2025年個人信息保護合規(guī)考試試題及答案一、單項選擇題（每題2分，共20分。每題只有一個正確答案，錯選、多選均不得分）1.2025年3月1日施行的《個人信息保護合規(guī)審計辦法》規(guī)定，對處理超過多少條敏感個人信息的組織，必須每年開展一次外部合規(guī)審計？A.1萬條B.5萬條C.10萬條D.50萬條答案：C解析：辦法第8條第2款明確“處理敏感個人信息數(shù)量達到或超過10萬條的，應當每年委托具備國家認可資質(zhì)的第三方機構(gòu)開展一次合規(guī)審計”，故選C。2.某網(wǎng)約車平臺在乘客行程結(jié)束后，繼續(xù)通過車內(nèi)錄音設備收集司乘對話長達30日，平臺稱用于“潛在糾紛取證”。下列哪一項最能直接證明該行為違反最小必要原則？A.未取得乘客單獨同意B.保存期限超過實現(xiàn)處理目的所需C.未進行個人信息保護影響評估D.未向監(jiān)管部門備案錄音算法答案：B解析：最小必要原則包含“時間必要”維度，行程結(jié)束30日已遠超糾紛取證合理期限，故B直接違反；A、C、D雖也涉嫌違法，但非最小必要核心判斷。3.2025年6月，國家網(wǎng)信辦對A銀行罰款5000萬元，因其2024年發(fā)生3億條個人征信數(shù)據(jù)泄露。關于罰款額度，下列說法正確的是：A.以“上一年度營業(yè)額5%”為法定上限B.以“直接責任人年收入10倍”為法定上限C.以“違法所得10倍”為法定上限D(zhuǎn).無上限，由網(wǎng)信辦自由裁量答案：A解析：《個人信息保護法》第66條第2款規(guī)定“情節(jié)嚴重的，可處上一年度營業(yè)額百分之五以下罰款”，2025年配套細則未調(diào)整比例，故A正確。4.某健康APP推出“AI減肥教練”功能，需收集用戶每日步數(shù)、心率、睡眠、飲食照片及月經(jīng)周期。根據(jù)2025年《敏感個人信息處理指南》，下列哪項組合全部屬于敏感個人信息？A.步數(shù)+心率B.睡眠+飲食照片C.心率+月經(jīng)周期D.飲食照片+步數(shù)答案：C解析：指南附錄A表3明確“心率變異數(shù)據(jù)用于疾病預測”及“月經(jīng)周期”均屬健康生理信息，故C全部敏感；步數(shù)、睡眠、飲食照片在未關聯(lián)健康診斷時一般歸為一般個人信息。5.跨境傳輸場景中，數(shù)據(jù)出口方與境外接收方簽訂的國家網(wǎng)信辦2025版《標準合同》要求建立“個人信息權利響應SLA”，對數(shù)據(jù)主體請求響應時限不得超過：A.10個工作日B.15個自然日C.15個工作日D.30個自然日答案：C解析：2025版標準合同第4條第3款將原“15日”細化為“15個工作日”，兼顧節(jié)假日影響，故C正確。6.2025年7月，B市公安機關對非法買賣人臉信息團伙刑事立案，認定“情節(jié)特別嚴重”的量化標準是：A.非法獲取500張以上B.非法獲取5000張以上C.非法獲利5萬元以上D.致使信息主體死亡答案：B解析：兩院《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》2025年修訂稿第5條將“人臉信息”納入“高度敏感信息”，數(shù)量標準降為5000條即屬“情節(jié)特別嚴重”，故B正確。7.某高校委托C公司開發(fā)“智慧校園”系統(tǒng)，雙方簽訂委托處理協(xié)議，但未約定“高校是否有權對C公司進行現(xiàn)場審計”。2025年《個人信息保護法實施條例（草案）》對此的默認規(guī)定是：A.委托方無權審計，以免干擾受托方經(jīng)營B.委托方有權隨時自行或委托第三方審計C.委托方需經(jīng)網(wǎng)信部門批準后方可審計D.由雙方另行協(xié)商，無默認權利答案：B解析：實施條例草案第32條確立“委托方審計權”，無需另行約定即可行使，故B正確。8.2025年4月，D公司采用聯(lián)邦學習技術聯(lián)合多家醫(yī)院訓練腫瘤預測模型，訓練過程原始數(shù)據(jù)不出域，僅交換梯度。下列哪項措施最能降低“梯度泄露”導致的個人信息風險？A.增加模型參數(shù)量B.采用差分隱私噪聲C.提高學習率D.使用公有云GPU答案：B解析：梯度可反推原始數(shù)據(jù)，差分隱私在梯度上傳時添加噪聲是目前主流技術路徑，故B正確。9.未成年人模式下，平臺向14周歲用戶推送個性化廣告，需取得何種同意？A.平臺服務協(xié)議勾選即可B.未成年人單獨同意C.監(jiān)護人單獨同意D.監(jiān)護人書面同意答案：C解析：《未成年人網(wǎng)絡保護條例》2025版第21條明確“個性化商業(yè)推送”需監(jiān)護人單獨同意，故C正確。10.2025年，E國通過《外國數(shù)據(jù)安全法》，要求境內(nèi)企業(yè)向E國政府提供境外數(shù)據(jù)。若中國境內(nèi)個人信息處理者收到E國政府要求，下列做法符合中國法律的是：A.直接提供脫敏數(shù)據(jù)B.先行拒絕，再向中國主管機關報告C.先行提供，再向中國主管機關備案D.以“商業(yè)秘密”為由拒絕提供答案：B解析：《數(shù)據(jù)安全法》第36條確立“非經(jīng)中國主管機關批準不得向外國司法或執(zhí)法機構(gòu)提供境內(nèi)數(shù)據(jù)”原則，故B正確。二、多項選擇題（每題3分，共15分。每題有兩個或兩個以上正確答案，多選、少選、錯選均不得分）11.關于2025年施行的《個人信息匿名化處理指南》，下列說法正確的有：A.將“不可識別”細化為“單點攻擊不可恢復”與“多點聯(lián)動不可恢復”兩級B.明確匿名化數(shù)據(jù)再識別風險超過1%即視為個人信息C.要求匿名化過程記錄保存3年D.允許企業(yè)自行認定匿名化效果，無需第三方評估答案：A、B、C解析：指南5.2、6.3、7.1條分別對應A、B、C；D錯誤，指南8.2要求“高風險場景應委托評估”。12.某國際連鎖酒店集團發(fā)生數(shù)據(jù)泄露，涉及中國境內(nèi)520萬條住客記錄。根據(jù)2025年《個人信息泄露事件應急響應指引》，下列哪些屬于“必須”事項？A.24小時內(nèi)向省級以上網(wǎng)信部門報告B.72小時內(nèi)通過官網(wǎng)、APP彈窗同步公告C.5日內(nèi)完成內(nèi)部問責并公開問責結(jié)果D.30日內(nèi)提交事件復盤報告答案：A、B、D解析：指引第9、11、14條對應A、B、D；C“公開問責結(jié)果”非強制，僅需內(nèi)部留檔并報送監(jiān)管。13.下列哪些情形，個人信息處理者可以拒絕數(shù)據(jù)主體提出的刪除請求？A.訴訟時效尚未屆滿，需作為證據(jù)留存B.稅務機關正在稽查，依法需繼續(xù)保存C.已做匿名化處理，技術上無法刪除D.數(shù)據(jù)已出境且境外接收方拒絕配合刪除答案：A、B解析：《個人信息保護法》第47條第1款但書條款明確“法律、行政法規(guī)規(guī)定的保存期限未屆滿”可拒絕；C匿名化后不再適用刪除權；D境外拒絕不能成為境內(nèi)處理者免責理由。14.2025年《人臉識別支付安全規(guī)范》要求，線下商戶采集消費者人臉時需：A.設置“物理遮擋”提示，允許用戶用手遮擋通過B.同步提供二維碼、密碼等替代方案C.在收銀臺醒目位置公示“人臉信息處理規(guī)則”二維碼D.將人臉信息與支付密碼存儲在同一數(shù)據(jù)庫答案：A、B、C解析：規(guī)范5.3、5.5、6.2條對應A、B、C；D違反“分庫加密”要求，錯誤。15.關于2025年“個人信息保護認證”制度，下列說法正確的有：A.認證機構(gòu)需獲得國家認監(jiān)委批準B.認證證書有效期為3年C.通過認證后可豁免合規(guī)審計D.認證標志可用于產(chǎn)品外包裝答案：A、B、D解析：《個人信息保護認證規(guī)則》2025版第4、10、12條對應A、B、D；C錯誤，認證不免除審計義務。三、判斷題（每題1分，共10分。正確打“√”，錯誤打“×”）16.2025年起，個人信息處理者僅需在隱私政策中列明“算法推薦類別”，無需披露算法邏輯及主要運行特征。答案：×解析：《算法推薦管理規(guī)定》2025修訂稿第16條要求披露“算法邏輯、主要運行機制”。17.數(shù)據(jù)出境安全評估中，若出境數(shù)據(jù)包含1萬人的人臉信息，即被視為“重要數(shù)據(jù)”。答案：√解析：2025版《數(shù)據(jù)出境安全評估辦法》附錄“重要數(shù)據(jù)識別指南”明確“1萬人以上人臉信息”屬于重要數(shù)據(jù)。18.個人信息處理者采用“暗模式”（DarkPattern）誘導用戶同意，可被認定為“欺詐”，最高可處5000萬元罰款。答案：√解析：《個人信息保護法》第66條及2025年執(zhí)法解釋將“欺詐”納入“情節(jié)嚴重”，罰款上限5000萬或營業(yè)額5%。19.2025年《個人信息合規(guī)審計指引》允許注冊會計師獨立簽字出具審計報告，無需網(wǎng)絡安全事務所參與。答案：×解析：指引第5條要求“具備網(wǎng)絡安全測評資質(zhì)”與“注冊會計師”雙簽章。20.員工因履行工作職責訪問客戶個人信息，即使超出崗位權限，也不構(gòu)成“非法獲取”。答案：×解析：2025年刑事案例指導（第103號）明確“超越職權獲取”仍屬非法獲取。21.個人信息處理者破產(chǎn)清算時，如無法取得數(shù)據(jù)主體同意，可默認將數(shù)據(jù)整體轉(zhuǎn)讓給債權人。答案：×解析：《個人信息保護法》第22條要求“告知并單獨同意”，破產(chǎn)無默認轉(zhuǎn)讓例外。22.2025年《快遞業(yè)個人信息保護規(guī)范》要求，電子面單需對收件人手機號中間四位作隱藏處理。答案：√解析：規(guī)范6.4條“中間四位加密或隱藏”為強制要求。23.個人信息可攜帶權的行使范圍包括“用戶主動上傳原始數(shù)據(jù)”以及“系統(tǒng)觀測生成的衍生數(shù)據(jù)”。答案：√解析：2025年《可攜帶權實施指南》第3.2條明確衍生數(shù)據(jù)在“可解析、可復用”條件下納入。24.處理已公開個人信息，若超出“合理范圍”，仍需取得個人同意。答案：√解析：《個人信息保護法》第27條“合理范圍”為底線，超出即需重新取得同意。25.2025年起，個人信息保護負責人必須為公司高級管理人員，且不得兼任財務負責人。答案：×解析：《個人信息保護法》第52條僅要求“設立專職負責人”，未禁止兼任財務，但不得兼任信息安全審計直接主管。四、填空題（每空1分，共15分）26.2025年《個人信息保護合規(guī)審計辦法》規(guī)定，審計報告出具后________個工作日內(nèi)，應通過“國家個人信息保護審計平臺”提交電子版。答案：1027.數(shù)據(jù)出境場景下，使用________技術對出境個人信息進行加密，且密鑰僅境內(nèi)持有，可視為“數(shù)據(jù)不出境”的替代措施之一。答案：商用密碼（或“國密算法”）28.2025年《未成年人個人信息保護指南》將________周歲作為“兒童”與“青少年”的分界，適用差異化規(guī)則。答案：1429.個人信息處理者發(fā)生“大規(guī)模泄露”時，應在事件處置結(jié)束后________日內(nèi)開展一次專項合規(guī)審計。答案：9030.2025年《App收集個人信息基本規(guī)范》要求，當用戶拒絕提供________權限時，不得拒絕提供所有基本功能服務。答案：非必要（或“可選”）31.根據(jù)《個人信息保護法》第38條，跨境提供個人信息的安全評估由________部門組織。答案：國家網(wǎng)信部門32.2025年《個人信息匿名化效果評估方法》采用________指標衡量重識別風險，閾值設定為0.087。答案：k匿名（或“kmap”）33.個人信息處理者委托第三方處理個人信息時，需簽署________協(xié)議，明確數(shù)據(jù)保護義務與違約責任。答案：委托處理（或“數(shù)據(jù)處理”）34.2025年《個人信息保護認證實施規(guī)則》規(guī)定，現(xiàn)場檢查階段至少抽樣________個數(shù)據(jù)處理場景。答案：335.2025年《個人信息泄露事件分級規(guī)范》將涉及________萬條以上敏感個人信息的事件定為“特別重大”。答案：100五、簡答題（每題10分，共30分）36.案情：2025年5月，F(xiàn)科技公司上線“AI情感陪伴”機器人，用戶需上傳語音、文字及面部視頻以訓練專屬模型。公司隱私政策稱“所有數(shù)據(jù)僅在本地處理”，但后臺日志顯示，原始視頻每晚批量上傳至新加坡節(jié)點進行“模型優(yōu)化”。事件曝光后，公司辯稱“已做去標識化，且新加坡節(jié)點為同一集團實體，不構(gòu)成對外提供”。請結(jié)合《個人信息保護法》分析其違法點，并給出整改措施。答案與解析：違法點：（1）違反告知同意原則。公司告知“本地處理”，實際出境，構(gòu)成虛假告知；（2）違反跨境提供規(guī)則。未履行安全評估、標準合同或認證，且集團內(nèi)部傳輸亦屬“對外提供”；（3）違反最小必要原則。原始視頻上傳超出“模型優(yōu)化”必要范圍，可用梯度或特征向量替代；（4）違反敏感個人信息處理規(guī)則。面部視頻屬敏感信息，未獲單獨同意且未進行保護影響評估。整改措施：①立即停止出境傳輸，重新評估訓練方案，采用聯(lián)邦學習+差分隱私；②在隱私政策醒目位置補充“跨境場景說明”，取得用戶單獨同意；③向省級以上網(wǎng)信部門補辦數(shù)據(jù)出境安全評估；④開展個人信息保護影響評估，形成報告并公開摘要；⑤刪除已出境原始視頻，或要求境外回傳刪除，并提交第三方刪除驗證報告；⑥建立“訓練數(shù)據(jù)最小化”白名單機制，僅上傳脫敏特征；⑦對受影響用戶發(fā)送致歉及補償方案，開通一鍵注銷及刪除通道。37.2025年《個人信息可攜帶權實施指南》正式生效，請列舉數(shù)據(jù)接收方應具備的三項技術能力要求，并說明理由。答案與解析：（1）接口安全認證能力：支持OAuth2.0或國密SM2雙向證書認證，防止假冒請求；（2）結(jié)構(gòu)化解析能力：能自動解析JSON、XML或CSV標準格式，確保數(shù)據(jù)完整性與可用性；（3）數(shù)據(jù)隔離與加密存儲能力：接收后24小時內(nèi)完成加密落盤，密鑰與業(yè)務系統(tǒng)隔離，防止二次泄露。理由：指南第5.4條強調(diào)“端到端安全”“可復用”“最小存儲”，上述能力可保障數(shù)據(jù)主體權益，降低傳輸風險。38.2025年7月，G省醫(yī)保局計劃建設“惠民保大數(shù)據(jù)平臺”，整合醫(yī)院、藥店、保險公司數(shù)據(jù)，用于精準理賠風控。請從“目的明確”“最小必要”“分級分類”三個維度，提出個人信息保護合規(guī)要點。答案與解析：目的明確：（1）制定《數(shù)據(jù)融合目的清單》，明確“精準理賠風控”為唯一目的，禁止再用于商業(yè)營銷；（2）與數(shù)據(jù)提供方簽署目的限制協(xié)議，約定超目的使用需重新授權。最小必要：（1）采用“字段白名單”，僅拉取與理賠直接相關的就診記錄、結(jié)算金額、既往保單號，剔除基因、婚育史等無關字段；（2）設置“數(shù)據(jù)有效期”180日，理賠結(jié)案后自動刪除原始數(shù)據(jù)，僅保留統(tǒng)計級指標。分級分類：（1）將數(shù)據(jù)劃分為“一般個人信息”“敏感個人信息”“重要數(shù)據(jù)”三級，分別采用AES256、SM4、國密SM9加密；（2）對敏感個人信息設置“專區(qū)存儲、運維雙人審批、API零信任調(diào)用”策略；（3）建立數(shù)據(jù)分類分級可視化地圖，實時展示字段級別、責任人、風險評分，實現(xiàn)動態(tài)管控。六、案例分析題（共30分）39.背景：H集團為全球大型零售集團，在中國境內(nèi)擁有線上商城、線下超市、會員APP、物流、金融子公司。2025年8月，集團啟動“OneID”超級會員項目，目標打通全部子公司數(shù)據(jù)，實現(xiàn)“一個手機號，全場景積分”。項目技術方案如下：①建立統(tǒng)一IDMapping中心，每日凌晨拉取各子公司全量會員手機號、設備ID、交易金額、地理位置、人臉會員照片；②采用MD5（加鹽）對手機號做哈希后作為主鍵；③將人臉照片向量化后存入阿里云OSS，用于線下門店刷臉支付；④集團內(nèi)部《數(shù)據(jù)共享協(xié)議》約定“各子公司可自由使用共享數(shù)據(jù)，無需再告知用戶”；⑤對歐盟、東南亞用戶數(shù)據(jù)，統(tǒng)一在新加坡部署的GCP節(jié)點存儲，并采用AES128加密；⑥項目上線前，僅由法務部進行合規(guī)評審，未進行個人信息保護影響評估。上線兩周后，引發(fā)媒體質(zhì)疑：（1）用戶注銷商城APP后，超市仍向其發(fā)送促銷短信；（2）某門店刷臉支付終端被黑客植入木馬，致12萬人臉向量泄露；（3）德國用戶向中國駐歐盟使團投訴，稱未收到任何跨境轉(zhuǎn)移通知。請回答：（1）指出H集團違反《個人信息保護法》的六項主要條款，并說明理由；（12分）（2）針對“人臉向量泄露”事件，給出技術+管理雙重整改方案；（8分）（3）若H集團擬繼續(xù)保留新加坡節(jié)點，需完成哪些合規(guī)程序？（10分）答案與解析：（1）違法條款及理由：①第6條“最小必要原則”——統(tǒng)一拉取全量交易、位置數(shù)據(jù)，超出“積分打通”必要；②第13條“告知同意”——協(xié)議約定無需再告知，違反單獨告知與同意；③第28條“敏感個人信息處理”——人臉照片屬敏感信息，未獲單獨同意；④第38條“跨境提供”——歐盟用戶數(shù)據(jù)出境未做評估、未簽標準合同；⑤