2026年数据安全法医疗数据测试题及答案

2026年数据安全法医疗数据测试题及答案一、单项选择题（每题1.5分，共30分）1.《中华人民共和国数据安全法》自（）起施行。A.2021年6月10日B.2021年9月1日C.2021年11月1日D.2022年1月1日答案：B2.根据《数据安全法》，数据是指任何以电子或者非电子形式对（）的记录。A.网页B.程序C.信息D.交易答案：C3.下列哪类信息属于医疗数据的范畴？A.医院财务报销凭证号码B.门诊挂号排队时长统计表C.患者基因检测原始测序数据D.医院物业保洁排班记录答案：C解析：医疗数据包括个人健康生理信息、基因数据、诊疗记录、检验检查结果等。基因检测原始测序数据属于高度敏感的健康医疗数据。4.国家建立数据（）制度，各地区、各部门应当按照数据分类分级管理制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录。A.分类分级B.安全审查C.风险评估D.出境评估答案：A5.根据《数据安全法》，开展数据处理活动应当依照法律、法规的规定，建立健全（）管理制度。A.全流程数据安全B.网络舆情监测C.信息系统等级保护D.数据容灾备份答案：A解析：第三十七条原则性体现在数据处理全流程中落实安全保护义务，B、C、D均为具体技术或管理手段，制度层面应选A。6.医疗数据分类分级工作中，对于涉及大量患者隐私、一旦泄露可能对国家安全造成危害的医疗健康大数据，一般应认定为（）。A.一般数据B.重要数据C.核心数据D.公开数据答案：B解析：依据《数据安全法》第二十一条，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。7.医疗机构对其处理的重要数据应当明确（），并落实数据安全保护责任。A.数据安全负责人和管理机构B.数据出境安全评估机构C.等级保护测评机构D.数据认证服务机构答案：A8.医疗数据出境，属于（）情形时，应当通过国家网信部门组织的数据出境安全评估。A.向境外提供重要数据B.向境外提供一般个人信息C.向境外提供匿名化处理后的统计数据D.向境内外资医院提供门诊排班信息答案：A解析：《数据安全法》第三十一条规定，关键信息基础设施运营者在我国境内运营中收集和产生的重要数据出境，以及非CIIO达到国家网信部门规定数量的重要数据出境，应当进行安全评估。9.国家开展数据安全（），对影响或者可能影响国家安全的数据处理活动进行审查。A.认证B.检查C.审查D.风险评估答案：C10.医疗数据安全事件发生后，数据处理者应当立即采取处置措施，并按照规定及时向（）报告。A.属地公安机关B.行业主管部门和网信部门C.市场监督管理部门D.卫生健康行政部门答案：B解析：依据《数据安全法》第二十九条，发生数据安全事件，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。11.违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处以（）罚款。A.十万元以上一百万元以下B.五十万元以上二百万元以下C.一百万元以上五百万元以下D.二百万元以上一千万元以下答案：D12.医疗机构向患者提供互联网诊疗服务时，对患者电子病历数据的访问应遵循（）原则。A.完全开放共享B.最小必要C.永久保存D.无条件导出答案：B解析：《个人信息保护法》与《数据安全法》均要求处理个人信息应当具有明确、合理的目的，并限于实现处理目的的最小范围。13.医疗数据的存储期限，应当遵循（）的规定，超出保存期限的病历资料应当依法销毁或者脱敏处理。A.数据价值最大化B.医疗机构自行C.法律法规D.患者个人意愿答案：C14.对于人类遗传资源信息，对外提供或者开放使用，应当遵守（）有关规定。A.《数据安全法》B.《人类遗传资源管理条例》C.《网络安全法》D.《反不正当竞争法》答案：B解析：人类遗传资源信息涉及国家生物安全和伦理问题，除遵守《数据安全法》外，还受《人类遗传资源管理条例》等专门规定约束。15.患者对其个人医疗数据享有的权利不包括（）。A.查阅、复制权B.更正、补充权C.要求永久删除且不留任何记录D.要求解释说明处理规则答案：C解析：患者依法享有删除权，但法律、行政法规规定的保存期限未届满，或者删除技术上难以实现的，不适用无条件删除。16.医疗机构在临床研究中使用患者诊疗数据，下列做法正确的是（）。A.经伦理审查并取得患者知情同意后，对数据去标识化使用B.无需任何审批即可用于任何研究C.未经同意直接将数据提供给药企用于商业推广D.以"科研需要"为由强制收集患者全部数据答案：A17.医疗数据处理者拒绝、阻碍国家数据安全监管机构依法履行监管职责的，由有关主管部门给予（）处罚。A.批评教育B.警告C.罚款D.行政处分，对直接负责的主管人员和其他直接责任人员依法给予处分答案：D18.下列行为中，违反《数据安全法》规定的是（）。A.对医疗数据进行匿名化处理后用于医学统计B.通过"撞库"方式获取医院数据系统中患者信息C.与第三方科研机构签署数据使用协议并约定保密义务D.定期对医疗数据系统开展安全风险评估答案：B解析："撞库"利用用户在其他平台泄露的账号密码尝试登录医疗系统，属于非法获取数据的行为。19.医疗数据安全管理中，数据审计的目的主要是（）。A.提高系统运行速度B.记录和追溯数据处理活动，发现安全风险与违规行为C.节约存储成本D.简化数据使用审批流程答案：B20.关于医疗数据安全培训，下列哪一说法正确？A.仅信息安全部门人员需要培训B.培训只需在入职时开展一次C.应当定期对全体接触数据的员工开展数据安全培训与考核D.培训内容仅限于技术防护措施答案：C二、多项选择题（每题2分，共10分；每题有两个或两个以上正确选项，多选、错选不得分，少选得1分）1.根据《数据安全法》，建立数据分类分级制度时应当考虑的因素包括（）。A.数据在经济社会发展中的重要程度B.数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度C.数据处理者的企业规模D.数据所属行业领域的特殊要求答案：ABD解析：《数据安全法》第二十一条规定，国家根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。行业领域特殊要求亦属于分类分级标准的组成部分。2.医疗数据出境的合法路径包括（）。A.通过国家网信部门组织的数据出境安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.以"学术交流"名义不履行任何程序答案：ABC3.医疗数据处理者应当履行的数据安全保护义务包括（）。A.建立健全全流程数据安全管理制度B.组织开展数据安全教育培训C.采取相应的技术措施保障数据安全D.定期开展数据安全风险评估答案：ABCD4.医疗机构与第三方检验机构共享患者检验数据时，正确的做法有（）。A.签订数据安全协议明确双方责任B.仅共享完成检验所必需的数据字段C.要求第三方不得将数据用于其他目的D.将全部历史病历数据一并拷贝给对方答案：ABC解析：共享数据应遵循"最小必要"原则，将全部历史病历数据拷贝给第三方超出必要范围，且未进行脱敏处理，存在较大泄露风险。5.关于医疗数据安全事件应急处置，下列做法正确的有（）。A.发现数据泄露后立即启动应急预案，采取阻断、隔离等措施B.及时告知受影响的患者，并提示其防范风险C.隐匿不报，自行私下处理D.按照规定向行业主管部门、网信部门报告事件情况答案：ABD三、判断题（每题1分，共10分）1.《数据安全法》仅适用于境内数据处理活动，境外组织和个人在境外处理中国医疗数据不受该法管辖。答案：错误解析：《数据安全法》第二条同时规定了域外适用效力，境外组织、个人从事损害中国国家安全、公共利益或者公民、组织合法权益的数据处理活动，依法追究法律责任。2.医疗数据中的患者姓名、身份证号、住址等属于个人信息，适用《个人信息保护法》的同时也适用《数据安全法》。答案：正确3.医疗数据分类分级只需要在首次收集时确定一次，后续无需再调整。答案：错误解析：数据用途、敏感程度或汇聚融合情况发生变化时，应重新评估并调整分类分级。4.医疗机构证明自己采取了技术防护措施，即可免除全部数据安全法律责任。答案：错误解析：数据安全保护义务包括制度、技术、人员、应急等多项要求，仅采取技术措施不能替代其他法定义务。5.患者个人向医疗机构申请删除其诊疗数据，医疗机构必须无条件立即删除。答案：错误解析：按照法律法规规定的病历保存期限等要求，医疗机构有权或应当依法继续留存相关数据，逾期数据可通过销毁或脱敏处理。6.医疗数据安全风险评估只需在系统上线前开展一次。答案：错误解析：风险是动态变化的，应当定期开展风险评估，并在业务场景、系统环境发生重大变化时及时评估。7.数据出境安全评估通过后，有效期内出境目的、方式、数据种类发生重大变化的，无需重新申报评估。答案：错误解析：重要变化涉及数据出境风险改变，应当重新开展安全评估。8.任何组织、个人有权对危害医疗数据安全的行为向有关主管部门投诉、举报。答案：正确9.医疗数据经匿名化处理后，不再属于个人信息，但仍可能构成重要数据。答案：正确解析：匿名化消除的是个人信息属性，若数据量大、涉及领域敏感，仍可能因公共利益或国家安全因素被认定为重要数据。10.数据安全审查是自愿申请制度，数据处理者不申请则无需接受审查。答案：错误解析：数据安全审查是国家依职权启动的强制性审查程序，并非自愿申请。四、简答题（每题10分，共20分）1.简述医疗机构开展数据分类分级工作的一般步骤。答案：(1)梳理数据资产，形成数据资源清单，明确数据的来源、类型、用途、共享范围；(2)确定分类维度，按照业务领域、敏感程度、重要程度等对数据进行分类；(3)依据国家及行业数据分类分级标准，结合医疗数据特点确定分级规则；(4)对每一类数据逐项定级，标注是否属于重要数据、核心数据；(5)制定不同级别数据的保护策略，包括访问控制、加密存储、脱敏规则、共享审批、审计等；(6)建立动态调整机制，定期复核，在数据用途、汇聚融合情况变化时及时调整级别与防护措施。2.简述医疗数据出境安全评估的重点内容。答案：(1)数据出境的必要性，即是否为实现业务目的所必需；(2)数据出境的安全性，包括数据种类、数量、敏感程度以及对国家安全、公共利益和个人合法权益的影响；(3)境外接收方的安全保护能力，以及其所在国家或地区的数据安全保护政策法规和网络安全环境；(4)合同约定，包括双方的数据安全责任、数据用途限制、保存期限、再转移条件、安全事件通知和违约责任等；(5)数据处理者自身的风险控制能力及个人信息权益保障措施。五、案例分析题（每题15分，共30分）1.某三甲医院与境外一家医药研发企业开展临床试验合作，计划将5万名受试者的基因检测数据、诊疗记录及随访信息传输至境外用于新药研发。医院信息科认为该批数据经去标识化处理，不属于个人信息，不属于重要数据，无需履行数据出境安全评估程序。请回答：（1）该医院的看法是否正确？为什么？（2）该医院应当完成哪些程序方可实施数据出境？答案：（1）不正确。基因检测数据属于敏感个人信息，去标识化处理后的信息仍可能通过关联分析重新识别特定个人，仍受《个人信息保护法》约束。同时，大量人类遗传资源信息和健康医疗数据汇集后，一旦泄露可能危害国家安全和公共利益，属于重要数据。因此，向境外提供此类数据应依法开展数据出境安全评估，不可仅以"去标识化"为由规避。（2）应当完成以下程序：①按照《人类遗传资源管理条例》等规定取得人类遗传资源采集、保藏、国际合作科学研究审批，并经伦理审查和受试者知情同意；②开展数据出境风险自评估，评估数据出境的必要性、数量、范围以及对国家安全、公共利益和个人合法权益的影响；③通过国家网信部门组织的数据出境安全评估；④与境外接收方签订数据安全协议，明确数据用途、保存期限、再转移限制、安全事件报告等条款；⑤涉及个人信息出境的，依法履行告知同意、个人信息保护影响评估等义务。解析：本案综合考查医疗数据出境的多重合规义务，核心在于"去标识化≠匿名化"以及人类遗传资源数据的特殊监管要求。2.2025年8月，某市卫健委在专项检查中发现，某区属医院发生了一起数据泄露事件：该院一名信息科工程师利用职务之便，在未经审批的情况下，将急诊科3.2万名患者就诊记录导出至个人移动硬盘，并通过社交软件向第三方出售牟利。事件发生后，该院未向主管部门报告，也未告知受影响患者。请回答：（1）该医院违反了《数据安全法》中的哪些义务？（2）医院在内部管理上暴露了哪些安全问题？答案：（1）违反了以下义务：①建立健全全流程数据安全管理制度，未对数据导出、拷贝等高危操作进行管控；②未落实数据安全保护责任，未对内部人员访问和导出数据实施最小授权与审批；③发生数据安全事件后，未立即采取处置措施，未按照规定告知用户并向有关主管部门报告。（2）内部管理存在的问题：①权限管理不当，信息科人员可越权访问临床业务数据；②缺少数据导出审计机制，批量导出行为未被及时发现；③安全教育培训不足，员工数据安全和法律意识淡薄；④应急预案缺失或未落实，事件发生后处置不力、隐瞒不报。解析：案例围绕《数据安全法》第二十七条至第二十九条展开，考生需从管理制度、权限控制、技术措施、应急报告四个层面作答。六、论述题（任选1题作答，10分）1.试述医疗数据安全与个人信息保护的关系，并说明医疗机构在临床科研中使用患者数据时应如何平衡数据利用与安全保护。答案：（1）关系：医疗数据中包含大量患者个人信息，特别是敏感个人信息。两者在保护对象、权利内容上高度重合，但医疗数据安全还涉及重要数据、核心数据以及国家生物安全和公共卫生安全，范围广于个人信息保护。处理医疗数据既要遵守《个人信息保护法》关于告知同意、最小必要、权利保障的要求，也要落实《数据安全法》关于分类分级、风险评估、安全审查等制度。（2）平衡路径：①区分场景，细化