CIPP-CN（中国区隐私保护专家）模拟试题及详细答案解析

CIPP-CN（中国区隐私保护专家）模拟试题及详细答案解析考试说明1.本套试题适配IAPPCIPP-CN认证考试核心考点，贴合国内《个人信息保护法》《网络安全法》等合规要求，题型、难度与正式考试一致。2.试题包含单选题20道、多选题10道、判断题10道、简答题3道，总分100分，答题时长120分钟。3.答案解析摒弃模板化话术，结合实际企业合规场景解读，兼顾应试性与实操性。一、单项选择题（共20题，每题2分，共40分）每题只有一个正确答案，多选、错选、不选均不得分1.根据《个人信息保护法》，下列选项中，不属于敏感个人信息的是（）A.未成年人的姓名、学籍信息B.普通人的日常出行轨迹记录C.个人常用收货地址、普通手机号D.个人既往病史、体检报告数据2.企业处理个人信息应当遵循的核心原则不包括（）A.合法、正当、必要、诚信B.公开透明、规则清晰C.最大化收集、全面留存D.保证个人信息质量准确完整3.个人信息处理者处理个人信息，一般情况下应当取得个人（）A.默示同意B.明确同意C.口头默许即可D.第三方代为同意4.针对不满14周岁未成年人的个人信息处理，下列说法正确的是（）A.可直接收集使用，无需监护人同意B.必须取得未成年人本人同意即可C.应当取得未成年人监护人的单独同意D.仅需在平台公示相关规则即可5.根据《个人信息保护法》，个人信息保存期限应当遵循的要求是（）A.永久保存，以备核查B.业务所需最短期限C.统一保存5年以上D.按企业内部制度随意设定6.下列哪种场景不属于个人信息跨境提供（）A.国内企业将用户数据传输至海外总部B.国内服务器存储的数据被境外人员远程访问C.仅在国内服务器存储、国内人员处理数据D.委托境外第三方机构处理国内用户信息7.个人信息保护影响评估（PIPIA）的适用场景是（）A.所有日常普通个人信息处理活动B.高风险个人信息处理活动C.仅针对企业对外公开的数据处理D.仅针对敏感个人信息存储行为8.个人发现企业存储的自身信息不准确时，依法享有（）A.更正、删除权B.仅查询权，无修改权限C.直接注销企业账号权限D.要求企业赔付损失的权利9.下列行为中，属于违规过度收集个人信息的是（）A.外卖APP仅收集收货地址、手机号用于配送B.手电筒APP强制获取通讯录、位置信息C.银行收集身份证信息用于实名认证D.电商平台收集订单信息用于售后10.关键信息基础设施运营者处理个人信息，存储境内个人信息应当遵循的要求是（）A.必须在境内存储B.可自由传输至境外存储C.仅重要数据境内存储，普通数据可出境D.按需选择境内外存储11.个人信息处理者发生个人信息泄露事件时，应当（）A.及时采取补救措施，告知受影响个人及监管部门B.隐瞒事件，避免企业声誉受损C.仅内部整改，无需对外告知D.30日后统一上报监管部门12.下列哪项属于匿名化处理，可脱离个人信息监管范畴（）A.隐藏手机号中间四位，可通过后台复原B.去除所有可识别个人的信息，无法复原追溯C.模糊用户头像、昵称D.遮挡身份证部分数字，留存核心标识13.企业委托第三方处理个人信息，下列说法错误的是（）A.需签订委托处理协议，明确双方权责B.无需审核第三方合规能力，可直接委托C.应当监督第三方的数据处理行为D.委托终止后，第三方需销毁或返还数据14.根据《个人信息保护法》，公益性质的个人信息处理活动（）A.完全不受法律约束B.仍需遵守合法、必要等核心合规要求C.可随意收集使用个人信息D.无需履行告知义务15.个人行使个人信息权利，企业应当在（）内作出答复A.15个工作日B.30个工作日C.60个工作日D.90个工作日16.下列不属于个人信息处理活动的是（）A.收集、存储个人信息B.加工、传输个人信息C.公开、删除个人信息D.仅查阅公开的公共政策文件17.针对个人信息自动化决策，下列说法正确的是（）A.可无差别对用户进行差异化定价B.应当保证决策公平公正，禁止大数据杀熟C.无需告知用户自动化决策规则D.用户无权拒绝自动化决策18.企业制定个人信息处理规则，应当（）A.晦涩隐蔽，隐藏在隐私协议末尾B.清晰易懂、公开透明，便于用户查阅C.仅对内公示，不对外公开D.可随时随意修改，无需告知用户19.敏感个人信息处理的核心要求是（）A.无限制收集使用B.必须具有特定目的、充分必要性，且取得单独同意C.仅需口头告知用户即可D.可用于任意商业推广场景20.个人信息处理者的主要负责人对企业个人信息保护工作（）A.无需负责，由技术人员全权负责B.承担主要管理责任C.仅承担监督责任，无直接责任D.仅对重大泄露事件负责二、多项选择题（共10题，每题3分，共30分）每题有两个及以上正确答案，少选、多选、错选均不得分1.根据《个人信息保护法》，以下属于敏感个人信息的有（）A.生物识别信息（人脸、指纹、虹膜）B.宗教信仰、民族、政治面貌C.金融账户、支付密码、征信记录D.行踪轨迹、精准定位信息2.个人享有的个人信息权益包括（）A.知情权、决定权B.查询、复制、更正权C.删除、注销账号权D.拒绝自动化决策权3.下列哪些场景需要开展个人信息保护影响评估（PIPIA）（）A.大规模收集、处理敏感个人信息B.利用个人信息进行自动化决策C.个人信息跨境提供活动D.普通用户信息的日常备份存储4.企业处理个人信息前，应当向个人告知的内容包括（）A.企业主体名称、联系方式B.个人信息处理目的、方式、范围C.信息保存期限、用户维权渠道D.企业全部商业运营机密5.个人信息泄露后，企业应当采取的补救措施有（）A.立即阻断泄露渠道，排查泄露范围B.及时告知受影响用户风险及防护方式C.向监管部门如实上报事件情况D.篡改泄露数据记录，掩盖问题6.以下属于违规处理个人信息的行为有（）A.未经同意擅自推送商业营销短信B.超业务范围收集、留存用户信息C.未经授权向第三方倒卖用户数据D.按用户要求删除过期个人信息7.个人信息跨境传输的合法路径包括（）A.通过安全评估B.通过认证机构合规认证C.签订标准合同条款D.私自直接传输至境外8.匿名化与去标识化的区别，说法正确的有（）A.匿名化数据无法复原，不属于个人信息B.去标识化数据可通过信息复原识别个人C.二者均完全脱离合规监管范围D.去标识化数据仍属于个人信息范畴9.企业个人信息内部管理制度应当包含的内容有（）A.数据分级分类管理规则B.员工数据操作权限管控机制C.数据泄露应急处置预案D.用户权益响应处理流程10.针对未成年人个人信息保护，特殊要求包括（）A.不得向未成年人推送不良信息B.处理未成年人信息需监护人单独同意C.优先保障未成年人信息安全，严控数据流转D.可随意收集未成年人隐私信息用于营销三、判断题（共10题，每题1分，共10分）正确选对，错误选错1.公开的个人信息，企业可随意收集、使用、传播，无需合规约束。（）2.个人同意后，可随时撤回个人信息处理的同意授权。（）3.企业委托第三方处理数据，所有合规责任均由第三方承担，委托方无需负责。（）4.敏感个人信息处理必须有特定、合理的业务目的，不能泛化收集。（）5.自动化决策可以针对老用户设置更高定价，实现商业利益最大化。（）6.个人信息保存到期后，企业应当及时删除或匿名化处理。（）7.小额、日常的个人信息处理活动，完全不需要遵循告知同意原则。（）8.境内产生的个人信息，未经合规流程不得擅自跨境传输。（）9.匿名化处理后的数据分析结果，不受个人信息相关法律约束。（）10.用户投诉个人信息侵权问题，企业可以无故拖延、拒绝答复。（）四、简答题（共3题，每题6-7分，共20分）1.简述个人信息与敏感个人信息的核心区别，以及合规处理的核心差异。（6分）2.简述企业发生个人信息安全事件后的完整处置流程。（7分）3.简述大数据“杀熟”的合规风险及企业规避措施。（7分）完整答案及详细解析一、单项选择题答案及解析1.答案：C解析：普通收货地址、手机号属于常规个人信息，不属于敏感个人信息。敏感个人信息特指一旦泄露、滥用会严重危害人身财产安全、侵害人格尊严的信息，包含未成年人信息、医疗健康、行踪轨迹、生物识别等，ABD均为敏感信息。2.答案：C解析：个人信息处理遵循“最小必要”原则，禁止最大化收集、过度留存。合法正当、公开透明、保障信息质量均为法定核心原则。3.答案：B解析：《个保法》明确，除法定豁免场景外，处理个人信息必须取得个人明确同意，默示同意、口头默许均不符合合规要求。4.答案：C解析：14周岁以下未成年人无完全民事行为能力，处理其个人信息必须取得监护人单独同意，仅未成年人本人同意无效。5.答案：B解析：严格遵循最小留存原则，个人信息仅可在业务必需的最短期限内保存，业务终止后需及时清理，禁止无理由永久留存。6.答案：C解析：个人信息跨境提供的核心是数据流出境内、被境外主体获取或处理。仅境内存储、境内人员处理，不属于跨境行为。7.答案：B解析：个人信息保护影响评估（PIPIA）是法定强制评估，仅针对高风险个人信息处理活动，普通日常处理无需开展。8.答案：A解析：个人对自身不准确、不完整的个人信息，依法享有更正、删除的权利，这是个人核心信息权益。9.答案：B解析：手电筒APP的核心功能无需通讯录、位置信息，强制获取属于典型的过度收集个人信息，违背最小必要原则。其余选项均为业务必需的合规收集行为。10.答案：A解析：关键信息基础设施运营者的境内个人信息，法定要求境内存储，严禁擅自境外存储、跨境传输。11.答案：A解析：发生数据泄露后，企业必须第一时间补救、告知用户、上报监管，隐瞒、拖延均属于严重违规行为。12.答案：B解析：匿名化的核心是无法复原、无法识别特定个人。可复原的脱敏、遮挡操作仅为去标识化，仍属于个人信息。13.答案：B解析：企业委托第三方处理数据前，必须审核其合规能力、安全资质，签订合规协议，全程监督，并非可直接委托。14.答案：B解析：所有个人信息处理活动，无论商业、公益性质，均必须遵守《个保法》核心合规要求，无豁免特权。15.答案：B解析：个人提出信息查询、更正、删除等权益申请后，企业需在30个工作日内完成核查并答复。16.答案：D解析：个人信息处理包含收集、存储、加工、传输、公开、删除等全流程，查阅公共文件不涉及任何个人信息操作，不属于该范畴。17.答案：B解析：自动化决策必须公平公正，禁止大数据杀熟、差异化歧视定价，用户有权知晓规则并拒绝该类决策。18.答案：B解析：个人信息处理规则、隐私政策必须清晰易懂、公开公示，修改后需主动告知用户，不得隐蔽、随意变更。19.答案：B解析：敏感个人信息风险极高，处理必须满足三大条件：特定目的、充分必要、个人单独同意，严禁随意使用。20.答案：B解析：企业主要负责人是个人信息保护第一责任人，对企业整体合规工作、数据安全事件承担主要管理责任。二、多项选择题答案及解析1.答案：ABCD解析：《个保法》明确列举的敏感个人信息包含生物识别、宗教信仰、金融信息、行踪轨迹、医疗健康、未成年人信息等，四项均符合。2.答案：ABCD解析：个人完整信息权益包含知情、决定、查询、复制、更正、删除、注销、拒绝自动化决策等全部权利。3.答案：ABC解析：大规模敏感信息处理、自动化决策、跨境传输均为法定强制PIPIA场景。普通数据日常备份风险极低，无需评估。4.答案：ABC解析：告知内容为用户知情权核心，包含主体信息、处理规则、保存期限、维权渠道等，无需告知企业商业机密。5.答案：ABC解析：数据泄露后需止损、告知、上报、整改，篡改记录、掩盖问题属于加重违规行为，严禁操作。6.答案：ABC解析：超范围收集、未经同意营销、倒卖数据均为典型违规行为。按用户要求删除信息是合规操作。7.答案：ABC解析：个人信息跨境仅可通过安全评估、合规认证、标准合同三条合法路径，私自跨境传输属于严重违法。8.答案：ABD解析：核心区别：匿名化不可复原、不属于个人信息，无合规约束；去标识化可复原、仍属个人信息，需合规管控。C选项错误。9.答案：ABCD解析：企业内部隐私合规制度需覆盖分级分类、权限管控、应急处置、用户维权响应等全流程内容。10.答案：ABC解析：未成年人信息实行特殊优先保护，严禁随意收集、用于商业营销，必须监护人同意、严控信息流转、屏蔽不良信息。三、判断题答案及解析1.错解析：公开个人信息仍受法律保护，不得滥用、恶意传播、违规商用，需遵循合法必要原则。2.对解析：个人同意具有随时可撤回性，企业不得因用户撤回同意而拒绝提供基础服务、恶意限制用户权益。3.错解析：委托方（数据处理者）承担最终合规主体责任，第三方违规的，委托方需同步承担监管责任。4.对解析：敏感信息禁止无目的、泛化收集，必须匹配具体、合理的业务场景，满足必要性要求。5.错解析：大数据杀熟属于自动化决策歧视行为，明确被法律禁止，违背公平公正原则。6.对解析：留存期限届满后，企业必须及时清理数据，不得无故超期留存。7.错解析：所有个人信息处理活动，无论规模大小、金额高低，均需遵守告知同意基本原则。8.对解析：境内个人信息跨境必须履行合规流程，私自跨境传输属于违法行为。9.对解析：完全匿名化、无法识别个人的数据，不再属于个人信息，不受《个保法》约束。10.错解析：企业必须及时响应用户维权投诉，不得拖延、拒绝、推诿，需在法定时限内答复处理。四、简答题参考答案（通俗实操版）1.个人信息与敏感个人信息的核心区别及合规处理差异核心区别：普通个人信息是可识别特定自然人的常规信息（姓名、手机号、收货地址等），泄露后风险较低；敏感个人信息是一旦泄露、滥用，会直接危害人身财产安全、侵害人格尊严的特殊信息（生物识别、医疗、金融、未成年人信息等），风险等级极高。合规差异：①普通信息只需取得用户一般同意，遵循最小必