2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（0927）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR，以下哪项属于“个人数据”的定义核心？

A.已匿名化的用户行为日志

B.可直接或间接识别特定自然人的信息

C.企业内部统计的年度销售额

D.公开可获取的企业工商登记信息

答案：B

解析：GDPR第4条定义“个人数据”为“可直接或间接识别特定自然人的信息”。A错误，匿名化数据因无法识别自然人，不属于个人数据；C为企业非个人信息；D为企业公开信息，不指向特定自然人。

隐私设计（PrivacybyDesign）的核心目标是？

A.事后补救数据泄露风险

B.在系统设计阶段嵌入隐私保护措施

C.仅遵守最低限度的法律要求

D.依赖用户自行保护个人信息

答案：B

解析：隐私设计强调“从设计之初”（bydesign）融入隐私保护，而非事后补救（A错误）。C、D违背主动保护原则，故正确答案为B。

以下哪项是数据最小化原则的典型实践？

A.收集用户手机号、身份证号、家庭住址等全部信息

B.仅收集实现服务功能必需的姓名和手机号

C.长期存储用户已注销账号的历史交易记录

D.共享用户全部数据给第三方合作机构

答案：B

解析：数据最小化要求“收集范围与目的严格相关且必要”。A、C、D均超出必要范围，B符合“仅收集必需信息”的要求。

根据CCPA（加州消费者隐私法案），用户不享有以下哪项权利？

A.要求企业删除其个人数据

B.要求企业提供其个人数据的副本

C.要求企业停止出售其个人数据

D.要求企业更正其生物识别信息

答案：D

解析：CCPA规定用户享有删除权、访问权、拒绝出售权，但未明确“更正权”（更正权是GDPR的核心权利）。D为GDPR内容，故错误。

隐私影响评估（PIA）的首要步骤是？

A.识别数据处理活动的风险等级

B.确定数据处理的目的和范围

C.设计风险缓解措施

D.编制PIA报告并备案

答案：B

解析：PIA流程通常为：明确处理目的→识别数据类型与主体→评估风险→设计措施→报告备案。B是首要步骤，其他为后续环节。

以下哪种场景无需获得用户“明确同意”即可处理个人数据？

A.医疗急救中处理患者健康信息

B.电商平台向用户推送个性化广告

C.社交平台共享用户位置信息给第三方

D.教育机构收集学生成绩用于教学评估

答案：A

解析：GDPR第9条规定，健康数据处理需“明确同意”，但“为保护自然人重大利益且无法获得同意”（如急救）时可豁免。B、C、D均需用户明确同意。

跨境数据传输中，欧盟“标准合同条款（SCCs）”的作用是？

A.替代数据接收方所在国的隐私法律

B.为数据控制者与处理者设定双方权利义务

C.强制要求数据接收方通过ISO27001认证

D.仅适用于欧盟与美国之间的数据传输

答案：B

解析：SCCs是欧盟认可的跨境传输合法途径之一，通过合同条款约束数据接收方的隐私保护义务（B正确）。A错误，不能替代当地法律；C无强制认证要求；D适用于所有国家。

隐私政策的核心作用是？

A.展示企业技术实力

B.向用户明确告知个人信息处理规则

C.替代用户同意的法律文件

D.规避企业数据泄露责任

答案：B

解析：隐私政策是企业向用户告知“处理什么数据、为何处理、如何处理”的核心文件（B正确）。A、C、D均违背其告知义务本质。

以下哪项属于“去标识化”而非“匿名化”？

A.对用户姓名进行哈希处理（不可逆）

B.将用户身份证号替换为随机编号（无法关联原始数据）

C.隐去用户手机号后四位（可通过其他信息恢复完整号码）

D.对用户行为数据进行聚合统计（无个体识别可能）

答案：C

解析：去标识化（De-identification）是“通过技术手段使数据无法直接识别自然人，但可能通过关联其他数据恢复”；匿名化（Anonymization）是“绝对不可逆，无法识别”。C符合去标识化特征，A、B、D为匿名化。

隐私管理体系（PIMS）的核心框架不包括？

A.隐私政策与流程

B.数据泄露应急响应

C.员工隐私培训

D.产品功能的市场推广策略

答案：D

解析：PIMS涵盖政策制定、流程设计、风险评估、培训、响应等隐私相关管理活动（A、B、C正确）。D属于市场策略，与隐私管理无关。

二、多项选择题（共10题，每题2分，共20分）

GDPR适用的场景包括？（）

A.欧盟境内企业处理非欧盟公民个人数据

B.非欧盟企业通过网站向欧盟用户提供商品

C.欧盟企业在全球范围内处理员工个人数据

D.非欧盟企业监控欧盟境内个人的行为

答案：ABCD

解析：GDPR适用范围包括：（1）设立在欧盟的控制器/处理者（C正确）；（2）非欧盟实体向欧盟提供商品/服务（B正确）；（3）非欧盟实体监控欧盟境内个