2025年数据隐私合规师（DPO）考试题库（附答案和详细解析）（1104）.docxVIP

数据隐私合规师（DPO）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据《中华人民共和国个人信息保护法》，下列哪类信息不属于“敏感个人信息”？

A.生物识别信息

B.健康信息

C.行踪轨迹信息

D.学历信息

答案：D

解析：《个人信息保护法》第二十八条规定，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。学历信息属于一般个人信息，因此选D。

GDPR中“数据控制者（DataController）”的核心定义是？

A.仅执行数据处理操作的主体

B.决定数据处理目的和方式的主体

C.受控制者委托处理数据的主体

D.负责数据存储的技术服务提供商

答案：B

解析：GDPR第4条第7款明确，数据控制者是“单独或与他人共同决定个人数据处理目的和方式的自然人或法人”。选项A、C描述的是数据处理者（Processor），D属于处理者的具体类型，因此选B。

个人信息处理中“最小必要原则”的核心要求是？

A.收集尽可能多的用户信息以满足业务需求

B.仅收集实现处理目的所需的最少且必要的信息

C.所有信息处理活动需取得用户明示同意

D.信息保存期限无明确限制

答案：B

解析：《个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息，应当限于实现处理目的的最小范围。因此选B。

下列哪项不属于数据主体在GDPR中的权利？

A.被遗忘权（RighttoErasure）

B.数据可携带权（RighttoDataPortability）

C.拒绝自动化决策的权利

D.要求数据控制者公开所有商业数据的权利

答案：D

解析：GDPR赋予数据主体的权利包括访问权、更正权、删除权（被遗忘权）、数据可携带权、反对权（含拒绝自动化决策）等，但不包括要求公开所有商业数据的权利（商业数据可能涉及企业合法利益）。因此选D。

根据《数据安全法》，重要数据处理者向境外提供数据时，应当？

A.自行评估后直接传输

B.通过国家网信部门组织的安全评估

C.仅需告知数据主体即可

D.委托第三方机构进行合规审计

答案：B

解析：《数据安全法》第三十一条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；向境外提供重要数据的，应当按照国家有关规定进行安全评估。因此选B。

隐私影响评估（PIA）的首要步骤是？

A.识别数据处理活动的风险等级

B.制定风险缓解措施

C.明确数据处理的目的、范围和场景

D.编写PIA报告并归档

答案：C

解析：隐私影响评估的标准流程通常为：1.界定数据处理活动（目的、范围、场景）；2.识别涉及的个人信息类型及数据主体；3.评估风险；4.制定缓解措施；5.生成报告。因此首要步骤是明确处理活动，选C。

用户要求企业提供其个人信息的副本时，企业应？

A.收取高额费用后提供

B.以方便用户获取的形式（如电子文件）免费提供

C.拒绝提供，因涉及企业商业秘密

D.仅提供部分非关键信息

答案：B

解析：《个人信息保护法》第四十五条规定，个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供；提供复制件时，不得收取费用（法律、行政法规另有规定的除外）。因此选B。

下列哪项不属于“告知-同意”原则的例外情形？

A.为履行法定职责或者法定义务所必需

B.为应对突发公共卫生事件所必需

C.为个人信息主体的生命健康和财产安全所必需

D.为提升用户体验，优化产品功能所必需

答案：D

解析：《个人信息保护法》第十三条规定了无需同意的情形，包括履行法定职责、应对公共卫生事件、维护生命健康财产安全等。优化产品功能不属于法定例外，因此选D。

数据跨境流动中，欧盟“充分性认定（AdequacyDecision）”指的是？

A.欧盟认可某国/地区的隐私保护水平与欧盟相当

B.企业通过签订标准合同条款（SCCs）实现数据传输

C.数据接收方获得欧盟认证（如PrivacyShield）

D.数据控制者自行承诺符合GDPR要求

答案：A

解析：欧盟“充分性认定”是指欧盟委员会通过评估，认定某第三国、地区或国际组织的隐私保护水平“充分”（Adequate），允许数据直接向其传输。标准合同条款（SCCs）和认证属于替代机制，因此选A。

企业设立数据隐私合规部门（DPO）时，DPO的核心职责不包括？

A.监督企业遵守隐私相关法律法规

B.代表企业与监管机构沟通

C.参与产品设计的隐私嵌入（PrivacybyDesign）

D.负责企业客户关系管理

答案：D

解析：GDPR第39条及《个人信息保护法》第五十二条规定，DPO的职责