2026年个人信息保护法实务知识竞赛试题及答案

2026年个人信息保护法实务知识竞赛试题及答案一、单项选择题（本大题共30小题，每小题1分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。）1.根据《中华人民共和国个人信息保护法》，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。其中，“匿名化”是指个人信息经过处理无法识别特定自然人且不能复原的过程。以下关于“去标识化”的描述，正确的是（）。A.去标识化是指个人信息经过处理无法识别特定自然人且不能复原的过程B.去标识化后的个人信息属于匿名化信息，不再适用个人信息保护法C.去标识化是指个人信息经过处理使其在不借助额外信息的情况下，无法识别特定自然人的过程D.去标识化是个人信息处理的必经前置步骤2.某互联网公司计划推出一款面向未成年人的教育类APP，根据《个人信息保护法》的规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的（）。A.本人同意B.监护人同意C.本人及监护人共同同意D.学校或教育机构同意3.个人信息处理者处理个人信息，应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。这体现了个人信息保护的（）原则。A.知情同意原则B.目的限制原则C.诚实信用原则D.公开透明原则4.根据法律规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意的，从其规定。以下哪种情形不需要取得个人单独同意？（）A.处理敏感个人信息B.向其他个人信息处理者提供其处理的个人信息C.公开其处理的个人信息D.在个人信息处理者的基本业务功能范围内处理个人信息5.关于共同处理个人信息，两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定（）。A.不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利B.可以免除部分个人信息处理者的法定责任C.需要经监管部门批准才生效D.仅对合同签署方有效，不对个人产生效力6.个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。以下行为中，最可能违反“大数据杀熟”相关规定的是（）。A.根据用户的浏览历史推荐其可能感兴趣的商品B.对不同时段购买同一航班机票的用户显示不同价格（基于供需变化）C.根据用户的消费等级提供不同的会员专属服务D.对同一平台、同一商品、同一服务的老用户显示比新用户更高的价格，且无正当理由7.个人信息保护影响评估（PIA）是个人信息保护合规的重要环节。根据《个人信息保护法》，下列哪种情形下，个人信息处理者不必须事前进行个人信息保护影响评估？（）A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息D.在境外机构处理个人信息的情形下，向境外提供个人信息8.境内个人信息处理者需要在境外设立机构或者向境外提供个人信息的，应当具备下列哪项条件？（）A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务D.以上三种情形满足其一即可9.个人信息处理者应当对其个人信息处理活动负责，采取必要措施保障所处理的个人信息的安全。根据法律规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括的事项不包括（）。A.个人信息泄露、篡改、丢失的原因B.个人信息泄露、篡改、丢失可能造成的危害C.个人信息处理者已采取的补救措施和将要采取的措施D.个人信息处理者的商业秘密信息10.在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息（）。A.只能用于维护公共安全的目的，不得用于其他目的B.可以用于商业营销，但必须匿名化C.存储期限不得超过30天D.仅在取得个人单独同意后方可用于其他目的11.某电商平台因业务调整，需要将平台内收集的用户个人信息转移至另一家关联公司。根据法律规定，下列说法正确的是（）。A.只要属于同一集团内部转移，无需告知用户B.应当向用户告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得用户的单独同意C.只需要向监管部门备案即可D.只需要通过隐私政策更新进行告知，无需用户同意12.个人有权向个人信息处理者查阅、复制其个人信息。如果个人信息处理者拒绝个人行使查阅、复制权利的，个人可以（）。A.只能向人民法院提起诉讼B.只能向人民检察院投诉C.可以向人民法院提起诉讼，也可以向履行个人信息保护职责的部门投诉、举报D.无救济途径，需服从处理者的决定13.依据《个人信息保护法》，关键信息基础设施运营者和处理个人信息达到规定数量的个人信息处理者，确需向境外提供个人信息的，应当通过（）。A.国家网信部门组织的安全评估B.专业机构进行的个人信息保护认证C.订立标准合同D.境外接收方法律合规证明14.个人信息处理者处理敏感个人信息，应当具有特定的目的和充分的必要性，并采取严格保护措施。下列哪项不属于敏感个人信息？（）A.生物识别B.宗教信仰C.特定身份D.用户浏览记录15.履行个人信息保护职责的部门履行下列哪项职责时，个人信息处理者应当予以配合？（）A.仅限于进入现场检查B.仅限于查阅、复制相关文件资料C.包括进入现场检查、查阅复制资料、询问有关人员、调查取证等，且不得拒绝、阻挠D.仅限于询问有关人员16.根据法律责任规定，违反《个人信息保护法》规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，拒不改正的，并处一百万元以下罚款。情节严重的，可能面临的最高罚款额度是（）。A.五千万元或者上一年度营业额百分之五B.一亿元或者上一年度营业额百分之十C.五百万元或者上一年度营业额百分之一D.三千万元或者上一年度营业额百分之三17.个人信息处理者应当在处理个人信息前，以显著方式、清晰易懂的语言真实、准确、完整地告知个人信息处理者的相关信息。以下不需要告知的是（）。A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人信息处理者的算法逻辑及技术架构细节D.个人行使权利的方式和程序18.提供基础互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列哪项特定义务？（）A.定期发布个人信息保护社会责任报告B.必须设立独立的个人信息保护机构C.必须接受国家安全审查D.必须存储于境内服务器，不得出境19.某公司研发了一款通过人脸识别进行考勤的系统，该公司在员工入职时采集了人脸信息。根据《个人信息保护法》，该行为属于处理（）。A.普通个人信息B.敏感个人信息C.匿名化信息D.企业内部管理信息，不受法律规制20.个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的处理活动进行（）。A.全部转包B.监督C.替代责任承担D.连带责任承担21.在以下哪种情况下，个人信息处理者可以处理个人信息而无需取得个人同意？（）A.为订立、履行个人作为一方当事人的合同所必需B.为公司内部数据分析所必需C.为提升产品用户体验所必需D.为开拓新市场所必需22.个人信息处理者欲删除个人信息，发现删除从技术上难以实现的，应当（）。A.停止除存储和采取必要安全保护措施之外的处理B.可以无限期存储C.销毁存储设备D.匿名化后公开23.受托人应当按照委托人的要求处理个人信息，不得（）。A.自行转委托他人处理个人信息B.在约定的处理目的、处理方式范围内处理个人信息C.向委托人报告处理情况D.采取必要的安全保护措施24.境外组织、个人从事危害中华人民共和国国家安全、公共利益的个人信息处理活动，或者侵害中华人民共和国公民个人信息的权益的，（）。A.只能通过外交途径解决B.中国公民可以在中国提起诉讼追究其法律责任C.国家网信部门可以将其列入限制或者禁止个人信息提供清单D.B和C均正确25.个人信息处理者成立的独立机构负责监督个人信息处理情况，该机构的负责人应当由（）。A.公司法定代表人兼任B.公司销售部门负责人兼任C.外部独立董事或具有相应资历的人员担任D.任何员工均可担任26.关于个人信息的保存期限，下列说法正确的是（）。A.法律没有明确规定，由处理者自行决定B.应当为实现处理目的所必要的最短时间C.除非被删除，否则应当永久保存D.应当不少于5年27.根据《个人信息保护法》，国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的（）。A.市场机制B.行政命令机制C.良性互动环境D.封闭管理系统28.某APP在用户注册时，强制要求用户同意“允许读取通讯录”，否则无法注册使用。该行为违反了个人信息保护的（）。A.必要原则B.公开透明原则C.知情同意原则D.数据质量原则29.个人信息处理者处理个人信息，有下列哪些情形之一的，应当事前进行个人信息保护影响评估？①处理敏感个人信息②利用个人信息进行自动化决策③委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息④向境外提供个人信息⑤其他对个人权益有重大影响的个人信息处理活动A.①②③B.①②④⑤C.①②③④⑤D.②③④⑤30.任何组织、个人有权举报投诉违法违规处理个人信息行为。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。这体现了个人信息保护中的（）。A.社会监督机制B.行业自律机制C.技术保障机制D.司法救济机制二、多项选择题（本大题共15小题，每小题2分，共30分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选均不得分。）1.根据《个人信息保护法》，个人信息包括哪些内容？（）A.自然人的姓名、出生日期、身份证件号码B.生物识别信息、宗教信仰、特定身份C.医疗健康、金融账户、行踪轨迹D.电子邮箱、住址、电话号码E.匿名化处理后的统计数据2.个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知下列哪些事项？（）A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人信息处理者的股东结构D.个人行使权利的方式和程序E.法律、行政法规规定应当告知的其他事项3.以下哪些情形，个人信息处理者应当取得个人的单独同意？（）A.向其他个人信息处理者提供其处理的个人信息B.公开其处理的个人信息C.处理敏感个人信息D.在公共场所安装图像采集设备并收集人脸信息E.处理不满十四周岁未成年人的个人信息4.根据《个人信息保护法》，个人信息处理者不得以个人不同意为由拒绝提供产品或者服务，除非（）。A.该产品或服务的核心功能依赖于该个人信息B.该个人信息对于提供该产品或服务是必需的C.处理个人信息是为了履行法定职责或者法定义务D.紧急情况下为保护自然人的生命健康和财产安全E.商业模式需要5.个人在个人信息处理活动中的权利包括哪些？（）A.查阅、复制权B.更正、补充权C.删除权D.解释说明权E.撤回同意权6.关于敏感个人信息的保护，下列说法正确的有（）。A.只有在具有特定的目的和充分的必要性的情形下，方可处理敏感个人信息B.处理敏感个人信息应当取得个人的单独同意C.处理敏感个人信息应当取得未成年人的监护人同意D.个人信息处理者处理敏感个人信息，应当事前进行个人信息保护影响评估E.法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定7.个人信息处理者委托处理个人信息的，应当与受托人约定哪些内容？（）A.委托处理的目的、期限B.处理方式、个人信息的种类C.保护措施以及双方的权利和义务D.受托人的转委托权E.违约责任8.发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列哪些事项？（）A.个人信息泄露、篡改、丢失后采取的补救措施B.个人信息泄露、篡改、丢失可能造成的危害C.个人信息处理者的联系方式D.个人信息泄露、篡改、丢失的具体技术细节E.发生或者可能发生个人信息泄露、篡改、丢失的起因9.下列哪些个人信息处理者，应当在境内设立专门机构或者指定代表负责个人信息保护事宜，并将该机构或者代表的名称、联系方式等报送履行个人信息保护职责的部门？（）A.处理个人信息达到国家网信部门规定数量的处理者B.在境外设立机构的处理者C.确需向境外提供个人信息的处理者D.处理不满十四周岁未成年人个人信息的处理者E.所有关键信息基础设施运营者10.个人信息处理者应当采取下列哪些措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失？（）A.制定内部管理制度和操作规程B.对个人信息实行分级分类管理C.采取相应的加密、去标识化等安全技术措施D.合理确定个人信息处理的操作权限E.对从业人员进行安全教育和培训11.履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人安全事件的，可以按照规定权限和程序对个人信息处理者的法定代表人或者主要负责人进行（）。A.约谈B.要求其委托专业机构对其个人信息处理活动进行合规审计C.罚款D.拘留E.吊销营业执照12.下列关于个人信息跨境提供的表述，正确的有（）。A.关键信息基础设施运营者处理个人信息，确需向境外提供的，应当通过国家网信部门组织的安全评估B.非关键信息基础设施运营者处理个人信息达到一定数量，确需向境外提供的，应当通过安全评估或认证或订立标准合同C.个人信息处理者应当向个人告知境外接收方的名称、联系方式、处理目的等事项，并取得个人的单独同意D.境外司法机构或者执法机构要求提供个人信息的，个人信息处理者可以直接提供E.国际合作中确需向境外提供个人信息的，可以由主管机关与境外国家、地区主管部门进行协商13.根据《个人信息保护法》，禁止进行下列哪些误导、欺诈、胁迫个人信息处理活动？（）A.误导个人信息处理者收集个人信息B.欺骗个人信息处理者提供个人信息C.胁迫个人信息处理者处理个人信息D.通过诱导页面诱导用户点击同意E.捆绑授权，强制用户同意14.个人信息保护影响评估应当包括下列哪些内容？（）A.个人信息的处理目的、处理方式等是否合法、正当、必要B.对个人权益的影响及安全风险C.个人信息处理者的经济利益D.所采取的保护措施是否合法、有效并与风险程度相适应E.处理行为是否符合商业惯例15.违反《个人信息保护法》规定，处理个人信息未履行本法规定的个人信息保护义务，情节严重的，可能面临的法律责任包括（）。A.由省级以上履行个人信息保护职责的部门责令改正，没收违法所得B.并处五千万元或者上一年度营业额百分之五的罚款C.可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照D.对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款E.并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人三、填空题（本大题共20小题，每小题1分，共20分。请将正确答案填写在题目中的横线上。）1.《中华人民共和国个人信息保护法》于2021年8月20日通过，自______起施行。2.个人信息处理者处理个人信息，应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这被称为______原则。3.处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式、范围。这是个人信息保护法的______原则。4.个人信息处理者基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下______作出。5.个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所______的除外。6.个人信息处理者处理敏感个人信息的，除本法第十八条第一款规定的事项外，还应当向个人告知处理敏感个人信息的______以及对个人权益的影响。7.个人信息处理者发现法律、行政法规禁止或者限制提供个人信息的产品或者服务，或者提供的个人信息超出处理目的的______、处理方式的必要范围，或者因个人信息处理者不再提供所承诺的产品或者服务，个人有权要求个人信息处理者删除其个人信息。8.个人信息处理者处理个人信息，有本法第五十二条第一款规定的情形（处理个人信息达到国家网信部门规定数量）的，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施进行______。9.在中华人民共和国境外处理中华人民共和国公民个人信息，旨在向中华人民共和国境内提供产品或者服务或者分析、评估境内自然人的行为，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）______。10.个人信息处理者向境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的______。11.根据法律规定，重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：（一）建立健全个人信息保护制度和______机制；（二）定期发布个人信息保护社会责任报告，接受社会监督。12.个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起______。13.任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知______。14.个人信息处理者负责处理的个人信息数量巨大，且______，应当指定个人信息保护负责人。15.个人信息处理者向境外提供个人信息，可能影响国家主权、安全和发展利益的，应当通过______。16.处理个人信息的，应当遵循______原则，不得通过误导、欺诈、胁迫等方式处理个人信息。17.个人信息保护负责人应当由相关负责人员担任，并具有______和相关专业知识。18.个人信息处理者需制定并公开个人信息处理规则，该规则应当通俗易懂，采用______形式。19.个人信息处理者委托处理个人信息的，受托人应当按照委托人的要求处理个人信息，______自行转委托第三人处理个人信息。20.个人信息处理者违反本法规定，构成犯罪的，依法追究______。四、简答题（本大题共5小题，每小题6分，共30分。）1.简述《个人信息保护法》中规定的“敏感个人信息”的定义及其列举的主要类型。2.根据法律规定，个人信息处理者在哪些情形下，应当取得个人的单独同意？请列举至少四种情形。3.简述个人信息主体享有的“撤回同意”的权利以及个人信息处理者相应的处理义务。4.请列举《个人信息保护法》中规定的个人信息处理者应当履行的告知义务的主要内容（至少列举五项）。5.简述个人信息保护影响评估（PIA）的主要评估内容。五、案例分析题（本大题共2小题，每小题25分，共50分。）案例一：某知名社交平台A公司（注册地在中国）推出了新的“精准营销”功能。该功能通过收集用户的浏览记录、点赞内容、地理位置、聊天关键词等数据，构建用户画像，并向用户推送个性化的广告。在用户注册APP时，A公司在《隐私政策》中写明：“为了提供更好的服务，我们将收集您的各类信息，包括但不限于位置信息、通讯录、聊天记录等”，并设置了一个“我已阅读并同意隐私政策”的勾选框，只有勾选后方可注册。用户张三注册后，发现A公司频繁向他推送与其近期聊天内容高度相关的商业广告，且每次打开APP都会请求获取其精确地理位置，若拒绝则无法使用APP的部分基础社交功能（如查看朋友圈）。张三感到不适，要求A公司删除其个人信息，并停止画像分析。A公司客服回复称，收集信息是为了优化服务，无法删除，且用户已同意隐私政策。与此同时，A公司为了拓展海外业务，将平台内收集的一千万中国用户的个人数据（包括部分用户的人脸识别信息）存储在了其位于新加坡的服务器上，并未进行安全评估。问题：1.A公司在注册环节要求用户勾选同意《隐私政策》的做法是否合法？请结合“知情同意”原则进行分析。（5分）2.A公司收集用户浏览记录、聊天关键词构建画像进行广告推送的行为，是否符合法律规定？应当遵守哪些特别义务？（8分）3.张三要求删除个人信息被拒，A公司的做法是否符合法律规定？请说明理由。（6分）4.A公司将中国用户数据存储在新加坡服务器的行为存在哪些法律风险？应当如何合规？（6分）案例二：某大型连锁超市B公司为了提升管理效率和防止盗窃，在所有门店的出入口、收银台、货架通道等区域安装了具备人脸识别功能的智能监控摄像头。该系统实时采集进店顾客的人脸信息，并与后台数据库比对，识别出顾客的会员身份、消费记录，甚至试图分析顾客的情绪。B公司在门店入口张贴了一张A4纸大小的告示，写着“为了保障安全，店内已安装监控”，位置不显眼。此外，B公司未经员工同意，在员工考勤中强制使用了人脸识别打卡系统，并将采集到的人脸数据直接传输至第三方人力资源公司进行考勤统计。某日，顾客李四发现B公司采集其人脸信息后，投诉至监管部门。经查，B公司并未就处理敏感个人信息取得个人单独同意，且未进行个人信息保护影响评估。问题：1.B公司安装人脸识别设备采集顾客人脸信息的行为，是否符合“合法、正当、必要”原则？请结合敏感个人信息保护规定进行分析。（8分）2.B公司在告知义务履行上存在哪些问题？正确的做法应当是什么？（7分）3.关于B公司将员工人脸数据传输给第三方的行为，存在哪些法律违规点？（6分）4.如果监管部门认定B公司违法，B公司可能面临哪些法律责任？（4分）参考答案一、单项选择题1.C2.B3.C4.D5.A6.D7.C8.D9.D10.A11.B12.C13.A14.D15.C16.A17.C18.A19.B20.B21.A22.A23.A24.D25.C26.B27.C28.C29.C30.A二、多项选择题1.ABCD2.ABDE3.ABCE4.AB5.ABCDE6.ABDE7.ABCE8.ABCE9.ABE10.ABCDE11.AB12.ABCE13.ABCDE14.ABD15.ABCDE三、填空题1.2021年11月1日2.最小必要（或必要）3.公开透明4.自愿、明确5.必需6.必要性7.范围8.监督9.法律、行政法规规定的其他情形10.单独同意11.个人信息保护合规12.公益诉讼13.投诉、举报人14.业务类型复杂15.国家网信部门组织的安全评估16.诚信17.负责管理18.文字、图片19.不得20.刑事责任四、简答题1.简述“敏感个人信息”的定义及其列举的主要类型。答：敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。2.个人信息处理者在哪些情形下，应当取得个人的单独同意？请列举至少四种。答：（1）向其他个人信息处理者提供其处理的个人信息；（2）公开其处理的个人信息；（3）处理敏感个人信息；（4）向境外提供个人信息；（5）在公共场所安装图像采集设备收集人脸信息等。（答出任意四点即可得满分）3.简述“撤回同意”的权利及处理者义务。答：个人有权撤回同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。当个人撤回同意后，个人信息处理者应当停止处理或及时删除个人信息，或者将个人信息进行匿名化处理。4.个人信息处理者应当履行的告知义务主要内容。答：（1）个人信息处理者的名称或者姓名和联系方式；（2）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（3）个人行使权利的方式和程序；（4）法律、行政法规规定应当告知的其他事项。5.简述个人信息保护影响评估（PIA）的主要内容。答：（1）个人信息的处理目的、处理方式等是否合法、正当、必要；（2）对个人权益的影响及安全风险；（3）所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。五、案例分析题案例一参考答案：1.A公司注册环节做法不合法。虽然《个人信息保护法》允许通过勾选框等形式获取同意，但A公司的《隐私政策》属于概括性授权，未明确告知用户处理信息的种类（如聊天关键词）和目的（如精准广告），且未将非必要信息（如通讯录、位置）与基础服务功能进行拆分。违反了“知情同意”原则中必须由个人在充分知情的前提下自愿、明确作出同意的要求，以及不得因用户不同意收集非必要个人信息而拒绝提供服务的禁止性规定。2.行为存疑，需履行特别义务。利用个人信息进行自动化决策应