2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（1020）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项属于GDPR规定的“个人数据”？

A.已公开的企业名称

B.匿名化处理后的用户行为轨迹

C.与特定自然人直接关联的IP地址

D.统计意义上的人口年龄分布数据

答案：C

解析：GDPR中“个人数据”的核心是“可识别性”，即能够直接或间接识别特定自然人的信息（如IP地址、身份证号等）。选项A为企业信息，非个人数据；选项B匿名化后无法识别自然人，不属于个人数据；选项D为统计数据，不指向特定个体；选项C的IP地址可直接关联特定自然人，符合定义。

根据CCPA（加州消费者隐私法案），消费者不享有以下哪项权利？

A.要求企业删除其个人数据

B.要求企业提供其个人数据的来源

C.要求企业停止出售其个人数据

D.要求企业限制其个人数据的跨境传输

答案：D

解析：CCPA赋予消费者的核心权利包括删除权、访问权、数据来源知情权、拒绝出售权（“不销售”请求），但未明确规定“限制跨境传输”的权利（该权利更多由GDPR等立法覆盖）。选项D为干扰项。

隐私设计（PrivacybyDesign）的核心原则不包括：

A.主动预防而非事后处理

B.隐私作为默认设置

C.最小化数据收集

D.数据处理透明化

答案：D

解析：隐私设计的七大核心原则包括主动预防、默认隐私、数据最小化、全程安全、端到端隐私、可见性与透明性、尊重用户隐私（ISO/IEC29100）。“数据处理透明化”属于GDPR的“透明性原则”，是独立的法律要求，非隐私设计的核心原则（选项D混淆概念）。

隐私影响评估（PIA）的主要目的是：

A.证明企业已遵守所有隐私法规

B.识别并降低数据处理活动的隐私风险

C.替代数据保护影响评估（DPIA）

D.记录数据处理的全流程日志

答案：B

解析：PIA（或DPIA，GDPR术语）的核心目标是通过系统性分析，识别数据处理活动中的隐私风险（如数据泄露、歧视性处理等），并提出缓解措施。选项A错误，因PIA是风险评估工具，非合规证明；选项C错误，PIA与DPIA为同一概念的不同表述；选项D是日志记录的目的，非PIA核心。

以下哪种数据跨境传输方式符合GDPR要求？

A.欧盟企业向中国子公司传输数据，未签署任何协议

B.非欧盟企业通过“标准合同条款（SCCs）”向欧盟传输数据

C.欧盟企业向已获得“充分性认定（AdequacyDecision）”的国家传输数据

D.中国企业通过邮件向欧盟客户发送未加密的个人数据

答案：C

解析：GDPR允许的跨境传输路径包括：接收国获得欧委会“充分性认定”（如新西兰、日本）、双方签署标准合同条款（SCCs）、企业采用约束性公司规则（BCRs）等。选项A未采取任何保护措施，违规；选项B方向错误（SCCs是欧盟向第三国传输的工具，非反向）；选项D未加密违反“数据安全”要求；选项C符合“充分性认定”规则。

数据主体行使“访问权”时，企业应提供的信息不包括：

A.个人数据的存储位置

B.数据处理的具体算法逻辑

C.数据共享的第三方信息

D.个人数据的处理目的

答案：B

解析：GDPR规定，数据主体行使访问权时，企业需提供数据类型、处理目的、共享方、存储期限等信息，但“具体算法逻辑”属于商业秘密或技术细节，除非算法直接影响数据主体权益（如自动决策），否则无需披露（选项B超出法定范围）。

以下哪项属于“去标识化”而非“匿名化”？

A.将姓名替换为随机生成的ID，且无关联密钥

B.移除身份证号后仅保留出生年份

C.通过加密技术保护个人数据

D.对数据进行聚合处理，无法识别个体

答案：B

解析：去标识化（De-identification）是指通过删除或模糊部分标识符（如保留出生年份但移除具体日期），使数据在合理范围内无法直接识别自然人，但可能通过其他信息重新识别；匿名化（Anonymization）是不可逆的，无法通过任何方式重新识别（如无关联密钥的随机ID）。选项B属于去标识化（可结合其他信息重新识别），选项A为匿名化，选项C为加密（属安全技术），选项D为数据聚合（非去标识化）。

企业收集儿童个人信息时，根据GDPR要求需获得：

A.儿童本人的同意（13岁以上）

B.父母或监护人的同意（16岁以下，成员国可降至13岁）

C.学校的书面授权

D.监管机构的预先批准

答案：B

解析：GDPR规定，16岁以下儿童（成员国可立法降至13岁）的个人信息收集需获得父母或监护人的同意（“有效同意”）。选项A错误（儿童本人同意不充分）；选项C、D无法律依据。

隐私泄露事件发生后，企业向监管机构报告的最晚时限是：

A.发现泄露后24小时内

B.发现泄露后72小时内

C.确认泄露可能造成损害后72