2026年个人信息保护知识试题及答案

2026年个人信息保护知识试题及答案一、单项选择题（共20题，每题1分，共20分。每题只有一个正确答案，多选、错选、不选均不得分）1.根据2026年施行的《中华人民共和国个人信息保护法实施条例》，下列不属于敏感个人信息的是（）A.生物识别信息B.宗教信仰信息C.个人网购收货地址D.不满十四周岁未成年人的个人信息2.处理个人信息应当遵循的首要原则是（）A.合法、正当、必要、诚信原则B.最小必要原则C.公开透明原则D.质量保证原则3.下列哪种情形下，个人信息处理者处理个人信息不需要取得个人同意（）A.向第三方共享用户的消费记录用于精准营销B.为订立、履行用户作为一方当事人的合同所必需C.公开用户的工作单位及职务信息D.处理用户的人脸识别信息用于会员身份验证4.个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得（）的同意A.未成年人本人B.未成年人的父母或者其他监护人C.未成年人所在学校D.未成年人住所地居委会5.根据个人信息保护相关规定，关键信息基础设施运营者在境内收集和产生的个人信息出境，应当通过（）A.个人信息保护认证B.标准合同备案C.国家网信部门组织的安全评估D.第三方合规审计6.个人信息处理者向境外提供个人信息的，除法定另有规定情形外，应当取得个人的（）A.概括同意B.单独同意C.书面同意D.默示同意7.下列哪项不属于个人信息主体享有的法定权利（）A.查阅、复制个人信息权B.更正、补充个人信息权C.无条件删除个人信息权D.个人信息可携带权8.个人信息处理者开展个人信息保护影响评估（PIA）的情形不包括（）A.处理敏感个人信息B.委托处理个人信息C.处理普通会员的姓名及手机号D.向境外提供个人信息9.在公共场所安装图像采集、个人身份识别设备，应当符合的法定前提是（）A.为提升商业服务效率B.为维护公共安全所必需C.为采集人脸数据用于训练AI模型D.为统计人流量用于店铺选址10.生成式人工智能服务提供者处理用户输入的包含个人信息的提示词，下列做法符合规定的是（）A.未经用户同意将提示词用于模型训练B.永久留存用户的所有提示词用于优化服务C.对提示词中的敏感个人信息进行去标识化处理后再用于训练，且符合最小必要原则D.将用户提示词共享给第三方用于商业分析11.受托处理个人信息的受托方，下列做法符合法律规定的是（）A.超出委托约定的范围处理个人信息B.将受托处理的个人信息擅自用于自身业务C.对个人信息处理活动进行记录并向委托方提供审计支持D.未经委托方同意擅自转委托第三方处理12.发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当采取的措施是（）A.仅需通知履行个人信息保护职责的部门B.仅需通知所有可能受影响的个人C.立即采取补救措施，无需通知任何主体D.立即采取补救措施，并通知履行个人信息保护职责的部门，符合法定例外情形的可不对个人通知13.个人信息处理者违法处理个人信息，情节严重的，由履行个人信息保护职责的部门责令改正，没收违法所得，并处（）罚款A.一百万元以下B.一千万元以下C.五千万元以下或者上一年度营业额百分之五以下D.一亿元以下14.处理个人信息达到（）以上的个人信息处理者，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督A.10万人B.50万人C.100万人D.500万人15.下列关于个人信息可携带权的说法，正确的是（）A.个人可以无条件要求个人信息处理者将其个人信息转移至其指定的个人信息处理者B.符合国家网信部门规定条件的，个人有权请求个人信息处理者将其个人信息转移至其指定的个人信息处理者C.所有类型的个人信息都可以行使可携带权D.个人信息可携带权仅适用于金融机构处理的个人信息16.物业服务企业对小区业主进行出入管理，下列做法符合个人信息保护规定的是（）A.强制要求业主录入人脸识别信息作为唯一出入方式B.提供刷卡、密码等多种验证方式供业主选择，人脸识别仅作为可选方式C.将业主的人脸信息共享给周边商家用于精准营销D.超出门禁管理需要留存业主的人脸信息用于其他用途17.个人信息处理者公开其处理的个人信息的，除法定另有规定外，应当取得个人的（）A.概括同意B.单独同意C.口头同意D.默示同意18.境外个人信息处理者在中华人民共和国境内处理自然人个人信息的，应当在境内（）A.设立专门机构或者指定代表B.委托律师事务所C.委托第三方合规机构D.设立分公司19.除法律、行政法规另有规定外，个人信息的保存期限应当为（）A.不少于5年B.不少于10年C.实现处理目的所必要的最短时间D.由个人信息处理者自行决定，无限制20.下列主体中，不属于履行个人信息保护职责的部门的是（）A.国家网信部门B.工业和信息化部门C.公安机关D.消费者协会二、多项选择题（共10题，每题2分，共20分。每题有两个或两个以上正确答案，多选、少选、错选、不选均不得分）1.个人信息处理包括下列哪些活动（）A.个人信息的收集、存储B.个人信息的使用、加工C.个人信息的传输、提供D.个人信息的公开、删除2.下列属于敏感个人信息的有（）A.医疗健康信息B.金融账户信息C.行踪轨迹信息D.宗教信仰信息3.个人信息处理者处理个人信息的合法基础包括（）A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为应对突发公共卫生事件所必需4.个人信息跨境提供的合法路径包括（）A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同并备案D.个人信息处理者自行与境外接收方签订保密协议即可5.下列情形中，个人信息处理者应当开展个人信息保护影响评估的有（）A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托处理、向其他个人信息处理者提供个人信息D.向境外提供个人信息6.生成式人工智能服务提供者在处理个人信息时，应当遵守的规定有（）A.训练数据中涉及个人信息的，应当取得个人同意或者符合法定情形B.不得非法留存能够识别用户身份的提示词、对话记录等信息C.对用户的个人信息严格保密，不得泄露、篡改、丢失D.可以随意使用用户的个人信息优化模型7.个人信息主体享有的权利包括（）A.更正、补充权B.删除权C.解释说明权D.撤回同意权8.下列关于自动化决策的说法，正确的有（）A.自动化决策应当保证决策的透明度和结果公平、公正B.不得对个人在交易价格等交易条件上实行不合理的差别待遇C.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式D.通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定9.个人信息保护法适用于在中华人民共和国境内处理自然人个人信息的活动，下列情形中适用本法的有（）A.境外个人信息处理者向境内自然人提供产品或者服务B.境外个人信息处理者为分析、评估境内自然人的行为而处理境内自然人的个人信息C.境内自然人在境外访问境内网站时的个人信息处理活动D.境内企业在境外处理境内自然人的个人信息10.履行个人信息保护职责的部门履行职责时，可以采取的措施包括（）A.询问有关当事人，调查与个人信息处理活动有关的情况B.查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料C.实施现场检查时，直接对涉嫌违法处理个人信息的场所、设备、物品等进行查封或者扣押D.检查与个人信息处理活动有关的设备、物品；对有证据证明是违法提供个人信息的设备、物品，予以查封或者扣押三、判断题（共10题，每题1分，共10分。正确打“√”，错误打“×”）1.个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。（）2.个人信息处理者可以将个人信息作为资产进行自由转让、买卖。（）3.处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。（）4.个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。（）5.为了保护公共利益，个人信息处理者可以不经个人同意随意公开其个人信息。（）6.生成式人工智能服务提供者可以根据自身需要，永久留存用户的对话记录用于模型优化。（）7.个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。（）8.发生个人信息泄露后，个人信息处理者必须在24小时内通知所有受影响的个人和监管部门。（）9.仅处理普通个人信息的企业，无论处理多少个人信息，都不需要设立个人信息保护负责人。（）10.个人信息处理者公开其处理的个人信息，仅能通过取得个人单独同意的方式实现。（）四、案例分析题（共2题，每题25分，共50分）1.案例背景：2026年3月，某科技公司推出一款AI绘画应用“创艺画境”，用户上传包含人脸的照片即可生成不同风格的艺术画像。该应用在用户注册时的隐私政策中以小字注明“您上传的内容可能被用于模型优化”，未作单独提示或弹窗告知。用户张某上传了自己的高清人脸照片用于生成画像，三个月后，张某发现该公司官网的宣传页面中，使用了基于其人脸照片生成的艺术画像作为示例，且该公司将包含张某人脸特征的数据纳入AI模型训练数据集，用于迭代升级模型。此外，张某还发现，该应用将其手机号、消费记录等个人信息共享给了合作的电商平台用于精准推送广告，未另行告知张某并取得同意。请结合个人信息保护相关法律规定，回答下列问题：（1）该科技公司的哪些行为违反了个人信息保护规定？请分别说明理由。（15分）（2）张某可以依法主张哪些权利？（6分）（3）监管部门可以对该公司作出哪些处罚？（4分）2.案例背景：2026年5月，某跨境电商平台“全球购”主营进口商品销售，注册用户约2000万人。为了完成境外配送，该平台未取得用户单独同意，就将用户的姓名、收货地址、联系电话、身份证号、支付记录等个人信息提供给境外3家物流公司。该平台未对境外接收方的个人信息保护能力进行评估，也未开展个人信息保护影响评估，未向网信部门办理任何跨境提供的相关手续。2026年7月，其中一家境外物流公司发生数据泄露，导致120万国内用户的个人信息被非法倒卖，用户频繁收到诈骗电话和垃圾短信。经查，该平台此前已知悉该境外物流公司曾发生过2次数据泄露事件，但为了降低物流成本仍选择与其合作，且未对传输的个人信息采取加密等保护措施。请结合个人信息保护相关法律规定，回答下列问题：（1）该跨境电商平台在个人信息跨境提供环节存在哪些违法行为？请说明理由。（12分）（2）该平台在个人信息安全保障方面存在哪些疏漏？（6分）（3）若情节严重，监管部门可以对该平台及其直接负责的主管人员作出哪些处罚？（7分）参考答案一、单项选择题1.C解析：根据《个人信息保护法》及2026年施行的《个人信息保护法实施条例》，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。普通网购收货地址属于一般个人信息，不属于敏感个人信息范畴。2.A解析：《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要、诚信原则，这是个人信息处理的首要原则，贯穿于个人信息处理活动的全流程。3.B解析：《个人信息保护法》第十三条规定，为订立、履行个人作为一方当事人的合同所必需处理个人信息的，不需要取得个人同意。A、C、D选项均属于需要取得个人同意（部分需单独同意）的情形。4.B解析：《个人信息保护法》第三十一条规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。5.C解析：《个人信息保护法》第三十八条规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息向境外提供的，通过国家网信部门组织的安全评估。6.B解析：《个人信息保护法》第三十九条规定，个人信息处理者向境外提供个人信息的，应当向个人告知境外接收方的相关信息，并取得个人的单独同意，法律、行政法规另有规定的除外。7.C解析：个人信息主体的删除权是有法定适用条件的，并非无条件行使。根据《个人信息保护法》第四十七条，只有在处理目的已实现、无法实现或者为实现处理目的不再必要，个人信息处理者停止提供产品或者服务，或者保存期限已届满等法定情形下，个人才有权请求删除个人信息。8.C解析：《个人信息保护法》第五十五条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息等对个人权益有重大影响的处理活动，应当事前进行个人信息保护影响评估。处理普通会员的姓名及手机号属于常规个人信息处理活动，无需开展PIA。9.B解析：《个人信息保护法》第二十六条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，除非取得个人单独同意。10.C解析：根据《生成式人工智能服务管理规定》（2025年施行），生成式AI服务提供者处理用户提示词中的个人信息，应当符合最小必要原则，对敏感个人信息进行去标识化处理后方可用于模型训练，且不得非法留存能够识别用户身份的提示词。A、B、D选项均违反了个人信息保护的相关规定。11.C解析：受托处理个人信息的受托方应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息，不得擅自留存、使用个人信息，不得擅自转委托。受托方应当对个人信息处理活动进行记录，并配合委托方的合规审计。12.D解析：《个人信息保护法》第五十七条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。但是，个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，或者履行个人信息保护职责的部门认为不会造成危害且通知可能有损公共利益的，可以不通知个人。13.C解析：《个人信息保护法》第六十六条规定，违法处理个人信息情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。14.C解析：根据《个人信息保护法实施条例》，处理个人信息达到一百万人以上的个人信息处理者，应当指定个人信息保护负责人；处理敏感个人信息达到十万人以上的，也应当指定个人信息保护负责人。15.B解析：《个人信息保护法》第四十五条第三款规定，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。即可携带权的行使需要符合法定条件，并非无条件适用，也并非仅适用于金融机构。16.B解析：根据《人脸识别技术应用安全管理规定》，物业服务企业等建筑物管理人不得将人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，应当提供其他合法、便捷的验证方式供选择。17.B解析：《个人信息保护法》第二十五条规定，个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外，法律、行政法规另有规定的从其规定。18.A解析：《个人信息保护法》第五十三条规定，在中华人民共和国境外处理境内自然人个人信息的境外个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务。19.C解析：《个人信息保护法》第十九条规定，除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间，即遵循最小必要的存储期限要求。20.D解析：履行个人信息保护职责的部门包括国家网信部门以及国务院有关部门（如工业和信息化、公安、市场监督管理、金融监管等部门），消费者协会属于社会组织，不属于法定的履行个人信息保护职责的部门。二、多项选择题1.ABCD解析：《个人信息保护法》第四条第二款规定，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等全流程活动。2.ABCD解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。3.ABCD解析：《个人信息保护法》第十三条规定了个人信息处理的七项合法基础，包括取得个人同意、合同必需、法定职责/义务必需、突发公共卫生事件/紧急避险、公共利益下的新闻报道舆论监督、合理处理已公开个人信息、其他法律行政法规规定的情形。4.ABC解析：《个人信息保护法》第三十八条规定了个人信息跨境提供的三类合法路径：一是通过国家网信部门组织的安全评估；二是经专业机构进行个人信息保护认证；三是按照国家网信部门制定的标准合同与境外接收方订立合同。自行签订保密协议不属于法定的跨境合法路径。5.ABCD解析：《个人信息保护法》第五十五条规定，应当开展个人信息保护影响评估的情形包括：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动。6.ABC解析：根据《生成式人工智能服务管理规定》，生成式AI服务提供者处理个人信息应当遵守个人信息保护法律规定，训练数据涉及个人信息的应当取得同意或符合法定情形，不得非法留存能够识别用户身份的提示词、对话记录，应当对用户个人信息严格保密。不得随意使用用户个人信息优化模型，应当符合最小必要和同意要求。7.ABCD解析：个人信息主体享有查阅复制权、更正补充权、删除权、解释说明权、可携带权、撤回同意权、对自动化决策的拒绝权等多项权利。8.ABCD解析：《个人信息保护法》第二十四条规定，利用个人信息进行自动化决策，应当保证决策的透明度和结果公平公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策进行信息推送、商业营销的，应当提供不针对个人特征的选项或者便捷的拒绝方式。作出对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策作出决定。9.ABCD解析：《个人信息保护法》第三条规定，在境内处理自然人个人信息的活动适用本法；在境外处理境内自然人个人信息，以向境内自然人提供产品或者服务为目的，或者分析评估境内自然人行为的，也适用本法。境内企业在境外处理境内自然人个人信息的，属于境内主体的处理活动，同样适用本法。10.ABD解析：《个人信息保护法》第六十三条规定，履行个人信息保护职责的部门可以采取的措施包括：询问当事人、调查相关情况；查阅复制相关合同、记录等资料；实施现场检查，对涉嫌违法的场所、设备、物品进行检查；检查相关设备物品，对有证据证明是违法提供个人信息的设备物品予以查封或者扣押。C选项中“查封或者扣押涉嫌违法处理的场所、设备物品”不属于现场检查的直接权限，需满足“有证据证明违法提供”的前提，因此C错误。三、判断题1.√解析：《个人信息保护法》第四条第一款规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。2.×解析：个人信息不属于可以自由转让、买卖的资产。《个人信息保护法》规定，任何组织、个人不得非法收集、存储、使用、加工、传输、提供、公开、删除他人个人信息，不得非法买卖、提供或者公开他人个人信息。3.√解析：《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。4.√解析：《个人信息保护法》第五十二条第二款规定，个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。5.×解析：个人信息处理者公开个人信息的，除了取得个人单独同意外，只有在符合法定情形（如为公共利益实施新闻报道、舆论监督等行为，在合理范围内公开）时才可以，并非只要为了公共利益就可以随意公开个人信息，需满足“合理范围”“法定情形”等限制条件。6.×解析：生成式人工智能服务提供者留存用户对话记录应当符合最小必要原则，保存期限为实现处理目的所必要的最短时间，不得永久留存，且用于模型优化的应当取得个人同意或符合法定情形。7.√解析：《个人信息保护法》第十五条第二款规定，个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。8.×解析：《个人信息保护法》仅要求发生个人信息泄露等事件后“立即采取补救措施”并通知监管部门和个人，未规定24小时的硬性时限；且存在法定例外情形时，可以不通知个人。9.×解析：根据《个人信息保护法》及实施条例，处理个人信息达到一百万人以上，或者处理敏感个人信息达到十万人以上的个人信息处理者，应当指定个人信息保护负责人。10.×解析：《个人信息保护法》第二十五条规定个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外，但同时法律、行政法规另有规定的（如为公共利益实施新闻报道在合理范围内公开），也可以公开个人信息，并非仅能通过取得单独同意公开。四、案例分析题1.参考答案：（1）该科技公司的违法行为及理由如下（15分）：①未就人脸信息用于模型训练取得用户单独同意（5分）：根据《个人信息保护法》，处理人脸等生物识别敏感个人信息，以及将个人信息用于AI训练等对个人权益有重大影响的活动，应当取得个人的单独同意。该公司仅在隐私政策中以小字注明，未作单独提示，未取得用户的有效单独同意，违反了敏感个人信息处理的同意规则。②擅自公开用户的艺术画像用于商业宣传（5分）：根据《个人信息保护法》第二十五条，个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。该公司基于张某人脸生成的艺术画像仍属于可识别张某身份的个人信息，其未经同意用于官网商业宣传属于非法公开个人信息的行为。③未经同意向第三方共享用户个人信息用于精准营销（5分）：根据《个人信息保护法》第二十三条，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。该公司未经张某同意将其手机号、消费记录共享给电商平台用于广告推送，违反了个人信息第三方提供的合规要求。（2）张某可以主张的权利包括（6分）：①查阅、复制权：有权要求该公司向其提供处理的其个人信息的明细及副本（2分）；②删除权：有权要求该公司删除其人脸数据、相关个人信息，停止将其个人信息用于模型训练、宣传及广告推送（2分）；③损害赔偿请求权：若因该公司的行为造成其人格利益或财产损害，有权要求公司承担损害赔偿等侵权责任（1分）；④解释说明权：有权要求该公司对其个人信息处理规则、处理活动的相关情况进行解释说明（1分）。（3）监管部门可作出的处罚（4分）：①责令改正，给予警告，没收违法所得（1分）；②对违法处理个人信息的应用，可以责令暂停或者终止提供服务（1分）；③拒不改正的，并处一百万元以下罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照（1分）；