2026年个人信息保护合规考试试题及答案

2026年个人信息保护合规考试试题及答案一、单项选择题（本大题共30小题，每小题1.5分，共45分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。）1.根据《个人信息保护法》规定，个人信息处理者处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。这体现了个人信息保护的（）。A.目的限制原则B.公开透明原则C.知情同意原则D.质量原则2.某电商平台在用户注册时，强制要求用户同意其“收集用户通讯录以进行营销推广”的隐私政策，否则无法注册使用该平台的基本购物功能。这种行为违反了个人信息保护的（）。A.最小必要原则B.确保安全原则C.限制利用原则D.权利保障原则3.生物识别信息、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，属于（）。A.敏感个人信息B.一般个人信息C.重要数据D.核心数据4.处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这被称为（）。A.目的明确原则B.最小必要原则C.公开透明原则D.信息质量原则5.根据《个人信息保护法》，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下（）作出。A.默认B.口头C.自愿、明确D.书面6.个人信息处理者处理敏感个人信息的，除本法第十八条第一款规定的事项外，还应当向个人告知处理敏感个人信息的（）以及对个人权益的影响。A.必要性和具体目的B.商业价值和利润C.技术实现方式D.数据存储期限7.处理不满十四周岁未成年人个人信息的，应当取得未成年人的（）的同意。A.监护人B.本人C.学校D.任课老师8.个人信息处理者应当在处理个人信息前，以显著方式、清晰易懂的语言真实、准确、完整地告知个人信息处理者的（）。A.联系方式和社会信用代码B.名称或者姓名和联系方式C.注册资本和经营范围D.股东结构和高管信息9.个人发现其个人信息被处理者违法处理或者有权处理者不再处理其个人信息时，有权请求个人信息处理者（）。A.赔偿损失B.公开道歉C.删除个人信息D.停止营业10.在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（）。A.以向境内自然人提供产品或者服务为目的B.仅在境外进行数据分析C.数据完全存储在境外服务器D.处理者均为境外实体11.个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。这主要是为了规制（）。A.大数据杀熟B.数据泄露C.隐私窃取D.垃圾信息12.提供基础互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：（）。A.定期发布个人信息保护社会责任报告B.每日向监管部门报备数据C.免费向用户提供所有服务D.必须在境内上市13.根据法律规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在（）。A.任何地方B.境外C.境内D.离岸服务器14.个人信息处理者转移个人信息的，应当向个人告知接收方的（）。A.股东背景B.名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类C.财务状况D.技术架构15.自然人死亡后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利，但死者生前另有安排的除外。这体现了个人信息的（）。A.财产属性B.人格属性C.继承属性D.社会属性16.违反《个人信息保护法》规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起（）。A.行政诉讼B.刑事自诉C.公益诉讼D.仲裁17.个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以（）。A.部分告知B.不予告知C.延迟告知D.变相告知18.受托人应当按照委托人的要求处理个人信息，不得（）。A.自行转委托B.委托以外的第三方处理个人信息C.超出约定的处理目的、处理方式等处理个人信息D.以上都是19.个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括的事项不包括（）。A.个人信息泄露、篡改、丢失的原因B.个人信息泄露、篡改、丢失的种类、原因和可能造成的危害C.个人信息处理者已采取的补救措施和即将采取的措施D.个人信息处理者的联系方式20.《个人信息保护法》规定，情节严重的违法行为，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元或者上一年度营业额（）以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。A.百分之三B.百分之五C.百分之十D.百分之二十21.某公司因业务需要，拟将用户数据提供给境外母公司进行分析，但未通过国家网信部门组织的安全评估。根据《数据出境安全评估办法》，如果该公司处理（）万人以上个人信息，应当申报数据出境安全评估。A.10B.50C.100D.100022.个人信息处理者可以在确有必要时，对个人信息的保存期限进行调整。保存期限应当为实现处理目的所必要的（）。A.最长时间B.固定时间C.最短时间D.无限期23.国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。以上描述的是（）。A.分级分类管理制度B.统筹协调体制C.属地管辖原则D.属人管辖原则24.个人信息处理者制定个人信息保护规则，应当公开、透明，并（）。A.向社会公众征求意见B.报监管部门批准C.仅向内部员工公开D.随时更改无需通知25.个人信息处理者向个人提供删除或者更正个人信息的途径，该途径应当（）。A.尽量隐蔽B.只有付费才能使用C.便捷、有效D.仅在工作日开放26.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的（）方式。A.关闭推荐B.举报投诉C.索要赔偿D.撤销同意27.处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式、范围。这属于（）。A.知情同意原则B.公开透明原则C.目的限制原则D.数据质量原则28.个人信息保护影响评估（PIA）应当包括下列哪些内容：（）。①个人信息的处理目的、处理方式等是否合法、正当、必要；②对个人权益的影响及安全风险；③所采取的保护措施是否合法、有效并与风险程度相适应。A.仅①B.仅①②C.仅②③D.①②③29.在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的（）。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。A.提示标识B.警告标识C.禁止标识D.广告牌30.个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。这体现了个人信息权益的（）。A.可诉性B.不可转让性C.专属性D.人身性二、多项选择题（本大题共15小题，每小题2.5分，共37.5分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。）31.下列属于个人信息范围的有（）。A.行踪轨迹B.电子邮箱C.健康生理信息D.电话号码E.宗教信仰32.根据《个人信息保护法》，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知下列事项：（）。A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使权利的方式和程序D.处理敏感个人信息的必要性以及对个人权益的影响E.法律、行政法规规定应当告知的其他事项33.个人信息处理者基于个人同意处理个人信息的，应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意的，个人信息处理者必须取得个人的单独同意。下列情形中，需要取得个人单独同意的有（）。A.处理敏感个人信息B.个人信息处理者向其他个人信息处理者提供其处理的个人信息C.公开其处理的个人信息D.处理一般个人信息用于改善产品服务E.转让个人信息34.个人信息处理者发现个人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项：（）。A.个人信息泄露、篡改、丢失的种类、原因和可能造成的危害B.个人信息处理者已采取的补救措施和即将采取的措施C.个人信息处理者的联系方式D.个人信息处理者的股东信息E.发生个人信息泄露、篡改、丢失的具体时间35.个人信息处理者应当建立完善个人信息保护制度，包括但不限于（）。A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限E.制定并组织实施个人信息安全事件应急预案36.下列关于敏感个人信息的表述，正确的有（）。A.只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息B.处理敏感个人信息应当取得个人的单独同意C.处理敏感个人信息不需要告知处理敏感个人信息的必要性以及对个人权益的影响D.生物识别信息属于敏感个人信息E.处理年满十四周岁未成年人个人信息属于处理敏感个人信息37.个人有权向个人信息处理者查阅、复制其个人信息，法律法规另有规定的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。个人有权请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供（）的途径。A.免费B.高效C.安全D.转移E.有偿38.下列情形中，个人信息处理者可以在不经过个人同意的情况下处理个人信息的包括（）。A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息E.依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息39.个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。下列关于受托人义务的说法，正确的有（）。A.受托人应当按照约定处理个人信息B.受托人可以擅自超出约定的处理目的处理个人信息C.受托人不得将提供的个人信息转委托他人处理D.受托人应当在合同履行完毕后及时删除个人信息E.受托人需要转委托第三人处理的，必须征得个人信息处理者的同意40.提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行的特别义务包括（）。A.按照国家规定建立健全个人信息保护合规制度体系B.成立主要由外部成员组成的独立机构对个人信息保护情况进行监督C.遵循公开、公平、公正的原则，制定平台规则D.对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务E.定期发布个人信息保护社会责任报告，接受社会监督41.违反《个人信息保护法》规定，处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的处罚措施包括（）。A.由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元或者上一年度营业额百分之五以下罚款B.并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照C.对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款D.并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人E.直接追究刑事责任42.数据出境安全管理措施主要包括（）。A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务D.法律、行政法规或者国家网信部门规定的其他条件E.企业内部自行决定即可43.个人信息处理者在处理个人信息时，应当进行个人信息保护影响评估的情形包括（）。A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息D.向境外提供个人信息E.处理一般个人信息用于日常业务管理44.个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。下列关于撤回同意的表述，正确的有（）。A.个人撤回同意后，个人信息处理者应停止处理或删除个人信息B.个人撤回同意可以是免费的C.个人撤回同意不应受到不合理的阻碍D.个人撤回同意的方式应当与同意的方式相匹配E.个人撤回同意后，基于同意进行的所有处理活动自始无效45.侵害个人信息权益造成财产损失的，按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。此外，自然人因个人信息权益受到侵害，还可以主张（）。A.精神损害赔偿B.惩罚性赔偿C.违约金D.信用惩戒E.行政拘留三、判断题（本大题共20小题，每小题1分，共20分。判断下列各题的正误，正确的在题后括号内打“√”，错误的打“×”。）46.个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。（）47.个人信息不包括隐私，所有的隐私都是个人信息，所有的个人信息都是隐私。（）48.只有取得个人同意，个人信息处理者才能处理个人信息。（）49.处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。（）50.个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。（）51.任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。（）52.个人信息处理者可以仅通过默认勾选的方式取得个人的同意。（）53.处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。（）54.个人信息处理者响应个人提出的复制其个人信息的请求，可以收取合理的费用。（）55.在公共场所安装图像采集、个人身份识别设备，所收集的个人图像、身份识别信息可以用于商业推销。（）56.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。（）57.关键信息基础设施运营者处理个人信息，应当确需在境外存储的，应当进行安全评估。（）58.受托处理个人信息的，受托人是个人信息处理者。（）59.个人信息保护认证是自愿进行的。（）60.个人信息处理者需制定个人信息保护计划并定期进行风险评估。（）61.自然人死亡后，其个人信息在任何情况下都不得被查阅和复制。（）62.个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正。（）63.国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。（）64.个人信息处理者处理个人信息未履行本法规定的个人信息保护义务，情节严重的，吊销营业执照后，其法定代表人可以立即在其他公司担任高管。（）65.境外组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单。（）四、填空题（本大题共10小题，每小题1.5分，共15分。请在每小题的空格中填入正确答案。）66.个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，______告知。67.个人信息处理者处理敏感个人信息的，还应当事前进行______。68.个人信息处理者向中华人民共和国境外提供个人信息，应当具备下列条件之一：（一）通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行______；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务。69.在中华人民共和国境内处理自然人个人信息的活动，适用《个人信息保护法》。在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）______；（三）其他情形。70.个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。这被称为______。71.个人信息保护负责人负责对个人信息处理活动以及采取的保护措施等进行监督。个人信息处理者应当公开______的联系方式。72.个人信息处理者发现个人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括的事项不包括个人信息处理者的______。73.处理个人信息应当遵循合法、正当、必要和______原则。74.个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行______。75.违反《个人信息保护法》规定，构成违反治安管理行为的，依法给予______；构成犯罪的，依法追究刑事责任。五、简答题（本大题共4小题，每小题8分，共32分。）76.简述个人信息处理的“告知-同意”原则的主要内容。77.根据《个人信息保护法》，简述个人信息处理者在处理敏感个人信息时应履行的特定义务。78.简述个人在个人信息处理活动中的主要权利。79.简述数据出境的三种主要合规路径及其适用情形。六、案例分析题（本大题共2小题，第80题20分，第81题30分，共50分。）80.案例背景：A公司是一家经营在线教育的公司，主要通过其App和网站向中小学生提供在线辅导服务。2026年3月，为了精准推送广告，A公司在未经家长单独同意的情况下，收集了学生的面部识别信息和精准位置信息，并结合学生的成绩数据进行分析，建立了“学生潜力评估模型”。同时，A公司为了优化服务器性能，将部分包含学生个人信息的日志文件存储在位于境外的云服务器上，未进行安全评估。后因A公司网络安全防护措施不到位，导致10万名学生的个人信息（包括姓名、电话、家长联系方式、家庭住址）在暗网被公开售卖。A公司在发现泄露后，认为这是黑客攻击导致的，与其无关，且为了不影响公司声誉，延迟了72小时才向监管部门报告，也未及时通知受影响的个人。问题：(1)A公司收集学生面部识别信息和位置信息的行为是否符合法律规定？为什么？(2)A公司将部分学生个人信息存储在境外云服务器的行为是否符合法律规定？为什么？(3)A公司在发现信息泄露后的处理措施存在哪些问题？请根据《个人信息保护法》详细说明。(4)针对A公司的上述违法行为，相关监管部门可以采取何种处罚措施？81.案例背景：B社交媒体平台拥有超过1亿活跃用户，是国内知名的互联网平台。该平台在用户注册时，要求用户必须同意其隐私政策，其中包含“用户同意平台收集、使用用户的通讯录好友关系，并向好友推荐”以及“用户同意平台将用户数据用于商业广告推送，且无法关闭”等条款。用户若不同意，则无法使用任何功能。2026年5月，B平台上线了一款新的算法推荐系统，该系统根据用户的浏览习惯、点赞记录、甚至私信内容（未告知用户），构建用户画像，对不同用户展示同一款商品的不同价格。例如，对经常浏览高端商品的用户展示的价格高于普通用户。此外，B平台将用户产生的所有数据（包括未脱敏的个人信息）授权给其全资子公司C公司进行数据分析，C公司利用这些数据开发了一款征信产品，并对外销售给第三方机构。某用户李某发现B平台收集其通讯录且无法关闭个性化推荐，要求B平台删除其个人信息，但B平台以“数据是平台核心资产”为由拒绝。李某随后向监管部门投诉。问题：(1)B平台在用户注册环节的“强制一揽子同意”行为违反了哪些个人信息保护原则？请具体分析。(2)B平台的算法推荐系统对不同用户展示不同价格的行为，违反了《个人信息保护法》的哪项规定？请说明理由。(3)B平台将用户数据授权给C公司开发征信产品的行为是否合法？为什么？请详细分析数据共享的法律要求。(4)李某要求删除个人信息被拒，他可以行使哪些权利来维护自身权益？B平台拒绝删除的做法是否合法？(5)B平台作为“重要互联网平台服务提供者”，根据《个人信息保护法》，应当履行哪些特定义务？请列举并说明。一、单项选择题1.A2.A3.A4.B5.C6.A7.A8.B9.C10.A11.A12.A13.C14.B15.C16.C17.B18.D19.A20.B21.C22.C23.B24.A25.C26.A27.B28.D29.A30.A二、多项选择题31.ABCDE32.ABCDE33.ABCE34.ABC35.ABCDE36.ABD37.AC38.ABCDE39.ACDE40.ABCDE41.ABCD42.ABCD43.ABCD44.ABCD45.A三、判断题46.√47.×48.×49.√50.√51.√52.×53.√54.√55.×56.√57.×58.×59.√60.√61.×62.√63.√64.×65.√四、填空题66.可以不67.个人信息保护影响评估68.个人信息保护认证69.分析、评估境内自然人的行为70.不得拒绝服务原则（或非捆绑同意原则）71.个人信息保护负责人72.商业秘密73.诚信74.监督75.治安管理处罚五、简答题76.简述个人信息处理的“告知-同意”原则的主要内容。答：“告知-同意”原则是我国《个人信息保护法》确立的核心规则，主要内容包括：(1)充分告知：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知下列事项：①个人信息处理者的名称或者姓名和联系方式；②个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；③个人行使权利的方式和程序；④法律、行政法规规定应当告知的其他事项。处理敏感个人信息时，还应当告知处理敏感个人信息的必要性以及对个人权益的影响。(2)自愿同意：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。(3)同意的要求：个人信息处理者不得通过误导、欺诈、胁迫等方式处理个人信息；不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务（处理个人信息属于提供产品或者服务所必需的除外）。(4)撤回同意：个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。77.根据《个人信息保护法》，简述个人信息处理者在处理敏感个人信息时应履行的特定义务。答：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。处理敏感个人信息除需符合一般个人信息处理规则外，还应履行以下特定义务：(1)特定目的与充分必要：只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。(2)单独同意：处理敏感个人信息应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。(3)特别告知：应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。(4)事前评估：处理敏感个人信息应当事前进行个人信息保护影响评估，并对处理情况进行记录。(5)严格保护：应当采取相应的加密、去标识化等安全技术措施，确保敏感个人信息的安全。78.简述个人在个人信息处理活动中的主要权利。答：根据《个人信息保护法》，个人在个人信息处理活动中享有以下主要权利：(1)知情权与决定权：个人有权知悉其个人信息被处理的情况，并有权决定是否同意处理。(2)查阅、复制权：个人有权向个人信息处理者查阅、复制其个人信息。(3)更正、补充权：个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。(4)删除权：在下列情形之一，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：①处理目的已实现、无法实现或者为实现处理目的不再必要；②个人信息处理者停止提供产品或者服务，或者保存期限已届满；③个人撤回同意；④个人信息处理者违反法律、行政法规或者违反约定处理个人信息；⑤法律、行政法规规定的其他情形。(5)解释说明权：个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。(6)数据可携带权：个人有权请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。(7)撤回同意权：个人有权撤回对处理的同意。(8)死者个人信息保护权：自然人死亡后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利。79.简述数据出境的三种主要合规路径及其适用情形。答：根据《个人信息保护法》及《数据出境安全评估办法》等相关规定，数据出境的三种主要合规路径及适用情形如下：(1)通过国家网信部门组织的安全评估。适用情形包括：①数据处理者向境外提供数据，符合下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：处理100万人以上个人信息的数据处理者向境外提供个人信息；累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；②关键信息基础设施运营者（CIIO）向境外提供个人信息；③其他国家网信部门规定的情形。(2)经专业机构进行个人信息保护认证。适用情形包括：①跨国公司或者同一经济组织内部的个人信息跨境处理活动；②《个人信息保护法》第三十八条第二款规定的其他情形。主要适用于不强制要求安全评估，但希望通过权威认证证明其合规性的情形，特别是跨境集团内部传输。(3)订立标准合同。适用情形包括：未达到安全评估门槛，且未进行认证的个人信息处理者向境外提供个人信息。应当与境外接收方订立国家网信部门制定的标准合同，并约定双方的权利和义务。同时，需在标准合同生效之日起10个工作日内向所在地省级网信部门备案。六、案例分析题80.答：(1)A公司的行为不符合法律规定。理由：根据《个人信息保护法》第二十八条，生物识别信息（面部识别）、行踪轨迹属于敏感个人信息。处理敏感个人信息应当取得个人的单独同意。A公司未经家长（监护人）单独同意收集未成年人的敏感个人信息，违反了处理敏感个人信息的同意规则。此外，A公司收集该信息用于精准营销，未必符合“特定的目的和充分的必要性”，且未履行严格的告知义务。(2)不符合法律规定。理由：根据《个人信息保护法》第四十条，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估。A公司将学生个人信息存储在境外云服务器，且未进行安全评估，违反了本地化存储及出境安全评估的规定。(3)A公司的处理措施存在以下问题：①延迟报告：根据《个人信息保护法》第五十七条，个人信息处理者应当在发生或者可能发生个人信息泄露、篡改、丢失时，立即采取补救措施，并通知履行个人信息保护职责的部门和个人。A公司延迟72小时才报告，违反了“立即”通知的义务。②未通知个人：A公司未及时通知受影响的个人，剥夺了个人采取防范措施的权利。③推卸责任：A公司认为黑客攻击导致泄露与其无关是不正确的。根据《个人信息保护法》，个人信息处理者对其处理活动负责，必须采取必要措施保障信息安全，否则应承担责任。④防护不到位：发生泄露事件本身说明A公司未履行严格的安全保护义务。(4)监管部门可以采取的处罚措施：根据《