2025年個人信息保護合規(guī)考試試題及答案一、單項選擇題（共20題，每題2分，共40分）1.根據(jù)《個人信息保護法》及相關規(guī)定，以下哪項信息不屬于“個人信息”范疇？A.張三的身份證號碼B.匿名化處理后的用戶消費記錄C.李四的手機號碼D.某用戶在社交平臺發(fā)布的地理位置標簽答案：B解析：《個人信息保護法》第4條規(guī)定，個人信息是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。2.某金融機構擬收集用戶的生物識別信息用于身份驗證，根據(jù)《個人信息保護法》，其應當履行的核心義務是？A.取得用戶的一般同意即可B.僅需在隱私政策中概括說明收集目的C.取得用戶的單獨同意，并說明收集的必要性及對個人權益的影響D.無需額外說明，因生物識別信息屬于常見身份驗證方式答案：C解析：《個人信息保護法》第29條規(guī)定，處理敏感個人信息應當取得個人的單獨同意；法律、行政法規(guī)規(guī)定處理敏感個人信息應當取得書面同意的，從其規(guī)定。同時，第17條要求告知處理敏感個人信息的必要性以及對個人權益的影響。3.某電商平臺擬將用戶個人信息共享給第三方物流企業(yè)，以下哪項操作不符合合規(guī)要求？A.在共享前向用戶告知共享的第三方名稱、共享內(nèi)容及目的B.與第三方簽訂書面協(xié)議，約定其僅能按約定目的處理個人信息C.用戶未明確同意共享時，以“默認勾選”方式獲取同意D.定期對第三方的個人信息處理活動進行審計答案：C解析：《個人信息保護法》第23條規(guī)定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意?！澳J勾選”屬于未明確取得同意的行為，違反“明示同意”原則。4.某企業(yè)因業(yè)務調(diào)整需要刪除用戶個人信息，根據(jù)《個人信息保護法》，以下哪種情形無需刪除？A.用戶主動要求刪除B.企業(yè)已實現(xiàn)處理目的且無保存必要C.用戶撤回了同意，且無其他合法處理依據(jù)D.個人信息因技術故障被非法獲取，但企業(yè)已完成補救答案：D解析：《個人信息保護法》第47條規(guī)定了個人信息刪除的情形，包括個人撤回同意且無其他合法基礎、處理目的已實現(xiàn)或無需繼續(xù)保存、個人要求刪除等。技術故障導致的非法獲取不屬于法定刪除義務的排除情形，但企業(yè)需履行補救義務，而非必然刪除。5.關于個人信息跨境提供的合規(guī)要求，以下說法正確的是？A.所有個人信息跨境提供均需通過國家網(wǎng)信部門組織的安全評估B.個人信息處理者可自行與境外接收方約定跨境提供的條件，無需向用戶告知C.通過國家網(wǎng)信部門認證的標準合同提供個人信息的，無需額外安全評估D.跨境提供個人信息時，只需確保境外接收方所在國的保護水平與我國相當答案：C解析：《個人信息保護法》第38條規(guī)定，個人信息跨境提供的途徑包括安全評估、認證、標準合同等。通過認證的標準合同提供的，無需重復安全評估。并非所有跨境提供都需安全評估（如通過認證的可免），且需向用戶告知跨境提供的基本信息，境外接收方的保護水平需“不低于我國”而非“相當”。6.某教育類App在用戶注冊時要求提供家庭住址、緊急聯(lián)系人電話等信息，但其核心功能僅為在線課程學習。根據(jù)“最小必要”原則，該行為的合規(guī)性如何？A.合規(guī)，因用戶注冊需完善個人資料B.不合規(guī)，超出實現(xiàn)核心功能所需的最小范圍C.合規(guī)，因緊急聯(lián)系人信息可用于用戶安全提醒D.不合規(guī)，因家庭住址與在線學習無直接關聯(lián)答案：B解析：《個人信息保護法》第6條規(guī)定，處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集家庭住址、緊急聯(lián)系人電話與“在線課程學習”無直接關聯(lián)，超出最小必要范圍。7.某社交平臺用戶發(fā)現(xiàn)自己的個人信息被非法處理，要求平臺提供處理的具體情況（如處理時間、接收方等），平臺的正確做法是？A.以“商業(yè)秘密”為由拒絕提供B.在15個工作日內(nèi)以書面形式提供C.要求用戶提供身份證明后，及時提供D.僅提供部分非關鍵信息答案：C解析：《個人信息保護法》第45條規(guī)定，個人有權要求個人信息處理者提供其個人信息的處理規(guī)則、存儲時間、共享接收方等信息；個人信息處理者應當及時提供，且需驗證個人身份。8.以下哪項不屬于個人信息保護影響評估的內(nèi)容？A.個人信息的處理目的是否合法、正當、必要B.對個人權益的影響及安全風險C.所采取的保護措施的有效性D.個人信息處理者的市場占有率答案：D解析：《個人信息保護法》第55條規(guī)定，個人信息保護影響評估應當包括處理目的的合法性、對個人權益的影響、安全風險、保護措施的有效性等。市場占有率與個人信息保護無關。9.某醫(yī)院為研究疾病治療方案，擬使用患者的診療信息（包含姓名、病歷、檢查結果），以下合規(guī)的操作是？A.直接使用，因?qū)儆卺t(yī)療必要用途B.取得患者的單獨同意，并說明研究目的及數(shù)據(jù)使用范圍C.對患者姓名進行去標識化處理后使用，無需同意D.將數(shù)據(jù)提供給合作藥企前，僅告知患者“可能用于醫(yī)學研究”答案：B解析：診療信息屬于敏感個人信息（《個人信息保護法》第28條），處理時需取得單獨同意，并明確告知處理目的、方式和范圍。去標識化信息若仍可識別特定個人（如結合其他信息），仍需同意；僅概括告知不符合“明確性”要求。10.某企業(yè)因數(shù)據(jù)泄露事件被用戶起訴，根據(jù)《個人信息保護法》，以下哪項不能作為企業(yè)的免責事由？A.企業(yè)已采取符合國家標準的加密措施B.數(shù)據(jù)泄露是第三方攻擊導致，企業(yè)無過錯C.企業(yè)在泄露后立即通知用戶并采取補救措施D.用戶自身存在密碼泄露行為答案：B解析：《個人信息保護法》第69條規(guī)定，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償?shù)惹謾嘭熑巍５谌焦魧е滦孤兜?，企業(yè)需證明已盡到合理保護義務，否則仍需擔責，“無過錯”不能直接作為免責事由（需舉證）。11.某直播平臺擬對用戶的觀看行為數(shù)據(jù)（如停留時長、偏好內(nèi)容）進行自動化決策推薦，以下合規(guī)的操作是？A.僅通過隱私政策概括說明“可能根據(jù)用戶行為推薦內(nèi)容”B.允許用戶關閉個性化推薦功能C.對未成年人用戶直接進行高強度個性化推薦D.不向用戶提供拒絕自動化決策的選項答案：B解析：《個人信息保護法》第24條規(guī)定，通過自動化決策方式向個人進行信息推送、商業(yè)營銷的，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式；對未成年人個人信息的自動化決策應特別保護，避免過度影響。12.關于個人信息的存儲期限，以下說法正確的是？A.存儲期限可以由企業(yè)自行決定，無明確限制B.應當為實現(xiàn)處理目的所必要的最短時間C.需永久存儲以滿足數(shù)據(jù)追溯需求D.存儲期限不得超過5年答案：B解析：《個人信息保護法》第19條規(guī)定，個人信息的存儲期限應當為實現(xiàn)處理目的所必要的最短時間，法律、行政法規(guī)另有規(guī)定的除外。13.某電商平臺在用戶未登錄時收集設備信息（如IMEI、MAC地址），以下哪項是合規(guī)的告知方式？A.在用戶首次打開App時彈出彈窗，以小字標注“同意即收集設備信息”B.通過單獨的《設備信息收集說明》向用戶展示，需用戶主動點擊查看C.在隱私政策中以顯著位置、清晰易懂的語言說明收集設備信息的目的、方式D.僅在注冊頁面提示“注冊即視為同意收集設備信息”答案：C解析：《個人信息保護法》第17條規(guī)定，告知應當采用顯著方式、清晰易懂的語言，真實、準確、完整。小字標注、需主動點擊查看或關聯(lián)注冊的方式均不符合“顯著、清晰”要求。14.以下哪類主體無需履行個人信息保護義務？A.依法履行公共管理職責的行政機關B.僅處理匿名化信息的企業(yè)C.開展社會調(diào)查的民辦非企業(yè)單位D.提供在線教育服務的個體工商戶答案：B解析：《個人信息保護法》第4條明確，匿名化信息不屬于個人信息，因此處理匿名化信息的主體無需承擔個人信息保護義務（但需遵守數(shù)據(jù)安全相關規(guī)定）。15.某企業(yè)擬將用戶的個人信息用于廣告營銷，以下哪項符合“同意”的有效性要求？A.用戶勾選“同意《隱私政策》”即視為同意所有個人信息處理活動B.用戶通過電話口頭同意，但未留存記錄C.用戶在注冊時主動勾選“同意接收營銷信息”D.企業(yè)通過短信向用戶推送營銷信息，用戶未回復視為同意答案：C解析：《個人信息保護法》第14條規(guī)定，同意應當由個人在充分知情的前提下自愿、明確作出。勾選“同意所有”屬于概括同意，不符合“明確性”；口頭同意需留存記錄；未回復不能視為同意。16.某銀行發(fā)現(xiàn)員工非法出售客戶個人信息，以下哪項是銀行的法定責任？A.僅需對員工進行內(nèi)部處分B.立即向履行個人信息保護職責的部門報告C.無需向客戶告知，因責任在員工D.只需加強內(nèi)部管理，無需外部報告答案：B解析：《個人信息保護法》第57條規(guī)定，發(fā)生個人信息泄露、篡改、丟失的，個人信息處理者應當立即采取補救措施，并通知履行個人信息保護職責的部門和個人。員工非法出售屬于泄露事件，需報告。17.關于“去標識化”與“匿名化”的區(qū)別，以下說法正確的是？A.去標識化后仍可能通過其他信息識別特定個人，匿名化后無法識別B.兩者均屬于完全不可識別個人信息的處理方式C.去標識化無需告知用戶，匿名化需取得同意D.去標識化屬于個人信息處理，匿名化不屬于答案：A解析：GB/T35273-2020《信息安全技術個人信息安全規(guī)范》定義，去標識化是指通過技術手段對個人信息進行處理，使其在不借助額外信息的情況下無法識別特定自然人，但仍有可能通過其他信息關聯(lián)識別；匿名化是指通過技術手段徹底消除個人信息的可識別性，無法復原。18.某旅游平臺擬收集用戶的行程軌跡信息，以下哪項不屬于“告知”的必要內(nèi)容？A.收集的軌跡信息將用于優(yōu)化路線推薦B.軌跡信息的存儲地點（國內(nèi)/境外）C.用戶拒絕提供軌跡信息時，平臺將限制部分功能D.平臺員工的薪酬結構答案：D解析：《個人信息保護法》第17條規(guī)定，告知內(nèi)容包括處理目的、方式、種類、存儲時間、存儲地點、個人權利、拒絕提供的后果等。員工薪酬與個人信息處理無關，無需告知。19.某企業(yè)的個人信息保護負責人（PIA）的主要職責不包括？A.制定個人信息保護內(nèi)部制度B.監(jiān)督個人信息處理活動的合規(guī)性C.代表企業(yè)與用戶協(xié)商個人信息相關糾紛D.負責企業(yè)的市場推廣活動答案：D解析：《個人信息保護法》第52條規(guī)定，個人信息保護負責人的職責包括建立健全制度、監(jiān)督處理活動、向監(jiān)管部門報告等。市場推廣不屬于其職責。20.某社交平臺用戶要求查詢自己的個人信息處理記錄，平臺以“技術困難”為由拖延，根據(jù)《個人信息保護法》，監(jiān)管部門可對其處以最高多少罰款？A.100萬元B.500萬元C.上一年度營業(yè)額5%D.200萬元答案：C解析：《個人信息保護法》第66條規(guī)定，違反本法規(guī)定處理個人信息，或者未履行本法規(guī)定的個人信息保護義務的，由履行個人信息保護職責的部門責令改正，給予警告，沒收違法所得；拒不改正的，并處一百萬元以下罰款；對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。情節(jié)嚴重的，由省級以上履行個人信息保護職責的部門責令暫停相關業(yè)務或者停業(yè)整頓、通報有關主管部門吊銷相關業(yè)務許可或者吊銷營業(yè)執(zhí)照，并處五千萬元以下或者上一年度營業(yè)額百分之五以下罰款。拖延查詢屬于未履行義務，情節(jié)嚴重時可處上一年度營業(yè)額5%罰款。二、多項選擇題（共10題，每題3分，共30分）1.根據(jù)《個人信息保護法》，以下屬于敏感個人信息的有？A.未成年人的個人信息B.生物識別信息C.健康信息D.金融賬戶信息答案：ABCD解析：《個人信息保護法》第28條規(guī)定，敏感個人信息是指一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。2.個人信息處理者應當制定并公開的個人信息保護制度包括？A.個人信息收集、存儲、使用規(guī)則B.個人信息安全事件應急響應流程C.員工個人信息保護培訓制度D.第三方合作方安全評估制度答案：ABCD解析：《個人信息保護法》第51條規(guī)定，個人信息處理者應當根據(jù)情況制定內(nèi)部管理制度和操作規(guī)程，包括處理規(guī)則、安全事件響應、人員培訓、合作方管理等。3.以下哪些情形屬于個人信息處理的合法基礎？A.為訂立、履行個人作為一方當事人的合同所必需B.為公共利益實施新聞報道，合理處理個人信息C.個人明確同意D.為應對突發(fā)公共衛(wèi)生事件，必要處理個人信息答案：ABCD解析：《個人信息保護法》第13條規(guī)定了合法基礎，包括同意、合同必需、履行法定義務、公共利益（如新聞報道、公共衛(wèi)生事件）、維護重大利益等。4.個人信息跨境提供時，個人信息處理者應當履行的義務包括？A.向用戶告知接收方的基本信息及保護水平B.與境外接收方簽訂書面協(xié)議，明確雙方責任C.對跨境提供的個人信息進行安全評估或通過認證D.定期對境外接收方的處理活動進行監(jiān)督答案：ABCD解析：《個人信息保護法》第38、39、40條規(guī)定，跨境提供需告知用戶、簽訂協(xié)議、通過安全評估/認證，并監(jiān)督接收方處理活動。5.關于個人信息刪除權，以下說法正確的有？A.用戶撤回同意且無其他合法處理依據(jù)時，企業(yè)應當刪除B.處理目的已實現(xiàn)，企業(yè)無需繼續(xù)保存時，應當刪除C.個人信息因非法處理導致侵害，用戶可要求刪除D.企業(yè)合并后，新主體可拒絕刪除原企業(yè)處理的個人信息答案：ABC解析：《個人信息保護法》第47條規(guī)定了刪除權的情形，包括撤回同意無其他基礎、處理目的已實現(xiàn)、非法處理侵害權益等。企業(yè)合并后，新主體需承接原處理者的義務，不得拒絕刪除。6.某企業(yè)擬開展個人信息保護影響評估（PIA），評估報告應包含的內(nèi)容有？A.個人信息的處理目的、方式、范圍的合法性B.對個人權益的影響及風險程度C.所采取的保護措施的有效性D.評估的結論及改進建議答案：ABCD解析：GB/T35273-2020規(guī)定，PIA報告應包括處理目的合法性、影響分析、保護措施有效性、結論及改進建議等。7.以下哪些行為可能構成對“告知-同意”原則的違反？A.在用戶注冊時默認勾選“同意隱私政策”B.以模糊語言表述個人信息的處理范圍（如“相關信息”）C.在用戶拒絕提供非必要信息時，限制核心功能使用D.在隱私政策中明確說明收集的信息類型及用途答案：ABC解析：默認勾選、模糊表述、因拒絕非必要信息限制核心功能均違反“明確、自愿、具體”的同意要求；明確說明屬于合規(guī)操作。8.關于未成年人個人信息保護，以下合規(guī)的做法有？A.教育類App收集12周歲用戶的信息時，取得其父母的同意B.游戲平臺對14周歲以下用戶設置自動宵禁功能C.社交平臺向13周歲用戶推送個性化廣告D.未成年人要求刪除個人信息時，平臺無需驗證身份直接刪除答案：AB解析：《個人信息保護法》第31條規(guī)定，處理不滿十四周歲未成年人個人信息的，應當取得其父母或其他監(jiān)護人的同意；對未成年人的個人信息處理應采取專門保護措施（如宵禁）。向未成年人推送個性化廣告需特別謹慎，刪除需驗證身份。9.某企業(yè)發(fā)生個人信息泄露事件，應當采取的措施包括？A.立即暫停導致泄露的業(yè)務功能B.評估泄露的影響范圍及可能后果C.72小時內(nèi)通知用戶（因特殊情況可延長）D.向監(jiān)管部門報告泄露情況答案：ABCD解析：《個人信息保護法》第57條規(guī)定，發(fā)生泄露后應立即補救、通知用戶（可能的話）、報告監(jiān)管部門，并暫停相關業(yè)務。通知用戶的時限一般為72小時，特殊情況可延長。10.以下哪些屬于個人信息處理者的安全保護義務？A.采取加密、去標識化等技術措施B.定期進行個人信息安全影響評估C.設立個人信息保護專職崗位D.對員工進行個人信息保護培訓答案：ABCD解析：《個人信息保護法》第51條規(guī)定，處理者需采取技術措施（加密、去標識化）、管理措施（培訓、專職崗位）、評估措施（安全影響評估）等保護個人信息安全。三、判斷題（共10題，每題1分，共10分）1.個人信息處理者可以將“用戶注冊即視為同意所有個人信息處理活動”寫入隱私政策。（）答案：×解析：同意需“明確、具體”，概括同意所有處理活動違反《個人信息保護法》第14條。2.處理已公開的個人信息（如政府公開的企業(yè)法人信息）無需取得同意。（）答案：√解析：《個人信息保護法》第13條規(guī)定，為公共利益實施新聞報道、輿論監(jiān)督等行為，在合理范圍內(nèi)處理已公開的個人信息，無需同意。3.個人信息的存儲地點可以由企業(yè)自行決定，無需告知用戶。（）答案：×解析：《個人信息保護法》第17條規(guī)定，告知內(nèi)容包括個人信息的存儲地點。4.企業(yè)可以將用戶的生物識別信息與其他個人信息分開存儲，無需采取額外保護措施。（）答案：×解析：敏感個人信息需采取更嚴格的保護措施（如加密、訪問控制），分開存儲不代表無需額外保護。5.用戶要求查閱個人信息時，企業(yè)可以收取合理的查閱費用。（）答案：×解析：《個人信息保護法》第45條規(guī)定，個人信息處理者應當為個人查閱、復制個人信息提供便利，不得收取費用。6.企業(yè)合并后，原企業(yè)的個人信息處理義務由新企業(yè)承接。（）答案：√解析：《個人信息保護法》第22條規(guī)定，個人信息處理者因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息的，應當向個人告知接收方的名稱或者姓名和聯(lián)系方式，接收方應當繼續(xù)履行個人信息處理者的義務。7.處理15周歲未成年人的個人信息，無需取得其父母同意。（）答案：×解析：《個人信息保護法》第31條規(guī)定，處理不滿十四周歲未成年人個人信息的，應當取得其父母或其他監(jiān)護人的同意；15周歲雖超過十四周歲，但仍需根據(jù)具體情況判斷是否屬于敏感處理（如醫(yī)療、金融信息），可能仍需監(jiān)護人同意。8.企業(yè)可以將用戶的個人信息用于與原處理目的無關的用途，只要取得用戶同意。（）答案：√解析：《個人信息保護法》第16條規(guī)定，個人信息處理者變更處理目的、處理方式的，應當重新取得個人同意。9.個人信息保護影響評估報告無需留存，只需在監(jiān)管檢查時口頭說明即可。（）答案：×解析：《個人信息保護法》第55條規(guī)定，個人信息保護影響評估報告和處理情況記錄應當至少保存三年。10.企業(yè)因業(yè)務需要，可以將用戶的個人信息提供給關聯(lián)公司，無需告知用戶。（）答案：×解析：《個人信息保護法》第23條規(guī)定，向其他處理者（包括關聯(lián)公司）提供個人信息需告知用戶并取得同意。四、簡答題（共3題，每題5分，共15分）1.簡述“告知-同意”原則的核心要求。答案：“告知-同意”原則的核心要求包括：（1）告知的充分性：需以顯著方式、清晰易懂的語言，真實、準確、完整告知處理目的、方式、種類、存儲時間、存儲地點、個人權利、拒絕后果等；（2）同意的明確性：需由個人在充分知情的前提下自愿、明確作出，禁止默認勾選、概括同意等；（3）動態(tài)性：處理目的、方式等變更時，需重新告知并取得同意；（4）特殊情形的強化要求：處理敏感個人信息、向第三方提供、跨境提供等需取得單獨同意。2.列舉個人信息處理者的五項主要義務。答案：（1）合法、正當、必要原則：處理個人信息需具有明確合理目的，符合最小必要要求；（2）安全保護義務：采取加密、訪問控制等技術措施，制定內(nèi)部管理制度；（3）告知-同意義務：履行充分告知并取得明確同意；（4）個人權利保障義務：保障用戶的查閱、復制、刪除、更正等權利；（5）事件響應義務：發(fā)生泄露等安全事件時，立即補救并通知用戶和監(jiān)管部門；（6）影響評估義務：對高風險處理活動進行個人信息保護影響評估并留存報告（任意五項即可）。3.說明“去標識化”與“匿名化”的區(qū)別及法律意義。答案：區(qū)別：（1）技術程