2026年法律职业资格考试(主观题)数据安全法题目及答案

2026年法律职业资格考试(主观题)数据安全法题目及答案一、论述题（本题38分）材料：《中华人民共和国数据安全法》自2021年9月1日起施行。该法第1条规定："为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，制定本法。"第3条规定："本法所称数据，是指任何以电子或者非电子形式对信息的记录。数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。"问题：结合总体国家安全观，论述《数据安全法》确立的数据安全制度体系及其在统筹发展和安全中的功能。答案：《数据安全法》是我国数据安全领域的基础性法律，以"规范数据处理活动、保障数据安全、促进数据开发利用"为立法目的，体现了发展与安全并重、以安全保发展、以发展促安全的立法理念，是总体国家安全观在数据领域的制度落实。一、《数据安全法》确立的数据安全制度体系1.数据分类分级保护制度（第21条）。国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。这是数据安全制度体系的基础性制度。2.数据安全审查制度（第24条）。国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。该制度与网络安全审查制度相衔接，为数据领域的国家安全审查提供了法律依据。3.数据出境安全管理制度（第25条、第31条）。国家对数据出境实行安全评估制度。重要数据的处理者向境外提供数据，应当通过数据出境安全评估；法律、行政法规另有规定的，依照其规定。该制度是维护国家数据主权、防范数据出境安全风险的关键制度。4.数据安全风险监测预警与应急处置机制（第22条、第23条）。国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制，以及数据安全应急处置机制，确保数据安全风险可发现、可预警、可处置。5.数据安全认证与评估制度（第18条、第30条）。国家促进数据安全检测评估、认证等服务的发展，支持专业机构依法开展服务；对重要数据的处理者，要求其定期开展风险评估，并向有关主管部门报送风险评估报告。6.政务数据安全管理制度（第五章）。对政务数据的收集、使用、共享开放及安全保障作出专门规定，明确国家机关的数据安全保护义务。7.数据安全保护义务体系（第四章）。确立了数据处理者的数据安全保护义务，包括建立健全全流程数据安全管理制度、开展数据安全教育培训、采取相应的技术措施和其他必要措施、对数据处理活动加强风险监测等。二、在统筹发展和安全中的功能1.维护国家安全的功能。数据安全是国家安全的重要组成部分。在数字化时代，数据已成为国家基础性战略资源，重要数据、核心数据关涉国家主权、安全和发展利益。《数据安全法》通过数据分类分级保护、数据安全审查、数据出境安全评估等制度，有效防范数据领域的国家安全风险，筑牢国家数据安全屏障。2.促进数字经济发展的功能。安全是发展的前提。《数据安全法》第四章专门规定了数据开发利用与促进制度，包括支持数据开发利用和数据要素市场化配置、推动数据交易市场发展、促进数据技术创新和人才培养等。通过明确规则、稳定预期，为数字经济发展提供制度保障。3.保护个人和组织合法权益的功能。《数据安全法》与《个人信息保护法》《网络安全法》相互衔接，共同构建了个人信息和重要数据保护的法律体系，为个人、组织的合法权益提供了多层次保护。4.统筹发展和安全的制度创新。《数据安全法》在制度设计上统筹发展和安全：一方面，通过安全监管制度为数据开发利用划定边界，防止数据滥用和失控；另一方面，通过促进制度为数据要素价值释放创造空间，实现安全与发展相互促进、有机统一。这体现了总体国家安全观中"统筹发展和安全"的基本要求，是推动高质量发展和高水平安全良性互动的制度实践。解析本题为法考主观题常考的宏观论述题，答题应把握"制度体系"和"统筹功能"两个维度，注意引用法条并结合总体国家安全观展开。切忌仅罗列法条而缺乏理论提升，应突出"数据安全是国家安全重要组成部分""以安全保发展、以发展促安全"的论述主线。二、刑法案例分析题（本题36分）案情：张某系某网络科技有限公司数据运维工程师，与公司签订有保密协议。2024年3月至6月，张某利用其维护数据库的权限，违反公司规定，通过编写脚本绕过访问控制，从公司服务器中批量下载包含公民姓名、身份证号码、手机号码、住址等信息的用户数据共计50万余条。随后，张某通过境外即时通讯工具联系买家，将上述数据出售，违法所得共计人民币20万元。2024年7月，张某为报复公司未兑现年终奖，又将一段自编的恶意删除程序植入公司数据库服务器，导致公司核心数据库被删除，系统中断服务3小时，经鉴定造成直接经济损失人民币10万元。2024年8月，张某主动到公安机关投案，如实供述了上述事实，并退缴全部违法所得。问题：1.张某非法获取并出售公民个人信息的行为构成何罪？请说明理由。2.张某植入恶意程序破坏数据库的行为构成何罪？请说明理由。3.张某具有哪些量刑情节？对其应如何处罚？答案：1.张某的行为构成侵犯公民个人信息罪。依据《刑法》第253条之一规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。窃取或者以其他方法非法获取公民个人信息的，依照前款的规定处罚。张某违反国家规定，利用职务便利非法获取公民个人信息50万余条并出售牟利20万元，既实施了非法获取行为，又实施了出售行为。根据最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，非法获取、出售公民个人信息达到5万条以上或者违法所得5万元以上的，属于"情节特别严重"。本案中，张某非法获取公民个人信息50万余条，违法所得20万元，属于"情节特别严重"，应以侵犯公民个人信息罪定罪处罚。2.张某的行为构成破坏计算机信息系统罪。依据《刑法》第286条规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。张某故意植入恶意删除程序，对计算机信息系统功能进行删除，导致公司核心数据库被删除、系统中断服务3小时，造成直接经济损失10万元，属于"后果严重"，构成破坏计算机信息系统罪。3.张某具有以下量刑情节：（1）自首情节。张某犯罪后主动投案，并如实供述自己的全部罪行，依据《刑法》第67条第1款，成立自首，依法可以从轻或者减轻处罚。（2）退赃情节。张某退缴全部违法所得，认罪悔罪态度较好，可以酌情从轻处罚。对张某应当以侵犯公民个人信息罪和破坏计算机信息系统罪数罪并罚。综合考虑其自首、退赃等情节，依法应当在数罪并罚时体现从宽处理。解析：本题易错点在于区分侵犯公民个人信息罪与非法获取计算机信息系统数据罪。侵犯公民个人信息罪保护的法益是公民个人信息权益，而非法获取计算机信息系统数据罪保护的法益是计算机信息系统安全。张某获取的是服务器中存储的公民个人信息，而非单纯的计算机数据，应优先适用侵犯公民个人信息罪。另外，数罪并罚时应注意，自首作为法定从宽情节在并罚时仍然适用。三、民法案例分析题（本题36分）案情：2024年1月，消费者王某在某电商平台注册账号时，平台通过《用户服务协议》和《隐私政策》收集其个人信息。其中《隐私政策》载明："您同意平台将您的个人信息（包括但不限于手机号码、收货地址、浏览记录）共享给关联公司及第三方合作伙伴，用于为您提供更加个性化的商品和服务。"该条款位于协议第8.2条，字体与其他条款相同，未作加粗或显著标识，注册页面仅设置一个"我已阅读并同意"勾选框。2024年5月，平台将其收集的包含王某在内的10万名用户手机号码、消费记录提供给某保险公司用于保险产品营销。王某收到大量推销短信和电话，不堪其扰，以侵害个人信息权益为由向法院起诉，要求平台停止侵害、赔礼道歉并赔偿损失。问题：1.平台通过《隐私政策》收集王某个人信息的行为是否合法？为什么？2.平台将王某个人信息提供给保险公司用于营销的行为应当如何定性？3.王某的诉讼请求能否得到支持？请结合法律规定分析。4.本案中，王某主张平台侵害其个人信息权益，举证责任应当如何分配？答案：1.平台收集王某个人信息的行为不合法。依据《个人信息保护法》第13条、第14条规定，处理个人信息应当取得个人同意，该同意应当由个人在充分知情的前提下自愿、明确作出。依据第17条规定，处理个人信息应当以显著方式、清晰易懂的语言真实、准确、完整地告知个人信息的处理目的、处理方式、处理的个人信息种类及保存期限等事项。本案中，平台将涉及个人信息共享的重要条款隐藏在《隐私政策》中，字体未作加粗或显著标识，注册页面仅设置一个笼统的勾选框，未以显著方式向王某提示该条款的存在和内容，导致王某在未充分知情的情况下作出"同意"，该同意不构成《个人信息保护法》所要求的有效同意。因此，平台收集王某个人信息的行为缺乏合法性基础，不合法。2.该行为属于违法向第三方提供个人信息。依据《个人信息保护法》第23条规定，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。本案中，平台将王某的手机号码、消费记录提供给保险公司用于保险产品营销，属于向第三方提供个人信息。该提供行为既超出了平台收集时声明的目的范围，又未取得王某的单独同意，违反了上述规定，构成违法处理个人信息的行为。3.王某的诉讼请求能够成立。依据《民法典》第1035条规定，处理个人信息应当遵循合法、正当、必要原则，征得该自然人或者其监护人同意。平台违反法律规定处理王某的个人信息，侵害了王某的个人信息权益。依据《民法典》第1037条和《个人信息保护法》第69条规定，个人信息处理者侵害个人信息权益造成损害的，应当承担停止侵害、赔礼道歉、赔偿损失等侵权责任。关于赔偿数额，依据《个人信息保护法》第69条第2款，按照王某因此受到的损失或者平台因此获得的利益确定；王某的损失和平台因此获得的利益难以确定的，由人民法院根据实际情况确定赔偿数额。4.本案适用过错推定责任原则，举证责任作如下分配：依据《个人信息保护法》第69条第1款规定："处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。"据此，王某作为原告，应当就以下事实承担举证责任：（1）平台处理了其个人信息；（2）其个人信息权益受到损害；（3）平台的处理行为与损害后果之间存在因果关系。平台作为个人信息处理者，应当就其对王某个人信息的处理不存在过错承担举证责任；如果平台不能证明自己没有过错，就应当承担相应的侵权责任。解析：本题重点考查个人信息处理的合法性基础、向第三方提供个人信息的"单独同意"规则以及个人信息侵权诉讼的举证责任分配。注意区分"一般同意"与"单独同意"的适用场景。另外，个人信息侵权适用过错推定原则，区别于一般侵权责任的过错原则，这是《个人信息保护法》第69条的特别规定。四、行政法案例分析题（本题35分）案情：某市甲数据处理有限公司（以下简称甲公司）主要从事数据分析与跨境贸易服务。2024年4月，甲公司与境外乙公司签订数据服务合同，将其在经营活动中收集的涉及某重要行业运行状况的数据（经鉴定属于重要数据）未经安全评估直接提供给乙公司。国家网信部门发现后，依据《数据安全法》相关规定，对甲公司作出警告并处罚款人民币50万元的行政处罚决定。甲公司不服，向上一级机关申请行政复议。复议机关经审查后作出维持决定。甲公司仍不服，拟向人民法院提起行政诉讼。问题：1.甲公司向境外乙公司提供重要数据的行为违反了《数据安全法》的哪些规定？2.国家网信部门对甲公司作出行政处罚的法律依据是什么？请分析该处罚的合法性。3.甲公司提起行政诉讼时，如何确定被告？4.人民法院应当如何审查该行政处罚决定的合法性？答案：1.甲公司违反《数据安全法》关于数据出境安全管理的规定。依据《数据安全法》第25条规定，国家对数据出境实行安全评估制度。第31条规定，其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。甲公司作为数据处理者，在中华人民共和国境内运营中收集了重要数据，向境外提供该重要数据前，依法应当通过数据出境安全评估。甲公司在未履行数据出境安全评估程序的情况下，直接将重要数据提供给境外乙公司，违反了上述规定。2.国家网信部门作出行政处罚的法律依据是《数据安全法》第46条。依据《数据安全法》第46条规定，违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。本案中，甲公司未经安全评估向境外提供重要数据，危及国家数据安全和国家安全，国家网信部门作为数据安全监管职能部门，有权依据上述规定进行处罚。从处罚的合法性来看：首先，网信部门具有数据安全监管的法定职权；其次，处罚决定认定事实清楚，涉案数据经鉴定属于重要数据，甲公司未经评估出境的事实证据确凿；再次，适用法律正确，处罚幅度在法定范围之内；最后，网信部门在作出处罚前依法履行了告知、听取陈述申辩等法定程序，处罚程序合法。因此，该行政处罚决定合法。3.甲公司应以作出原行政行为的国家网信部门和复议机关为共同被告。依据《行政诉讼法》第26条第2款规定："经复议的案件，复议机关决定维持原行政行为的，作出原行政行为的行政机关和复议机关是共同被告。"本案中，复议机关作出维持决定，属于"复议机关决定维持原行政行为"的情形。因此，甲公司提起行政诉讼时，应当以国家网信部门和复议机关为共同被告。4.人民法院应当对被诉行政处罚决定的合法性进行全面审查。依据《行政诉讼法》第6条、第70条规定，人民法院审理行政案件，对行政行为是否合法进行审查。具体应当从以下方面审查：（1）职权依据：审查国家网信部门是否具有作出该行政处罚决定的法定职权，是否存在超越职权或滥用职权的情形。（2）事实认定：审查甲公司向境外提供重要数据的事实是否清楚，证据是否确实、充分，包括涉案数据是否属于重要数据的鉴定意见是否合法有效。（3）法律适用：审查处罚决定援引的法律依据是否正确，是否准确适用《数据安全法》的相关条款。（4）法定程序：审查处罚程序是否符合《行政处罚法》规定的立案、调查、告知、听取陈述申辩、法制审核、集体讨论、决定、送达等程序要求。（5）裁量适当：审查警告并处50万元罚款的处罚幅度是否在法定幅度内，是否符合过罚相当原则，是否考虑了违法行为的事实、性质、情节及社会危害程度等因素。解析：本题涉及数据出境安全管理制度、行政处罚合法性审查以及行政复议与行政诉讼的衔接。注意"复议维持共同被告"是行政诉讼被告确定的特殊规则。另外，审查行政处罚决定合法性时，应按照"职权—事实—法律—程序—裁量"的层次逐项展开，条理清晰。五、商法案例分析题（本题35分）案情：甲公司是一家专业从事数据清洗和加工的数据服务企业。2023年12月，甲公司与乙公司签订《数据资产转让协议》，约定甲公司将其合法收集并经过加工处理形成的"某区域消费行为分析数据集"以人民币500万元的价格转让给乙公司。乙公司支付全部价款后发现，该数据集中含有大量未作匿名化处理的公民个人信息，包括姓名、手机号码、消费明细等。乙公司认为该数据资产转让违反法律强制性规定，向法院起诉，请求确认合同无效并要求甲公司返还价款500万元及利息。问题：1.甲公司与乙公司签订的《数据资产转让协议》是否有效？为什么？2.甲公司转让包含个人信息的数据集，应当履行哪些法律义务？3.乙公司请求确认合同无效并返还价款的主张能否成立？请说明理由。答案：1.该《数据资产转让协议》无效。依据《民法典》第153条第1款规定："违反法律、行政法规的强制性规定的民事法律行为无效。但是，该强制性规定不导致该民事法律行为无效的除外。"本案中，甲公司转让的数据集包含大量未匿名化的公民个人信息，该转让行为违反《个人信息保护法》关于处理个人信息应当取得个人同意、向第三方提供个人信息应当取得单独同意等规定，同时违反《数据安全法》关于数据安全保护义务的规定。《个人信息保护法》中关于个人信息处理的规则旨在保护公民个人信息权益，涉及社会公共利益，属于效力性强制性规定。甲公司转让包含个人信息的数据集，违反上述效力性强制性规定，且损害社会公共利益，故该合同无效。2.甲公司转让包含个人信息的数据集，应当履行以下义务：（1）