2025年数据隐私合规师（DPO）考试题库（附答案和详细解析）（1107）.docxVIP

数据隐私合规师（DPO）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据《个人信息保护法》，以下哪项属于“个人信息”的核心定义？

A.无法单独或与其他信息结合识别特定自然人的信息

B.以电子或其他方式记录的与已识别或可识别自然人有关的各种信息

C.企业内部统计的用户消费金额汇总数据

D.经过匿名化处理后仍可关联到特定主体的信息

答案：B

解析：《个人信息保护法》第四条明确，个人信息是“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”。A错误，因无法识别的信息不属于个人信息；C错误，汇总数据若无法识别特定自然人则不属于；D错误，匿名化后不可关联到主体才符合要求。

数据隐私保护官（DPO）的直接汇报对象通常应为？

A.法务部门负责人

B.公司最高管理层（如董事会）

C.信息技术部门负责人

D.人力资源部门负责人

答案：B

解析：GDPR第37条及我国《个人信息保护法》第五十二条均要求DPO直接向最高管理层汇报，以确保独立性和权威性。其他选项（法务、IT、HR）无法保障DPO的独立履职地位。

匿名化与去标识化的关键区别在于？

A.匿名化需技术处理，去标识化无需

B.匿名化后无法恢复识别特定自然人，去标识化可能恢复

C.匿名化仅适用于敏感信息，去标识化适用于一般信息

D.匿名化由第三方实施，去标识化由企业自行实施

答案：B

解析：《个人信息保护法》规定，匿名化是“无法识别特定自然人且不能复原”的处理，而去标识化可能通过额外信息恢复识别（如结合其他数据集）。A错误，两者均需技术处理；C、D无法律依据。

依据GDPR，数据处理的合法基础不包括以下哪项？

A.数据主体明确同意

B.企业履行合同所需

C.企业追求商业利益的合法需求

D.公共利益的重大任务

答案：C

解析：GDPR第6条规定的合法基础包括同意、合同履行、法定义务、公共利益、重大利益、合法利益（需平衡）。“企业追求商业利益”需满足“合法利益”且不损害数据主体权益，单独“追求商业利益”不构成合法基础，故C错误。

个人信息跨境传输时，需向国家网信部门申报安全评估的情形是？

A.年处理100万人以上个人信息的

B.年处理50万人以下个人信息的

C.仅向关联公司传输非敏感信息的

D.采用标准合同条款的

答案：A

解析：《个人信息出境安全评估办法》第四条规定，处理100万人以上个人信息的出境活动需申报安全评估。B、C、D属于可通过标准合同或认证等其他途径的情形。

“最小必要原则”在数据收集中的核心要求是？

A.收集尽可能多的用户信息以满足潜在需求

B.仅收集实现处理目的所必需的最少信息

C.收集信息的种类需覆盖所有可能的业务场景

D.收集频率需满足实时更新要求

答案：B

解析：《个人信息保护法》第五条明确“最小必要原则”要求“限于实现处理目的的最小范围”。A、C、D均违反“最小”或“必要”要求。

个人信息的保存期限应如何确定？

A.按行业惯例统一设置为5年

B.以实现处理目的所需的最短时间为限

C.由企业根据存储能力自行决定

D.与用户生命周期一致（如用户注册至注销）

答案：B

解析：《个人信息保护法》第十九条规定“保存期限应当为实现处理目的所必要的最短时间”。A、C、D无法律依据，可能导致过度存储。

发生个人信息泄露事件后，个人信息处理者需在多长时间内向履行个人信息保护职责的部门报告？

A.立即（24小时内）

B.72小时内

C.5个工作日内

D.10个工作日内

答案：B

解析：《个人信息保护法》第五十七条规定“发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人信息主体；通知应当及时，未能及时通知的，应当在事后72小时内予以通知”。

隐私影响评估（PIA）的主要目的是？

A.证明企业已履行告知义务

B.识别、分析和降低个人信息处理中的隐私风险

C.满足数据跨境传输的备案要求

D.优化数据存储的技术架构

答案：B

解析：PIA的核心目标是通过系统性评估，识别处理活动中的风险（如过度收集、泄露等），并提出控制措施。A、C、D是合规的部分环节，但非PIA主要目的。

处理未满14周岁未成年人个人信息时，需取得谁的同意？

A.未成年人本人

B.学校

C.监护人

D.未成年人及其监护人共同

答案：C

解析：《个人信息保护法》第三十一条规定“处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意”。

二、多项选择题（共10题，每题2分，共20分）

GDPR规定的个人信息主体权利包括以下哪些？（）

A.访问权（RighttoAccess）

B.被遗忘权（RighttoErasure）

C.数据可携带权