客户个人信息保护专题培训测试题及答案

客户个人信息保护专题培训测试题及答案单项选择题（共20题，每题2分，总计40分）1.根据《中华人民共和国个人信息保护法》，下列选项中不属于敏感个人信息范畴的是A.生物识别、医疗健康B.行踪轨迹、金融账户C.自然人的通用姓名、出生日期D.不满十四周岁未成年人的个人信息2.企业处理客户个人信息的下列行为中，不属于法定“处理”范畴的是A.收集客户手机号用于核验身份B.对客户的消费行为进行用户画像建模C.定期清理超出业务留存期限的客户信息D.对已完成交易的客户姓名进行纸质归档后永久封存，不对任何系统和人员开放调取权限3.处理敏感个人信息的核心前提中，以下表述不符合法律要求的是A.必须取得特定目的下客户的单独同意B.只要客户此前签署过综合授权书，所有场景下都无需再次告知即可直接处理C.应当向客户明确告知处理敏感个人信息的必要性以及对个人权益的影响D.处理不满十四周岁未成年人的个人信息，应当取得其监护人的单独同意4.按照“最小必要”原则的法定要求，企业在为客户办理普通积分兑换业务时，以下哪项信息属于超出必要范围、不得强制收集的内容A.客户预留的手机号B.客户的积分账户IDC.客户的婚姻状况、子女就读学校信息D.客户的收货地址信息（用于兑换实物寄送场景）5.企业发生客户个人信息泄露事件后，第一响应处置的优先级顺序正确的是A.排查泄露原因→通知受影响客户→采取止损措施→上报监管部门→发布公开公告B.采取技术止损措施控制泄露范围→排查泄露原因核实影响规模→通知受影响客户→按照规定向网信、公安等监管部门报备→同步留存全流程处置记录C.先发布公开公告避免舆论发酵→再排查泄露原因→通知客户→上报监管D.第一时间通知所有可能受影响的客户→再排查泄露原因→采取止损措施→上报监管6.根据《个人信息保护法》规定，客户个人信息的留存期限应当符合的要求是A.企业可以永久留存所有已收集的客户信息，便于后续任何业务场景调取B.应当为实现处理目的所必需的最短时间，超出期限后应当主动删除或者进行匿名化处理C.至少留存10年以上，满足监管备查要求D.只要客户没有明确要求删除，企业可以无限期留存7.下列关于客户撤回个人信息处理同意的说法中，符合法律要求的是A.客户一旦签署授权同意，就无权撤回，企业可以以“签署过协议”为由拒绝客户的撤回申请B.客户撤回同意后，企业此前基于客户同意已经开展的合法信息处理活动，不对客户承担返还或赔偿责任C.客户撤回同意必须提供充分的理由，经企业内部层层审批通过后方可生效D.针对所有业务场景，企业都可以设置“撤回同意的费用为100元”的门槛，避免客户随意撤回8.企业向第三方合作机构提供客户个人信息时，以下哪项操作是合规的A.为了提升合作效率，直接把全量未脱敏的客户信息打包发送给第三方，无需告知客户B.事先对客户明确告知第三方合作方的名称、联系方式、处理目的、处理方式和个人信息种类，取得客户的单独同意后，向第三方提供限定范围内的必要信息，同时和第三方签署严格的个人信息保护协议，约定双方权利义务C.仅对客户做模糊告知“我们可能会和合作伙伴共享您的信息”，无需明确具体合作方信息，就可以向第三方提供全量信息D.第三方提出信息调取需求后，直接由一线业务人员审批通过即可导出发送，无需走内部合规审核流程9.某企业客服人员因临时居家远程办公，需要处理客户的投诉工单信息，以下做法符合个人信息保护管理要求的是A.直接将包含客户完整手机号、住址、交易记录的全量工单导出到自己的私人笔记本电脑上，后续居家处理B.申请登录企业配置的加密云桌面系统，仅在云桌面环境内查看、处理工单，不得将数据导出至本地设备C.为了方便联系客户，把100条客户的手机号复制到自己的私人微信聊天框，后续慢慢拨打D.用私人手机拍摄电脑屏幕上的客户工单信息，打印出来之后再逐条处理10.针对利用客户个人信息进行的自动化决策行为，以下表述不符合法律要求的是A.自动化决策应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇B.企业可以通过自动化决策，对老客户设置比新客户更高的商品定价，也就是“大数据杀熟”，只要没有被客户发现就合规C.通过自动化决策方式向客户进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向客户提供便捷的拒绝定向推送的方式D.企业应当为客户提供便捷的路径，查询涉及其个人的自动化决策结果，客户有权要求企业对决策逻辑作出说明11.根据《个人信息保护法》规定，企业处理已公开的客户个人信息，下列说法合规的是A.只要是公开渠道可以查询到的客户信息，企业都可以随意收集、使用，无需征得客户同意B.处理已公开的个人信息对个人权益有重大影响的，应当取得客户的同意C.可以随意将公开的客户信息重新整合之后卖给第三方牟利D.即使客户明确表示拒绝企业使用其公开的信息，企业也可以继续使用，因为信息本身是公开的12.客户行使个人信息查阅、复制权，向企业申请调取其本人名下的所有个人信息记录，企业的下列做法正确的是A.设置层层审批门槛，要求客户提供10项以上无关证明材料，拖延6个月之后再回复客户B.拒绝向客户提供，声称所有数据属于企业所有，客户无权查看C.在法定期限内及时响应，核验客户身份后，无偿向客户提供其名下的全量个人信息副本D.要求客户支付500元的高额“信息查询费”之后再提供相关信息13.下列个人信息处理场景中，不需要取得客户同意的法定例外情形是A.企业为了向客户推送非相关的理财产品营销短信，准备调取客户的消费记录B.为履行签订的产品售后服务合同所必需，比如联系客户确认退换货地址C.准备把客户的信息共享给无关的第三方房产中介机构D.计划将客户的个人信息传输到境外未做过安全评估的服务器存储14.企业关键信息基础设施运营者在境内收集的客户个人信息，应当遵循的存储要求是A.可以随意存储到境外服务器，无需任何审批B.必须在中华人民共和国境内存储，确需向境外提供的，应当通过国家网信部门组织的安全评估C.只要告知客户，就可以全部存储到境外D.仅核心数据境内存储，普通个人信息可以全部出境15.企业处理10万人以上的客户个人信息，属于哪类需要事前开展个人信息保护影响评估的处理场景A.不属于需要评估的场景B.属于法律规定的必须开展事前个人信息保护影响评估的高风险场景C.仅需要向内部领导报备，不需要做正式评估D.仅需要对前1000条数据做评估即可16.以下哪一项属于匿名化处理后的信息，不再属于个人信息保护法的规制范畴A.去掉客户手机号中间4位，其余姓名、住址、完整交易记录全部保留的数据集B.全部字段经过不可逆处理，无法通过任何技术手段关联到特定自然人，且无法复原的数据集C.隐藏客户身份证号后2位，其余全部字段保留的数据集D.仅去掉客户头像图片，其余所有字段完整保留的数据集17.企业内部针对接触客户个人信息的岗位设置权限时，符合最小权限原则的是A.所有后台运维人员都可以不受限制的导出全量客户信息B.仅为客服岗位开放其当前处理工单对应的单条客户信息调取权限，不得开放批量导出权限C.所有一线销售岗位都可以直接导出全量客户手机号列表用于外呼营销D.行政后勤人员不需要任何审批就可以随时调取客户全量数据18.员工在日常工作中发现客户个人信息泄露的风险隐患后，第一时间应当向哪类岗位报备A.随意告知身边的同事B.向部门负责人以及企业内部的个人信息保护（DPO）专职岗位报备C.直接对外发布朋友圈公示风险D.不用报备，等风险自行消除19.根据《个人信息保护法》，针对情节严重的个人信息违法行为，监管部门最高可以对涉事企业处以的罚款额度是A.100万以下B.5000万元以下或者上一年度营业额的百分之五以下C.1000万以下D.没有上限20.下列针对未成年人客户的个人信息处理行为，合规的是A.未经监护人同意，收集10岁儿童的人脸信息用于注册游戏账号B.专门向12岁的未成年人推送大额贷款类广告C.在取得监护人单独同意的前提下，收集未成年人的必要身份信息用于办理青少年专属会员服务，且设置专门的信息存储加密机制D.批量倒卖收集到的未成年人个人信息给校外培训机构牟利多项选择题（共15题，每题3分，总计45分，多选、少选、错选均不得分）1.个人信息处理全生命周期包括以下哪些环节，所有环节都需要落实个人信息保护要求A.收集、存储B.使用、加工C.传输、提供D.公开、删除2.下列哪些要素属于法律规定的“有效客户同意”的必备要件A.同意必须是客户在完全知情的前提下，自愿、明确作出的意思表示B.不得以“一揽子勾选同意全部协议”的方式，捆绑要求客户同意与核心业务无关的信息处理行为C.应当为客户提供和“作出同意”一样便捷的“撤回同意”的渠道D.客户被胁迫签署的同意文件，不属于合法有效的同意3.以下哪些做法符合个人信息处理的“目的限定”原则要求A.收集客户信息时明确告知客户信息将用于“积分兑换服务”，后续不得超出该目的用于其他无关的营销场景B.因业务调整需要改变初始信息处理目的的，应当重新向客户告知新的处理目的，取得客户的单独同意后方可处理C.只要收集到了客户信息，就可以随便用于任何企业想开展的业务场景D.不得超出告知客户的处理范围，擅自扩大信息的使用对象和使用场景4.客户个人信息泄露事件发生后，企业应当向受影响的客户告知的核心内容包括A.信息泄露的具体原因、涉及的信息类型和范围B.企业已经采取的止损措施C.客户可以采取的防范自身权益受损的应对措施D.企业的后续联系方式，方便客户咨询相关问题5.下列哪些行为属于侵犯公民个人信息的刑事犯罪行为，需要承担刑事责任A.违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的B.窃取或者以其他方法非法获取公民个人信息的C.企业内部员工违规导出客户信息，倒卖获利超过5000元的D.非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的6.企业和外部第三方合作开展客户个人信息处理相关业务时，应当签署的协议中需要明确约定以下哪些内容A.个人信息处理的目的、期限、处理方式、个人信息种类、保护措施B.双方的权利和义务C.发生个人信息安全事件后的责任划分机制D.不得超出约定范围处理个人信息的约束条款7.下列关于个人信息跨境传输的要求，说法正确的有A.关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内B.确需向境外提供的，应当通过国家网信部门组织的安全评估C.未经安全评估，企业不得私自将大量境内收集的客户个人信息传输到境外服务器存储D.向境外提供个人信息的，应当向客户明确告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及客户向境外接收方行使权利的方式和程序等事项，取得客户的单独同意8.企业搭建客户个人信息安全防护体系，以下哪些技术手段是必要的A.全量客户敏感信息字段加密存储，数据库访问配置严格的白名单控制策略B.所有涉及客户信息的操作全链路留痕，操作日志至少留存6个月以上，便于后续安全审计追溯C.客户信息展示界面设置脱敏规则，非必要场景下隐藏完整手机号、身份证号、银行卡号的中间字符D.定期开展全企业范围的个人信息安全漏洞扫描，及时修补安全隐患9.下列属于客户依法享有的个人信息相关权利的有A.知情权、决定权B.查阅权、复制权C.更正权、补充权D.删除权、要求解释自动化决策规则的权利10.针对以下哪些高风险的个人信息处理行为，企业必须事前开展个人信息保护影响评估，并将评估报告和处理情况记录至少留存3年A.处理敏感个人信息B.利用个人信息进行自动化决策，对个人权益有重大影响C.向境外提供个人信息D.委托第三方处理个人信息、向第三方提供个人信息、公开个人信息，对个人权益有重大影响11.下列员工日常办公的行为中，属于违规操作、可能引发客户信息泄露风险的有A.把存储大量客户信息的工作U盘随意转借无关人员B.在公共社交平台随意发布包含客户完整个人信息的截图、文档C.使用企业内部系统查看客户信息时，离开工位不锁屏，任由无关人员浏览屏幕上的客户信息D.把包含客户敏感信息的文档上传到未经过企业安全合规校验的公共云盘存储12.当客户提出要求删除其名下全部个人信息的“被遗忘权”申请时，企业应当在什么情况下及时主动删除对应的客户信息A.个人信息处理目的已经实现、无法实现或者为实现处理目的不再必要B.企业停止提供产品或者服务，或者留存期限已经届满C.客户撤回同意，且没有其他合法的处理依据支撑继续留存信息D.企业处理个人信息的行为违反法律、行政法规或者违反双方约定13.企业针对接触客户个人信息的全体员工开展常态化个人信息保护管理工作，应当落实以下哪些要求A.所有新入职员工必须先通过个人信息保护专项培训考核，合格后方可获得对应岗位的信息系统访问权限B.定期和员工签署个人信息保护保密协议，明确员工的岗位责任和违规追责机制C.针对存在批量导出客户信息权限的高危岗位，设置定期的轮岗、审计机制D.员工离职时，第一时间注销其所有内部信息系统的访问权限，收回所有存储客户信息的设备，删除其私人设备中留存的所有客户信息14.以下针对个人信息“去标识化”处理的说法，正确的有A.去标识化是指对个人信息采取技术措施，使得在不补充额外信息的情况下，无法识别到特定自然人的处理方式B.去标识化后的信息仍然属于个人信息的范畴，企业仍然需要落实对应的保护要求C.仅通过简单隐藏几个字符的方式处理后的信息，不属于合规的去标识化处理，仍然可以通过拼接外部信息还原出特定自然人身份D.去标识化处理和匿名化处理的法律性质完全一致，都不受个人信息保护法约束15.以下哪些场景下，企业作为个人信息处理者不需要向客户取得同意即可合法处理其个人信息A.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需B.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息C.依照法律规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息D.为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需判断题（共15题，每题1分，总计15分）1.客户在办理业务时签署了综合授权书，代表企业有权在全业务场景下无限制使用该客户的所有个人信息，无需再次征得客户同意。2.匿名化处理后的信息不属于个人信息，企业可以随意处置，不会触发个人信息保护的相关法律责任。3.员工为了提升工作效率，可以把自己的内部系统账号密码告知同部门的同事，由同事代为登录调取客户信息，不需要走任何审批流程。4.即使客户明确要求撤回其此前同意的营销信息推送授权，企业仍然可以偷偷继续给客户打推销电话、发营销短信，只要不被监管部门查到就没有问题。5.处理不满十四周岁未成年人的个人信息，必须取得其监护人的单独同意，不能以“孩子自己同意”为由不履行监护人告知义务。6.企业不得向任何第三方无偿或者有偿提供客户的个人信息，哪怕是取得客户同意也绝对不允许。7.当发生大量客户个人信息泄露的安全事件时，企业迟报、瞒报监管部门，不会面临额外的处罚。8.企业针对客户的投诉，应当在15个工作日以内响应客户提出的个人信息相关权利申请，不得无故拖延。9.某电商平台根据老客户的消费记录，给老客户展示比新客户更高的同款商品价格，这种“大数据杀熟”行为属于侵犯客户公平交易权的行为，违反个人信息保护法要求。10.员工只要不把客户信息卖给外人，自己拷贝存储大量客户信息存在私人电脑里备用，就不属于违规行为。11.企业处理人脸信息这类生物识别敏感个人信息，必须取得客户的单独同意，不能作为办理普通业务的强制核验条件。12.境外的主体处理境内中国公民的个人信息，损害中国公民个人信息权益的，也适用中国的《个人信息保护法》约束。13.个人信息处理者可以以个人不同意处理其个人信息或者撤回同意为由，拒绝提供核心产品或者服务。14.两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，双方应当约定各自的权利和义务，对客户造成损害的，双方依法承担连带责任。15.企业内部设立个人信息保护负责人（DPO）岗位的，不需要将该岗位人员的联系方式公开给客户，也不需要向网信部门报备。参考答案及解析一、单项选择题1.答案选C。依据《个人信息保护法》第二十八条，敏感个人信息指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，通用姓名和出生日期单独存在时无法精准识别特定自然人，不属于法定敏感个人信息范畴。2.答案选D。个人信息处理指个人信息的收集、存储、使用、加工、传输、提供、公开、删除等活动，对已封存的信息完全不做任何调取使用的行为不属于法定处理范畴。3.答案选B。综合授权书不能替代特定场景下的单独同意，处理敏感个人信息必须逐一获得对应场景的客户单独同意。4.答案选C。办理普通积分兑换业务完全不需要收集客户婚姻状况、子女信息，属于超出最小必要范围的冗余信息。5.答案选B。客户信息泄露事件处置的第一优先级是控制止损，避免泄露范围进一步扩大，后续再逐步完成原因排查、客户通知、监管报备全流程。6.答案选B。个人信息留存期限必须满足“业务必需最短期限”要求，到期后必须删除或匿名化。7.答案选B。客户有权随时撤回同意，企业不得设置不合理门槛，客户撤回同意不影响此前基于同意开展的合法处理行为的效力。8.答案选B。向第三方提供信息必须履行告知义务获得客户单独同意，签署合规协议划定权责边界。9.答案选B。所有客户敏感信息必须在企业受控的加密环境内处理，严禁导出至非授权设备。10.答案选B。“大数据杀熟”属于自动化决策差别对待的违规行为，明确被法律禁止。11.答案选B。处理公开的个人信息如果对个人权益产生重大影响，仍然需要取得客户同意。12.答案选C。企业必须在法定时限内无偿响应客户的信息查阅申请，核验身份后向客户提供对应的信息副本。13.答案选B。为履行合同义务所必需的信息处理行为，无需额外取得客户同意。14.答案选B。关键信息基础设施运营者的境内收集的个人信息必须境内存储，确需出境的必须经过国家网信部门的安全评估。15.答案选B。处理个人信息超过10万人属于法定的高风险场景，必须开展事前个人信息保护影响评估。16.答案选B。匿名化处理后的信息完全无法关联到特定自然人，不再受个人信息保护法规制。17.答案选B。权限配置必须遵循最小必要原则，仅开放岗位履职必需的最小访问范围。18.答案选B。员工发现信息安全隐患后必须第一时间向部门负责人和DPO专职岗位报备，不得私自处置。19.答案选B。针对情节严重的个人信息违法事件，最高可处上一年度营业额5%以下或者5000万元以下罚款，同时对直接负责的主管人员和其他直接责任人员处1万元以上100万元以下罚款。20.答案选C。处理未成年人信息必须获得监护人单独同意，采取严格的保护措施。二、多项选择题1.答案选ABCD。四个选项全部属于个人信息处理全生命周期的法定环节。2.答案选ABCD。四个选项全部是合法有效客户同意的必备要件。3.答案选ABD。目的限定原则要求信息使用范围不得超出初始告知客户的边界，不得随意扩大使用场景。4.答案选ABCD。信息泄露后对客户的告知内容必须包含上述全部核心要素，保障客户的知情权。5.答案选ABCD。上述四类行为全部属于《刑法》规定的侵犯公民个人信息罪的入罪情形。6.答案选ABCD。第三方合作协议必须明确上述全部权责要素，规避后续合规风险。7.答案选ABCD。个人信息跨境传输必须严格遵守上述全部法定要求。8.答案选ABCD。上述四项都是企业个人信息安全防护体系的必备技术手段。9.答案选ABCD。上述四项全部属于《个人信息保护法》明确赋予客户的法定权利。10.答案选ABCD。上述四类高风险场景都必须开展事前个人信息保护影响评估，评估记录留存至少3年。11.答案选ABCD。上述四类行为全部属于高危违规操作，极大概率引发客户信息泄露事件。12.答案选ABCD。上述四种情形下，企业必须主动响应客户的删除申请，及时清空对应客户的全量个人信息。13.答案选ABCD。上述四项都是企业人员管理维度个人信息保护的必备管理要求。14.答案选ABC。去标识化后的信息仍然属于个人信息，不受法律豁免，和匿名化的法律性质完全不同。15.答案