客户个人信息保护专题培训试题及参考答案

客户个人信息保护专题培训试题及参考答案本试卷为客户个人信息保护专题培训统一考核试卷，满分100分，考试时长90分钟，所有考核内容严格对标《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》及各行业监管部门发布的客户信息保护专项合规要求，所有试题紧密贴合日常业务运营全流程场景，旨在全面检验参训人员对客户个人信息保护规则的掌握程度与实操合规能力。一、单项选择题（共15题，每题2分，总计30分）1.《中华人民共和国个人信息保护法》的正式施行日期为以下哪一项？A.2020年10月17日B.2021年11月1日C.2022年1月1日D.2023年5月1日2.按照法律定义，下列哪一项内容不属于客户敏感个人信息范畴？A.客户生物识别面部支付信息B.客户银行卡交易流水明细C.客户日常消费偏好汇总标签D.客户实时精准定位行踪轨迹信息3.企业收到客户提出的查阅、复制其名下全部个人信息的申请后，应当在多长时间内予以响应并反馈结果？A.3个工作日B.15个工作日C.30个工作日D.60个工作日4.发生可能危害客户人身、财产安全的个人信息安全事件后，企业应当第一时间开展处置，并且最迟不得超过多少小时向属地网信部门及行业监管部门上报事件相关信息？A.24小时B.48小时C.72小时D.96小时5.以下处理客户个人信息的行为中，无需单独取得客户明确同意即可合法开展的是哪一项？A.将客户留存的手机号批量共享给第三方合作的营销机构推送广告B.为履行已经生效的金融服务合同，从第三方征信机构调取客户的逾期还款记录C.将客户的人脸核验信息上传至境外合作的云服务器存储D.基于收集到的客户健康数据开发新的保险推荐产品6.日常办公场景下，下列关于客户个人信息传输操作符合合规要求的是？A.用私人微信将客户的贷款审批材料截图发送给外部合作的中介机构B.通过企业内部加密的专用数据传输通道，向获得正式授权的合作方传输脱敏后的必要客户信息C.未做任何加密处理，直接通过公共邮箱发送包含1000条客户手机号的Excel表格D.为提高处理效率，将全量客户信息下载至私人笔记本电脑带回家处理7.根据个人信息保护相关法律要求，下列对“去标识化处理”后的信息的描述正确的是？A.只要对客户姓名、手机号做掩码处理，无论通过什么方式可以复原出特定自然人身份，都不属于个人信息，可随意对外共享B.去标识化后无法通过任何手段复原特定自然人身份、且无法被关联到特定自然人的信息，不属于法律层面定义的个人信息C.去标识化后的信息不需要做任何安全防护，可直接在公开发布的研究报告中使用D.所有去标识化处理后的信息向第三方提供时，都不需要履行任何审批流程，也不需要告知客户8.客户提出要求删除其名下全部个人信息的申请后，企业的下列处置行为正确的是？A.直接拒绝客户的删除申请，告知客户所有信息必须永久留存B.在15个工作日内完成可删除信息的全部删除操作，同时对法律、行政法规要求必须留存的交易记录、审计日志等法定留存信息做好隔离管控，不做其他用途使用C.将客户的全部历史交易数据、服务记录全部彻底删除，包括监管要求必须留存5年以上的信贷交易记录D.收到申请3个月后才慢慢完成删除操作，不向客户做任何反馈9.企业应当指定专门的个人信息保护负责人，下列哪一项不属于该负责人的法定职责范畴？A.统筹制定本单位客户个人信息保护内部管理制度与操作流程B.监督本单位客户个人信息处理活动的全流程合规性C.直接参与营销部门的业绩考核，将客户信息调用频次作为客户经理的考核指标D.对接属地网信部门、行业监管部门的个人信息保护相关工作10.关于委托第三方合作方处理客户个人信息的行为，下列合规要求描述错误的是？A.必须和受托方签署专门的个人信息保护协议，明确双方的权利义务与违约责任B.要求受托方只能在双方约定的目的、范围、处理方式下处理客户个人信息C.未经本单位书面同意，受托方不得私自将承接的客户个人信息处理业务转委托给其他第三方主体D.为了提高处理效率，允许受托方随意留存承接的客户个人信息，服务结束后不需要归还或者删除11.企业处理未满14周岁未成年人的个人信息时，法律明确要求应当取得下列哪一类主体的同意？A.未成年人本人的口头同意B.未成年人的父母或者其他监护人的同意C.未成年人所在学校的同意D.属地教育部门的同意12.下列关于客户撤回个人信息处理同意的行为，描述正确的是？A.客户之前已经签署过同意协议，就不能再撤回同意B.客户撤回同意后，企业所有的处理活动都必须立刻全部停止，哪怕是为了履行合同约定的义务C.企业应当为客户提供便捷的撤回同意的渠道，不得设置不合理的撤回门槛D.客户撤回同意之后，之前基于客户同意已经开展的处理行为全部无效，企业必须承担赔偿责任13.企业处理客户个人信息时，落实“最小必要”原则的核心要求不包括以下哪一项？A.收集客户信息时，不得收集与所提供的服务无关的个人信息B.开展业务操作时，对客户信息的访问权限必须做到“按需分配、最小授权”C.对外提供客户信息时，仅向合作方提供实现合作目的所必需的最少数量、最小范围的客户信息D.为了后续可能开展的新业务，提前批量收集客户的生物识别、健康信息等非必要敏感信息14.根据法律规定，企业向中华人民共和国境外提供客户个人信息的，下列哪一项操作不符合合规要求？A.按照国家网信部门的要求申报个人信息出境安全评估B.向境外提供的个人信息做匿名化处理，确保完全无法复原到特定自然人身份C.未经过任何安全评估、未取得客户单独同意，直接将海量客户信息传输到境外的云服务器存储D.与境外接收方签署专门的个人信息保护协议，约定境外接收方需要达到我国个人信息保护法律规定的保护标准15.员工正式从企业离职之后，下列对其之前工作中接触到的客户个人信息的处置行为符合合规要求的是？A.把自己工作期间积累的数百条高净值客户联系方式拷贝带走，用于后续新单位的业务拓展B.交还所有存储客户信息的工作设备，注销所有访问内部客户信息系统的账号权限，签署离职保密承诺书，承诺不泄露、不私自使用任何接触过的客户个人信息C.把之前接触的客户信息全部发送到自己的私人邮箱留存，以备后续使用D.把手里的客户信息打包卖给第三方机构牟利二、多项选择题（共10题，每题3分，总计30分，多选、少选、错选均不得分）1.按照《个人信息保护法》的定义，下列属于受法律保护的客户个人信息范畴的内容包括？A.客户的姓名、身份证件号B.客户的手机号、电子邮箱、家庭住址C.客户的交易记录、消费习惯D.结合业务数据形成的可以识别到特定自然人的用户画像标签2.下列属于法定敏感个人信息类型的有？A.生物识别信息B.金融账户信息C.医疗健康信息D.宗教信仰信息3.下列处理客户个人信息的情形中，不需要取得客户同意即可合法开展的有？A.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需B.为履行合法的人力资源管理规章制度所必需C.为新闻媒体开展合法的新闻报道，在合理的范围内处理已经公开的个人信息D.为了降低运营成本，批量把客户信息共享给第三方合作机构4.为落实客户个人信息保护要求，企业应当建立健全的内部管理制度包括以下哪些内容？A.客户个人信息分级分类管理制度B.个人信息访问权限审批制度C.个人信息安全事件应急处置预案D.个人信息保护内部审计与考核问责制度5.日常工作中传输客户个人信息时，可采用的安全防护措施包括？A.对敏感个人信息的传输过程做全程加密处理B.对批量导出的客户信息文件设置强访问密码，仅授权指定人员解密访问C.优先使用企业内部的专用加密传输通道，禁止通过私人社交软件、公共匿名邮箱传输客户信息D.对所有数据传输操作留痕，生成不可篡改的操作日志留存至少3年6.根据法律规定，客户对其名下的个人信息享有的法定权利包括？A.查阅、复制权B.更正、补充权C.删除权D.要求解释个人信息处理规则的权利7.发生客户个人信息泄露安全事件时，企业应当第一时间开展的处置动作包括？A.立即启动应急预案，排查泄露的信息范围、数量、危害程度，采取技术手段控制风险进一步扩大B.按照法定要求及时将事件相关信息向受影响的客户逐一告知，说明事件影响和后续的风险防范措施C.按照监管要求在72小时内向属地网信部门、对应的行业监管部门上报事件处置情况D.为了降低事件影响，刻意隐瞒事件信息，不向监管部门上报也不告知客户8.企业对外提供客户个人信息时，必须履行的合规流程包括？A.对信息接收方的信息安全保护能力开展尽职调查B.按照要求取得对应客户的单独明确同意，法律规定无需同意的特殊情形除外C.开展内部多级审批，由个人信息保护负责人最终签字确认D.和接收方签署正式的个人信息保护协议，明确约定处理信息的目的、范围、方式和安全保护义务9.下列办公场景中属于违规行为的有？A.客户经理将含有客户完整手机号、身份证号的客户名单打印出来随意放在公共办公区域桌面上B.工作人员使用自己的生日作为内部客户信息系统的账号密码，且超过1年未更改密码C.工作人员临时离开工位时，锁定电脑屏幕，避免无关人员访问内部客户信息系统D.工作人员为了方便客户填写申请材料，直接使用自己的内部高权限账号导出全量客户信息存到个人U盘里10.按照《个人信息保护法》的规定，企业违规处理客户个人信息，最高可面临的行政处罚包括？A.最高5000万元或者上一年度全球营业额5%的罚款B.责令暂停相关业务或者停业整顿C.吊销相关业务许可或者吊销营业执照D.对直接负责的主管人员和其他直接责任人员处最高100万元罚款，并且可以决定在一定期限内禁止其担任相关企业的董事、监事、高级管理人员和个人信息保护负责人三、判断题（共10题，每题1分，总计10分）1.客户已经在服务协议上签字确认同意企业处理其个人信息，后续企业就可以不受限制的将客户信息用于各类产品营销活动，无需再取得客户额外同意。2.工作人员为了提升业务处理效率，在导出客户信息时可以扩大查询范围，一次性导出超出当前业务需求的全量客户信息备用。3.法律层面定义的个人信息既包括已经被记录的客户信息，也包括未被记录的可以识别到特定自然人的信息。4.按照监管要求，金融机构的客户交易信息、客户身份资料的法定最低留存年限为业务关系终止后5年，该类信息的留存属于法定义务，客户提出删除申请时不得直接违规删除。5.企业通过处理公开渠道已经发布的客户个人信息开展营销活动，不需要遵守《个人信息保护法》的相关规定，也不需要取得客户同意。6.发生大量客户个人信息泄露的重大安全事件后，企业应当将事件的相关处置信息按照规定向社会公众公开发布，告知相关防范措施。7.受托处理客户个人信息的第三方合作方出现信息泄露问题，全部责任由合作方自行承担，委托企业不需要承担任何合规责任。8.企业对客户个人信息开展匿名化处理后得到的完全无法复原到特定自然人的数据集，可以用于公开的行业研究、统计分析等用途，不属于个人信息对外提供的监管范畴。9.企业需要定期对本单位的个人信息处理活动开展合规审计，审计结果需要向属地监管部门报备。10.员工故意泄露客户个人信息谋取非法利益的行为，如果情节严重构成犯罪的，需要依法承担侵犯公民个人信息罪对应的刑事责任。四、简答题（共3题，每题6分，总计18分）1.简述企业处理客户敏感个人信息，除满足普通个人信息处理的一般要求外，还需要同时符合哪些法定特殊要求？2.简述日常业务运营全流程中，落实客户个人信息处理“最小必要”原则的具体落地举措。3.简述发生客户个人信息安全事件后，企业内部完整的处置流程。五、案例分析题（共1题，总计12分）案例背景：某消费金融公司的一线客户经理王某，任职期间利用自己的系统访问权限，私自导出存量信贷客户的21000条个人信息，信息内容包含客户姓名、身份证号、手机号、贷款余额、家庭住址等完整内容，随后王某将该批信息以8.2万元的价格打包出售给3家第三方助贷中介机构。后续第三方机构频繁拨打骚扰电话向客户推送贷款产品，引发120余起客户集中投诉，监管部门接到线索后启动专项调查，查实了该违规事件。请结合本案例回答：本次事件涉及的所有主体分别存在哪些违规行为，需要承担什么类型的法律责任，日常运营中应当通过哪些机制防范此类倒卖客户信息的事件发生？参考答案一、单项选择题答案1.答案B，《个人信息保护法》由第十三届全国人大常委会第三十次会议于2021年8月20日通过，2021年11月1日正式施行。2.答案C，普通消费偏好标签不属于法律明确列举的敏感个人信息范畴，其余三项均属于一旦泄露会直接危害客户人身、财产安全的敏感个人信息。3.答案B，《个人信息保护法》明确规定个人信息处理者响应个人信息主体的查阅、复制等权利申请的时限为15个工作日，有正当理由的最多可延长不超过15个工作日。4.答案C，法律明确要求发生个人信息安全事件后，个人信息处理者最迟72小时内要向相关监管部门上报。5.答案B，为履行合同法定义务调取客户信用记录属于合法无需额外取得单独同意的情形，其余三项操作均不符合合规要求。6.答案B，其余三项操作均属于明文禁止的违规传输行为。7.答案B，去标识化后完全无法关联到特定自然人的信息不再属于个人信息，其余选项描述均存在错误。8.答案B，处置客户删除申请时需兼顾法定留存义务，不能直接删除监管要求必须留存的相关数据。9.答案C，个人信息保护负责人的职责是统筹合规管理，不得将客户信息调用频次作为业绩考核指标，否则会诱导违规滥用客户信息。10.答案D，受托方处理委托的客户信息的服务结束后，必须按照约定归还或者彻底删除全部客户信息，不得私自留存。11.答案B，处理未满14周岁未成年人个人信息，必须取得其父母或者其他监护人的单独同意。12.答案C，企业必须为客户提供便捷的撤回同意渠道，不得设置不合理门槛。13.答案D，提前收集与当前服务无关的非必要信息，严重违反最小必要原则。14.答案C，未经评估、未取得客户同意直接向境外传输海量客户信息，属于严重的跨境数据传输违规行为。15.答案B，员工离职时必须完成所有信息权限的回收，不得私自留存任何接触过的客户信息。二、多项选择题答案1.答案ABCD，所有选项内容均属于可识别到特定自然人的受保护个人信息。2.答案ABCD，四类信息均属于法律明确列明的敏感个人信息范畴。3.答案ABC，批量向第三方共享客户信息不属于豁免同意的情形。4.答案ABCD，四类制度均属于企业必须建立的客户信息保护核心内部制度。5.答案ABCD，所有措施均属于符合要求的安全防护手段。6.答案ABCD，四类权利均属于《个人信息保护法》明确赋予个人的法定权利。7.答案ABC，刻意隐瞒安全事件属于严重违规行为。8.答案ABCD，所有流程都是对外提供客户信息时必须履行的合规要求。9.答案ABD，临时离开工位锁定电脑属于合规操作，其余均为违规行为。10.答案ABCD，所有处罚类型均属于《个人信息保护法》规定的行政处罚范畴。三、判断题答案1.错误，客户同意的范围仅覆盖签署协议时约定的处理用途，超出约定用途的营销活动需要额外取得客户单独同意。2.错误，不得超出业务需求范围批量导出非必要的客户信息。3.正确，符合个人信息的法定定义范围。4.正确，法定留存义务优先级高于客户的删除申请要求。5.错误，处理公开的个人信息也需要遵守个人信息保护法律的相关规定，不得不合理侵害客户的合法权益。6.正确，重大个人信息安全事件必须按规定向社会公众发布告知信息。7.错误，委托企业需要对受托方的个人信息处理活动尽到监督管理责任，受托方出现违规的，委托企业也需要承担对应合规责任。8.正确，完全匿名化的信息不再属于个人信息范畴，不受个人信息保护相关规定约束。9.正确，定期开展个人信息保护审计是法律明确要求的法定义务。10.正确，倒卖大量公民个人信息情节严重的，将触犯刑法中的侵犯公民个人信息罪，面临有期徒刑、罚金等刑事处罚。四、简答题参考答案1.处理敏感个人信息的特殊法定要求包括：第一，必须具有特定的目的和充分的必要性，不得随意扩大敏感个人信息的收集和处理范围；第二，必须取得客户的单独同意，不能通过格式条款、捆绑服务的方式变相强迫客户同意；第三，必须向客户明确告知处理该类敏感个人信息的必要性以及对个人权益的影响；第四，针对敏感个人信息制定专门的更加严格的安全防护措施，防止泄露、篡改、丢失；第五，按照国家网信部门的要求开展事前的个人信息保护影响评估，留存评估报告至少3年；第六，法律、行政法规有特殊规定的，依照其要求执行，比如处理生物识别信息还有额外的专项监管要求。2.落实最小必要原则的具体举措包括：第一，收集环节，仅收集当前提供服务所必需的最少信息，明确告知客户收集信息的用途，不得收集与服务无关的信息，不得通过变相诱导的方式收集超出需求的信息；第二，存储环节，按照法律规定和业务需要确定最短的存储期限，服务终止后按照约定及时删除对应的个人信息，不得无期限留存；第三，访问权限环节，针对不同岗位的员工设置最小的访问权限，按需开通，做到“权责匹配、一人一号、全程留痕”，禁止给一线普通员工开通全量客户信息的无限制查询导出权限；第四，使用环节，业务调用客户信息时仅提取当前操作所需的最少字段，不得调用无关的信息内容；第五，对外提供环节，仅向合作方提供实现合作目的所必需的最小范围的信息，不得超出合作需求提供全量客户信息。3.完整的处置流程为：第一，风险排查阶段，第一时间启动应急预案，组建专项处置工作组，全面排查事件发生的原因、泄露的信息范围、涉及的客户数量、可能造成的危害程度，同时采取技术、管理措施切断泄露路径，防止风险进一步扩大；第二，上报告知阶段，按照法定时限向属地网信部门和对应行业监管部门上报事件相关情况，同时逐一告知受影响的客户事件详情、风险防范措施和企业的补救方案，存在可能危害客户人身财产安全的紧急情况时要第一时间发出风险预警；第三，补救处置阶段，针对受影响的客户采取对应的补救措施，比如提示客户修改密码、冻结异常账户、向公安机