2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（0925）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR（通用数据保护条例），“数据最小化原则”的核心要求是？

A.数据存储时间尽可能短

B.仅收集实现处理目的所需的必要数据

C.数据处理需获得明确同意

D.数据处理应公开透明

答案：B

解析：GDPR的“数据最小化原则”（第5条第1款b项）要求数据处理应“与处理目的相关、适当且限于必要范围”，即仅收集实现目的所需的最小数据量。A是“存储限制原则”；C是“合法、公平、透明原则”的部分要求；D是“透明原则”的核心。

以下哪项属于CCPA（加州消费者隐私法案）的适用范围？

A.年处理5万个加州居民个人数据的企业

B.年收入1500万美元且主要业务为销售个人数据的企业

C.年收入2500万美元且处理加州居民个人数据的企业

D.仅为内部业务处理个人数据且不对外共享的企业

答案：C

解析：CCPA适用于满足以下任一条件的企业：①年收入超2500万美元；②每年处理超5万个加州居民个人数据；③年收入的50%以上来自销售个人数据。C符合第一条；A未达5万阈值（需超5万）；B“主要业务为销售”需年收入50%以上来自销售；D属于例外（内部处理且不共享）。

隐私影响评估（PIA）应在以下哪个阶段启动？

A.数据泄露事件发生后

B.数据处理活动设计阶段

C.数据处理完成后

D.收到数据主体投诉时

答案：B

解析：PIA的核心目的是预防隐私风险，GDPR（第35条）要求在“高风险数据处理活动”设计阶段（即实施前）开展，而非事后补救。A、C、D均为事后环节，不符合PIA的预防性要求。

以下哪种技术属于“匿名化”技术？

A.从数据中删除姓名、身份证号

B.通过k-匿名算法使个体无法被识别

C.对数据进行加密存储

D.为数据添加唯一标识符

答案：B

解析：匿名化（Anonymization）是通过技术手段使数据无法关联到特定个体，且无法通过合理手段恢复识别（GDPR第4条第5款）。k-匿名通过模糊化处理使至少k个个体具有相同特征，属于典型匿名化技术。A是去标识化（可通过其他信息恢复识别）；C是加密（属于安全措施，非匿名化）；D会强化可识别性。

根据GDPR，数据主体要求访问个人数据时，控制者应在多久内响应？

A.7个工作日

B.1个月

C.2个月

D.3个月

答案：B

解析：GDPR第12条第3款规定，控制者应在收到请求后“1个月内”作出响应（特殊情况可延长1个月）。其他选项不符合法定时限要求。

隐私政策的法律依据主要源于以下哪项原则？

A.数据最小化原则

B.透明原则

C.完整性与保密性原则

D.问责原则

答案：B

解析：透明原则（GDPR第5条第1款a项）要求数据处理应“以清晰、简洁的方式向数据主体公开处理相关信息”，隐私政策是落实该原则的核心工具。其他原则分别对应数据量控制（A）、安全保障（C）、责任承担（D）。

数据控制者（Controller）与数据处理者（Processor）的根本区别是？

A.控制者需指定DPO（数据保护官），处理者无需

B.控制者决定处理目的和方式，处理者按控制者指示处理

C.控制者对数据安全负责，处理者仅执行操作

D.控制者需公开隐私政策，处理者无需

答案：B

解析：GDPR第4条定义：控制者是“决定个人数据处理目的和方式的实体”，处理者是“按控制者指示处理数据的实体”。B直接体现二者核心区别。A错误（处理者在特定情况下也需指定DPO）；C错误（双方均需保障安全）；D错误（处理者可能需公开部分信息）。

以下对“去标识化”（De-identification）的描述正确的是？

A.处理后数据绝对无法关联到个体

B.需结合额外信息才能恢复识别

C.属于GDPR下的“匿名化”范畴

D.处理后数据不再受隐私法规约束

答案：B

解析：去标识化是指移除直接标识符（如姓名），但可能通过其他信息（如出生日期+邮编）恢复识别，因此仍属于个人数据（GDPR第4条第1款）。A错误（“绝对无法”是匿名化的要求）；C错误（去标识化不等同于匿名化）；D错误（仍受隐私法规约束）。

根据COPPA（儿童在线隐私保护法），针对儿童个人数据的处理需获得谁的同意？

A.儿童本人（年满10岁）

B.学校监护人

C.父母或法定监护人

D.儿童与父母共同同意

答案：C

解析：COPPA规定，针对13岁以下儿童的个人数据处理，需获得“可验证的父母同意”（VerifiableParentalConsent）。其他选项不符合法律要求。

GDPR要求数据控制者在发生数据泄露后，需在多久内向监管机构报告？

A.24小时内

B.48小时内

C.72小时内

D.1周内

答案：C

解析：GDPR第33条规定，若数