2026年数据安全和个人信息保护培训考试卷附答案

2026年数据安全和个人信息保护培训考试卷附答案一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.根据2025年修订实施的《中华人民共和国个人信息保护法》配套细则，处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，且同意需单独作出、可追溯，留存期限不少于个人信息处理活动结束后3年。A.12B.14C.16D.182.2026年生效的《网络数据安全管理条例》补充规定，重要数据处理者应当每（）开展一次全面数据安全风险评估，评估报告需同步报所在地设区的市级以上网信部门备案。A.6个月B.12个月C.18个月D.24个月3.下列个人信息中，不属于敏感个人信息的是（）。A.人脸信息B.医疗健康记录C.公开的政务公示信息D.金融账户信息4.按照数据分类分级国家标准，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、国民经济命脉、重要民生、重大公共利益的数据属于（）。A.一般数据B.重要数据C.核心数据D.商业秘密数据5.某企业客服人员为提升客户回访效率，私自将工作系统内存储的1200条客户手机号、消费记录导出到个人云盘，该行为违反了个人信息处理的（）原则。A.最小必要B.公开透明C.知情同意D.权责一致6.根据《数据出境安全评估办法》2025年修订版，数据处理者向境外提供重要数据，或者累计向境外提供超过（）人以上个人信息（不含敏感个人信息）的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。A.10万B.50万C.100万D.200万7.企业发生个人信息泄露事件后，应当立即启动应急预案，采取补救措施，并按照规定在（）小时内将事件情况、可能的危害、已采取的补救措施等告知履行个人信息保护职责的部门。A.8B.24C.48D.728.下列关于个人信息匿名化的说法，正确的是（）。A.匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程B.匿名化后的信息仍然属于个人信息范畴C.去标识化等同于匿名化D.匿名化处理后的信息无需采取安全防护措施9.按照《个人信息保护合规审计管理办法》要求，处理超过（）人个人信息的处理者，应当每年至少开展一次个人信息保护合规审计。A.10万B.50万C.100万D.1000万10.企业数据安全第一责任主体是（），对本单位的数据安全和个人信息保护工作负全面领导责任。A.数据安全管理部门负责人B.法定代表人/主要负责人C.信息技术部门负责人D.合规部门负责人11.下列关于员工办公终端数据安全管理要求，错误的是（）。A.办公终端需安装企业统一部署的终端安全管理、数据防泄漏（DLP）系统B.因工作需要临时使用个人U盘拷贝工作数据的，需经部门审批并做好查杀记录，使用后及时删除本地副本C.可将办公系统账号密码告知临时顶岗的同事，方便业务开展D.离开办公工位时需锁定终端屏幕，涉密、敏感数据文档不得长期存放于桌面12.处理敏感个人信息应当取得个人的（）同意，法律、行政法规规定应当取得书面同意的，从其规定。A.概括B.单独C.默认D.口头13.2026年监管部门重点整治的“大数据杀熟”行为，本质上违反了个人信息处理中的（）要求。A.保证个人信息质量B.自动化决策透明度和公平公正C.个人信息留存期限最小化D.公开处理规则14.重要数据处理者应当明确数据安全负责人和管理机构，数据安全负责人应当具备数据安全专业知识和相关管理工作经历，且在任职后（）个工作日内向监管部门报备。A.5B.10C.15D.2015.下列不属于个人信息主体法定权利的是（）。A.知情权、决定权B.查阅、复制、更正、补充个人信息的权利C.要求企业无偿删除其所有留存个人信息的无理由删除权D.对个人信息处理活动限制或者拒绝的权利16.对于企业内部数据访问权限管理，下列做法正确的是（）。A.为提升工作效率，给新入职员工开放系统全量数据访问权限B.按照“最小权限、按需授权、定期复核”原则分配权限，岗位变动时及时调整权限C.运维人员因系统维护需要，可长期持有核心业务数据库的最高权限D.员工离职后账号可保留3个月方便交接工作17.根据2025年最高法、最高检发布的关于办理侵犯公民个人信息刑事案件适用法律若干问题的补充解释，非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息（）条以上的，即构成侵犯公民个人信息罪“情节严重”标准。A.5B.50C.100D.50018.企业开发面向消费者的应用程序（App）时，下列做法符合合规要求的是（）。A.首次启动时默认获取通讯录、位置、相机权限，用户拒绝后直接退出应用B.以改善服务体验为由，强制收集用户设备MAC地址、应用安装列表等与现有服务场景无关的信息C.针对个性化推荐功能提供显著的关闭选项，关闭后不得继续基于用户个人特征推送定向内容D.隐私政策放置在应用设置的四级菜单下，用户查找阅读路径超过3次点击19.数据安全事件分级中，造成100万人以上个人信息泄露，或者可能对省级以上区域公共利益造成严重影响的事件属于（）。A.一般事件B.较大事件C.重大事件D.特别重大事件20.企业委托第三方处理个人信息时，下列做法不符合合规要求的是（）。A.与第三方签订委托处理协议，明确约定处理目的、期限、处理方式、个人信息种类、保护措施以及双方权利义务B.对第三方的数据安全防护能力开展事前评估，评估合格后方可开展合作C.委托关系结束后，第三方可自行留存处理过程中获取的个人信息用于自身业务拓展D.对第三方的个人信息处理活动进行定期监督，发现违规行为及时要求整改二、多项选择题（共10题，每题2分，每题有2个及以上正确答案，多选、少选、错选均不得分）1.个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列哪些事项？（）A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使法定权利的方式和程序D.个人信息处理的收费标准2.下列属于数据全生命周期安全管理环节的有（）。A.数据收集B.数据存储C.数据使用D.数据加工E.数据传输F.数据提供G.数据公开H.数据销毁3.企业日常工作中，下列哪些行为存在数据安全和个人信息保护风险？（）A.通过个人微信、QQ等即时通讯工具传输包含客户身份证号、银行卡号的业务文档B.将包含敏感经营数据、员工个人信息的废弃纸质文档直接扔入公共垃圾桶C.在外网论坛、社交媒体发布工作相关内容时，提前进行脱敏审查，不涉及未公开的业务数据和用户信息D.使用公共Wi-Fi登录企业内部业务系统，且未开启企业VPN加密通道4.关于数据出境合规路径，2026年我国现行制度框架下认可的合规方式有（）。A.通过国家网信部门组织的数据出境安全评估B.经专业机构开展个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.企业自行评估风险后直接出境，无需履行任何报备手续5.下列哪些岗位属于企业数据安全关键岗位，应当开展上岗前背景审查、定期安全培训和权限审计？（）A.核心数据库运维人员B.个人信息保护合规专员C.客户信息系统开发管理员D.行政前台接待人员6.自动化决策应用场景下，企业应当遵守的合规要求有（）。A.保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇B.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式C.通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定D.自动化决策算法模型无需向监管部门报备，可根据业务需要随时调整对用户的判定规则7.企业数据安全应急预案应当涵盖下列哪些内容？（）A.数据安全事件应急处置组织架构、职责分工B.不同级别数据安全事件的分级响应流程C.事件溯源、风险研判、危害控制、用户告知、监管上报的具体操作规范D.事后整改、责任追溯、全员教育的工作机制8.下列关于敏感个人信息处理的说法，正确的有（）。A.只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息B.处理敏感个人信息除履行一般告知义务外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响C.为维护公共卫生安全在紧急情况下处理敏感个人信息，无需取得个人同意，事后也无需补充告知D.敏感个人信息的存储应当采取加密、去标识化等安全技术措施9.企业在收集个人信息时，符合最小必要原则的做法有（）。A.外卖类App仅在用户使用配送定位功能时申请位置权限，不强制常驻授权B.网络招聘平台仅收集求职者简历中的必要身份、学历、工作经历信息，不强制要求用户填写婚姻状况、生育计划等与招聘无关的信息C.电商类App在用户结算环节仅收集收货地址、联系人、支付必要信息，不强制要求用户提供人脸、指纹等生物识别信息作为支付验证方式D.短视频App默认读取用户全部通讯录、短信内容，用于“推荐可能认识的人”功能10.下列哪些情形，企业可能面临监管部门的行政处罚，甚至被追究刑事责任？（）A.未按规定开展数据安全风险评估，导致10万条以上用户个人信息被非法窃取B.过度收集用户个人信息经责令整改拒不改正，造成恶劣社会影响C.发生数据泄露事件后隐瞒不报，未及时采取补救措施导致危害扩大D.按照法定要求配合监管部门的个人信息保护监督检查，如实提供相关资料三、判断题（共10题，每题1分，对的打√，错的打×）1.个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等活动。（）2.企业对收集的用户个人信息进行去标识化处理后，无需对去标识化后的信息采取安全防护措施，可随意对外提供。（）3.为应对突发公共卫生事件或紧急情况下保护自然人的生命健康和财产安全，处理个人信息无需取得个人同意，但应当在紧急情况消除后及时告知个人处理情况。（）4.企业内部员工因工作需要查询用户个人信息时，只要有查询权限就可以随意查询、下载全量用户信息，无需履行审批流程。（）5.任何组织、个人不得非法收集、存储、使用、加工、传输、提供、公开他人个人信息，不得从事危害国家安全、公共利益的个人信息处理活动。（）6.企业将合法收集的个人信息用于学术研究、公共利益统计等目的时，无需经过个人同意，但研究结果对外发布时必须经过严格匿名化处理，无法识别特定自然人且不能复原。（）7.员工离职时，应当立即收回其所有业务系统访问权限，督促其交还存储工作数据的设备介质，删除其个人设备上留存的所有工作相关数据，并做好离职保密承诺签署。（）8.数据安全防护只需要做好技术层面的防火墙、入侵检测系统部署即可，无需建立配套的管理制度和人员培训机制。（）9.个人信息处理者提供的个人信息处理规则发生重大变更的，应当重新告知个人并取得个人同意。（）10.小微企业因为用户规模小、数据量少，不需要履行数据安全和个人信息保护义务。（）四、简答题（共3题，每题10分，共30分）1.请结合自身岗位实际，简述日常工作中应当遵守哪些个人信息保护操作规范，至少列出5条。2.当发现工作中疑似发生数据泄露、个人信息非法外传等安全事件时，应当按照什么流程处置？3.简述数据分类分级工作对企业数据安全管理的意义，以及一般数据、重要数据、核心数据对应的基本防护要求。五、案例分析题（共2题，每题15分，共30分）1.2026年3月，某连锁零售企业被消费者投诉：该企业线上商城App在用户首次打开时，默认强制开启位置、通讯录、相机、麦克风4项权限，用户如果拒绝授权就无法进入商城浏览商品；同时有用户发现，该企业利用积累的用户消费记录、浏览轨迹数据，对新老用户实行差别定价——同样的商品、同样的配送地址，老用户账号显示的价格比新注册用户高15%-25%，且App内未找到关闭个性化定价的选项。经查，该企业从未针对个人信息处理活动开展过合规审计，用户隐私政策自2023年上线后从未更新，也未指定专门的个人信息保护负责人。问题：（1）该企业的行为存在哪些违法违规点？（9分）（2）针对这些问题，企业应当采取哪些整改措施？（6分）2.某单位市场部员工张某为了方便做客户营销方案，在未向部门和数据管理部门申请审批的情况下，私自通过自己的系统账号批量导出2024-2025年共12万条客户姓名、手机号、消费记录、收货地址等信息，存储到个人移动硬盘中；后续张某在非工作需要的场合，将该硬盘借给朋友王某使用，王某将其中的8万条客户信息转卖给某电诈团伙，导致多名客户接到诈骗电话，累计经济损失超过200万元。问题：（1）张某的行为违反了哪些数据安全管理规定？（8分）（2）针对该事件暴露出的管理漏洞，单位应当从哪些方面完善管控机制？（7分）参考答案一、单项选择题1.B2.B3.C4.C5.A6.C7.D8.A9.C10.B11.C12.B13.B14.B15.C16.B17.A18.C19.D20.C二、多项选择题1.ABC2.ABCDEFGH3.ABD4.ABC5.ABC6.ABC7.ABCD8.ABD9.ABC10.ABC三、判断题1.√2.×3.√4.×5.√6.√7.√8.×9.√10.×四、简答题1.答题要点（答对任意5条及以上即可得满分，结合岗位表述合理即可酌情给分）：（1）严格按照岗位权限访问业务数据，不越权查询、下载与本职工作无关的用户信息、业务敏感数据；（2）传输工作敏感数据、个人信息时使用企业指定的加密传输渠道，不通过个人微信、QQ、私人邮箱、个人云盘等非授权渠道传输涉敏数据；（3）办公终端定期更新系统补丁，不随意点击陌生邮件链接、下载非工作来源的软件，防止终端被植入恶意程序导致数据泄露；（4）纸质敏感文档使用后及时入柜上锁，废弃纸质文档使用碎纸机销毁，不随意丢弃到公共垃圾桶；（5）对外发布工作内容、开展数据对外提供前，严格履行数据脱敏和审批流程，不擅自公开、对外提供未脱敏的个人信息和企业敏感数据；（6）不将自己的业务系统账号、密码转借他人使用，定期更换账号密码，不使用弱密码；（7）离开工位时及时锁定办公终端屏幕，不将包含敏感数据的文档敞开放置在办公桌面；（8）发现数据安全隐患、疑似泄露事件第一时间向本单位数据安全管理部门报告，不隐瞒、不私自处置。2.答题要点：（1）第一时间采取止损措施：立即停止可能导致泄露扩大的操作，断开涉事设备网络（如有必要），留存操作日志、设备状态等初始证据，不得随意篡改、删除相关操作记录；（2）第一时间上报：按照单位数据安全事件上报流程，立即向本部门负责人、数据安全管理/合规部门报告事件基本情况，包括发现时间、涉事数据类型、预估影响范围、已采取的临时措施等，不得迟报、瞒报；（3）配合溯源调查：在数据安全管理部门指导下，配合开展事件溯源、影响范围研判工作，如实提供相关操作记录、信息，协助排查风险点；（4）参与后续处置：根据事件处置要求，配合做好用户告知、监管上报、漏洞整改等后续工作，不得私自对外泄露事件相关信息，避免引发舆情风险。3.答题要点：意义：数据分类分级是数据安全管理的核心基础工作，能够帮助企业厘清数据资产底数，针对不同级别数据匹配差异化的安全防护措施，实现“重点数据重点防护”，避免防护资源不足或过度防护问题，同时满足合规监管要求，降低数据安全事件风险。防护要求：（1）一般数据：采取基本防护措施，做好访问控制、常规安全审计，防止数据被非法篡改、获取，保障数据合法合规使用；（2）重要数据：在一般数据防护基础上，采取增强防护措施，明确专门管理责任人，定期开展风险评估，严格控制访问权限，对数据传输、存储、对外提供环节采取加密、全流程审计措施，数据出境需按要求履行申报程序；（3）核心数据：在重要数据防护基础上，采取最高等级防护措施，实行严格的专人管理、权限专控，原则上禁止对外提供、出境，存储采取物理隔离等强防护手段，对所有访问操作实施全程留痕、实时监控，定期开展专项攻防演练和安全检查。五、案例分析题1.答题要点：（1）违规点（每点3分，共9分）：①违反个人信息处理最小必要原则和知情同意要求：强制用户授权与服务无关的位置、通讯录、相机、麦克风权限，拒绝授权即拒绝提供服务，属于过度收集个人信息、强制索权行为；②违反自动化决策公平公正要求：利用用户个人数据开展“大数据杀熟”，对同等交易条件的用户实行差别定价，且未提供个性化推荐/定价的关闭选项，侵害消费者公平交易权；③违反法定个人信息保护管理义务：未按规定定期开展个人信息保护合规审计，未及时更新隐私政策，未指定专门的个人信息保护负责人，安全管理机制缺失。（2）整改措施（每点2分，共6分）：①立即整改App权限申请逻辑，仅在业务功能必要时申请对应权限，不得强制用户授权非必要权限，提供拒绝权限后仍可使用基础服务的选项；梳理个人信息收集清单，删除与服务无关的个人信息收集项，更新隐私政策并以显著方式告知用户，明确各类信息的处理目的、方式；②调整算法决策规则，取消不合理的差别定价机