2026年数据安全知识测试题带答案

2026年数据安全知识测试题带答案一、单项选择题（每题只有1个正确答案）1.根据2025年落地实施的《生成式人工智能服务数据安全管理规范》，生成式AI服务提供者训练模型时使用已公开的个人信息，以下哪种操作符合合规要求？A.直接批量爬取社交平台公开个人信息训练，无需告知信息主体B.仅爬取公开信息中已经脱敏处理无法识别到特定自然人的内容，且未超出公开使用的合理范围C.只要获得平台授权就可以直接使用所有公开个人信息训练D.只要信息主体没有主动投诉就可以默认获得授权使用2.某企业开展重要数据识别工作，根据《数据安全法》及2025年更新的《重要数据识别目录指引》，以下不属于重要数据范畴的是？A.覆盖百万级人口的地级市交通出行实时监测数据B.某连锁餐饮企业对外公开的全国门店地址汇总表C.国家级水利枢纽的水位调度核心运行数据D.某生物科技企业掌握的我国特有畜禽遗传资源基因序列数据3.根据《个人信息保护法》及最新适用规则，处理不满多少周岁未成年人个人信息应当取得未成年人的父母或者其他监护人的单独同意，且需要专门制定个人信息处理规则？A.12B.14C.16D.184.某跨境电商企业拟向境外提供10万条境内消费者的个人信息，根据2026年现行生效的跨境数据传输监管规则，以下哪种路径不符合合规要求？A.通过国家网信部门组织的安全评估完成出境B.按照标准合同完成备案后出境C.经境外企业承诺保护数据后直接出境，未履行任何备案或评估程序D.经由具备个人信息保护认证资质的机构认证后出境5.根据《生成式人工智能服务数据安全管理规范》，生成式人工智能服务使用者要求服务提供者删除其输入的涉及个人信息的提示词内容时，服务提供者应当在多少个工作日内完成删除，且不得将该内容继续用于模型训练？A.3B.7C.10D.156.某互联网平台开展个性化推荐服务，根据《个人信息保护法》的要求，以下做法正确的是？A.平台默认勾选同意个性化推荐，用户主动取消才能关闭B.平台仅提供一键关闭个性化推荐，不提供针对不同维度的精准化关闭选项C.平台明确告知用户个性化推荐的信息使用范围，同时提供一键关闭功能和分场景关闭选项D.平台以提升服务质量为由，在用户关闭个性化推荐后继续使用用户的浏览记录开展推荐7.根据《数据安全管理办法》最新要求，关键信息基础设施运营者应当至少多久开展一次全范围的数据安全风险评估，并将评估报告报送相关主管部门？A.半年B.一年C.两年D.三年8.某企业发生了数据安全事件，造成10万条以上个人信息泄露，该企业应当在发现事件后多长时间内向属地网信部门和有关主管部门报告？A.12小时内B.24小时内C.48小时内D.72小时内9.以下哪种数据不属于《数据出境安全评估办法》规定的应当申报数据出境安全评估的情形？A.处理100万人个人信息的运营者向境外提供个人信息B.向境外提供重要数据C.向境外提供累计超过10万人个人信息D.国家网信部门规定的其他应当申报评估的情形10.企业开展数据处理活动，关于数据分级分类的要求，以下说法正确的是？A.数据分级分类仅需要在企业成立的时候做一次，后续不需要更新B.数据分级分类应当根据业务变化、数据数量和重要性变化动态调整C.只要符合国家通用分类标准，不需要结合企业自身业务特点调整D.中小企业不需要做数据分级分类，只有头部企业才需要11.根据2025年出台的《医疗健康数据安全管理细则》，以下哪类医疗数据属于核心数据？A.可公开的医院出诊时间表B.特定患者的门诊病历记录C.国家重大新药创制项目的核心临床试验原始数据D.某医院年度门诊量统计数据12.大模型运营企业开放模型训练数据接口供第三方调用时，以下哪种数据防护措施不符合合规要求？A.对第三方调用者的身份进行实名认证B.针对不同等级的调用权限设置不同的访问阈值C.允许第三方无限制批量下载接口返回的个人信息内容D.对所有调用行为留存日志，日志留存时间不少于六个月13.根据《网络安全法》《数据安全法》相关规定，我国核心数据不可以通过以下哪种方式存储？A.境内加密存储B.境内分布式存储C.境外委托存储D.境内本地存储14.个人信息主体要求信息处理者提供其存储的个人信息副本，信息处理者以下做法符合要求的是？A.以商业秘密为由拒绝提供B.要求个人信息主体支付500元高额手续费才提供C.在核实身份后，以可携的格式免费提供给个人信息主体D.仅提供信息摘要，不提供完整副本15.某企业利用公开数据训练大模型，发现训练数据中包含大量非法泄露的未公开个人信息，该企业正确的做法是？A.继续使用，只要不是自己爬取的泄露信息就不用负责B.立即删除相关数据，停止用于训练，并对已训练完成的模型部分进行数据清洗排查C.仅屏蔽敏感字段后继续使用D.等待监管部门发现后再处理二、多项选择题（每题有2个及以上正确答案，多选、少选、错选均不得分）1.根据2025年实施的《生成式人工智能服务数据安全管理规范》，生成式AI服务提供者应当落实的数据安全保护义务包括以下哪些？A.建立训练数据来源审核机制，不得使用非法获取的训练数据训练模型B.对训练数据中的个人信息、敏感数据进行合规核查和必要的脱敏处理C.建立用户输入数据的安全管理制度，不得未经用户同意将用户输入的个人信息用于模型迭代训练D.定期对模型生成内容进行数据安全审核，防范生成内容泄露国家敏感信息或者他人个人隐私2.企业开展重要数据识别工作，应当遵循以下哪些原则？A.最小范围原则B.动态识别原则C.权责一致原则D.分类分级原则3.根据《个人信息保护法》，以下哪些情形处理个人信息不需要取得个人的明确同意？A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命财产安全所必需D.依照法律规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，法律另有规定的除外4.数据安全事件发生后，数据运营者应当采取以下哪些应急处置措施？A.立即停止相关数据处理活动，采取技术措施防止事件范围进一步扩大B.按照规定及时告知受到安全事件影响的个人信息主体，告知事件风险和防护方法C.对事件发生原因、影响范围、危害程度进行全面调查，形成完整的事件处置报告D.及时整改数据安全隐患，完善内部数据安全管理制度和技术防护体系5.以下属于破坏数据安全的违法行为有哪些？A.非法窃取金融机构的用户征信数据并出售牟利B.未经授权爬取头部大模型企业的训练数据用于训练同类竞品模型C.未经用户同意将用户在公开平台发布的个人内容批量收集用于大模型商业训练D.按照监管要求对用户个人信息进行脱敏处理后用于公共利益大数据分析6.根据我国跨境数据传输相关监管规定，以下哪些数据不得违规出境？A.未通过安全评估的重要数据B.我国法律明确禁止出境的核心数据C.已经按照标准合同完成备案的普通个人信息D.经过脱敏处理无法识别到特定自然人且不涉及国家利益的公开数据7.处理个人信息应当遵循的基本原则包括以下哪些？A.合法、正当、必要和诚信原则B.目的限制原则C.最小必要原则D.公开透明原则E.信息质量原则F.责任明确原则8.开展数据交易活动，以下哪些做法符合合规要求？A.数据交易前对交易标的的合法来源进行审核，不得交易非法获取的数据B.交易包含个人信息的数据时，在交易合同中明确交易双方的个人信息保护责任C.交易重要数据时，按照相关规定提前履行审批备案程序D.交易核心数据给境外机构，只要双方协商一致就可以成交9.大模型训练过程中，为了避免数据安全风险，可以采取哪些技术防护措施？A.训练数据脱敏去重技术，清理非法获取的个人敏感信息B.敏感信息过滤技术，提前过滤训练数据中的国家秘密、个人隐私内容C.模型水印溯源技术，对模型输出内容溯源，防范数据泄露D.数据访问权限控制技术，限制不同岗位人员访问训练数据的范围10.根据《数据安全法》，开展数据处理活动应当维护哪些合法权益？A.国家安全B.社会公共利益C.个人和组织的合法权益D.企业自身商业利益三、判断题（正确打√，错误打×）1.只要是已经公开的个人信息，任何机构都可以随意收集、使用，不需要遵守《个人信息保护法》的要求。2.重要数据必须存储在境内，不得向境外提供。3.生成式AI服务提供者不需要对用户输入的个人信息内容承担数据安全保护责任。4.个人信息主体有权随时撤回其同意个人信息处理的意思表示，处理者不得以此为由拒绝提供核心服务，除非处理该个人信息是提供核心服务的必需前提。5.数据分级分类保护是企业数据安全管理的基础，所有处理数据的企业都应当根据自身业务情况开展数据分级分类工作。6.中小企业因为数据量小，不需要建立数据安全管理制度，也不需要开展数据安全风险评估。7.企业向境外提供个人信息，只要和境外接收方签订了合作合同就可以直接出境，不需要向监管部门备案或者申请安全评估。8.发生个人信息泄露事件后，如果运营者能够自行补上安全漏洞，就不需要向监管部门报告，也不需要告知受影响的用户。9.处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应当取得个人的单独同意。10.大模型运营者可以将用户上传的训练数据、提示词数据默认用于自身模型的迭代训练，不需要取得用户的明确同意。四、案例分析题1.2025年10月，国内某大模型创业公司A为了快速推出通用大模型产品抢占市场，安排技术团队批量爬取了国内12家主流社交平台、知识问答平台公开的用户发布内容，其中包含超过2300万条可识别到特定自然人的个人信息，包括用户头像、昵称、地理位置、发言内容、联系方式等。A公司未对这些内容中的个人信息进行合规脱敏处理，也未告知这些用户其个人信息被用于大模型商业训练，直接将所有爬取内容投入模型训练。产品上线后，部分用户发现输入特定关键词可以检索到爬取的其他用户的隐私内容，引发大量用户投诉，对用户隐私造成了严重侵害。问题：（1）A公司的哪些行为违反了数据安全和个人信息保护相关规定？（2）A公司应当采取哪些整改措施实现合规？2.国内某连锁体检机构B，2026年年初计划和境外某生物医药研发公司C合作，开展癌症早筛技术研发合作，B机构拟将其积累的15万份境内用户的体检健康数据（含个人姓名、身份证号、家族病史、检查报告等完整个人敏感信息）提供给C公司用于抗癌药物研发。B企业负责人认为，这些数据已经用户签字同意用于医疗研发，且双方已经签订了数据合作协议，因此可以直接出境，不需要履行其他监管程序。问题：（1）B机构的做法是否符合跨境数据传输的合规要求？请说明理由。（2）B机构应当履行哪些程序才能合规向境外提供该批数据？五、参考答案（一）单项选择题答案1.B2.B3.B4.C5.B6.C7.B8.B9.C10.B11.C12.C13.C14.C15.B（二）多项选择题答案1.ABCD2.ABCD3.ABCD4.ABCD5.ABC6.AB7.ABCDEF8.ABC9.ABCD10.ABC（三）判断题答案1.×2.×3.×4.√5.√6.×7.×8.×9.√10.×（四）案例分析题答案1.（1）A公司违反规定的行为主要包括以下几点：第一，非法批量收集公开平台的个人信息用于商业训练，未遵守个人信息保护的要求。根据《个人信息保护法》《生成式人工智能服务数据安全管理规范》，处理公开个人信息应当限定在合理使用范围内，不得侵害信息主体的合法权益，A公司未经用户同意，批量收集2300万条可识别特定自然人的个人信息用于商业大模型训练，超出了公开信息的合理使用范围，违反了个人信息保护的规定。第二，未对训练数据中的个人信息进行合规脱敏处理，也未建立训练数据合规审核机制，导致模型上线后可以输出其他用户的隐私内容，未尽到数据安全保护义务。第三，未遵守用户个人信息权利保障要求，用户未获得知情权和决定权，A公司未告知用户其个人信息被用于大模型训练，也未提供删除、撤回授权的渠道，侵害了用户的法定权利。（2）A公司应当采取的整改措施包括：第一，立即停止使用非法爬取的个人信息，删除所有未合规处理的爬取数据，对已经完成训练的模型进行全量数据清洗，移除训练数据中的非法个人信息，重新上线前完成第三方安全评估，确认不存在隐私泄露风险后再对外开放服务。第二，建立完善的训练数据来源审核和个人信息保护制度，对于公开信息的使用严格限定在脱敏无法识别特定自然人的范围内，对于确需使用的可识别个人信息，按照要求取得用户的单独同意，留存同意记录。第三，建立用户个人信息权利响应机制，为被收集信息的用户提供查询、撤回同意、删除个人信息的线上线下渠道，在15个工作日内响应处理用户的合理权利诉求。第四，主动向属地网信部门报告本次数据安全事件情况，配合监管部门开展调查，按照监管要求完成全流程整改，对受影响的用户履行告知义务，对造成权益损害的用户依法承担赔偿责任。2.（1）B机构的做法不符合跨境数据传输的合规要求。理由如下：根据我国《数据出境安全评估办法》的明确规定，应当申报数据出境安全评估的情形包括三种：一是向境外提供重要数