数据、企业数据、个人信息）和等级（如一般、重要、核心）；（4）制定分类分级目录并标注标签；（5）定期Review更新。2.列举个人信息主体的五项核心权利，并说明数据处理者的响应义务。答案：核心权利：（1）知情权（了解处理规则）；（2）决定权（同意或拒绝）；（3）查阅复制权（获取本人信息）；（4）更正补充权（修正错误信息）；（5）删除权（符合法定情形时要求删除）。响应义务：数据处理者需在收到请求后合理期限内（通常不超过15个工作日）处理，提供便捷的申请渠道，对拒绝请求的需说明理由，涉及第三方的需协助协调。3.数据安全审计的重点内容包括哪些？答案：（1）制度合规性：检查数据安全管理制度是否覆盖全流程（收集、存储、使用、传输、删除）；（2）技术措施有效性：评估加密、访问控制、日志审计等技术是否符合要求；（3）事件管理：审查安全事件应急预案的制定与演练情况，事件报告与处置的及时性；（4）第三方管理：审计数据共享、委托处理时对合作方的资质审查与监督记录；（5）个人信息保护：核查告知同意、主体权利响应、敏感信息处理等是否合规。4.简述数据跨境流动“风险自评估”的主要内容。答案：（1）数据出境的基本情况：包括数据种类、规模、范围、处理目的；（2）接收方所在国的法律环境：评估其个人信息保护水平是否与我国等效；（3）数据安全保护措施：分析加密、访问控制等技术措施的有效性；（4）对个人权益的影响：评估数据出境是否可能导致信息滥用、泄露等风险；（5）应急处置能力：检查接收方的数据安全事件响应机制是否完善；（6）其他风险：如政治、经济因素对数据安全的潜在影响。五、案例分析题（每题11.5分，共23分）案例1：2025年12月，某市三甲医院“智慧医疗平台”因系统漏洞导致1.2万份患者电子病历泄露，泄露信息包括姓名、身份证号、诊断结果、用药记录。经调查，该平台未按规定对病历数据进行加密存储，且近一年未开展数据安全风险评估。部分患者因病历泄露遭受骚扰，个别患者的用药信息被不法分子用于诈骗。问题：（1）医院违反了哪些法律规定？（2）应承担哪些法律责任？（3）患者可主张哪些权利？答案：（1）违法点：①未履行数据安全保护义务（未加密存储、未定期评估风险），违反《数据安全法》第二十一条；②未对敏感个人信息（健康信息）采取严格保护措施，违反《个人信息保护法》第二十九条；③发生数据安全事件未立即报告，违反《数据安全法》第四十五条。（2）法律责任：由主管部门责令整改，处500万元以下或上一年度营业额5%以下罚款；对直接责任人员处10万元以上100万元以下罚款；构成犯罪的追究刑事责任。（3）患者权利：要求医院删除泄露的个人信息；主张因信息泄露导致的财产损失赔偿；若造成精神损害，可请求精神损害赔偿。案例2：某电商平台“快购”为提升用户体验，在未明确告知的情况下，将用户的搜索记录、购物车信息与第三方广告公司共享，用于精准推送商品广告。部分用户发现手机频繁收到无关广告，通过平台客服要求停止共享并删除相关信息，但平台以“用户注册协议中已约定数据共享条款”为由拒绝。问题：（1）平台的行为是否合法？说明理由。（2）用户可通过哪些途径维权？（3）平台应如何合规处理此类数据共享？答案：（1）不合法。理由：①共享用户搜索记录、购物车信息属于向第三方提供个人信息，需取得用户明确同意，平台未明确告知并取得单独同意，违反《个人信息保护法》第二十三