2026年个人数据保护法考试试题及答案

2026年个人数据保护法考试试题及答案一、单项选择题（每题1.5分，共30分）1.下列哪项属于《个人信息保护法》所称的“个人信息”？A.经过匿名化处理后的用户行为数据B.自然人的姓名、身份证号码C.企业内部经营统计数据D.依法公开的企业工商登记信息答案：B解析：个人信息是指与已识别或可识别的自然人有关的各种信息；匿名化处理后的信息不属于个人信息。去标识化信息仍属于个人信息。2.根据《个人信息保护法》，处理个人信息应当在哪个时间点取得个人同意？A.收集信息时B.使用信息时C.开始处理前D.信息保存期限内答案：C解析：同意应当在处理活动开始前取得。收集、使用、保存均属于处理活动，必须在处理前完成告知同意程序。3.某APP在提供地图导航服务时，强制要求用户授权读取通讯录，否则无法使用。该行为违反了哪项原则？A.公开透明原则B.最小必要原则C.诚信原则D.质量原则答案：B解析：处理个人信息应当与处理目的直接相关，采取对个人权益影响最小的方式。读取通讯录与地图导航服务无关，属于过度收集。4.处理不满多少周岁的未成年人个人信息，应当取得其父母或其他监护人的同意？A.12周岁B.14周岁C.16周岁D.18周岁答案：B5.下列哪项属于敏感个人信息？A.电子邮箱地址B.宗教信仰C.电话号码D.学历信息答案：B解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满14周岁未成年人的个人信息。6.个人信息处理者向境外提供个人信息，下列哪项不属于法定合规路径？A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.与境外接收方订立标准合同D.接收方所在国法律已有相关立法即可直接提供答案：D解析：接收方所在国存在法律并非免于履行《个人信息保护法》规定义务的理由。仍需通过安全评估、认证或标准合同等法定路径。7.个人拒绝处理者仅通过自动化决策方式作出的对个人权益有重大影响的决定，属于行使哪项权利？A.查阅复制权B.删除权C.自动化决策拒绝权D.可携带权答案：C8.个人发现其个人信息不准确或不完整的，有权请求处理者采取下列哪项措施？A.删除B.更正、补充C.停止处理D.封存答案：B9.个人信息处理者违反本法规定处理个人信息，给个人造成损害的，举证责任如何分配？A.由个人承担全部举证责任B.由处理者承担，不能证明自己没有过错的，应当承担损害赔偿等侵权责任C.由监管机构调查认定D.由双方平均分担答案：B10.根据《个人信息保护法》，哪类处理者应当指定个人信息保护负责人？A.所有处理个人信息的组织B.处理个人信息达到国家网信部门规定数量的处理者C.仅处理敏感个人信息的处理者D.国有企事业单位答案：B11.个人信息保护影响评估报告和处理情况记录应当至少保存几年？A.1年B.2年C.3年D.5年答案：C12.违反《个人信息保护法》规定，情节严重的，最高可处以何种罚款？A.100万元B.1000万元C.5000万元或者上一年度营业额百分之五D.上一年度营业额百分之十答案：C13.下列关于处理已公开个人信息的说法，正确的是？A.可以在合理范围内处理B.可以不受任何限制地用于商业目的C.无需考虑个人意愿D.必须立即停止处理答案：A14.处理者因合并、分立等原因变更处理者时，下列哪项表述正确？A.无需通知个人B.应当告知个人，如处理目的、方式发生变更，还需重新取得同意C.只需向监管部门报告D.可以继续原处理目的不受影响答案：B15.个人信息处理者委托第三方处理个人信息时，下列哪项不属于委托合同必须约定的事项？A.委托处理的目的、期限B.处理方式和个人信息的种类C.双方的权利和义务D.第三方内部薪酬制度答案：D16.大型互联网平台运营者成立主要由外部成员组成的独立监督机构，其主要职责是？A.审查平台经营收入B.对平台个人信息保护情况进行监督C.审批平台重大并购事项D.制定行业自律规范答案：B17.国家机关处理个人信息，应当遵循什么要求？A.为履行法定职责所必需，并在法定权限范围内B.经个人同意即可C.经国务院批准D.仅需事后向监管部门备案答案：A18.侵犯公民个人信息罪，情节特别严重的，依法可判处？A.三年以下有期徒刑B.三年以上七年以下有期徒刑C.十年以上有期徒刑D.无期徒刑答案：B19.下列哪项不属于个人信息处理者应当采取的安全保护措施？A.加密、去标识化B.合理确定个人信息处理的操作权限C.公开内部系统全部源代码D.开展个人信息安全教育培训答案：C20.根据《个人信息保护法》，个人信息处理者拒绝个人行使权利的请求时，下列做法正确的是？A.无需说明任何理由B.应当告知个人拒绝的理由，并说明救济途径C.直接将请求转交监管部门D.要求个人重新提交申请答案：B二、多项选择题（每题2分，共20分）1.下列哪些属于敏感个人信息？A.人脸识别信息B.宗教信仰C.行踪轨迹D.职业信息答案：ABC解析：敏感个人信息还包括特定身份、医疗健康、金融账户、不满14周岁未成年人信息。职业信息不属于法定列举范畴。2.个人信息处理者向个人告知的事项包括哪些？A.处理者的名称和联系方式B.处理目的和处理方式C.处理的个人信息种类和保存期限D.个人行使权利的方式和程序答案：ABCD3.关于个人行使权利，下列说法正确的有？A.个人信息以自动化方式处理的，个人有权要求处理者说明处理规则B.个人可以请求删除已撤回同意处理的信息C.个人可以请求将个人信息转移至其指定的其他处理者D.个人必须采用书面形式方可行使权利答案：ABC解析：处理者应当提供便捷的申请方式，法律并未强制要求书面形式。D项错误。4.个人信息处理者委托处理个人信息，委托合同应当约定哪些内容？A.委托处理的目的、期限B.处理方式和个人信息的种类C.双方的权利和义务D.保护措施答案：ABCD5.哪些情形下，个人信息处理者应当事前进行个人信息保护影响评估？A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理、向其他处理者提供个人信息或公开个人信息D.向境外提供个人信息答案：ABCD6.处理者拒绝个人行使权利的请求时，个人可以采取哪些救济措施？A.向履行个人信息保护职责的部门投诉B.依法向人民法院提起诉讼C.要求处理者告知拒绝理由D.自行侵入处理者系统删除信息答案：ABC7.关于处理已公开的个人信息，下列说法正确的有？A.可以在合理范围内处理B.个人明确拒绝处理的，应当停止处理C.处理活动对个人权益有重大影响的，应当取得个人同意D.可以随意用于任何商业目的答案：ABC8.履行个人信息保护职责的部门依法可以采取哪些措施？A.询问有关当事人，调查有关情况B.查阅、复制当事人之间的合同、票据、账簿C.实施现场检查D.查封、扣押相关设备、物品答案：ABCD9.关于个人信息保护负责人制度，下列说法正确的有？A.处理个人信息达到国家网信部门规定数量的处理者应当指定B.负责人应当具备相关专业知识和经验C.负责人应公开联系方式，并报送履行个人信息保护职责的部门D.负责人必须由企业法定代表人担任答案：ABC10.下列关于去标识化与匿名化的说法，正确的有？A.去标识化后的信息仍属于个人信息B.匿名化后的信息不属于个人信息C.匿名化是指经过处理后无法识别特定自然人且不能复原D.去标识化是指在不借助额外信息的情况下无法识别特定自然人答案：ABCD三、判断题（每题1分，共10分）1.匿名化处理后的信息不属于个人信息，可以自由处理。答案：正确2.处理个人信息必须取得个人同意，没有任何例外。答案：错误解析：为订立、履行合同所必需，或为履行法定职责、法定义务所必需等情形，依法可不取得个人同意。3.处理敏感个人信息应当取得个人的单独同意。答案：正确4.个人撤回同意后，撤回前基于个人同意已进行的处理活动依然有效。答案：正确5.任何组织和个人都有权对违法处理个人信息的行为向监管部门投诉、举报。答案：正确6.处理者合并、分立时，无需通知个人信息主体。答案：错误解析：因合并、分立等原因变更个人信息处理者的，应当告知个人。处理目的、方式变更的，还须重新取得同意。7.个人信息跨境提供必须取得个人的单独同意。答案：正确8.国家机关处理个人信息可以不受《个人信息保护法》约束。答案：错误9.个人信息保护影响评估报告和处理情况记录应当至少保存五年。答案：错误解析：依法应当至少保存三年。10.违反《个人信息保护法》情节严重的，最高可处五千万元或上一年度营业额百分之五的罚款。答案：正确四、简答题（每题5分，共20分）1.简述《个人信息保护法》规定的基本处理原则。答案：(1)合法、正当、必要和诚信原则；(2)目的明确原则，处理目的应当明确、合理；(3)最小化原则，采取对个人权益影响最小的方式，收集范围限于实现处理目的的最小范围；(4)公开透明原则，个人有权了解处理规则；(5)质量原则，保证个人信息准确、完整并及时更新；(6)责任原则，处理者落实安全保护义务，保障信息安全。解析：答出其中五项即可得满分。核心是围绕“合法正当”“目的限制”“最小必要”“公开透明”“安全保障”展开。2.简述处理敏感个人信息应当满足的条件。答案：(1)具有特定目的和充分必要性；(2)取得个人的单独同意，法律、行政法规规定不需取得同意的除外；(3)向个人告知必要事项，包括处理敏感个人信息的必要性以及对个人权益的影响；(4)事前进行个人信息保护影响评估；(5)采取严格的保护措施。解析：除上述要点外，还需结合第28、29、30、55条进行全面陈述。3.个人信息主体依法享有哪些主要权利？答案：(1)知情权与决定权；(2)查阅、复制权；(3)更正、补充权；(4)删除权；(5)可携带权，即请求将个人信息转移至其指定的其他处理者；(6)自动化决策拒绝权及要求说明权；(7)撤回同意权；(8)死者近亲属依法查阅、复制、更正、删除死者个人信息的权利；(9)投诉、举报、提起诉讼等救济权利。解析：答出其中六项以上即可得满分。4.简述个人信息跨境提供的主要合规要求。答案：(1)通过国家网信部门组织的安全评估；(2)经专业机构进行个人信息保护认证；(3)与境外接收方订立标准合同；(4)法律、行政法规或国家网信部门规定的其他条件；(5)向个人告知境外接收方名称、联系方式、处理目的、方式、信息种类及保存期限，并取得个人单独同意；(6)采取必要措施保障境外接收方处理活动达到《个人信息保护法》规定的保护标准。五、案例分析题（每题10分，共20分）1.某电商APP在用户注册时设置“不同意全部条款则无法使用”，默认开启读取通讯录、精准位置、相册的权限，且未在隐私政策中说明用途。其后，该APP运营方将脱敏后的用户消费记录提供给第三方数据分析公司，未告知用户。请分析该企业的违法行为及应承担的法律责任。答案：违法行为包括：(1)强制捆绑同意。将核心业务与非必要权限绑定，违反“同意应当由个人在充分知情的前提下自愿、明确作出”的规定；(2)过度收集个人信息。读取通讯录、位置、相册与电商服务无直接关联，违反最小必要原则；(3)未履行告知义务。未如实告知处理目的、方式、信息种类等法定事项；(4)处理敏感个人信息未取得单独同意。精准位置信息属于行踪轨迹，未单独取得同意；(5)向第三方提供个人信息未履行告知义务并取得单独同意，且未进行个人信息保护影响评估。法律责任：(1)由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；(2)拒不改正的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；(3)情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关职务；(4)对个人造成损害的，依法承担损害赔偿等侵权责任。解析：本题重在识别“告知—同意”链条断裂和“最小必要”原则违反。答题应分行为定性与责任定级两部分，引用《个人信息保护法》第13、16、17、28、29、39、55、66条相应规则。2.某跨国公司在华子公司将员工姓名、身份证号码、健康体检记录及薪酬信息传输至境外总部服务器统一存储。员工入职时已签署《个人信息授权书》，其中第6条载明“员工同意公司为人力资源管理目的处理以上信息并传输至公司全球人力资源系统”。请指出该子公司存在的问题，并提出合规整改建议。答案：存在的问题：(1)身份证号码、健康记录、薪酬信息属于敏感个人信息，处理未满足“特定目的和充分必要性”且未单独取得同意；(2)员工签署的授权书为捆绑式概括同意，未就跨境提供单独告知并取得单独同意；(3)未向员工告知境外接收方的名称、联系方式、处理目的和方式、信息种类、保存期限等法定事项；(4)未按照《个人信息保护法》第38条选择安全评估、认证或标准合同等合法跨境路径；(5)未事前开展个人信息保护影响评估；(6)未采取有效措施确保境外接收方达到本法保护标准。合规整改建议：(1)重新设计授权文本，将敏感个人信息处理、跨境传输等事项分别