2026年数据隐私合规师(DPO)考试题库(附答案)

2026年数据隐私合规师(DPO)考试题库(附答案)一、单项选择题（共15题，每题2分，共30分。每题仅有一个正确选项）1.根据《中华人民共和国个人信息保护法》（PIPL），处理不满十四周岁未成年人个人信息，应当取得（）。A.未成年人本人的同意B.监护人的单独同意C.监护人的默示同意D.未成年人及其监护人的双重同意答案：B解析：《个人信息保护法》第三十一条明确规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，且该同意应为“单独同意”。2.依据GDPR（欧盟通用数据保护条例），数据控制者（Controller）与数据处理者（Processor）之间的法律关系，下列说法正确的是（）。A.处理者可以自行决定处理目的和方式B.控制者与处理者必须签订具有约束力的书面合同C.处理者可以将数据转移至第三国而无需控制者授权D.控制者对处理者的违规行为不承担任何责任答案：B解析：GDPR第28条规定，控制者仅能委托提供充分保障的处理者，且双方必须通过合同或其他法律文件约定处理范围、目的、期限等。处理者必须遵循控制者的书面指示，未经授权不得转委托。3.在数据出境安全评估中，根据《数据出境安全评估办法》，以下哪种情形必须申报数据出境安全评估（）。A.数据处理者向境外提供重要数据B.自当年1月1日起累计向境外提供10万人个人信息C.自当年1月1日起累计向境外提供1万人敏感个人信息D.以上情形均须申报答案：D解析：《数据出境安全评估办法》第四条明确，数据处理者向境外提供重要数据、关键信息基础设施运营者向境外提供个人信息或重要数据、以及自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息的情形，均需申报安全评估。4.关于隐私影响评估（PIA/DPIA），下列哪项操作属于必须开展DPIA的高风险处理活动（）。A.基于员工书面同意处理其考勤记录B.对公开数据进行匿名化处理后进行统计分析C.利用大规模监控系统对公共场所进行人脸识别D.在加密数据库中存储客户联系方式答案：C解析：GDPR第35条及EDPB（欧洲数据保护委员会）指引，大规模监控、人脸识别、基因数据或健康数据处理、对弱势群体（儿童）的数据画像等属于必须进行DPIA的情形。A项为常规人事管理，B项匿名化后不属于个人信息，D项为低风险存储。5.在“告知-同意”规则中，根据《个人信息保护法》，以下关于“单独同意”的适用场景，不包括（）。A.向第三方提供个人信息B.公开披露个人信息C.处理敏感个人信息D.为了履行法定职责所必需答案：D解析：《个人信息保护法》规定，向其他个人信息处理者提供、公开披露、处理敏感个人信息、处理不满十四周岁未成年人信息、向境外提供等需取得“单独同意”。而履行法定职责或法定义务属于合法性基础，无需依赖同意。6.关于数据可携带权（RighttoDataPortability），以下说法错误的是（）。A.仅适用于基于同意或合同处理的数据B.用户有权要求将数据直接从一个控制者传输至另一个控制者C.该权利适用于控制者基于合法利益处理的数据D.该权利不适用于处理者在履行法律义务时生成的数据答案：C解析：GDPR第20条明确，数据可携带权仅适用于基于同意或合同且通过自动化方式处理的数据，且处理须由数据主体提供。基于合法利益、法律义务处理的数据不属于可携带权适用范围。7.某跨国企业在华子公司拟向境外总部传输员工个人信息，以下哪种合规路径是错误的（）。A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.与境外接收方签订标准合同并备案D.仅获得员工口头同意后传输答案：D解析：《个人信息保护法》第三十八条提供了四种路径：安全评估、保护认证、标准合同、法律/行政法规规定的其他条件。仅获得同意不构成独立的出境合规路径，且员工同意在劳动关系中往往不具充分自愿性。8.在数据泄露应急响应中，根据GDPR第33条，控制者在知悉个人数据泄露后，应在多少小时内向监管机构报告（）。A.12小时B.24小时C.48小时D.72小时答案：D解析：GDPR第33条规定，除非个人数据泄露不太可能对自然人权利与自由造成风险，否则控制者应在知悉后72小时内向监管机构报告。若超过72小时，需附延迟原因说明。9.关于“设计即隐私”（PrivacybyDesign）与“默认即隐私”（PrivacybyDefault），下列实践最符合该原则的是（）。A.产品上线后根据用户投诉逐步完善隐私功能B.默认设置仅收集提供服务所必需的最少数据C.为用户提供最便捷的注册方式，默认勾选同意隐私政策D.仅在用户主动询问时告知其数据将被用于广告推送答案：B解析：GDPR第25条要求，控制者应在产品设计阶段嵌入数据保护措施（PrivacybyDesign），且默认设置应确保只处理实现目的所必需的数据（PrivacybyDefault）。B项符合最小化与默认保护要求。10.根据《个人信息保护法》，个人信息处理者合并、分立、解散、被宣告破产时，以下处理方式不正确的是（）。A.需要转移个人信息的，应当向个人告知接收方名称和联系方式B.接收方应当继续履行个人信息处理者的义务C.无需告知个人，直接转移全部数据给接收方D.变更原先的处理目的、处理方式的，应当重新取得个人同意答案：C解析：PIPL第二十二条规定，因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称和联系方式。接收方变更原处理目的、方式的，应重新取得同意，不能未经告知直接转移。11.关于“匿名化”与“去标识化”，以下理解正确的是（）。A.匿名化信息仍属于个人信息，受PIPL约束B.去标识化后的信息在任何情况下都不属于个人信息C.匿名化是指经过处理后无法识别特定自然人且不能复原的过程D.去标识化与匿名化的法律效果相同答案：C解析：《个人信息保护法》第四条规定，匿名化后的信息不属于个人信息。匿名化是不可逆的、无法识别特定个人；而去标识化虽削弱了直接识别性，但仍可能借助额外信息重新识别，故仍属于个人信息。二者法律效果不同。12.当数据主体行使删除权（RighttoErasure）时，以下哪种情形控制者可以拒绝删除请求（）。A.数据主体撤回同意且无其他合法处理基础B.数据被用于行使言论自由和信息自由的权利C.数据因违法处理被监管机构要求删除D.数据对建立、行使或辩护法律主张所必需答案：D解析：GDPR第17条列举了删除权的例外情形，包括行使言论自由权、遵守法律义务、公共卫生领域公共利益、档案目的、以及建立/行使/辩护法律主张。D项属于法定的拒绝理由。13.依据《网络安全法》，关键信息基础设施运营者在中国境内运营中收集和产生的个人信息和重要数据，应当在（）存储。A.境内B.境外C.双方约定的任意地点D.总部所在地答案：A解析：《网络安全法》第三十七条规定，关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。确需向境外提供的，应当依法进行安全评估。14.在数据分类分级管理中，若某电商平台存储大量用户收货地址、电话及支付记录，按照《数据安全法》及行业标准，这些数据最有可能属于（）。A.一般数据B.重要数据C.核心数据D.敏感数据答案：D（注：此处需结合行业定级规范，支付记录属于金融敏感信息，收货地址+电话组合可识别特定个人，且泄露可能对个人权益造成显著影响）解析：根据《金融数据安全数据安全分级指南》（JR/T0192-2020），支付记录、账户信息等属于敏感级（如3级及以上），电商平台的收货信息组合涉及个人隐私，一般划定为敏感数据，而非国家层面“重要数据”或“核心数据”。15.关于跨境数据传输中的“标准合同条款”（SCCs），2021年欧盟法院在SchremsII案后发布的新版SCCs中，以下哪项属于必须增加的义务（）。A.数据传输影响评估（TIA）B.仅依赖SCCs即可豁免任何补充措施C.接收方无需遵守GDPRD.允许接收方随意转售数据答案：A解析：SchremsII判决及EDPB指引要求，在使用SCCs进行跨境传输前，必须逐案评估接收国法律环境是否提供“基本等同”保护，即开展传输影响评估（TransferImpactAssessment），必要时需采取补充措施（如加密、假名化）。二、多项选择题（共10题，每题3分，共30分。每题有两个或以上正确选项，多选、少选、错选均不得分）1.根据《个人信息保护法》，以下哪些情形属于“告知”内容的必备要素（）。A.个人信息处理者的名称和联系方式B.处理目的、处理方式、处理的个人信息种类C.保存期限D.个人行使法定权利的方式和程序E.处理者的年度财务审计报告答案：ABCD解析：《个人信息保护法》第十七条规定，告知内容包括：处理者名称和联系方式；处理目的、处理方式、处理的个人信息种类、保存期限；个人行使本法规定权利的方式和程序。财务审计报告不属于法定告知内容。2.关于GDPR中的“数据保护官”（DPO），下列哪些说法是正确的（）。A.公共机构或机关必须任命DPOB.核心活动涉及大规模监控或大规模敏感数据处理必须任命DPOC.DPO可以直接参与处理活动以优化效率D.DPO应直接向最高管理层汇报工作E.DPO可以因履行职务被解雇答案：ABD解析：GDPR第37条明确公共机构、大规模监控、大规模敏感数据处理的组织必须任命DPO。第38条规定DPO应直接向最高管理层汇报，不得因履职被解职或处罚。C项错误，DPO不得兼任与职责冲突的职务（如参与数据处理决策）；E项违反反报复条款。3.以下哪些属于《数据安全法》定义的数据安全保护义务（）。A.建立数据全生命周期安全管理制度B.对数据实行分类分级保护C.定期开展风险评估并报送报告D.对重要数据备份和加密E.为了商业利益可对外无偿共享重要数据答案：ABCD解析：《数据安全法》第二十七条要求建立管理制度、第二十一条要求分类分级、第三十条要求重要数据风险评估、第二十七条要求备份加密。E项错误，重要数据共享需遵循审批和监管要求，不得随意对外提供。4.关于DPIA（数据保护影响评估）的内容，GDPR第35条第7款规定必须包含（）。A.对处理操作的系统性描述和处理目的B.对处理操作必要性和相称性的评估C.对数据主体权利和自由风险的评估D.为应对风险拟采取的措施E.数据控制者的季度利润报表答案：ABCD解析：GDPR第35条第7款规定DPIA必须包含：系统描述处理操作与目的；对必要性和相称性的评估；对数据主体风险的评价；应对措施。E项与DPIA无关。5.在员工个人信息处理场景中，根据GDPR和PIPL，以下哪些属于合法处理基础（）。A.履行劳动合同所必需B.履行雇主法定职责（如税务申报）C.基于员工自愿且明确的同意进行无关的营销分析D.雇主的正当利益（如防止内部欺诈）E.未经任何告知直接将员工健康数据用于商业推广答案：ABCD解析：A项（合同履行）、B项（法律义务）、C项（有效同意）、D项（正当利益，需进行利益衡量）均为合法基础。E项违规处理健康数据，无合法基础。6.关于向境外提供个人信息，以下哪些做法符合《个人信息保护法》第三十八条的法定条件（）。A.通过国家网信部门组织的安全评估B.与境外接收方签订标准合同并完成备案C.经专业机构进行个人信息保护认证D.仅依据企业内部白名单制度自行决定E.法律、行政法规或者国家网信部门规定的其他条件答案：ABCE解析：PIPL第三十八条明确列举了四项条件：安全评估、保护认证、标准合同、其他法定条件。D项企业内部白名单制度无法律依据。7.关于儿童个人信息保护，依据《儿童个人信息网络保护规定》，网络运营者应遵循的原则包括（）。A.正当必要原则B.知情同意原则C.目的明确原则D.最少够用原则E.可以未经同意向第三方披露答案：ABCD解析：《儿童个人信息网络保护规定》要求处理儿童个人信息应遵循正当必要、知情同意、目的明确、最少够用等原则。E项错误，未经同意不得披露。8.关于数据主体访问权（RightofAccess），控制者的义务包括（）。A.提供正在处理的个人数据的副本B.告知处理目的C.告知数据接收方类别D.告知保存期限E.拒绝提供任何信息且无需理由答案：ABCD解析：GDPR第15条规定数据主体有权获取处理目的、数据类别、接收方类别、保存期限等，并有权获取数据副本。E项错误，拒绝需符合法定豁免条件。9.关于数据泄露通知义务，依据PIPL第五十七条，发生个人信息泄露时，个人信息处理者应当（）。A.立即采取补救措施B.通知履行个人信息保护职责的部门和个人C.通知内容包含泄露原因、泄露信息种类、可能危害、补救措施等D.若无法逐一通知，可发布安全警示公告E.隐瞒不报以避免恐慌答案：ABCD解析：PIPL第五十七条规定了补救、通知部门和个人、通知内容要素、公告替代通知等义务。E项隐瞒不报属于违法。10.关于“自动化决策”的规制，以下哪些说法正确（）。A.利用个人信息进行自动化决策应保证决策透明度和结果公平公正B.通过自动化决策方式进行商业营销时，应同时提供不针对其个人特征的选项或便捷拒绝方式C.对个人权益有重大影响的自动化决策，个人有权要求说明并拒绝仅通过自动化决策作出决定D.自动化决策无需任何监管E.用户画像属于自动化决策的一种形式答案：ABCE解析：PIPL第二十四条规定了自动化决策的透明度、公平公正、拒绝权、重大影响决策的人工干预权。D项明显错误，E项正确，用户画像属于自动化决策。三、填空题（共5题，每题2分，共10分）1.根据《个人信息保护法》第五十五条，向境外提供个人信息的，事前应当进行________。答案：个人信息保护影响评估2.GDPR规定，数据控制者应在个人数据泄露后________小时内向监管机构报告，除非该泄露不太可能对个人权利造成风险。答案：723.《数据安全法》确立的________制度，要求各地区、各部门按照国家规定确定重要数据具体目录。答案：数据分类分级保护4.依据《个人信息保护法》，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满________周岁未成年人的个人信息。答案：十四（14）5.在跨境数据传输中，EDPB（欧洲数据保护委员会）发布的针对SchremsII判决的补充措施建议，包括技术措施（如________、假名化、多跳加密等）。答案：端到端加密（或“加密”）四、简答题（共3题，每题6分，共18分）1.简述《个人信息保护法》中“告知-同意”规则的核心要义，并说明在哪些情形下无需取得个人同意即可处理个人信息。答案要点：（1）核心要义：处理个人信息应当遵循合法、正当、必要和诚信原则，应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。在取得个人同意时，该同意必须在充分知情的前提下自愿、明确作出，且有权撤回同意。（2）无需取得个人同意的情形（PIPL第十三条）：①为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；②为履行法定职责或者法定义务所必需；③为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；④为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；⑤依照法律规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；⑥法律、行政法规规定的其他情形。2.简述GDPR中“数据最小化”原则，并结合实例说明该原则在数据收集和存储阶段的具体应用。答案要点：（1）概念：数据最小化原则（Article5(1)(c)）要求个人数据必须与处理目的相关的、必要的、适当的，处理应限于实现目的所必需的最小范围。（2）收集阶段：只能收集为特定目的所必需的数据字段。例如，电商平台处理订单仅需姓名、地址、电话，不得收集与订单无关的宗教信仰或政治观点。（3）存储阶段：保存期限不得超过实现目的所需的必要时间。例如，订单数据在售后保修期结束后应及时删除或匿名化。（4）设计与默认：该原则是“数据保护设计”的核心组成部分，要求系统默认设置不收集超出必要范围的数据（如注册时默认不勾选订阅营销信息）。（5）后续影响：处理者不能以“将来可能有用”为由长期保存数据，必须设定明确的保存期限并定期审查。3.结合《数据出境安全评估办法》与《个人信息保护法》，简述数据出境安全评估的触发条件及评估重点。答案要点：（1）触发条件（《数据出境安全评估办法》第四条）：①数据处理者向境外提供重要数据；②关键信息基础设施运营者向境外提供个人信息或重要数据；③处理100万人以上个人信息的处理者向境外提供个人信息；④自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息；⑤国家网信部门规定的其他情形。（2）评估重点（第五条）：①数据出境的目的、范围、方式等的合法性、正当性、必要性；②对国家安全、公共利益、个人或组织合法权益带来的风险；③境外接收方承诺承担的责任义务，及其履行义务的管理和技术措施、能力；④数据出境中和出境后遭到篡改、破坏、泄露、丢失、非法利用等风险；⑤个人信息权益维护的渠道是否通畅等。（3）结果运用：评估结果有效期为2年，逾期或出现重大变化需重新评估。五、案例分析题（共1题，每题12分，共12分）【案例背景】某大型跨国互联网公司A（注册地在欧盟，在中国设有子公司A-中国），其核心业务为社交平台和在线广告。A公司推出了一款“智能健康助手”应用，该应用可采集用户的健康数据（包括心率、睡眠、运动量），并利用AI算法提供个性化健康建议。事件一：A公司未经用户明确同意，将用户的健康数据用于广告精准投放，且未在隐私政策中披露该用途。事件二：A公司将其在华收集的用户健康数据（累计约50万人）传输至欧盟总部进行算法训练，仅与用户签订了一般性用户协议，未进行单独同意，也未进行数据出境安全评估。事件三：A公司发生数据泄露事故，泄露了20万用户的健康数据。A公司在事故发生后第5天才向监管机构报告，且未通知受影响用户。事件四：A公司内部合规团队在DPIA报告中指出，该应用的健康数据分析处理属于高风险处理，但A公司管理层以“商业竞争压力大”为由，拒绝实施报告中提出的加密和访问控制措施。【问题】1.根据GDPR和PIPL，分析事件一中A公司的行为违反了哪些原则和具体条款？（4分）2.事件二中A公司向境外传输健康数据的行为存在哪些合规缺陷？应如何补救？（4分）3.事件三中A公司应对数据泄露的方式有哪些违法之处？（2分）4.事件四中A公司拒绝实施DPIA措施的决定是否合法？说明理由。（2分）【参考答案】1.事件一违规分析：（1）违反“目的限制原则”：收集健康数据的初始目的是提供健康建议，而用于广告精准投放属于新的处理目的，未取得用户单独同意，违反PIPL第六条（处理目的应明确合理、与处理目的直接相关）和GDPR第5条(1)(b)。（2）违反“告知-同意规则”：未在隐私政策中披露广告用途，违反PIPL第十七条（告知义务）和第二十三条（向第三方提供或变更处理目的需重新同意）。（3）违反“敏感个人信息处理规则”：健康数据属于敏感个人信息，根据PIPL第二十九条，处理敏感个人信息需取得单独同意，且需具有特定目的和充分必要性。广告营销不属于必要性处理。（4）违反GDPR第9条（特殊类别数据处理禁令），健康数据原则上禁止处理，除非符合特定豁免情形（如明确同意且目的特定）。2.事件二合规缺陷及补救：（1）缺陷：①未取得单独同意：健康数据属敏感个人信息，出境前须取得个人单独同意（PIPL第三十九条）。②未进行数据出境安全评估：累计向境外提供50万人健康数据，远超“1万人敏感个人信息”的申报门槛，必须进行安全评估（《数据出境安全评估办法》第四条）。③标准合同缺失：未与境外接收方签订标准合同或通过其他法定路径（如认证）。④未进行个人信息保护影响评估（PIPL第五十五条要求向境外提供前需进行PIA/DPIA）。（2）补救措施：①立即停止数据出境传输，开展个人信息保护影响评估；②向国家网信部门申报数据出境安全评估；③取得用户单独同意，明确告知境外接收方名称、联系方式、处理目的、方式、种类和保存期限；④与欧盟总部签订标准合同条款（SCCs）或采用其他合法传输机制（如BCRs），并完成备案；⑤对传输的健康数据采取加密等补充技术措施，确保保护水平不低于境内标准。3.事件三违法之处：（1）报告超时：根据PIPL第五十七条，发生数据泄露应在72小时内通知监管部门，A公司在第5天才报告，违法。（2）未通知用户：PIPL要求泄露可能对个人权益造成危害的，应及时通知个人，A公司未通知。（3）未采取即时补救措施：A公司未说明是否立即采取措施控制泄露范围，存在消极应对之嫌。4.事件四决定不合法。理由：根据GDPR第35条和PIPL第五十五条，DPIA是法定程序，其结论和建议具有规范性效力，不能因商业压力而随意豁免。拒绝实施DPIA中提出的必要风险缓解措施，将导致处理活动处于高风险状态，违反“数据保护设计”义务，监管机构可据此处以行政罚款。且A公司作为大型科技企业，其合规管理架构应具备足够资源落实DPIA措施，商业利益不能凌驾于用户基本权利与公共安全之上。六、综合应用题（共1题，每题10分，共10分）【背景】某省级政务服务平台拟上线“企业信用画像”系统，该平台由地方政府牵头，第三方科技公司B承建。系统将汇聚市场监管、税务、社保、环保、法院等多部门的企业数据，利用大数据分析和人工智能模型，为每个企业生成“信用评分”，并以此作为政府补贴发放、招标资格审查的重要依据。【任务】1.识别该系统中涉及的主要个人信息类型，并评估其风险等级。（3分）2.依据《个人信息保护法》《数据安全法》和GDPR的基本原则，为该平台设计一份合规要点清单（至少包含5个关键合规措施）。（5分）3.若某企业认为其信用评分不准确，导致其失去政府补贴资格，该企业可依据哪些法律路径维权？（2分）【参考答案】1.涉及的个人信息类型与风险等级：（1）法定代表人及高管个人信息：姓名、身份证号、联系方式、住址（敏感程度较高）；（2）企业员工个人信息：社保缴纳记录中的个人身份信息、工资收入（敏感个人信息）；（3）企业关联个人（如股东、实