2026年个人信息保护法考试试题（附答案）

2026年个人信息保护法考试试题（附答案）一、单项选择题（共20题，每题1分，每题的备选项中，只有1个最符合题意）1.根据《中华人民共和国个人信息保护法》规定，处理个人信息应当遵循（）原则，不得过度处理。A.合法、正当、必要、诚信B.合法、合理、必要、诚信C.合法、正当、充分、诚信D.合法、合理、充分、诚信答案：A解析：《个人信息保护法》第五条明确规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。其中“必要”原则的核心是不得过度收集、处理与提供服务无关的个人信息，是个人信息保护的核心边界准则。2.处理个人信息时，个人信息处理者的告知义务应当达到的标准是（）A.真实、准确、完整B.真实、准确、显著清晰、易懂C.全面、细致、专业、规范D.全面、准确、晦涩、严谨答案：B解析：《个人信息保护法》第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知法定事项，禁止使用模糊化表述、格式条款隐藏关键告知内容，保障个人的知情权。3.以下哪种情形下，处理个人信息无需取得个人单独同意？（）A.处理敏感个人信息B.向其他个人信息处理者提供个人信息C.为订立、履行个人作为一方当事人的合同所必需处理个人信息D.公开个人信息答案：C解析：根据《个人信息保护法》第十三条、第二十九条、第二十三条、第二十五条规定，处理敏感个人信息、向第三方提供个人信息、公开个人信息均需取得个人单独同意；而为订立履行合同必需处理个人信息属于法定豁免同意情形，无需取得单独同意，仅需履行法定告知义务即可。4.敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，下列不属于敏感个人信息的是（）A.生物识别、宗教信仰、特定身份B.医疗健康、金融账户、行踪轨迹C.不满十四周岁未成年人的个人信息D.个人的姓名、出生日期、职业答案：D解析：《个人信息保护法》第二十八条明确界定敏感个人信息范围，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。普通姓名、公开职业信息、一般性出生日期记录不具有高度敏感性，不属于敏感个人信息范畴。5.基于个人同意处理个人信息的，个人（）撤回其同意。A.无权B.有权随时C.经处理者同意后有权D.只能在合同履行完毕后答案：B解析：《个人信息保护法》第十五条规定，基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式，不得设置不合理的撤回障碍，个人撤回同意不影响撤回前基于同意已进行的个人信息处理活动的效力。6.个人信息处理者处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。A.十二B.十四C.十六D.十八答案：B解析：《个人信息保护法》第三十一条规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，且应当针对未成年人个人信息处理制定专门规则，履行更高的保护义务。7.在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于（）的目的，不得用于其他目的；取得个人单独同意的除外。A.商业运营B.公共安全C.舆情监测D.客流统计答案：B解析：《个人信息保护法》第二十六条规定，公共场所安装的图像采集、身份识别设备收集的信息，原则上只能用于维护公共安全的目的，未经个人单独同意不得用于商业分析、客流统计、精准营销等其他用途。8.国家机关处理个人信息，应当依照（）规定的权限和程序进行，不得超出履行法定职责所必需的范围和限度。A.法律、行政法规B.部门规章C.规范性文件D.单位内部制度答案：A解析：《个人信息保护法》第三十四条规定，国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序实施，不得超出履职必要范围，避免公权力对个人信息权益的不当侵害。9.个人信息处理者向中华人民共和国境外提供个人信息的，下列哪项不属于法定必备条件？（）A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方权利义务D.取得行业主管部门的口头同意答案：D解析：《个人信息保护法》第三十八条规定了个人信息出境的三类法定路径：通过安全评估、获得个人信息保护认证、订立标准合同，三者满足其一即可；不存在“行业主管部门口头同意”作为出境合法依据的规定。10.个人请求查阅、复制其个人信息的，个人信息处理者（）提供。A.应当及时B.可以拒绝C.经审批后D.收取高额费用后答案：A解析：《个人信息保护法》第四十五条规定，个人有权向个人信息处理者查阅、复制其个人信息，个人提出查阅复制请求的，处理者应当及时提供，不得设置不合理门槛，不得收取不合理费用。11.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计，审计周期最长不得超过（）A.6个月B.1年C.2年D.3年答案：C解析：根据《个人信息保护法》第五十四条及《个人信息保护合规审计管理办法》要求，处理超过100万人个人信息的处理者应当每年开展一次合规审计，其他处理者至少每2年开展一次，因此最长审计周期为2年。12.发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人，通知内容不包括下列哪项？（）A.个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害B.个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施C.个人信息处理者的联系方式D.涉事员工的个人身份信息及家庭住址答案：D解析：《个人信息保护法》第五十七条规定了个人信息安全事件的法定通知内容，涉事员工的个人隐私信息不属于法定告知范围，不得随意公开。13.提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当成立主要由（）组成的独立监督机构，对个人信息处理情况进行监督。A.企业高管B.外部成员C.技术人员D.法务人员答案：B解析：《个人信息保护法》第五十八条规定，大型平台应当成立主要由外部成员组成的独立监督机构，避免内部人员自我监督的漏洞，保障监督的客观性、独立性。14.履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行（）A.拘留B.约谈C.罚款D.刑事追责答案：B解析：《个人信息保护法》第五十六条规定，监管部门对存在较大风险或发生安全事件的处理者，可以约谈其法定代表人或主要负责人，要求其采取措施整改，约谈属于行政指导类监管措施，不属于行政处罚或刑事强制措施。15.违反个人信息保护法规定处理个人信息，或者处理个人信息未履行个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处（）罚款。A.一百万元以下B.二百万元以下C.五百万元以下D.一千万元以下答案：A解析：《个人信息保护法》第六十六条规定，一般违法情形拒不改正的，处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。16.个人信息处理者因业务需要，确需向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，还需满足的核心条件是（）A.取得个人的单独同意B.签订合作协议即可C.向监管部门备案即可D.对数据进行脱敏即可答案：A解析：《个人信息保护法》第二十三条明确规定，个人信息处理者向第三方提供个人信息的，除履行告知义务外，必须取得个人的单独同意，接收方应当在告知的处理目的、处理方式、信息种类范围内处理个人信息。17.以下关于个人信息处理者委托处理个人信息的说法，错误的是（）A.应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等B.应当对受托人的个人信息处理活动进行监督C.受托人可以直接转委托第三方处理个人信息，无需征得个人信息处理者同意D.委托关系结束后，受托人应当将个人信息返还或者删除，不得保留答案：C解析：《个人信息保护法》第二十一条规定，受托人转委托个人信息处理的，应当取得个人信息处理者的同意，不得擅自转委托；委托双方需通过合同明确权利义务，处理者需对受托人的处理活动进行监督，委托关系终止后受托人需返还或删除个人信息。18.自动化决策是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。个人信息处理者利用自动化决策向个人进行信息推送、商业营销时，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的（）方式。A.拒绝B.投诉C.反馈D.申诉答案：A解析：《个人信息保护法》第二十四条规定，自动化决策营销应当提供非个性化选项，或者提供便捷的拒绝方式，不得通过算法对个人在交易价格等交易条件上实行不合理的差别待遇，保障个人的算法选择权。19.个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取相应的技术措施和其他必要措施，确保个人信息处理活动符合法律、行政法规的规定，下列不属于法定安全保护措施要求的是（）A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.定期向社会公开全部个人信息处理系统的源代码答案：D解析：《个人信息保护法》第五十一条规定了个人信息处理者的安全保护义务，包括制度建设、分类管理、加密去标识化、权限管控、安全培训、应急预案等，公开系统源代码不属于法定强制义务，过度公开可能反而引发信息安全风险。20.个人认为个人信息处理者侵害其个人信息权益的，（）依法向人民法院提起诉讼。A.无权B.有权C.经监管部门同意后有权D.经消费者协会同意后有权答案：B解析：《个人信息保护法》第五十条明确规定，个人信息处理者拒绝个人行使权利请求的，个人可以依法向人民法院提起诉讼，个人享有法定的司法救济权利，无需经过其他主体的前置同意。二、多项选择题（共10题，每题2分，每题的备选项中，有2个或2个以上符合题意，至少有1个错项，错选、多选不得分，少选每个选项得0.5分）1.下列情形中，个人信息处理者处理个人信息可以不取得个人同意的有（）A.为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息E.为提升商业营销精准度，处理消费者浏览记录信息答案：ABCD解析：《个人信息保护法》第十三条规定了五类豁免同意的法定情形，ABCD均属于法定豁免范围；商业营销处理个人信息必须取得个人同意，不属于豁免情形。2.敏感个人信息的处理除满足一般个人信息处理规则外，还应当满足的特殊要求包括（）A.具有特定的目的和充分的必要性B.采取严格的保护措施C.取得个人的单独同意，法律、行政法规规定应当取得书面同意的，从其规定D.向个人告知处理敏感个人信息的必要性以及对个人权益的影响E.处理前必须向网信部门申请行政许可答案：ABCD解析：《个人信息保护法》第二十八条至第三十条规定了敏感个人信息处理的特殊规则，包括特定目的+充分必要性、严格保护措施、单独同意（必要时书面同意）、特殊告知义务；目前我国未设定敏感个人信息处理的普遍行政许可要求，E选项错误。3.关于死者个人信息保护，下列说法正确的有（）A.自然人死亡的，其个人信息权益自动消灭，任何主体均可随意处理B.自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利C.死者生前另有安排的，应当尊重死者生前的意愿D.处理死者个人信息无需考虑公序良俗E.涉及死者隐私的个人信息，处理者仍需履行保密义务答案：BCE解析：《个人信息保护法》第四十九条规定，自然人死亡后，其近亲属可基于合法正当利益对死者个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的从其安排；死者个人信息中涉及隐私、人格利益的内容仍受法律保护，处理活动需遵守公序良俗，不得侵害死者及近亲属合法权益，AD选项错误。4.个人在个人信息处理活动中享有的权利包括（）A.知情权、决定权B.限制或者拒绝他人处理其个人信息的权利C.查阅、复制、更正、补充个人信息的权利D.删除个人信息的权利E.要求个人信息处理者对处理规则进行解释说明的权利答案：ABCDE解析：《个人信息保护法》第四十四条至第四十八条明确规定了个人在个人信息处理活动中的上述全部权利，构建了完整的个人信息权利体系。5.个人信息处理者应当事前进行个人信息保护影响评估的情形包括（）A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息D.向境外提供个人信息E.其他对个人权益有重大影响的个人信息处理活动答案：ABCDE解析：《个人信息保护法》第五十五条规定了必须开展个人信息保护影响评估的五类情形，上述选项全部覆盖，影响评估报告和处理情况记录应当至少保存3年。6.关于个人信息出境的特殊保护要求，下列说法正确的有（）A.关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内B.非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息C.境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施D.个人信息出境无需告知个人相关信息E.个人信息出境标准合同由个人信息处理者与境外接收方自行拟定，无需符合国家统一标准答案：ABC解析：《个人信息保护法》第四十条、第四十一条、第四十二条规定了个人信息出境的相关要求，关键信息基础设施运营者和达到规定数量的处理者需落实境内存储要求，向外国司法执法机构提供境内个人信息需经主管机关批准，国家可对侵害我国公民权益的境外主体实施清单管控；个人信息出境需取得个人单独同意并履行告知义务，标准合同需符合国家网信部门制定的统一文本要求，DE选项错误。7.履行个人信息保护职责的部门履行职责时可以采取的措施包括（）A.询问有关当事人，调查与个人信息处理活动有关的情况B.查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料C.实施现场检查，对涉嫌违法的个人信息处理活动进行调查D.检查与个人信息处理活动有关的设备、物品；对有证据证明是用于违法个人信息处理活动的设备、物品，予以查封或者扣押E.直接对违法主体的法定代表人采取刑事拘留措施答案：ABCD解析：《个人信息保护法》第六十三条规定了监管部门的执法措施，上述ABCD选项均属于法定执法权限；刑事拘留属于公安机关的刑事强制措施，个人信息保护监管部门无权直接实施，E选项错误。8.以下行为中，属于违反个人信息保护法规定，应当承担法律责任的有（）A.过度收集个人信息，收集与提供服务无关的个人信息B.未经同意公开个人信息C.未采取必要安全防护措施导致个人信息泄露D.算法歧视，利用自动化决策对消费者实行不合理的价格差别待遇E.为公共利益需要，在合理范围内处理已经合法公开的个人信息答案：ABCD解析：过度收集信息、未经同意公开信息、未履行安全保护义务、算法歧视均属于违法行为，需承担相应法律责任；在合理范围内处理已公开的个人信息用于公共利益属于法定合法处理情形，无需承担责任。9.受委托处理个人信息的受托人应当履行的义务包括（）A.按照与个人信息处理者的约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息B.协助个人信息处理者履行个人信息保护相关义务，响应个人提出的权利行使请求C.采取必要措施保障所处理的个人信息的安全D.在委托合同终止时，按照约定返还个人信息或者予以删除，不得保留E.可以自行将个人信息用于自身商业推广活动答案：ABCD解析：根据《个人信息保护法》第二十一条规定，受托人应当严格按照委托合同约定处理个人信息，不得超出约定用途使用信息，需履行安全保护、协助行权、到期返还删除等义务，不得擅自将受托处理的信息用于自身商业活动，E选项错误。10.大型互联网平台运营者应当履行的特殊个人信息保护义务包括（）A.按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督B.遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务C.对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务D.定期发布个人信息保护社会责任报告，接受社会监督E.可以要求平台内经营者强制向其提供用户全部个人信息用于平台生态建设答案：ABCD解析：《个人信息保护法》第五十八条规定了大型平台的特殊义务，ABCD选项均为法定要求；大型平台不得强制要求平台内经营者向其提供非必要的用户个人信息，E选项属于强制收集信息的违法行为。三、判断题（共10题，每题1分，正确选√，错误选×）1.个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等环节。（）答案：√解析：《个人信息保护法》第四条第二款明确界定个人信息处理的全流程环节，覆盖个人信息从收集到删除的全生命周期。2.匿名化处理后的信息，因无法识别特定自然人且不能复原，不属于个人信息范畴。（）答案：√解析：《个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。匿名化需达到无法识别特定自然人且不能复原的标准，区别于可复原的去标识化信息。3.个人信息处理者可以在产品安装过程中默认勾选获取用户个人信息的同意选项，提高信息获取效率。（）答案：×解析：《个人信息保护法》第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出，默认勾选属于误导用户、未取得明确同意的违法情形。4.个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。（）答案：√解析：《个人信息保护法》第二十五条规定，个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外，公开个人信息对个人权益影响重大，必须取得单独同意。5.个人信息处理者可以在取得个人概括同意后，一次性收集全部类别个人信息，无需每次处理敏感信息时单独告知。（）答案：×解析：敏感个人信息的处理必须取得个人单独同意，并单独告知处理敏感信息的必要性和对个人的影响，概括同意不能覆盖敏感个人信息处理的授权要求。6.个人信息处理者发现个人信息泄露后，若采取了有效补救措施，可以不通知监管部门和个人。（））答案：×解析：《个人信息保护法》第五十七条规定，发生个人信息安全事件的，无论是否采取补救措施，都应当立即通知监管部门和个人，除非个人信息处理者采取措施能够有效避免信息泄露造成危害，且经监管部门认定可以不予通知。7.两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。（）答案：√解析：《个人信息保护法》第二十条规定了共同处理的规则，共同处理者的内部约定不得对抗个人的法定权利，个人有权向任一处理者主张权利。8.为应对新冠肺炎疫情等突发公共卫生事件收集的个人信息，可以随意公开或用于疫情防控以外的用途。（）答案：×解析：应对突发公共卫生事件收集的个人信息，只能用于疫情防控的法定目的，不得用于商业营销等其他用途，公开个人信息必须符合法定权限和程序，不得随意泄露。9.个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。（）答案：√解析：《个人信息保护法》第四十六条明确规定个人享有更正、补充个人信息的权利，处理者应当对个人的更正补充请求及时进行核查并采取相应措施。10.侵害个人信息权益造成损害，个人信息处理者能够证明自己没有过错的，不承担损害赔偿责任。（）答案：√解析：《个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害的，个人信息处理者应当承担损害赔偿等侵权责任，该责任适用过错推定原则，处理者能够证明自身无过错的，无需承担责任。四、案例分析题（共2题，每题30分）（一）案例背景：2026年3月，某市市场监管局在执法检查中发现，本地某连锁商超运营的购物APP存在以下违法情形：1.用户首次打开APP时，弹出的隐私政策长达3.2万字，采用小字号灰色字体，核心授权条款未做醒目提示，且设置“不同意隐私政策即无法使用全部功能”的强制授权规则，要求用户一次性授权位置信息、通讯录、相册、麦克风、通话记录等12项权限，其中位置信息、通话记录等权限与APP提供的线上下单、配送到家服务无直接关联；2.该APP在用户未主动搜索母婴类商品的情况下，根据收集到的用户就诊记录、行踪轨迹（曾到访妇幼保健院），向近千名孕产期女性精准推送母婴产品广告，且未提供关闭个性化广告的渠道，用户多次联系客服要求关闭推送均被拒绝；3.该商超为提升营销效率，将收集的5万余名会员的姓名、手机号、消费记录、家庭住址等信息，未经用户单独同意提供给本地3家合作的装修公司、早教机构，相关机构频繁向用户拨打营销电话，引发大量投诉；4.2026年2月，该商超因数据库未设置访问权限控制、未采取加密措施，导致2万余名会员的金融账户信息、医疗健康相关消费记录泄露，事件发生后该商超未采取任何补救措施，也未通知用户和监管部门，直至用户接到诈骗电话引发群体性投诉后事件才曝光。问题：1.结合《个人信息保护法》规定，指出该商超在个人信息处理过程中存在哪些违法行为？（15分）2.针对上述违法行为，监管部门可以对该商超及相关责任人员采取哪些处罚措施？（10分）3.若会员就个人信息权益损害提起诉讼，需承担哪些举证责任？（5分）参考答案：1.该商超存在的违法行为包括：（1）违反告知义务要求：隐私政策采用小字号灰色字体、未醒目提示核心条款，未以显著方式、清晰易懂的语言履行告知义务，不符合知情权保障要求；（3分）（2）违反必要原则、强制收集非必要信息：强制用户授权与服务无关的通话记录等权限，超出提供线上购物、配送服务的必要范围收集个人信息，且设置“不同意即无法使用”的强制授权规则，侵害用户的自主决定权；（3分）（3）违法处理敏感个人信息：在未取得用户单独同意、未告知处理必要性的情况下，收集用户医疗健康、行踪轨迹等敏感个人信息用于商业营销，且未提供个性化推荐的拒绝渠道，违反敏感个人信息处理规则和自动化决策的管理要求，存在算法歧视和算法强制问题；（3分）（4）违法向第三方提供个人信息：未经用户单独同意，将会员个人信息提供给合作商家用于商业营销，违反个人信息对外提供的法定要求；（3分）（5）未履行个人信息安全保护义务，且未按规定处置个人信息安全事件：数据库未采取权限管控、加密等安全措施，导致敏感个人信息泄露，事件发生后未立即采取补救措施，也未通知监管部门和个人，违反安全事件处置的法定要求。（3分）2.监管部门可采取的处罚措施包括：（1）责令改正违法行为，给予警告，没收违法所得；针对违法APP可以责令暂停提供服务，拒不改正的处一百万元以下罚款；（2分）（2）本次事件涉及敏感个人信息泄露、违法向第三方提供信息、拒不整改且造成用户被诈骗等严重后果，属于情节严重情形，可以并处五千万元以下或者上一年度营业额百分之五以下罚款；（3分）（3）可以责令该商超暂停相关业务、停业整顿，通报有关主管部门吊销相关业务许可证或者吊销营业执照；（2分）（4）对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人；（2分）（5）对该商超的违法情况记入信用档案，并予以公示。（1分）3.诉讼举证责任分配：个人信息权益侵权适用过错推定责任，会员作为原告仅需举证证明：（1）其个人信息权益受到损害的事实，即接到骚扰电话、因信息泄露遭遇诈骗等实际损失；（2）该商超存在处理其个人信息的行为。（3分）无需证明商超存在过错，商超需要举证证明其处理个人信息的行为符合法律规定、不存在过错，否则就应当承担损害赔偿责任。（2分）（二）案例背景：2026年5月，某省政务服务部门在开展个人信息保护专项自查中发现，其下属的某区级政务服务中心存在以下问题：1.为提升政务服务便利度采集的群众个人信息，包括户籍信息、房产信息、社保缴费记录、家庭成员信息等，存储在第三方云服务商的服务器上，未与云服务商签订规范的委托处理协议，未明确数据安全保护责任，云服务商工