2026年(数据合规)数据合规科目试题及答案

2026年(数据合规)数据合规科目试题及答案一、单项选择题（共20题，每题1.5分，共30分。每题只有一个正确选项，请将正确选项的代码填入括号内）1.根据《个人信息保护法》的规定，处理个人信息应当遵循合法、正当、诚信和（）原则。A.必要原则B.知情同意原则C.目的限制原则D.安全原则2.某电商平台在用户注册时，强制要求用户同意“向关联方共享所有个人信息”的隐私政策，否则无法注册使用。该行为主要违反了数据合规中的（）。A.数据最小化原则B.禁止“捆绑同意”原则C.数据准确性原则D.目的明确原则3.根据《数据安全法》，国家建立数据分类分级保护制度。将数据分为一般数据、重要数据和核心数据，主要依据是数据在（）等方面的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益的危害程度。A.经济发展B.社会治理C.公共服务D.以上都是4.关于敏感个人信息的处理，下列说法正确的是（）。A.只要取得了个人同意，即可处理其敏感个人信息B.处理敏感个人信息应当取得个人的单独同意C.不满14周岁未成年人的个人信息不属于敏感个人信息D.生物识别信息在特定场景下可不经同意直接处理5.企业向境外提供数据，若被监管部门评估为可能影响国家安全、公共利益或者个人合法权益的，应当申报（）。A.数据出境安全评估B.订立标准合同C.通过个人信息保护认证D.进行法律合规审计6.2026年适用的《个人信息保护法》规定，个人信息处理者处理个人信息达到（）数量的，应当指定个人信息保护负责人，并对处理活动进行保护影响评估。A.50万B.100万C.10万D.1万7.某跨国公司在中国境内收集用户信息，决定将中国境内用户的个人信息传输至位于美国的服务器进行分析。若该公司未通过国家网信部门的安全评估，也未订立标准合同备案，其行为违反了（）。A.《网络安全法》B.《数据安全法》C.《个人信息保护法》D.以上所有相关法律法规8.在算法推荐合规中，要求提供具有舆论属性或者社会动员能力的算法服务提供者，应当在提供服务之日起（）个工作日内向网信部门备案。A.10B.15C.20D.309.关于“被遗忘权”（删除权），下列描述错误的是（）。A.个人有权要求个人信息处理者删除其个人信息B.处理者应当在核实身份后及时删除C.如果处理者拒绝删除，个人可以投诉举报D.法律法规规定的保存期限未届满前，个人必须无条件有权要求删除10.根据《网络安全法》，网络运营者收集、使用公民个人信息，应当遵循（）原则。A.合法、正当、必要的原则B.自愿、有偿、诚信的原则C.公开、公平、公正的原则D.效率优先、兼顾公平的原则11.数据合规中的“匿名化”是指（）。A.经过处理无法识别特定自然人且不能复原的过程B.仅对姓名进行隐藏处理C.对数据进行加密存储D.将数据转移至第三方服务器12.某金融机构发生数据泄露事件，泄露了10万用户的姓名和身份证号。根据《个人信息保护法》，该机构应当立即采取补救措施，并通知（）。A.仅需通知监管部门B.仅需通知个人信息主体C.通知监管部门和个人信息主体D.仅需通知内部管理层13.关于大型互联网平台的“守门人”义务，下列哪项不属于其特别义务？（）A.建立主要由外部成员组成的独立机构对个人信息保护情况进行监督B.发布社会责任报告C.必须停止所有跨境数据传输D.阻止违法的跨境提供个人信息14.在数据交易合规中，数据交易中介服务机构应当履行的义务不包括（）。A.核实数据来源和交易双方的身份B.保存审核记录C.对交易数据的真实性承担无限连带责任D.制定交易服务规则15.某APP在用户未使用时，在后台频繁收集用户精确位置信息，且未在隐私政策中明示。这种行为主要违反了（）。A.收集个人信息的最小必要原则B.公开处理规则原则C.确保信息安全原则D.禁止非法买卖原则16.个人信息处理者委托第三方处理个人信息的，应当对第三方的个人信息处理活动进行（）。A.监督B.完全免责C.资金控制D.技术接管17.根据中国关于汽车数据安全的若干规定，汽车数据处理者处理敏感个人信息，应当通过（）等方式取得个人的单独同意。A.口头告知B.弹窗提示C.车载显示屏等语音或文字显示D.随车附带纸质文件18.关于重要数据出境，下列说法正确的是（）。A.只要经过脱敏处理，即可自由出境B.必须通过国家网信部门组织的安全评估C.企业自行评估后即可出境D.只要不涉及核心数据，无需监管19.个人信息保护影响评估（PIA）应当至少包括（）。A.个人信息处理目的、方式的合法性B.对个人权益的影响及安全风险C.保护措施的有效性D.以上都是20.违反《数据安全法》规定，给他人造成损害的，依法承担（）。A.仅行政责任B.仅刑事责任C.民事责任D.行政责任和刑事责任二、多项选择题（共10题，每题3分，共30分。每题有两个或两个以上正确选项，多选、少选、错选均不得分）1.下列属于个人信息范畴的有（）。A.自然人的姓名B.自然人的生物识别信息C.自然人的行踪轨迹D.匿名化处理后的数据2.根据《个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。采取对个人权益影响最小的方式。下列哪些行为符合“最小必要”原则？（）A.地图导航APP仅在导航开启时收集位置信息B.手电筒APP强制获取通讯录权限C.点餐小程序仅在用户选择外卖配送时收集地址信息D.视频APP在用户观看视频时收集剪贴板信息3.关于数据出境的合规路径，主要包括（）。A.通过国家网信部门组织的数据出境安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.与境外接收方订立标准合同，并在省级网信部门备案D.法律、行政法规或者国家网信部门规定的其他条件4.个人信息处理者在发生或者可能发生个人信息泄露、篡改、丢失的情况时，应当立即采取的补救措施包括（）。A.启动应急预案B.通知监管机构C.通知受影响的个人信息主体D.销毁所有服务器数据5.下列哪些情形，个人信息处理者可以不经过个人同意处理个人信息？（）A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件D.为公共利益实施新闻报道、舆论监督等行为6.企业在进行数据合规体系建设时，应当重点关注以下哪些方面？（）A.数据分类分级制度B.数据访问权限管控C.数据全生命周期审计D.员工数据安全培训7.违反《数据安全法》或《个人信息保护法》，情节严重的，可能面临的法律责任包括（）。A.罚款B.责令暂停相关业务C.吊销营业执照D.责令改正8.关于算法备案，需要备案的信息包括（）。A.算法主体的基本情况B.算法的基本情况C.算法的安全评估报告D.用户权益保护机制9.数据处理者开展数据处理活动，应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当（）。A.立即采取补救措施B.通知用户C.向监管部门报告D.隐瞒不报直至修复完成10.下列关于“单独同意”的理解，正确的有（）。A.必须是明示同意，不能是默示同意B.应当在处理每项敏感个人信息前分别获取C.可以通过一揽子协议获取所有敏感信息的授权D.法律规定处理敏感个人信息应当取得个人单独同意三、判断题（共10题，每题1分，共10分。正确的打“√”，错误的打“×”）1.只要数据无法识别到特定自然人，就不属于任何法律监管范畴，可以随意交易。（）2.关键信息基础设施的运营者在中国境内运营中收集和产生的个人信息和重要数据应当在境内存储。（）3.个人信息处理者可以在其内部随意转移个人信息，无需告知个人。（）4.数据分类分级保护制度仅适用于政府部门，企业无需执行。（）5.基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。（）6.任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。（）7.企业在发生数据泄露事件后，如果及时补救且未造成严重后果，可以免于向监管部门报告。（）8.标准合同（SCC）是所有企业向境外提供个人信息的唯一合规路径。（）9.个人信息保护负责人应当由具有相关法律知识和网络安全知识的人员担任。（）10.处理未成年人个人信息，应当取得未成年人的父母或者其他监护人的同意。（）四、填空题（共10题，每题1.5分，共15分。请将答案填写在横线上）1.《中华人民共和国个人信息保护法》于________年________月________日起施行。2.个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果________。3.国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作，国务院有关部门在各自职责范围内负责________保护和监督管理工作。4.重要数据处理者应当明确数据安全负责人和管理机构，落实________责任。5.个人有权向个人信息处理者查阅、复制其个人信息，个人信息处理者应当及时提供；如果拒绝，应当________。6.在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：以向境内提供产品或者服务为目的；________；分析、评估境内自然人的行为。7.数据安全事件应急处置和调查处理中，相关组织、个人应当积极配合，不得________、________。8.提供基础互联网服务的provider，属于________，应当落实更高的数据安全保护义务。9.个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，________。10.违反本法规定，构成违反治安管理行为的，依法给予________；构成犯罪的，依法追究刑事责任。五、简答题（共4题，每题10分，共40分）1.简述《个人信息保护法》中规定的“敏感个人信息”的定义及处理敏感个人信息应当满足的条件。2.某企业计划将收集的中国境内用户个人信息传输至位于欧盟的总部服务器进行集中存储和分析。请简述该企业可以选择的三种主要数据出境合规路径及其适用的大致情形。3.简述企业在进行个人信息保护影响评估（PIA/DSPIA）时，应当重点评估哪些内容？4.简述《数据安全法》中规定的“数据分类分级”制度的意义及企业在落实该制度时的核心步骤。六、综合案例分析题（共2题，每题25分，共50分）1.案例背景：A公司是一家知名的健康医疗APP运营商，拥有超过5000万注册用户。为了提升服务精准度，A公司推出了一项“AI健康顾问”功能。2026年3月，用户投诉发现，A公司在未明确告知的情况下，将用户的病历、用药记录等敏感医疗健康数据共享给了关联的保险公司B公司，用于B公司核保和定价。此外，A公司还将部分用户数据上传至境外云服务器进行算法模型训练，但未进行任何出境安全申报。经调查，A公司虽有隐私政策，但其中未提及向B公司共享数据及出境事宜，且APP索取权限时采用了“默认勾选”方式。问题：(1)A公司在处理用户敏感医疗健康数据时存在哪些违规行为？请依据《个人信息保护法》进行分析。（10分）(2)A公司将数据上传至境外云服务器进行模型训练，触犯了哪些数据出境合规红线？应承担何种法律责任？（8分）(3)针对A公司的现状，请从合规整改的角度，提出具体的整改建议。（7分）2.案例背景：某大型电商平台C公司（日均活跃用户超1亿）为了打击“刷单炒信”行为，委托算法技术公司D开发了一套“异常行为监测算法”。该算法通过收集用户的浏览历史、下单时间、支付金额、设备信息甚至邻里关系等数据进行综合分析，给每一个用户打上“信用风险等级”标签。如果用户被判定为高风险，将直接限制其账号功能（如禁止下单、限制提现）。该算法模型极其复杂，属于“黑箱”模型，C公司无法向用户解释具体为何被判定为高风险。同时，C公司未在网信部门进行算法备案。某用户李某因被误判为高风险导致账号被封，多次联系客服要求解释和申诉，均得到“系统判定，无法人工干预”的回复。问题：(1)C公司和D公司在利用算法处理个人信息的过程中，违反了《个人信息保护法》和《互联网信息服务算法推荐管理规定》中的哪些原则？（10分）(2)针对李某的遭遇，C公司侵犯了用户的哪些权利？（5分）(3)结合《互联网信息服务算法推荐管理规定》，C公司作为算法推荐服务提供者，应当履行哪些特定义务以避免此类合规风险？（10分）【答案与解析】一、单项选择题1.A2.B3.D4.B5.A6.B7.D8.D9.D10.A11.A12.C13.C14.C15.A16.A17.C18.B19.D20.C二、多项选择题1.ABC2.AC3.ABCD4.ABC5.ABCD6.ABCD7.ABC8.ABD9.AC10.ABD三、判断题1.×（解析：匿名化后的数据虽不属于个人信息，但仍可能属于重要数据或受其他法律监管，且需确保无法复原。）2.√3.×（解析：向其他组织、个人提供个人信息的，应当向个人告知接收方、接收方处理的目的、方式等，并取得单独同意（除特定豁免情形外）。）4.×（解析：所有数据处理者均应开展数据分类分级工作。）5.√6.√7.×（解析：所有数据泄露事件均需按规定报告，无论后果是否严重，及时报告是法定义务。）8.×（解析：标准合同仅是路径之一，还有安全评估和认证等路径。）9.√10.√四、填空题1.2021，11，12.公平公正3.个人信息4.数据安全保护5.说明理由6.为分析、评估境内自然人的行为7.阻碍，干涉8.关键信息基础设施运营者9.可以不告知10.治安管理处罚五、简答题1.答：定义：敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。处理条件：(1)具有特定的目的和充分的必要性；(2)采取严格保护措施；(3)取得个人的单独同意；(4)向个人告知处理敏感个人信息的必要性以及对个人权益的影响（法律、行政法规规定应当保密或者不需要告知的情形除外）。2.答：三种主要路径：(1)数据出境安全评估：适用于关键信息基础设施运营者；处理100万人以上个人信息的数据处理者；自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息的数据处理者；以及国家网信部门规定的其他情形。(2)专业机构认证：适用于不满足国家网信部门规定必须申报安全评估情形的，且符合国家网信部门规定的经专业机构进行个人信息保护认证的情形（常用于跨国公司内部传输或符合特定认证标准的情形）。(3)订立标准合同：适用于未达到安全评估门槛，且未进行认证的非CII运营者及中小型数据处理者，通过与境外接收方订立国家网信部门制定的标准合同，并向省级网信部门备案。3.答：企业在PIA中应重点评估：(1)个人信息处理目的、处理方式等是否合法、正当、必要；(2)对个人权益的影响及安全风险；(3)所采取的保护措施是否合法、有效并与风险程度相适应。此外，还需评估处理行为是否对个人权益造成重大影响，以及是否涉及委托处理、共同处理、转移、公开、自动化决策等特定场景。4.答：意义：数据分类分级是数据安全管理的基石。它有助于企业识别核心数据和重要数据，从而实施差异化、针对性的保护措施，合理分配安全资源，满足国家法律法规的合规要求，防范国家安全风险。核心步骤：(1)制定数据分类分级管理制度和规范；(2)识别全域数据资产，梳理数据目录；(3)按照行业标准和地方标准，结合业务属性，对数据进行分类（如按业务领域）和分级（如按核心/重要/一般）；(4)对不同级别的数据打标，并制定相应的安全管理策略（如加密、访问控制、审计要求）。六、综合案例分析题1.答：(1)违规行为分析：违反“单独同意”原则：医疗健康信息属于敏感个人信息，A公司在共享给B公司时，必须取得用户的单独同意，而不仅仅是隐私政策的一揽子授权。违反“告知-同意”原则：A公司未在隐私政策中如实告知用户数据接收方（B公司）及共享目的，侵犯了用户的知情权。违反“目的限制”原则：收集数据用于“健康顾问”，实际用于“保险核保”，属于目的不当变更。违反“禁止捆绑同意”原则：APP采用“默认勾选”方式获取同意，属于非自愿、非明示同意，无效。(2)数据出境违规及责任：违规红线：A公司作为处理大量个人信息的企业，向境外提供数据未申报安全评估（假设其可能达到门槛或涉及重要数据），也未订立标准合同备案，直接违反了《个人信息保护法》和《数据安全法》关于数据出境的强制性规定。法律责任：可能面临由省级以上网信部门责令改正、给予警告、没收违法所得；情节严重的，并处5000万元以下或者上一年度营业额5%以下罚款，并可能被责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。直接负责的主管人员和其他直接责任人员也可能被处以罚款。(3)整改建议：立即停止违规行为：暂