2025年数据跨境合规综合试题及答案

2025年数据跨境合规综合试题及答案一、单项选择题（每题2分，共20分）1.根据《数据安全法》，我国对数据实行分类分级保护制度。下列分类正确的是？A.公开数据、内部数据、秘密数据B.一般数据、重要数据、核心数据C.公共数据、企业数据、个人数据D.基础数据、增值数据、衍生数据2.根据《个人信息保护法》，个人信息处理者向境外提供个人信息的，应当履行下列哪项义务？A.仅需在隐私政策中提示B.向个人告知境外接收方相关信息并取得单独同意C.经员工代表大会同意D.无需告知，只要内部登记3.关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据，确需向境外提供的，应当依法进行：A.自行评估B.数据出境安全评估C.标准合同备案D.个人信息保护认证4.国家网信部门出具的数据出境安全评估结果有效期为：A.1年B.2年C.3年D.5年5.根据《促进和规范数据跨境流动规定》，非关键信息基础设施运营者向境外提供个人信息，下列哪一情形应当申报数据出境安全评估？A.向境外提供10万人以上、不满100万人一般个人信息B.向境外提供8000条敏感个人信息C.向境外提供100万人以上一般个人信息D.向境外提供依法公开的个人信息6.关于个人信息出境标准合同，下列说法正确的是：A.合同签订后无需备案B.应当在合同生效后10个工作日内向所在地省级网信部门备案C.备案后出境信息种类可以任意变更，无需重新备案D.标准合同仅适用于境外接收方为政府部门的情形7.进行个人信息保护影响评估时，下列哪项不属于必须评估的内容？A.处理目的、处理方式是否合法、正当、必要B.对个人权益的影响及安全风险C.所采取的保护措施是否合法、有效并与风险程度相适应D.出境数据的市场价格8.关于数据出境风险自评估，下列表述正确的是：A.仅需评估数据传输所使用的技术方式B.评估一次即可永久有效C.应当结合出境目的、数据类型、境外接收方法律环境等因素综合开展D.境外接收方安全能力无需纳入评估9.下列哪一情形更符合“订立、履行个人作为一方当事人的合同所必需”的典型场景？A.境内企业将全体员工通讯录交给境外总部用于集团业绩考核B.消费者在境内平台预订境外酒店，平台为完成预订将必要个人信息提供给境外酒店C.境内公司为境外上市向境外律师提供客户个人信息D.境内学校将学生数据发给境外合作高校用于科研10.根据《数据安全法》关于数据安全审查制度的规定，下列说法正确的是：A.数据安全审查由行业自律组织组织实施B.对影响或者可能影响国家安全的数据处理活动进行国家安全审查，依法作出的审查决定为最终决定C.所有数据出境都必须经过数据安全审查D.数据安全审查只能由国家网信部门申请启动二、多项选择题（每题3分，共30分）1.根据《数据出境安全评估办法》，数据出境风险自评估应当重点考虑下列哪些因素？A.数据出境及境外接收方再转移的合法性、正当性、必要性B.出境数据的数量、范围、种类、敏感程度C.境外接收方所在国家或地区的法律环境及安全水平D.境外接收方的订单数量和盈利能力2.根据《个人信息保护法》，下列属于敏感个人信息的有：A.人脸识别信息B.身份证号码C.个人金融账户信息D.兴趣爱好3.个人信息处理者向境外提供个人信息前，应当向个人告知下列哪些事项？A.境外接收方的名称和联系方式B.处理目的、处理方式和个人信息种类C.个人向境外接收方行使权利的方式和程序D.本公司年度财务报告4.根据《数据出境安全评估办法》，下列情形中应当重新申报数据出境安全评估的有：A.向境外提供数据的目的、范围、种类、方式发生变化B.境外接收方处理数据的目的、方式发生重大变化C.出境数据发生严重泄露等安全事件D.数据处理者更换法定代表人5.关于数据出境后个人权利的保护，下列说法正确的有：A.个人有权向个人信息处理者请求查阅、复制其个人信息B.个人发现个人信息不准确的，有权请求更正、补充C.符合法定删除条件时，个人有权请求删除D.境外接收方无须为个人提供任何权利行使渠道6.关于个人信息保护认证，下列说法正确的有：A.属于《个人信息保护法》规定的个人信息出境法定路径之一B.认证应由符合规定的专业机构依据国家网信部门相关规定进行C.未达到数据出境安全评估门槛的个人信息出境可以选择认证D.认证通过后无需再开展个人信息保护影响评估7.根据《促进和规范数据跨境流动规定》，下列在符合条件的情况下可免于申报安全评估、免于签订标准合同或取得认证的情形有：A.非关键信息基础设施运营者因履行个人作为一方当事人的合同所必需，确需向境外提供个人信息的B.按照依法制定的劳动规章制度和集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的C.紧急情况下为保护自然人生命健康和财产安全确需向境外提供个人信息的D.向境外提供重要数据但境外接收方承诺严格保密的8.个人信息处理者签订个人信息出境标准合同前，应当完成的合规事项包括：A.开展个人信息保护影响评估B.向省级网信部门备案合同C.依法取得个人单独同意D.在合同中明确双方在个人信息保护方面的权利义务9.如果数据出境行为违反《个人信息保护法》《数据安全法》，可能承担的法律责任包括：A.警告、罚款、没收违法所得B.责令暂停相关业务或者停业整顿C.吊销相关业务许可或者营业执照D.相关责任人员被依法追究刑事责任10.下列属于数据跨境流动规则所界定的“数据出境”行为的有：A.境内数据处理者将个人信息上传至境外服务器存储B.境外组织通过内部系统远程访问、查询境内数据库中的个人信息C.境内员工携带载有个人信息的移动硬盘出境D.数据始终存储于境内服务器，境外人员无法访问或获取三、判断题（每题1分，共10分）1.《数据安全法》规定，依法作出的数据安全审查决定为最终决定。2.个人信息保护影响评估报告和处理情况记录应当至少保存三年。3.向境外提供重要数据，可以用个人信息出境标准合同代替申报数据出境安全评估。4.通过个人信息出境标准合同备案后，向境外提供个人信息的目的、种类和方式发生重大变化时，无需重新备案。5.匿名化处理后的信息不再属于个人信息，向境外提供时无需按照个人信息出境规则处理。6.关键信息基础设施运营者向境外提供员工个人信息，只要是为了跨境人力资源管理，就可以不申报数据出境安全评估。7.数据出境安全评估结果仅对本次申报的数据出境活动有效，不能自动适用于其他出境情形。8.我国法律并非要求所有数据一律在境内存储，而是针对特定主体和特定数据实行本地化要求。9.境外接收方可以不经个人信息处理者同意，将出境个人信息转委托给第三方处理。10.数据出境合规是一次性工作，首次评估或备案完成后，无需再关注境外接收方后续处理情况。四、简答题（每题5分，共20分）1.简述《个人信息保护法》规定的个人信息跨境提供三条法定路径及其适用关系。2.简述数据出境风险自评估的主要评估要点。3.在哪些情形下，个人信息处理者应当事前开展个人信息保护影响评估？至少列举四种。4.简述2024年《促进和规范数据跨境流动规定》规定的免于申报安全评估、免于订立标准合同或取得认证的典型情形。五、案例分析题（每题10分，共20分）1.某非关键信息基础设施运营者经营的跨境电商平台，拟将境内收集的用户信息传输至境外总部，用于统一用户画像和智能推荐。拟出境数据包括120万名用户的手机号、收货地址、订单记录，以及其中2万名用户上传的身份证照片。公司拟直接与境外总部签订保密协议后传输，未申报数据出境安全评估。请回答：（1）该公司的出境安排是否符合现行规定？应当选择何种合规路径？（2）若公司未经安全评估直接出境，依法可能承担哪些法律责任？2.某境内汽车制造企业（非关键信息基础设施运营者）拟将两类数据提供给境外母公司：一是境内员工姓名、身份证号、工资卡号等员工个人信息，依据劳动合同和集团人力资源管理制度传输；二是8000条自动驾驶道路测试数据，其中部分已被行业主管部门列入重要数据目录。企业合规负责人认为，员工个人信息适用跨境人力资源管理豁免，道路测试数据不属于个人信息，因此均无需申报。参考答案与解析一、单项选择题1.答案：B2.答案：B解析：向境外提供个人信息属于可能对个人权益产生重大影响的情形，除一般告知义务外，还必须取得个人单独同意。3.答案：B解析：关键信息基础设施运营者向境外提供个人信息和重要数据，属于法定的数据出境安全评估强制适用情形，不能以标准合同或认证替代。4.答案：B5.答案：C解析：2024年新规将应当申报安全评估的个人信息门槛明确为向境外提供100万人以上一般个人信息，或者1万人以上敏感个人信息。6.答案：B7.答案：D8.答案：C9.答案：B10.答案：B二、多项选择题1.答案：ABC解析：风险自评估围绕数据安全风险展开，重点考察出境目的、数据属性、境外接收方法律环境和保障能力等，与企业经营业绩无直接关系。2.答案：ABC解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。兴趣爱好一般不属于敏感个人信息。3.答案：ABC4.答案：ABC解析：重新申报针对的是影响数据出境安全评估结论的事项。法定代表人变更若不影响出境安排和安全保障，不属于必然触发重新评估的情形。5.答案：ABC6.答案：ABC解析：个人信息保护认证是除安全评估、标准合同之外的第三条法定出境路径，但不能替代个人信息保护影响评估等法定义务。7.答案：ABC解析：重要数据出境始终应当申报数据出境安全评估，无论境外接收方是否承诺保密，“豁免”不适用于重要数据。8.答案：ACD解析：合同备案发生在标准合同生效后10个工作日内，属于合同签订并生效后的程序性义务。9.答案：ABCD解析：行政责任、民事责任和刑事责任可以并存。情节严重的，还可能被责令暂停相关业务、停业整顿乃至吊销许可或营业执照。10.答案：ABC解析：数据出境不仅包括数据传输至境外、存储于境外，也包括境外主体能够访问、查看、下载、导出境内数据等情形。三、判断题1.答案：正确2.答案：正确3.答案：错误解析：重要数据出境必须申报数据出境安全评估，标准合同仅适用于符合条件的个人信息出境情形。4.答案：错误解析：重大变化影响个人信息出境风险的，应当重新开展个人信息保护影响评估，重新签订标准合同并重新备案。5.答案：正确6.答案：错误解析：关键信息基础设施运营者向境外提供个人信息应当依法申报数据出境安全评估，跨境人力资源管理豁免不适用。7.答案：正确8.答案：正确9.答案：错误解析：转委托应当事先约定并取得必要同意，个人信息处理者还应对第三方处理行为进行监督。10.答案：错误四、简答题1.答案：（1）三条法定路径分别是：通过国家网信部门组织的数据出境安全评估；按照国家网信部门规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同并备案。（2）适用关系：达到法定安全评估门槛的，应当申报数据出境安全评估，不能以标准合同或认证替代；未达到安全评估门槛的，可以在标准合同与个人信息保护认证之间选择。无论选择哪种路径，都应当依法履行告知、取得单独同意、开展个人信息保护影响评估等义务。2.答案：（1）数据出境的目的、方式、范围、必要性；（2）出境数据的种类、数量、敏感程度，以及是否涉及重要数据、核心数据；（3）境外接收方所在国家或地区的法律环境、政策法规对数据安全的影响；（4）境外接收方的安全管理制度和技术措施是否能够保障数据安全；（5）数据出境后对国家安全、公共利益、个人或者组织合法权益可能产生的影响；（6）拟采取的合同安排、安全保护措施和责任承担机制是否有效。3.答案：（1）向境外提供个人信息；（2）处理敏感个人信息；（3）利用个人信息进行自动化决策；（4）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（5）其他对个人权益有重大影响的个人信息处理活动。4.答案：（1）为订立、履行个人作为一方当事人的合同所必需，确需向境外提供个人信息；（2）按照依法制定的劳动规章制度和集体合同实施跨境人力资源管理，确需向境外提供员工个人信息；（3）紧急情况下为保护自然人生命健康和财产安全，确需向境外提供个人信息；（4）法律、行政法规或者国家网信部门规定的其他情形。但上述豁免不影响向境外提供重要数据时的安全评估义务，也不改变关键信息基础设施运营者依法应当履行的数据出境安全评估义务。五、案例分析题1.答案：（1）不符合现行规定。该公司虽非关键信息基础设施运营者，但向境外提供120万名用户一般个人信息，已达到“100万人以上一般个人信息”的安全评估申报门槛；其中2万名用户身份证照片属于敏感个人信息，也超过了“1万人以上敏感个人信息”的门槛。因此，该公司应当向国家网信部门申报数据出境安全评估，不能以签订保密协议或标准合同代替。（2）未经安全评估直接出境的，可能承担以下法律责任：由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得，并可责令暂停相关业务或终止提供服务；拒不改正的，处以罚款；情节严重的，可处5000万元以下或者上一年度营业额5%以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或营业执照。对直接负责的主管人员和其他直接责任人员可处以罚款，并可禁止其在一定期限内担任相关企业高级管理人员。构成犯罪的，依法追究刑事责任；