2025年個人數(shù)據(jù)保護(hù)法考試試題及答案一、單項選擇題（每題2分，共20分）1.根據(jù)《中華人民共和國個人信息保護(hù)法》（以下簡稱《個保法》）及2024年最新司法解釋，下列哪項不屬于個人信息處理的“合法性基礎(chǔ)”？A.個人明確同意B.為履行法定職責(zé)或法定義務(wù)所必需C.為應(yīng)對突發(fā)公共衛(wèi)生事件所必需D.為數(shù)據(jù)處理者自身商業(yè)利益最大化所必需答案：D解析：《個保法》第十三條規(guī)定，個人信息處理的合法性基礎(chǔ)包括個人同意、履行法定職責(zé)或義務(wù)、應(yīng)對突發(fā)公共衛(wèi)生事件等情形，但“為數(shù)據(jù)處理者自身商業(yè)利益最大化”不屬于法定合法性基礎(chǔ)。2.某社交平臺擬處理14周歲未成年人的個人信息，根據(jù)《個保法》及《未成年人網(wǎng)絡(luò)保護(hù)條例》，下列哪項操作符合規(guī)定？A.僅需未成年人本人同意即可處理B.需取得未成年人父母或其他監(jiān)護(hù)人的單獨(dú)同意C.可默認(rèn)勾選“同意”選項，由未成年人完成注冊D.處理敏感個人信息時，只需在隱私政策中籠統(tǒng)說明用途答案：B解析：《個保法》第三十一條規(guī)定，處理不滿十四周歲未成年人個人信息的，應(yīng)當(dāng)取得其父母或其他監(jiān)護(hù)人的同意；《未成年人網(wǎng)絡(luò)保護(hù)條例》進(jìn)一步要求“單獨(dú)同意”，禁止默認(rèn)勾選或籠統(tǒng)告知。3.甲公司因業(yè)務(wù)需要向境外提供用戶健康數(shù)據(jù)，根據(jù)《個保法》及《個人信息跨境處理安全認(rèn)證規(guī)范》，下列哪項是必須完成的程序？A.僅需內(nèi)部風(fēng)險評估B.經(jīng)國家網(wǎng)信部門組織的安全評估C.與境外接收方簽訂標(biāo)準(zhǔn)合同即可D.無需向用戶告知跨境提供的具體情況答案：B解析：《個保法》第三十八條規(guī)定，向境外提供個人信息的，若屬于“處理敏感個人信息”或“關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者”等情形，需通過國家網(wǎng)信部門組織的安全評估；健康數(shù)據(jù)屬于敏感個人信息，因此必須完成安全評估。4.某電商平臺收集用戶購物記錄時，用戶要求查閱、復(fù)制其個人信息，平臺以“系統(tǒng)故障”為由拒絕。根據(jù)《個保法》，平臺的行為涉嫌違反哪項義務(wù)？A.告知義務(wù)B.最小必要原則C.個人信息主體權(quán)利保障義務(wù)D.數(shù)據(jù)安全存儲義務(wù)答案：C解析：《個保法》第四十五條規(guī)定，個人信息主體有權(quán)查閱、復(fù)制其個人信息，數(shù)據(jù)處理者應(yīng)當(dāng)提供便利；平臺無正當(dāng)理由拒絕，違反了“個人信息主體權(quán)利保障義務(wù)”。5.下列哪項信息經(jīng)處理后仍被認(rèn)定為“個人信息”？A.已進(jìn)行匿名化處理的用戶消費(fèi)習(xí)慣數(shù)據(jù)B.僅包含“男性、30-40歲”的統(tǒng)計性年齡分布數(shù)據(jù)C.通過用戶手機(jī)號關(guān)聯(lián)的購物偏好標(biāo)簽D.去除姓名、身份證號后的住院病歷摘要答案：C解析：《個保法》第四條規(guī)定，個人信息是指以電子或其他方式記錄的與已識別或可識別的自然人有關(guān)的各種信息；通過手機(jī)號關(guān)聯(lián)的購物偏好標(biāo)簽仍可識別特定自然人，因此屬于個人信息。匿名化處理后的信息（A）、無法識別特定自然人的統(tǒng)計數(shù)據(jù)（B）、無法關(guān)聯(lián)到特定主體的病歷摘要（D）均不屬于個人信息。6.某教育機(jī)構(gòu)因服務(wù)器被攻擊導(dǎo)致10萬條學(xué)生信息泄露，根據(jù)《個保法》，該機(jī)構(gòu)最晚應(yīng)在多長時間內(nèi)向履行個人信息保護(hù)職責(zé)的部門報告？A.發(fā)現(xiàn)泄露后24小時內(nèi)B.發(fā)現(xiàn)泄露后3個工作日內(nèi)C.發(fā)現(xiàn)泄露后72小時內(nèi)D.完成用戶通知后15個工作日內(nèi)答案：A解析：《個保法》第五十七條規(guī)定，發(fā)生個人信息泄露、篡改、丟失的，個人信息處理者應(yīng)當(dāng)立即采取補(bǔ)救措施，并通知履行個人信息保護(hù)職責(zé)的部門和個人；通知部門的時限為“發(fā)現(xiàn)后24小時內(nèi)”，通知個人的時限為“可能造成危害的，7個工作日內(nèi)”。7.下列哪項行為符合“最小必要原則”？A.銀行在用戶申請信用卡時，要求提供配偶的職業(yè)和收入信息B.外賣平臺為優(yōu)化配送路線，收集用戶實時位置信息C.短視頻APP為推送廣告，收集用戶通訊錄全部聯(lián)系人信息D.酒店前臺為登記入住，要求用戶提供近3個月的行程軌跡答案：B解析：“最小必要原則”要求處理個人信息的范圍、方式應(yīng)限于實現(xiàn)處理目的的最小范圍。外賣平臺收集實時位置信息是為實現(xiàn)配送目的所必需（B符合）；銀行要求配偶信息（A）、APP收集全部通訊錄（C）、酒店要求近3個月行程（D）均超出必要范圍。8.某企業(yè)擬將員工的考勤數(shù)據(jù)用于薪酬計算以外的績效分析，根據(jù)《個保法》，下列哪項操作是合法前提？A.無需額外處理，直接用于績效分析B.僅需在員工手冊中告知即可C.需取得員工的單獨(dú)同意D.經(jīng)工會備案后即可使用答案：C解析：《個保法》第二十三條規(guī)定，個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應(yīng)當(dāng)重新取得個人同意；若涉及敏感個人信息或處理目的重大變更，需“單獨(dú)同意”。將考勤數(shù)據(jù)用于績效分析屬于處理目的變更，需取得員工單獨(dú)同意（C正確）。9.關(guān)于“敏感個人信息”的界定，下列哪項不符合《個保法》規(guī)定？A.15周歲未成年人的姓名B.醫(yī)療健康信息C.生物識別信息D.行蹤軌跡信息答案：A解析：《個保法》第二十八條規(guī)定，敏感個人信息包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。15周歲未成年人的姓名不屬于敏感個人信息（A錯誤）。10.某平臺因違反《個保法》被處以5000萬元罰款，其違法情節(jié)最可能涉及？A.未對員工進(jìn)行個人信息保護(hù)培訓(xùn)B.未公開個人信息處理規(guī)則C.非法出售10萬條用戶通信記錄D.數(shù)據(jù)泄露后未及時通知用戶答案：C解析：《個保法》第六十六條規(guī)定，違法處理個人信息或處理過程中侵害個人信息權(quán)益的，可處5000萬元以下或上一年度營業(yè)額5%以下罰款；情節(jié)嚴(yán)重的（如非法出售、提供大量個人信息）適用高額罰款。非法出售10萬條通信記錄（C）屬于嚴(yán)重違法，可能被處高額罰款。二、多項選擇題（每題3分，共15分。每題至少有2個正確選項，多選、錯選、漏選均不得分）1.根據(jù)《個保法》，個人信息處理者在處理個人信息時應(yīng)當(dāng)履行的義務(wù)包括：A.制定并公開個人信息處理規(guī)則B.對其工作人員進(jìn)行個人信息保護(hù)培訓(xùn)C.定期對個人信息處理活動進(jìn)行合規(guī)審計D.在發(fā)生數(shù)據(jù)泄露時立即刪除所有涉事數(shù)據(jù)答案：ABC解析：《個保法》第五十一條規(guī)定，個人信息處理者應(yīng)制定內(nèi)部管理制度和操作規(guī)程、對工作人員進(jìn)行培訓(xùn)、定期合規(guī)審計等（ABC正確）；數(shù)據(jù)泄露時應(yīng)采取補(bǔ)救措施而非直接刪除所有數(shù)據(jù)（D錯誤）。2.下列哪些情形下，個人信息處理者無需取得個人同意即可處理個人信息？A.為公共利益實施新聞報道，合理處理個人信息B.為應(yīng)對突發(fā)公共衛(wèi)生事件，緊急處理個人信息C.為履行法定職責(zé)，行政機(jī)關(guān)處理個人信息D.為企業(yè)內(nèi)部統(tǒng)計，處理已匿名化的員工數(shù)據(jù)答案：ABCD解析：《個保法》第十三條規(guī)定，無需同意的情形包括：履行法定職責(zé)或義務(wù)（C）、應(yīng)對突發(fā)公共衛(wèi)生事件（B）、為公共利益實施新聞報道等（A）；匿名化信息不屬于個人信息，處理時無需同意（D）。3.個人信息主體依法享有的權(quán)利包括：A.查閱、復(fù)制個人信息的權(quán)利B.要求刪除個人信息的權(quán)利C.要求更正不準(zhǔn)確個人信息的權(quán)利D.要求數(shù)據(jù)處理者說明個人信息處理規(guī)則的權(quán)利答案：ABCD解析：《個保法》第四章（第四十四條至第五十條）明確規(guī)定了個人信息主體的查閱復(fù)制權(quán)（A）、刪除權(quán)（B）、更正權(quán)（C）、解釋說明權(quán)（D）等。4.關(guān)于個人信息跨境提供，下列說法正確的有：A.關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個人信息的，必須通過安全評估B.非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個人信息的，可選擇安全評估或標(biāo)準(zhǔn)合同C.跨境提供個人信息前，需向用戶告知接收方的基本信息、處理目的和方式D.境外接收方處理個人信息的行為，由境內(nèi)處理者承擔(dān)全部法律責(zé)任答案：ABC解析：《個保法》第三十八條規(guī)定，跨境提供的路徑包括安全評估、標(biāo)準(zhǔn)合同、認(rèn)證等（B正確）；關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者必須安全評估（A正確）；需向用戶充分告知（C正確）；境外接收方若違反約定，境內(nèi)處理者可能承擔(dān)連帶責(zé)任而非全部責(zé)任（D錯誤）。5.下列哪些行為可能構(gòu)成《個保法》中的“侵害個人信息權(quán)益”？A.電商平臺未經(jīng)用戶同意，向關(guān)聯(lián)企業(yè)共享用戶購物記錄B.醫(yī)療機(jī)構(gòu)將患者病歷用于學(xué)術(shù)研究，未告知患者C.快遞公司因工作人員疏忽，將用戶地址信息錄入錯誤D.社交平臺對用戶發(fā)布的違法信息進(jìn)行刪除答案：ABC解析：未經(jīng)同意共享信息（A）、未告知用于學(xué)術(shù)研究（B）、因過失導(dǎo)致信息錯誤（C）均侵害個人信息權(quán)益；刪除違法信息屬于合法處理（D不違法）。三、判斷題（每題1分，共10分。正確填“√”，錯誤填“×”）1.個人信息處理者可以將“同意”作為提供產(chǎn)品或服務(wù)的唯一條件。（）答案：×解析：《個保法》第十六條規(guī)定，個人信息處理者不得以個人不同意處理其個人信息為由，拒絕提供產(chǎn)品或服務(wù)（基礎(chǔ)功能除外）。2.匿名化處理后的信息不屬于個人信息，因此無需遵守《個保法》。（）答案：√解析：《個保法》第四條明確，匿名化信息無法識別特定自然人，不屬于個人信息，不適用本法。3.處理已公開的個人信息時，無需再取得個人同意。（）答案：×解析：《個保法》第二十七條規(guī)定，處理已公開的個人信息，仍需符合處理目的的合理范圍；超出合理范圍的，需取得同意。4.個人信息處理者應(yīng)當(dāng)對其處理的敏感個人信息進(jìn)行加密存儲，并采取嚴(yán)格的訪問控制措施。（）答案：√解析：《個保法》第五十一條規(guī)定，處理敏感個人信息的，應(yīng)采取更嚴(yán)格的保護(hù)措施，包括加密、訪問控制等。5.個人信息主體要求刪除個人信息時，若數(shù)據(jù)處理者已將信息共享給第三方，只需自身刪除即可，無需要求第三方刪除。（）答案：×解析：《個保法》第四十七條規(guī)定，個人要求刪除的，數(shù)據(jù)處理者應(yīng)刪除或匿名化處理；若已共享，需通知第三方刪除。6.不滿十六周歲未成年人的個人信息處理，需取得其父母或其他監(jiān)護(hù)人同意。（）答案：×解析：《個保法》第三十一條規(guī)定，不滿十四周歲未成年人的個人信息處理需監(jiān)護(hù)人同意；十六周歲未成年人若為限制民事行為能力人，可能需部分同意，但本題表述錯誤。7.個人信息處理者因合并、分立等原因轉(zhuǎn)移個人信息的，無需重新取得個人同意。（）答案：×解析：《個保法》第二十三條規(guī)定，處理目的、方式或種類變更的，需重新取得同意；合并分立可能導(dǎo)致處理者變更，屬于重大變更，需重新同意。8.個人信息處理者可以將用戶的“靜默同意”（如長期未操作視為同意）作為處理依據(jù)。（）答案：×解析：《個保法》第十四條規(guī)定，同意應(yīng)當(dāng)由個人在充分知情的前提下自愿、明確作出；靜默同意不符合“明確同意”要求。9.個人信息處理者應(yīng)當(dāng)在境內(nèi)存儲關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者收集的個人信息；確需向境外提供的，需經(jīng)安全評估。（）答案：√解析：《個保法》第四十條規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者的個人信息應(yīng)在境內(nèi)存儲；確需出境的，需安全評估。10.個人信息權(quán)益受到侵害時，個人可以向法院提起訴訟，無需先向個人信息保護(hù)監(jiān)管部門投訴。（）答案：√解析：《個保法》第七十條規(guī)定，個人信息權(quán)益受侵害的，可依法向法院起訴，無需前置投訴程序。四、案例分析題（共35分）案例一（15分）2025年3月，某電商平臺“樂購”被用戶投訴：（1）用戶注冊時，需勾選同意《隱私政策》方可使用，但政策中僅籠統(tǒng)說明“收集必要信息用于訂單處理、營銷推廣”，未具體列明收集的信息類型（如手機(jī)號、地址、購物偏好）；（2）用戶下單后，平臺未經(jīng)同意將用戶的姓名、地址、聯(lián)系電話共享給第三方物流企業(yè)“快達(dá)”；（3）部分用戶發(fā)現(xiàn)，平臺通過分析購物記錄，向其推送大量同類商品廣告，且無法關(guān)閉個性化推薦功能；（4）用戶王某要求查閱、復(fù)制其全部個人信息，平臺以“系統(tǒng)僅存儲最近1年數(shù)據(jù)，歷史數(shù)據(jù)已歸檔”為由，僅提供近1年的信息。問題：1.分析“樂購”的上述行為違反了《個保法》的哪些規(guī)定？（10分）2.若用戶因上述侵權(quán)行為遭受損失，可主張哪些救濟(jì)途徑？（5分）答案：1.（1）違反“明確告知義務(wù)”：《個保法》第十七條規(guī)定，個人信息處理規(guī)則應(yīng)明確、具體，列明處理的個人信息種類、方式、目的等；“樂購”未具體列明收集的信息類型，屬于告知不充分（2分）。（2）違反“共享需同意”規(guī)則：《個保法》第二十三條規(guī)定，向第三方提供個人信息的，需取得個人單獨(dú)同意；平臺未經(jīng)同意共享姓名、地址等信息，構(gòu)成違法（3分）。（3）違反“個性化推薦的退出機(jī)制”：《個保法》第二十四條規(guī)定，通過自動化決策進(jìn)行商業(yè)營銷的，應(yīng)提供不針對其個人特征的選項；平臺無法關(guān)閉個性化推薦，侵害用戶權(quán)利（3分）。（4）違反“查閱復(fù)制權(quán)保障”：《個保法》第四十五條規(guī)定，個人有權(quán)查閱、復(fù)制其個人信息，數(shù)據(jù)處理者應(yīng)提供便利；平臺以“數(shù)據(jù)歸檔”為由拒絕提供歷史數(shù)據(jù)，無法律依據(jù)（2分）。2.用戶可主張的救濟(jì)途徑包括：（1）向履行個人信息保護(hù)職責(zé)的部門（如國家網(wǎng)信部門或地方網(wǎng)信辦）投訴，要求對“樂購”進(jìn)行調(diào)查和處罰（2分）；（2）向法院提起民事訴訟，要求“樂購”停止侵害、賠禮道歉、賠償損失（包括財產(chǎn)損失和精神損害賠償）（2分）；（3）若“樂購”的行為涉嫌刑事犯罪（如非法提供個人信息），可向公安機(jī)關(guān)報案（1分）。案例二（20分）2025年5月，某醫(yī)療科技公司“健康云”擬與境外科研機(jī)構(gòu)合作開展“東亞地區(qū)糖尿病患者用藥模式研究”，計劃收集國內(nèi)20家醫(yī)院的糖尿病患者病歷信息（包含姓名、身份證號、用藥記錄、血糖監(jiān)測數(shù)據(jù)），并向境外機(jī)構(gòu)傳輸。已知“健康云”非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者，但合作涉及10萬條患者信息，其中5萬條為近1年內(nèi)的敏感治療數(shù)據(jù)。問題：1.“健康云”向境外傳輸患者病歷信息需滿足哪些法定條件？（10分）2.若“健康云”未履行法定程序，可能面臨哪些法律責(zé)任？（10分）答案：1.根據(jù)《個保法》及《個人信息跨境處理安全認(rèn)證規(guī)范》，“健康云”需滿足以下條件：（1）合法性基礎(chǔ)：需取得患者的單獨(dú)同意（因涉及敏感個人信息），且同意需明確告知跨境傳輸?shù)哪康?、接收方、處理方式等?分）；（2）安全評估或標(biāo)準(zhǔn)合同：因處理敏感個人信息（病歷、血糖數(shù)據(jù)）且數(shù)量較大（10萬條），需通過國家網(wǎng)信部門組織的安全評估（若選擇標(biāo)準(zhǔn)合同，需符合《個人信息跨境流動標(biāo)準(zhǔn)合同規(guī)定》的要求，但本題中因涉及敏感信息，更可能需安全評估）（3分）；（3）風(fēng)險自評估：在安全評估前，需自行開展個人信息跨境流動風(fēng)險評估，分析數(shù)據(jù)泄露、濫用等風(fēng)險（2分）；（4）告知義務(wù)：向患者充分告知跨境傳輸?shù)谋匾浴⒔邮辗降幕拘畔?、患者的?quán)利（如撤回同意）等（2分）；（5）責(zé)任約定：與境外接收方簽訂協(xié)議，明確雙方的個人信息保護(hù)責(zé)任，確保境外處理活動符合我國法律要求（1分）。2.若未履行法定程序，“健康云”可能面臨以下法律責(zé)任：（1）行政責(zé)任：由履行個人信息保護(hù)職責(zé)的部門責(zé)令改正，給予警告，沒收違法所得；情節(jié)嚴(yán)重的，處5000萬元以下或上一年度營業(yè)額5%以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可或營業(yè)執(zhí)照；對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處10萬元以上100萬元以下罰款（5分）；（2）民事責(zé)任：若患者因信息跨境傳輸遭受損失（如隱私泄露導(dǎo)致精神損害），患者可主張損害賠償；若“健康云”存在過錯，需承擔(dān)侵權(quán)責(zé)任（3分）；（3）刑事責(zé)任：若非法向境外提供個人信息情節(jié)嚴(yán)重（如違法所得巨大、造成重大社會影響），可能構(gòu)成《刑法》第二百五十三條之一的“侵犯公民個人信息罪”，相關(guān)責(zé)任人員可能被判處有期徒刑并處罰金（2分）。五、論述題（共20分）