2026年个人信息保护合规审核员考试题

2026年个人信息保护合规审核员考试题一、单项选择题（每题1分，共20分）1.根据《个人信息保护法》，下列哪项不属于个人信息？A.手机号码B.匿名化处理后的消费记录C.身份证号码D.人脸图像答案：B解析：匿名化处理后的信息无法识别特定自然人且不能复原，不属于个人信息。2.下列哪项属于敏感个人信息？A.姓名B.电子邮箱C.宗教信仰D.工作单位答案：C解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。3.处理不满十四周岁未成年人个人信息，应当取得谁的同意？A.未成年人本人B.未成年人的父母或者其他监护人C.学校D.无需同意答案：B4.根据《个人信息保护法》，个人信息处理者向境外提供个人信息，不需要履行下列哪项义务？A.取得个人单独同意B.进行个人信息保护影响评估C.告知境外接收方相关信息D.向网信部门报告答案：D解析：向网信部门报告并非所有出境场景均需履行的义务，只有安全评估申报或标准合同备案等特定情形需要。5.个人信息处理者处理个人信息达到国家网信部门规定数量的，应当指定什么？A.数据安全官B.个人信息保护负责人C.首席合规官D.网络安全管理员答案：B解析：处理100万人以上个人信息的处理者应当指定个人信息保护负责人。6.根据《个人信息保护法》，个人信息保存期限应当为？A.至少保存三年B.实现处理目的所必要的最短时间C.由个人决定D.长期保存答案：B7.下列哪一种情形不属于个人有权请求删除个人信息的情形？A.处理目的已实现B.保存期限已届满C.个人撤回同意D.处理者认为删除影响其业务答案：D8.关于委托处理个人信息，下列说法错误的是？A.受托人应按约定处理个人信息B.受托人不得擅自转委托C.委托合同终止后受托人应删除个人信息D.受托人可将个人信息用于自身业务答案：D9.个人信息处理者发生个人信息泄露时，下列哪项不是必须通知个人的事项？A.泄露的信息种类B.泄露原因C.处理者内部责任人姓名D.补救措施答案：C10.根据《数据安全法》，国家建立什么制度？A.数据分类分级保护制度B.数据加密制度C.数据跨境自由流动制度D.数据本地化存储制度答案：A11.处理敏感个人信息时，下列哪项要求是正确的？A.无需个人同意B.取得个人单独同意C.取得书面同意即可D.默示同意即可答案：B解析：处理敏感个人信息应当取得个人单独同意，且需告知必要性及对个人权益的影响。12.根据《个人信息保护法》，个人信息处理者应当定期开展什么工作？A.个人信息安全影响评估B.个人信息保护合规审计C.数据出境安全评估D.个人信息保护认证答案：B13.下列哪项属于个人信息主体的合法权利？A.数据可携带权B.数据垄断权C.数据遗弃权D.数据所有权答案：A14.关于自动化决策，下列说法错误的是？A.应当保证决策透明和结果公平B.不得对个人在交易价格上实行不合理的差别待遇C.进行商业营销时应提供不针对个人特征的选项D.可以完全拒绝个人行使拒绝权答案：D15.国家网信部门规定的重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当成立什么机构？A.合规部门B.独立监督机构C.审计委员会D.数据安全委员会答案：B16.根据《数据出境安全评估办法》，处理多少万人以上个人信息的信息处理者向境外提供个人信息，应当申报数据出境安全评估？A.10万B.50万C.100万D.500万答案：C17.个人信息保护影响评估应当包括下列哪项内容？A.个人信息的处理目的、处理方式等是否合法、正当、必要B.对个人权益的影响及安全风险C.所采取的保护措施是否合法、有效并与风险程度相适应D.以上全部答案：D18.根据《个人信息保护法》，个人信息处理者通过自动化决策方式向个人进行商业营销，应当提供什么？A.优惠折扣B.不针对其个人特征的选项或者便捷的拒绝方式C.免费会员D.优先服务答案：B19.个人信息处理者合并、分立后，继续处理个人信息的，应当由谁继续履行义务？A.原处理者B.变更后的主体C.第三方D.个人自行负责答案：B20.下列哪项不属于个人信息处理者的安全保护义务？A.制定内部管理制度B.对个人信息分类管理C.采取加密、去标识化等安全技术措施D.任意对外提供个人信息答案：D二、多项选择题（每题2分，共20分）1.根据《个人信息保护法》，处理个人信息应当遵循的原则包括哪些？A.合法、正当、必要、诚信原则B.公开、透明原则C.质量原则D.责任与安全原则答案：ABCD2.下列哪些情形属于处理个人信息时应当取得个人单独同意的情形？A.向其他个人信息处理者提供个人信息B.公开个人信息C.处理敏感个人信息D.向境外提供个人信息答案：ABCD解析：根据《个人信息保护法》第23条、第25条、第29条、第39条，上述情形均需取得个人单独同意。3.个人信息保护影响评估的触发情形包括哪些？A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息D.向境外提供个人信息答案：ABCD解析：依据《个人信息保护法》第55条，上述情形均属于应当事先进行个人信息保护影响评估的情形。4.个人在个人信息处理活动中的权利包括哪些？A.知情权、决定权B.查阅、复制权C.更正、删除权D.要求解释说明权答案：ABCD5.发生个人信息泄露时，个人信息处理者应当立即采取哪些措施？A.采取补救措施B.通知履行个人信息保护职责的部门和个人C.隐瞒事件信息D.记录事件过程答案：ABD6.个人信息处理者向境外提供个人信息，应当具备哪些条件？A.通过国家网信部门安全评估B.经专业机构进行个人信息保护认证C.与境外接收方签订标准合同D.取得个人单独同意答案：ABCD解析：A、B、C为《个人信息保护法》第38条规定的合法出境途径，D为第39条要求的必须履行的义务。7.下列哪些属于敏感个人信息？A.生物识别信息B.医疗健康信息C.金融账户信息D.行踪轨迹信息答案：ABCD8.个人信息处理者委托处理个人信息，应当与受托人约定哪些内容？A.处理目的、期限B.处理方式、个人信息种类C.保护措施D.双方权利义务答案：ABCD解析：《个人信息保护法》第21条规定，委托处理应当约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等。9.根据《个人信息保护法》，履行职责的个人信息保护部门可以采取哪些措施？A.询问当事人B.查阅、复制有关资料C.实施现场检查D.查封、扣押有关物品答案：ABCD解析：依据《个人信息保护法》第63条，上述措施均属于履行个人信息保护职责的部门可以采取的措施。10.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计，审计内容可包括哪些方面？A.处理活动的合法性B.安全保障措施的有效性C.个人信息主体权利保障情况D.个人信息保护负责人履职情况答案：ABCD三、判断题（每题1分，共10分）1.匿名化处理后的信息不属于个人信息。答案：正确2.处理个人信息必须取得个人同意，无例外情形。答案：错误解析：《个人信息保护法》第13条规定了除同意之外的其他合法性基础，如为订立、履行合同所必需，为履行法定职责或法定义务所必需等。3.不满十四周岁未成年人的个人信息属于敏感个人信息。答案：正确4.个人信息处理者可以因个人拒绝提供非必要个人信息而拒绝提供服务。答案：错误解析：除处理属于提供产品或者服务所必需的以外，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务。5.个人信息保护影响评估报告和处理情况记录应当至少保存三年。答案：正确解析：《个人信息保护法》第56条规定，个人信息保护影响评估报告和处理情况记录应当至少保存三年。6.个人信息处理者委托处理个人信息，应当取得个人单独同意。答案：错误解析：委托处理不属于对外提供，无需取得个人单独同意，但应当与受托人签订委托合同，并对受托人的处理活动进行监督。7.经去标识化处理后的个人信息，可以不经过个人同意用于其他目的。答案：错误解析：去标识化后的信息仍属于个人信息，用于其他目的需要重新取得个人同意或符合法定的其他合法性基础。匿名化处理后的信息才不属于个人信息。8.个人信息处理者向境外提供个人信息，必须通过国家网信部门安全评估。答案：错误解析：向境外提供个人信息还可以通过专业机构认证或签订标准合同等途径，并非必须通过安全评估。9.个人信息处理者处理敏感个人信息应当事前进行个人信息保护影响评估。答案：正确10.个人信息处理者发生个人信息泄露事件，如果已经采取补救措施，可以不通知个人。答案：错误解析：发生个人信息泄露、篡改、丢失时，除采取补救措施外，还应当通知履行个人信息保护职责的部门和个人，除非法律、行政法规另有规定。四、简答题（每题5分，共20分）1.简述个人信息处理者委托处理个人信息时，应当与受托人约定哪些内容？答案：应当约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息，并应采取必要措施保障个人信息安全。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。2.简述个人信息保护影响评估应当包括哪些内容？答案：(1)个人信息的处理目的、处理方式等是否合法、正当、必要；(2)对个人权益的影响及安全风险；(3)所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。3.简述个人信息处理者向境外提供个人信息应当具备哪些条件？答案：应当具备下列条件之一：(1)通过国家网信部门组织的安全评估；(2)经专业机构进行个人信息保护认证；(3)按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；(4)法律、行政法规或者国家网信部门规定的其他条件。同时，还应当取得个人的单独同意，并告知个人境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序等事项。4.简述个人信息保护合规审计的主要步骤。答案：一般包括：(1)制定审计计划，确定审计范围、方法和时间安排；(2)收集审计证据，通过访谈、文档审阅、系统检测等方式获取合规证据；(3)评价合规性，对照法律法规和内部制度识别差距与风险；(4)出具审计报告，提出整改建议；(5)跟踪整改落实，确保问题闭环。审计过程应保持独立性和客观性，审计人员应具备相应专业能力。五、案例分析题（每题15分，共30分）1.某App运营公司为提升用户体验，在用户注册时收集用户姓名、手机号、位置信息、通讯录等，但隐私政策中未明确告知收集位置信息和通讯录的目的和范围。后该公司将用户个人信息出售给第三方广告商，未取得用户同意。同时，该公司将部分用户数据存储在境外云服务器上，未进行任何出境安全评估或认证。请分析该公司存在哪些违法违规行为？并说明应承担的法律责任及整改措施。答案：(1)违法违规行为：-未明确告知收集个人信息的目的、方式和范围，违反《个人信息保护法》关于告知同意的规定；-将用户个人信息出售给第三方广告商，属于向其他个人信息处理者提供个人信息，未取得用户单独同意，违反《个人信息保护法》第23条；-处理位置信息、通讯录等敏感个人信息未取得用户单独同意，且未告知必要性和对个人权益的影响，违反敏感个人信息处理规则；-向境外提供个人信息未履行出境安全评估、认证或签订标准合同等合法程序，也未取得个人单独同意，违反《个人信息保护法》第38条、第39条。(2)法律责任：-根据《个人信息保护法》第66条，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；情节严重的，并可责令暂停相关业务、停业整顿、吊销相关业务许可或者营业执照，处五千万元以下或者上一年度营业额百分之五以下罚款；-对直接负责的主管人员和其他直接责任人员可处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。(3)整改措施：-立即停止非法收集、出售个人信息的行为，删除或匿名化处理未经合法授权提供的个人信息；-完善隐私政策，明确告知各项信息处理目的、方式、范围，获取用户明确同意；-对敏感个人信息的处理进行单独告知并取得单独同意；-对跨境数据传输进行安全评估或采用标准合同、认证等合法途径，并取得个人单独同意；-开展个人信息保护影响评估，建立并完善个人信息保护内部管理制度，指定个人信息保护负责人；-对已发生的违规行为及时采取补救措施，并通知用户和履行个人信息保护职责的部门。解析：本案例综合考察了个人信息处理的告知同意、对外提供、敏感个人信息处理、跨境提供等核心合规义务，以及违法行为的行政处罚责任。分析时应逐项对照《个人信息保护法》具体条款，做到违法事实、法律依据、责任后果一一对应。2.某大型电商平台（处理用户个人信息超过100万人）计划向境外母公司传输用户订单数据，涉及用户姓名、地址、电话、购买记录等。该平台认为已获得用户同意，无需申报安全评估。请分析该平台是否需要进行数据出境安全评估？为什么？如未申报可能面临什么后果？答案：(1)该平台需要进行数据出境安全评估。理由如下：-根据