2026年个人信息保护法律考试题(附答案)

2026年个人信息保护法律考试题(附答案)一、单项选择题（每题1分，共20分）1.根据《中华人民共和国个人信息保护法》，个人信息处理者处理个人信息应当遵循的原则不包括下列哪一项？A.合法、正当、必要原则B.公开、透明原则C.最少够用原则D.利益最大化原则答案D2.下列哪项属于《个人信息保护法》所定义的"个人信息"？A.匿名化处理后的信息B.已公开的企业工商登记信息C.与已识别或可识别的自然人有关的各种信息D.国家统计局发布的宏观经济数据答案C解析个人信息是指与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。匿名化处理后的信息无法识别特定自然人，不属于个人信息。3.处理不满十四周岁未成年人个人信息的，应当取得谁的同意？A.未成年人本人B.未成年人父母或者其他监护人C.学校老师D.当地居委会答案B解析根据《个人信息保护法》第三十一条，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。4.个人信息处理者向第三方提供其处理的个人信息时，下列哪项做法是合规的？A.向个人告知第三方的名称和联系方式即可B.取得个人的单独同意C.只需在隐私政策中笼统说明D.只要第三方承诺保密即可答案B5.根据《个人信息保护法》，下列哪一情形下个人信息处理者无需取得个人同意即可处理个人信息？A.为个性化推荐产品而处理个人信息B.为履行个人作为一方当事人的合同所必需C.为开展市场调研而处理个人信息D.为建立用户画像而处理个人信息答案B6.个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者进行哪种操作？A.删除B.更正、补充C.复制D.转移答案B7.下列哪种个人信息属于敏感个人信息？A.姓名B.手机号码C.人脸信息D.学历信息答案C解析敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。人脸信息属于生物识别信息，是敏感个人信息。8.根据《个人信息保护法》，个人信息跨境提供时，下列哪种做法不符合规定？A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.直接向境外接收方传输，无须任何手续D.按照标准合同与境外接收方订立合同答案C9.个人信息处理者应当如何保存个人信息？A.永久保存B.保存期限为实现处理目的所必要的最短时间C.保存期限不少于5年D.保存期限不少于10年答案B10.根据《个人信息保护法》，违反规定处理个人信息，情节严重的，由省级以上履行个人信息保护职责的部门处以多少罚款？A.一百万元以下B.五千万元以下或者上一年度营业额百分之五以下C.一亿元以下D.十万元以下答案B解析根据《个人信息保护法》第六十六条，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。11.处理个人信息前，个人信息处理者应当以显著方式、清晰易懂的语言向个人告知下列哪项内容？A.个人信息处理者的商业秘密B.个人信息处理者的名称或者姓名和联系方式C.个人信息处理者的股东名单D.个人信息处理者的内部管理制度答案B12.个人撤回同意后，个人信息处理者应当如何处理？A.继续处理已撤回同意的个人信息B.立即停止处理并删除已撤回同意部分对应的个人信息C.以撤回同意为由拒绝提供任何服务D.将个人信息转让给第三方答案B13.下列哪一机构不属于《个人信息保护法》规定的"履行个人信息保护职责的部门"？A.国家网信部门B.国务院公安部门C.国务院市场监督管理部门D.中国消费者协会答案D14.个人信息处理者利用个人信息进行自动化决策，应当保证决策的什么？A.速度和效率B.透明度和结果公平、公正C.利润最大化D.用户覆盖范围最大化答案B15.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供哪种选项？A.不针对其个人特征的选项，或者向个人提供便捷的拒绝方式B.付费关闭广告的选项C.无限次推送的选项D.用户可自行编写广告内容的选项答案A16.根据《个人信息保护法》，处理个人信息的数量达到国家网信部门规定数量的个人信息处理者，应当指定什么人员？A.合规经理B.数据安全官C.个人信息保护负责人D.首席技术官答案C17.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行什么？A.自查自纠B.合规审计C.安全评估D.内部通报答案B18.当个人信息处理者发生个人信息泄露时，应当立即采取补救措施，并通知什么机构？A.公安机关B.履行个人信息保护职责的部门和个人C.新闻媒体D.行业协会答案B解析发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知内容应当包括泄露的原因、可能造成的危害、已采取的补救措施、个人可以采取的减轻危害的措施以及个人信息处理者的联系方式。19.处理敏感个人信息应当取得个人的哪种同意？A.一般同意B.书面同意C.单独同意D.口头同意答案C20.根据《个人信息保护法》的规定，个人信息处理者拒绝个人行使权利的请求时，个人可以如何救济？A.只能忍气吞声B.依法向人民法院提起诉讼C.只能向媒体曝光D.只能自行协商答案B二、多项选择题（每题2分，共20分）1.根据《个人信息保护法》，下列哪些属于个人在个人信息处理活动中享有的权利？A.查阅、复制权B.更正、补充权C.删除权D.要求解释说明处理规则的权利答案ABCD解析《个人信息保护法》第四章规定了个人在个人信息处理活动中的权利，包括知情权、决定权、查阅复制权、更正补充权、删除权、要求解释说明处理规则的权利等。2.下列哪些情形下，个人信息处理者处理个人信息无需取得个人同意？A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件所必需D.为提升企业盈利能力所必需答案ABC解析《个人信息保护法》第十三条规定了无需取得个人同意的六种情形，包括：订立履行合同所必需、履行法定职责法定义务所必需、应对突发公共卫生事件所必需、紧急情况下保护自然人的生命健康和财产安全所必需、合理范围内处理已公开信息、法律行政法规规定的其他情形。提升企业盈利能力不属于免责事由。3.个人信息处理者委托处理个人信息的，应当与受托人约定哪些内容？A.委托处理的目的B.处理期限C.处理方式D.个人信息的种类答案ABCD解析根据《个人信息保护法》第二十一条，委托处理个人信息的，应当约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。4.根据《个人信息保护法》，处理敏感个人信息应当具备哪些条件？A.具有特定的目的和充分的必要性B.取得个人的单独同意C.采取严格保护措施D.只需在隐私政策中说明即可答案ABC5.个人信息跨境提供时，下列哪些条件可以满足合法性要求？A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.按照标准合同与境外接收方订立合同D.获得个人信息处理者内部领导批准答案ABC6.下列哪些属于《个人信息保护法》规定的个人信息处理者的义务？A.制定内部管理制度和操作规程B.采取相应的加密、去标识化等安全技术措施C.合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训D.制定并组织实施个人信息安全事件应急预案答案ABCD解析上述四项均为《个人信息保护法》第九章规定的个人信息处理者应当采取的措施和履行的义务。7.依据《个人信息保护法》，属于"履行个人信息保护职责的部门"的有哪些？A.国家网信部门B.国务院有关部门C.县级以上地方人民政府有关部门D.中国互联网协会答案ABC8.发生个人信息泄露事件后，个人信息处理者通知个人时应当包括哪些内容？A.泄露的原因B.可能造成的危害C.已采取的补救措施D.个人可以采取的减轻危害的措施答案ABCD9.根据《个人信息保护法》，符合哪些条件时，处理已公开的个人信息无需取得个人同意？A.在合理范围内处理个人自行公开或者其他已经合法公开的个人信息B.为开展学术研究、统计分析等活动C.对个人权益有重大影响D.处理目的是商业营销答案AB解析在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，以及为开展学术研究、统计分析等活动处理已公开信息，无需取得个人同意，但需注意不得对个人权益造成重大影响。处理已公开信息用于商业营销的，仍需要符合法律规定。10.个人信息处理者违反《个人信息保护法》规定处理个人信息，可能承担的法律责任包括哪些？A.行政处罚B.民事赔偿责任C.刑事责任D.被列入失信名单答案ABCD解析违反《个人信息保护法》可能产生行政责任（罚款、责令改正、吊销执照等）、民事责任（损害赔偿）、刑事责任（构成侵犯公民个人信息罪的追究刑事责任），同时相关违法信息可能被纳入信用记录。三、判断题（每题1分，共10分）1.匿名化处理后的信息仍属于个人信息，受《个人信息保护法》保护。答案错误2.个人信息处理者可以以个人不同意处理其个人信息为由，拒绝提供产品或者服务。答案错误解析除非处理个人信息属于提供产品或者服务所必需，否则个人信息处理者不得以个人不同意处理其个人信息为由拒绝提供产品或者服务。3.处理不满十四周岁未成年人个人信息，应当取得未成年人的父母或者其他监护人的同意。答案正确4.个人有权撤回其同意，撤回同意后，个人信息处理者应当停止处理并删除相应个人信息。答案正确5.个人信息处理者可以根据业务需要无限期保存个人信息。答案错误6.处理敏感个人信息只需取得个人的一般同意即可，无需特别提示。答案错误解析处理敏感个人信息应当取得个人的单独同意，并应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。7.个人信息处理者委托处理个人信息的，受托人可以超出约定范围自行处理个人信息。答案错误解析受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息。8.个人信息处理者向境外提供个人信息，可以通过国家网信部门组织的安全评估后实施。答案正确9.利用个人信息进行自动化决策时，个人有权要求个人信息处理者予以说明，并有权拒绝仅通过自动化决策的方式作出对个人权益有重大影响的决定。答案正确10.个人信息保护负责人只需在大型互联网平台企业设立，其他企业无须指定。答案错误解析处理个人信息达到国家网信部门规定数量的个人信息处理者，以及处理敏感个人信息等的处理者，都应当指定个人信息保护负责人。四、简答题（每题5分，共15分）1.简述《个人信息保护法》中个人敏感个人信息的定义和范围。答案敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。包括生物识别信息、宗教信仰信息、特定身份信息、医疗健康信息、金融账户信息、行踪轨迹信息等，以及不满十四周岁未成年人的个人信息。2.简述个人信息处理者发生个人信息泄露事件后的处置流程。答案(1)立即采取补救措施，防止危害扩大；(2)通知履行个人信息保护职责的部门和个人；(3)通知内容包括泄露原因、可能造成的危害、已采取的补救措施、个人可以采取的减轻危害措施以及联系方式；(4)记录事件发生的时间、涉及信息种类、数量、影响范围等，并按照规定上报；(5)配合监管部门调查处理。3.简述个人在个人信息处理活动中享有的主要权利。答案(1)知情权与决定权：有权知晓处理情况并自主决定个人信息的处理；(2)查阅复制权：有权查阅、复制其个人信息；(3)更正补充权：发现信息不准确或不完整时有权请求更正、补充；(4)删除权：符合法定情形时有权请求删除；(5)撤回同意权：有权撤回其同意；(6)要求解释说明权：有权要求处理者对其处理规则进行解释说明；(7)自动化决策相关权利：有权拒绝仅通过自动化决策方式作出对个人权益有重大影响的决定。五、案例分析题（每题15分，共35分）1.某电商平台在用户注册时，通过用户协议获得用户同意后收集用户的手机号码、收货地址等信息。后来，该平台在未另行告知用户的情况下，将用户的手机号码提供给合作的物流公司用于配送，同时将用户的消费记录用于分析用户偏好并推送个性化广告。此外，该平台在用户注销账号后，仍保留用户的个人信息长达5年之久。问题：(1)该平台将用户手机号码提供给物流公司是否合规？请说明理由。(2)该平台利用消费记录推送个性化广告需要满足什么条件？(3)平台在用户注销账号后继续保留个人信息是否合法？答案：(1)不合规。向第三方提供个人信息，应当向个人告知第三方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。该平台仅通过用户协议获得一般同意，未就向物流公司提供信息取得单独同意，违反了《个人信息保护法》关于向第三方提供个人信息的规定。(2)利用个人信息进行自动化决策推送个性化广告，应当同时提供不针对其个人特征的选项或者向个人提供便捷的拒绝方式，并保证决策的透明度和结果公平、公正。同时，应当取得个人的同意，并告知处理目的、方式、信息种类等内容。(3)不合法。个人注销账号后，处理个人信息的合同基础已消灭，平台应当停止处理并删除其个人信息，除非法律、行政法规另有规定需要保留。保存期限应当为实现处理目的所必要的最短时间，用户注销后继续保留5年缺乏合法性基础，除非有法律明确要求（如交易记录、税务凭证等法定保存期限），否则属于违法处理。解析：本题综合考查个人信息处理的合法性基础、向第三方提供信息的要求、自动化决策规制以及个人信息保存期限。平台在处理个人信息时须严格遵守"告知—同意"规则和目的限制原则，超范围、超期限处理均构成违法。2.某大型互联网公司开发了一款健身App，用户注册时需同意其隐私政策。该隐私政策规定，用户使用App即视为同意将其健康数据（包括心率、步数、运动轨迹等）共享给合作的保险公司用于保费评估。某用户认为该条款不合理，拒绝同意，该公司则拒绝为其提供任何服务。问题：(1)该公司处理用户的健康数据属于哪类个人信息？应当履行哪些特别义务？(2)该公司"不同意就不提供服务"的做法是否合法？请说明理由。(3)该公司能否将用户的健康数据共享给保险公司用于保费评估？需要满足什么条件？答案：(1)健康数据属于敏感个人信息。处理敏感个人信息应当具有特定的目的和充分的必要性，取得个人的单独同意，并采取严格保护措施。同时应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。(2)不合法。处理个人信息属于提供产品或者服务所必需的除外，个人信息处理者不得以个人不同意处理其个人信息为由拒绝提供产品或者服务。健身App的核心功能是记录运动数据，保险公司保费评估并非提供该服务所必需，因此不能以此为由拒绝提供服务。(3)不能直接共享。向第三方提供敏感个人信息，除需取得个人的单独同意外，还应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类。健康数据属于敏感个人信息，共享给保险公司用于保费评估，应当取得用户的单独同意，并遵循"告知—同意"规则。此外，保险公司处理该信息也应当具备合法性基础，且不得超出用户同意的范围处理。解析：本题重点考查敏感个人信息的特殊