2025年大数据管理局招录《数据安全合规》题库附答案

2025年大数据管理局招录《数据安全合规》题库附答案一、单项选择题（每题2分，共50分）1.《中华人民共和国数据安全法》正式施行的时间是？A.2021年6月10日B.2021年9月1日C.2021年11月1日D.2022年1月1日答案B解析《数据安全法》于2021年6月10日由全国人大常委会通过，自2021年9月1日起施行。2.根据《数据安全法》，数据安全工作的第一责任主体是？A.国家数据安全工作协调机制B.数据处理者C.行业主管部门D.数据交易场所答案B解析数据处理者应当依照法律、法规规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，是数据安全的责任主体。3.我国数据安全监管体制采用的基本原则是？A.属地管理原则B.行业监管与属地管理相结合C.集中统一监管原则D.以行业监管为主、属地管理为辅答案D解析《数据安全法》规定，工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责，网信部门统筹协调，形成行业监管为主、属地管理为辅的监管体制。4.国家建立数据分类分级保护制度，对下列哪类数据实行更加严格的管理制度？A.一般数据B.重要数据C.敏感个人信息D.核心数据A.关系国家安全、国民经济命脉、重要民生、重大公共利益的数据B.一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能对国家安全、公共利益造成危害的数据C.涉及个人隐私、个人信息的数据D.涉及商业秘密、保密商务信息的数据答案DB解析《数据安全法》将数据分为一般数据、重要数据、核心数据三个级别。其中重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。核心数据则指关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，实行更加严格的管理。5.根据《数据安全法》，开展数据处理活动应当遵循的原则不包括下列哪一项？A.合法、正当、诚信原则B.以最小化为核心，越少处理越好C.以数据分类分级保护为基础D.统筹发展和安全答案B解析《数据安全法》强调数据处理应当合法、正当、诚信，以数据分类分级保护为基础，统筹发展和安全，但没有确立"越少越好"的绝对最小化原则——数据最小化是个人信息处理中的理念，并非数据安全法的总原则。6.根据《数据安全法》，国家数据安全工作协调机制统筹协调有关部门制定数据安全相关标准。以下说法正确的是？A.国家支持企业、社会团体和教育、科研机构等参与制定数据安全相关标准B.数据安全标准只能由国家标准化主管部门制定C.行业标准不具有数据安全规范效力D.数据安全标准仅适用于公共数据领域答案A解析《数据安全法》第十七条规定，国家推进数据安全标准体系建设，支持企业、社会团体和教育、科研机构等参与制定数据安全相关标准。7.根据《个人信息保护法》，处理个人信息应当遵循的原则不包括？A.合法、正当、必要和诚信原则B.目的明确原则C.最短保存期限原则，能删就删D.公开透明原则答案C解析《个人信息保护法》确立了合法正当必要、目的明确、最小范围、公开透明、质量保障等原则。个人信息的保存期限应当为实现处理目的所必需的最短时间，但并非"能删就删"，法律另有规定或用户另行同意的情况除外。8.根据《个人信息保护法》，处理敏感个人信息应当取得个人的？A.一般同意B.书面同意C.单独同意D.明示同意答案C解析《个人信息保护法》第二十九条：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。9.下列哪项不属于《个人信息保护法》规定的敏感个人信息？A.生物识别信息B.宗教信仰信息C.行踪轨迹信息D.工作单位信息答案D解析敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。工作单位信息不属于法定敏感个人信息。10.根据《个人信息保护法》，处理不满十四周岁未成年人个人信息的，应当？A.取得未成年人的同意B.取得未成年人的父母或者其他监护人的同意C.取得未成年人及其监护人的双重书面同意D.无需同意，但应当匿名化处理答案B解析《个人信息保护法》第三十一条：处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。11.在数据安全应急管理中，发生数据安全事件后，数据处理者应当在多长时间内通知用户和有关部门？A.立即采取措施，并在24小时内通知B.立即采取措施，并在72小时内通知C.立即采取措施并按照规定告知用户和有关主管部门D.根据事件等级确定，一般事件不需要报告答案C解析《数据安全法》第二十九条要求发生数据安全事件时，数据处理者应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。具体时限由配套规定细化。12.国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行？A.风险评估B.安全审查C.等级保护测评D.合规审计答案B解析《数据安全法》第二十四条规定，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。13.根据《网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行下列哪项安全保护义务？A.对所有数据一律加密存储B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.每年进行一次网络安全审查D.将全部日志留存不少于三年答案B解析《网络安全法》第二十一条规定了等级保护制度下的安全保护义务，包括防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。日志留存不少于六个月，而非三年。14.根据《网络安全法》，网络运营者发现法律、行政法规禁止发布或者传输的信息的，应当？A.立即删除，无需报告B.立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告C.先报告主管部门，经同意后再处置D.对信息发布者进行警告后保留信息答案B解析这是《网络安全法》第四十七条对网络运营者的明确要求：停止传输、消除处置、保存记录并报告。15.数据出境安全评估的申报主体是？A.数据接收方B.数据出境的数据处理者C.数据出境的数据处理者和接收方共同申报D.行业主管部门答案B解析《数据出境安全评估办法》规定，数据处理者向境外提供数据，符合规定情形的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。申报主体是数据处理者。16.根据《数据出境安全评估办法》，以下哪种情形不需要申报数据出境安全评估？A.数据处理者向境外提供重要数据B.关键信息基础设施运营者向境外提供个人信息C.自当年1月1日起累计向境外提供10万人以上不满100万人个人信息（不含敏感个人信息）D.向境外提供个人信息，已经与境外接收方签订标准合同并完成备案答案D解析签订个人信息出境标准合同并完成备案，属于数据出境的合规路径之一，满足了备案条件即在合规框架内开展出境活动，无需重复申报安全评估。注意：达到安全评估门槛的数据出境行为，不能通过标准合同路径替代。17.根据《网络数据安全管理条例》，网络数据处理者向其他网络数据处理者提供个人信息的，应当？A.取得个人同意，并履行告知义务B.无需取得个人同意，但需进行匿名化处理C.仅需签订数据处理协议，无需告知个人D.取得行业主管部门审批答案A解析《网络数据安全管理条例》规定向他人提供个人信息应当取得个人同意并告知接收方名称、联系方式、处理目的、处理方式和个人信息的种类。18.《信息安全技术个人信息安全规范》（GB/T35273）属于？A.强制性国家标准B.推荐性国家标准C.行业标准D.团体标准答案B解析GB/T35273《信息安全技术个人信息安全规范》是推荐性国家标准（GB/T前缀），不具有强制执行力，但在监管执法和司法裁判中被广泛参考引用。19.个人信息保护影响评估（PIA）应当在哪一阶段开展？A.个人信息处理活动开始后定期开展B.个人信息处理活动开始前进行，并形成评估报告C.仅在发生安全事件后开展D.每年由外部机构统一开展一次答案B解析《个人信息保护法》第五十五条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他处理者提供个人信息、公开个人信息、向境外提供个人信息等情形，应当事前进行个人信息保护影响评估。20.处理个人信息前，个人信息处理者应当以显著方式、清晰易懂的语言真实、准确、完整地告知个人下列哪些事项？A.仅告知处理目的即可B.告知处理目的、处理方式、处理的个人信息种类、保存期限等C.仅需在隐私政策中告知，无需单独说明D.告知信息是否会被用于商业用途即可答案B解析《个人信息保护法》第十七条规定了告知事项，包括处理者的名称和联系方式、处理目的、处理方式、处理的个人信息种类、保存期限以及个人行使权利的方式和程序等。21.大数据环境下，对原始数据进行去标识化处理后，该数据的法律属性是？A.属于匿名化数据，不再受个人信息保护法规制B.仍属于个人信息，因为去标识化信息可借助额外信息重新识别特定自然人C.属于公共数据，不受个人信息保护法约束D.由数据处理者自主决定其属性答案B解析去标识化是指经过处理使个人信息无法在不借助额外信息的情况下识别特定自然人的过程。借助额外信息仍可能重新识别，因此去标识化后的数据仍属于个人信息，受《个人信息保护法》规制。只有匿名化（无法再识别且不能复原）后的数据才不属于个人信息。22.根据《个人信息保护法》，利用个人信息进行自动化决策时，应当保证决策的？A.效率和准确率B.透明度和结果公平、公正C.商业利益的合理化D.技术领先性答案B解析《个人信息保护法》第二十四条：利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。23.下列关于公共数据开放的表述，正确的是？A.公共数据开放是无条件的，所有数据均可向社会开放B.公共数据开放应当遵循"以开放为原则、不开放为例外"C.涉及个人隐私的公共数据经脱敏后也不能开放D.公共数据开放由数据处理者自行决定，无需审核答案B解析公共数据开放遵循"以开放为原则、不开放为例外"的原则。涉及国家秘密、商业秘密、个人隐私的公共数据依法不予开放；经过脱敏、匿名化处理后可开放的，应当开放。24.数据交易中，下列哪种行为是合法的？A.交易未经安全审查的数据B.交易依法获取、经过处理且权属清晰的数据产品C.交易包含个人未授权信息的原始数据D.交易涉及国家秘密的数据答案B解析《数据安全法》鼓励数据依法合理有效利用，规定数据交易应当遵循公平、诚信原则，交易依法获取、经过处理且权属清晰的数据产品和服务是合法的。25.数据安全管理中，员工离职后其账号权限处置的正确做法是？A.保留权限至下个季度统一清理B.立即禁用账号，回收权限，并做好数据交接C.由离职员工自行申请注销D.保留只读权限以便交接答案B解析员工离职应立即禁用账号并回收权限，防止未授权访问造成数据泄露。保留只读权限仍存在风险，不应允许离职人员继续访问数据。二、多项选择题（每题2分，共20分）1.根据《数据安全法》，国家鼓励数据依法合理有效利用，保障数据依法有序自由流动。数据安全工作的原则包括？A.坚持总体国家安全观B.统筹数据发展与安全C.促进数据开发利用D.鼓励数据过度收集以满足发展需要答案ABC解析数据安全工作应当坚持总体国家安全观，统筹数据发展与安全，促进数据开发利用，同时保障数据安全，但绝不允许以发展为名过度收集数据。2.根据《个人信息保护法》第五十五条，在哪些情形下，个人信息处理者应当事前进行个人信息保护影响评估？A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息D.向境外提供个人信息答案ABCD3.根据《数据出境安全评估办法》，数据处理者在申报数据出境安全评估时，应当提交的材料包括？A.数据出境安全评估申报书B.数据出境风险自评估报告C.数据处理者与境外接收方拟订立的法律文件D.境外接收方所在国家或地区的数据安全环境说明答案ABC解析申报材料包括申报书、风险自评估报告、法律文件、安全评估工作需要的其他材料。境外接收方数据安全环境说明属于安全评估时国家网信部门重点评估的内容，由评估机构主动考量，不作为申报时的必交材料，但申报材料中通常需说明有关情况。4.根据《网络安全法》，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。网络运营者包括？A.网络所有者B.网络管理者C.网络服务提供者D.网络使用者答案ABC解析《网络安全法》所称网络运营者，是指网络的所有者、管理者和网络服务提供者。5.根据《数据安全法》，下列属于数据处理活动的是？A.数据的收集B.数据的存储C.数据的使用、加工D.数据的传输、提供、公开答案ABCD解析《数据安全法》所称数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等全部活动。6.以下关于重要数据保护的说法，正确的有？A.国家数据安全工作协调机制统筹协调有关部门制定重要数据目录B.各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录C.重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任D.重要数据的处理者对重要数据一律不得出境答案ABC解析重要数据并非绝对禁止出境，而是应当进行数据出境安全评估。符合条件、通过安全评估后可以出境。A、B、C分别对应《数据安全法》第二十一条和第二十七条。7.根据《个人信息保护法》，个人对其个人信息处理享有以下哪些权利？A.查阅、复制权B.更正、补充权C.删除权D.要求解释说明处理规则的权利答案ABCD解析《个人信息保护法》第四章规定了个人在个人信息处理活动中的权利，包括知情权、决定权、查阅复制权、更正补充权、删除权、解释说明权等。8.在数据安全合规管理中，"数据安全风险评估"的重点内容包括？A.数据处理活动的合法合规性B.数据安全防护措施的有效性C.数据安全事件发生的可能性和影响程度D.数据带来的商业价值高低答案ABC解析数据安全风险评估聚焦合规性、防护有效性和风险影响，与数据商业价值无直接关系。9.以下关于个人信息跨境提供的说法，正确的有？A.可以通过国家网信部门组织的安全评估B.可以经专业机构进行个人信息保护认证C.可以按照国家网信部门制定的标准合同与境外接收方订立合同D.可以自行决定跨境提供，只需事后备案答案ABC解析《个人信息保护法》第三十八条规定了三种出境路径：安全评估、个人信息保护认证、标准合同。D项"自行决定、事后备案"不是法定路径，且达到安全评估门槛的数据出境必须申报评估。10.大数据管理局在推进公共数据开放利用时，应当遵守的合规要求包括？A.建立公共数据开放清单制度，明确开放范围和条件B.对涉及个人信息的数据进行脱敏处理后再开放C.建立数据开放的安全审查和风险评估机制D.无条件开放全部公共数据，以最大程度释放数据价值答案ABC解析公共数据开放必须依法进行，涉及国家秘密、商业秘密、个人隐私的数据不得无条件开放。应在安全可控的前提下推动数据开放利用。三、判断题（每题1分，共10分）1.《数据安全法》是我国数据安全领域的基础性法律。答案正确2.匿名化处理后的信息仍属于个人信息，受《个人信息保护法》规制。答案错误解析匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。匿名化后的信息不再是个人信息。3.根据《网络安全法》，网络运营者的日志留存时间不得少于三个月。答案错误解析《网络安全法》要求网络日志（包括网络运行日志和用户上网日志）留存时间不少于六个月。4.数据安全审查是强制性审查，并非企业自愿申请。答案正确解析《数据安全法》第二十四条规定，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查，属于依法强制实施的国家安全审查机制。5.处理个人信息应当遵循最小范围原则，即收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。答案正确6.CSP云服务商在为客户提供云服务过程中接触到的客户数据，可以用于改进自身服务算法的训练。答案错误解析未经客户授权，云服务商不得将客户数据用于约定服务目的之外的任何用途，包括模型训练。7.数据安全管理中，个人信息保护影响评估报告和处理情况记录应当至少保存三年。答案正确解析《个人信息保护法》第五十六条规定，个人信息保护影响评估报告和处理情况记录应当至少保存三年。8.向境外提供个人信息，只要取得个人同意就可以出境，无需履行其他程序。答案错误解析个人信息出境除取得个人同意外，还必须满足《个人信息保护法》第三十八条规定的安全评估、认证或标准合同等路径之一。9.数据加密是保障数据安全的唯一有效手段。答案错误解析数据安全需要综合运用管理措施和技术措施，加密是重要手段之一，但不是唯一手段，还需访问控制、审计监控、备份恢复、制度建设等多项措施协同。10.开展数据处理活动，应当依照法律、法规的规定，建立健全全流程数据安全管理制度。答案正确四、简答题（每题5分，共20分）1.简述《数据安全法》确立的数据分类分级保护制度的基本内涵。答案国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。各地区、各部门确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于核心数据，实行更加严格的管理制度。2.简述个人信息处理者向第三方提供个人信息前应当履行的法定义务。答案(1)向个人告知第三方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；(2)事前进行个人信息保护影响评估，并保存评估报告和处理情况记录（至少三年）；(3)与第三方约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等；(4)对第三方的个人信息处理活动进行监督，第三方发生违约或侵权的，个人信息处理者依法承担相应责任。3.简述数据出境的三种法定合规路径及其适用关系。答案根据《个人信息保护法》，个人信息出境有三种路径：(1)通过国家网信部门组织的安全评估，适用于关键信息基础设施运营者、处理100万人以上个人信息、累计向境外提供10万人以上个人信息或1万人以上敏感个人信息等重要情形；(2)经专业机构进行个人信息保护认证；(3)按照国家网信部门制定的标准合同与境外接收方订立合同，适用于未达到安全评估门槛的出境场景。安全评估是强制性门槛，达到标准必须申报评估，不可用认证或标准合同替代。4.简述大数据管理局在推进政务数据共享开放时应当落实的数据安全措施。答案(1)落实数据分类分级管理，明确政务数据共享开放的范围和条件；(2)建立数据共享开放前的安全审查与风险评估机制，对涉及个人信息和重要数据的数据集进行脱敏、匿名化处理；(3)建立全流程数据安全管理制度，明确数据申请、审批、使用、审计等各环节责任；(4)采用加密传输、访问控制、操作审计等技术手段保障数据安全；(5)制定数据安全事件应急预案，定期开展安全教育和应急演练；(6)对数据使用方进行资质审查，签订数据使用协议，明确数据使用目的和安全保护义务。五、案例分析题（共20分）某市大数据管理局牵头建设"智慧医疗大数据平台"，汇聚全市公立医院的患者就诊记录、电子病历、检验检查报告、用药记录等医疗健康数据，用于区域医疗资源共享和临床科研分析。该平台计划开展以下三项工作：（1）与某高校医学院合作，将脱敏后的患者诊疗数据用于人工智能辅助诊断模型训练，模型训练完成后拟向全国多家医院推广使用；（2）将本市居民医保结算数据、健康档案数据整合后，通过API接口向市卫健委直属的公共卫生管理系统提供共享；（3）计划将部分脱敏后的罕见病病例数据提供给某跨国药企用于药物研发，该药企服务器位于境外。请回答以下问题：1.该平台汇聚的患者诊疗数据中包含哪些法律意义上的数据类型？（4分）答案：包含两类法定数据类型：(1)个人信息——患者就诊记录、电子病历等能够关联识别到特定自然人的信息属于个人信息；(2)敏感个人信息——医疗健康数据是《个人信息保护法》明确列举的敏感个人信息，受到更严格的保护。此外，如果这些数据达到重要数据标准（如涉及大规模人群健康数据且可能危害国家安全、公共利益），还可能构成重要数据，需纳入重要数据目录管理。同时，卫生健康领域涉及的数据可能同时属于公共数据，在政务数据管理框架下受到约束。2.将脱敏后的诊疗数据用于AI模型训练并推广使用，在数据合规方面需要注意哪些问题？（6分）答案：(1)区分去标识化与匿名化：若仅做去标识化处理，数据仍属个人信息，需遵循个人信息处理规则；只有达到匿名化标准（无法识别且不能复原），才可自由使用。(2)目的限制：原始数据收集时基于"区域医疗资源共享和临床科研"的目的，用于AI模型训练应属于合理的关联目的，但应向患者履行充分的告知义务，必要时重新取得同意。(3)敏感个人信息处理：医疗健康数据属于敏感个人信息，用于模型训练（可能涉及自动化决策相关研究）应当取得患者的单独