2026年网络数据安全治理业务考试题及答案

2026年网络数据安全治理业务考试题及答案一、单项选择题（共10题，每题3分，共30分）1.依据2025年正式实施的《重要数据识别与目录管理办法》，各行业重要数据目录动态更新的周期最低为？A.半年B.1年C.2年D.3年答案：B2.生成式AI服务提供者收到用户提出的删除训练数据中涉本人个人信息的申请时，无正当理由的应当在多少个工作日内完成处置并反馈用户？A.3B.7C.15D.30答案：B3.核心数据出境的最终审批部门是？A.省级行业主管部门B.省级网信部门C.国家行业主管部门D.国家网信部门答案：D4.工业领域核心数据全生命周期操作日志的留存期限最低不得少于？A.1年B.3年C.5年D.永久答案：C5.单次处理多少条及以上未成年人敏感个人信息的，数据处理者应当提前开展个人信息保护影响评估？A.1000B.5000C.10000D.100000答案：C6.数据安全风险评估报告的有效期最长为？A.6个月B.1年C.2年D.3年答案：B7.发生较大及以上级别数据安全事件的，责任主体应当在事件发现后多少小时内上报属地网信、行业主管及公安部门？A.1B.2C.4D.24答案：B8.以下不属于数据处理者事前安全预防义务的是？A.定期开展全员数据安全培训B.制定数据安全应急预案C.对已发生的数据安全事件开展溯源处置D.完成本单位数据分类分级标识答案：C9.车联网企业向境外提供车辆行驶轨迹、座舱音视频等重要数据的，以下说法正确的是？A.取得用户单独同意即可合规出境B.应当通过国家网信部门组织的数据出境安全评估C.仅需留存出境记录无需履行其他程序D.可通过签订标准合同的方式完成出境备案答案：B10.公共数据授权运营方违规对外提供原始公共数据的，最高可处上一年度营业额多少比例的罚款？A.1%B.3%C.5%D.10%答案：C二、多项选择题（共10题，每题4分，共40分，多选、少选、错选均不得分）1.依据2026年生效的《网络数据安全分类分级管理细则》，以下属于个人敏感信息范畴的有？A.生物识别、宗教信仰信息B.医疗健康、金融账户信息C.行踪轨迹、不满14周岁未成年人信息D.用户浏览普通公开网页的非个性化访问记录答案：ABC2.生成式AI服务提供者在训练数据处理过程中应当履行的义务包括？A.对训练数据来源开展全链条合法性审核B.排查清理训练数据中含有的违法违规内容C.建立训练数据溯源与权属登记机制D.不得使用未取得授权的个人信息、商业秘密数据用于训练答案：ABCD3.以下属于公共数据范畴的有？A.行政机关履行职责过程中收集的人口登记数据B.公立学校依法收集的学生学籍数据C.公立医院诊疗过程中产生的患者就诊数据D.网约车平台收集的用户出行订单数据答案：ABC4.我国数据安全事件分级包含以下哪些级别？A.特别重大数据安全事件B.重大数据安全事件C.较大数据安全事件D.一般数据安全事件答案：ABCD5.以下数据处理者应当配备专职数据安全负责人的有？A.处理核心数据的企业B.年处理个人信息总量超过100万条的企业C.处理重要数据的企业D.提供公共数据授权运营服务的企业答案：ABCD6.我国合法的数据出境路径包括？A.通过国家网信部门组织的数据出境安全评估B.签订国家网信部门发布的标准合同并完成备案C.取得国家网信部门认定的个人信息保护认证D.经行业主管部门口头同意即可出境答案：ABC7.数据安全治理“三同步”原则指的是？A.同步规划B.同步建设C.同步运维D.同步使用答案：ABD8.个人信息处理者应当主动告知个人并取得单独同意的情形包括？A.处理敏感个人信息B.向第三方提供个人信息C.公开披露个人信息D.将境内收集的个人信息向境外提供答案：ABCD9.针对个人信息删除权的行使，以下说法正确的有？A.个人有权要求数据处理者删除其合法持有的本人个人信息B.当数据处理目的已实现、无法实现或者为实现目的不再必要的，处理者应当主动删除相关个人信息C.法律、行政法规规定的保存期限未届满的，处理者可以拒绝个人的删除请求D.处理者拒绝删除请求的，无需向个人说明理由答案：ABC10.企业年度数据安全审计的内容应当包括？A.数据分类分级制度落实情况B.数据全生命周期操作权限管控情况C.数据出境合规情况D.个人信息保护义务履行情况答案：ABCD三、判断题（共10题，每题1分，共10分）1.核心数据经过严格审批后可以有条件向境外提供。（×）2.数据处理者委托第三方处理数据的，无需对第三方的数据处理活动承担连带责任。（×）3.生成式AI服务提供者输出的内容不涉及个人信息的，无需承担内容合规责任。（×）4.公共数据授权运营过程中，运营方可以直接将原始公共数据对外交易。（×）5.个人信息保护影响评估报告应当留存不少于3年。（√）6.发生数据安全事件仅需上报监管部门，无需告知受影响的用户。（×）7.处理不满14周岁未成年人个人信息的，应当取得未成年人父母或者其他监护人的同意。（√）8.企业可以根据自身经营需求自行调整重要数据目录，无需向行业主管部门报备。（×）9.数据安全风险评估结果应当与企业网络安全等级保护测评结果联动校验。（√）10.通过标准合同方式出境个人信息的，无需向网信部门提交备案。（×）四、案例分析题（共2题，每题10分，共20分）案例12026年3月，某上市互联网公司A推出面向C端的生成式AI写作工具，为提升模型生成准确性，运营团队在未公开告知用户的情况下，抓取了1.2亿条用户在该公司旗下社区平台发布的带个人标识的原创内容、私信聊天记录用于模型训练，其中包含120万条未成年人发布的个人敏感信息。同年6月，有用户发现自己此前发布的未公开个人就诊记录被AI工具生成内容直接引用，随即向属地网信部门举报。经网信部门核查，该公司未开展训练数据合法性审核，未建立数据分类分级制度，也未配备专职数据安全负责人，此前未就训练数据处理活动开展个人信息保护影响评估。问题1：请列出该公司存在的至少5项违法违规行为。答案：（1）未以显著方式、清晰易懂的语言真实准确完整告知用户处理其个人信息用于AI模型训练的目的、方式、范围，违反个人信息处理的告知-同意原则；（2）未经用户单独同意抓取用户未公开的私信聊天记录、个人敏感信息用于模型训练，处理未成年人敏感个人信息未取得监护人同意，违反《个人信息保护法》《生成式人工智能服务管理规定》相关要求；（3）未开展训练数据来源合法性审核，未排查清理训练数据中的个人敏感信息、未公开信息，未履行生成式AI服务提供者的数据安全管理义务；（4）未按规定开展数据分类分级工作，未建立全流程数据安全管理制度；（5）处理超过100万条个人信息且涉及重要数据处理，未按要求配备专职数据安全负责人；（6）处理敏感个人信息、利用个人信息开展AI训练等高风险处理活动，未按要求开展个人信息保护影响评估。（答出任意5项即可得5分）问题2：针对上述违法违规行为，监管部门可作出哪些行政处罚？答案：（1）责令改正，给予警告，没收违法所得；（2）可以并处五百万元以下罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可证或者吊销营业执照；（3）对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，情节严重的处一百万元以上五百万元以下罚款，还可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。（5分）案例22026年7月，某省级交通运输集团下属的智慧出行平台B，累计收集了2300万条用户个人信息、1.2亿条车辆行驶轨迹数据（经行业主管部门认定为重要数据）。为开展境外业务合作，该平台未申报数据出境安全评估，仅与境外合作方签订了普通商业合同，就分批向境外传输了3000万条车辆行驶轨迹数据、200万条用户个人信息，传输过程中因未加密，发生数据泄露，导致10万余条用户行踪轨迹、联系方式被公开售卖，造成严重不良影响。问题1：该平台在数据出境环节存在哪些违规问题？答案：（1）涉及重要数据及超过100万条个人信息出境，未按要求向国家网信部门申报数据出境安全评估，仅签订普通商业合同即开展数据出境活动，不符合数据出境的合法路径要求；（2）出境数据为重要数据及个人敏感信息，未事先开展数据出境风险自评估，未对出境后可能面临的安全风险进行研判；（3）数据出境传输过程中未采取加密、脱敏等必要的安全防护措施，导致数据泄露，未履行数据安全保护义务；（4）未就个人信息出境事项单独告知用户并取得用户的单独同意，违反个人信息跨境提供的告知同意要求；（5）未按要求留存数据出境的全流程记录，无法溯源数据出境的范围、种类、接收方等信息。（答出任意5项即可得5分）问题2：针对该数据泄露事件，该平台应当采取哪些应急处置措施？答案：（1）立即启动数据安全应急预案，停止相关数据出境传输活动，封堵数据泄露漏洞，防止泄露范围进一步扩大；（2）立即组织对泄露数据的范围、种类、涉