2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（1122）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR（《通用数据保护条例》），以下哪类主体必须指定数据保护官（DPO）？

A.年营业额500万欧元的零售企业

B.核心活动涉及大规模系统性监控的公共机构

C.仅处理员工考勤数据的中小企业

D.提供在线新闻服务的个人博客

答案：B

解析：GDPR第37条规定，以下主体必须指定DPO：（1）公共机构（除法院履行司法职能外）；（2）核心活动涉及大规模系统性监控个人数据的主体；（3）核心活动涉及大规模处理敏感个人数据的主体。选项B符合“大规模系统性监控”的条件；选项A（营业额非强制标准）、C（非核心活动）、D（非大规模处理）均不满足强制要求。

以下哪项属于“敏感个人数据”？

A.普通企业员工的手机号

B.患者的基因信息

C.电商平台用户的收货地址

D.社交媒体用户的昵称

答案：B

解析：GDPR第9条定义的敏感个人数据包括种族、民族、政治观点、宗教信仰、工会成员身份、基因数据、生物识别数据、健康数据、性生活或性取向数据。基因信息（选项B）属于敏感数据；其他选项为普通个人数据。

根据CCPA（《加州消费者隐私法案》），消费者的“删除权”不适用于以下哪种情况？

A.企业为完成服务合同必要的个人数据

B.消费者主动提供给第三方的信息

C.企业为检测安全事件收集的数据

D.公开可获取的政府记录

答案：A

解析：CCPA规定，企业可拒绝删除权请求的情形包括：（1）完成合同履行、提供产品或服务必要；（2）检测安全事件；（3）进行内部研究；（4）遵守法律义务等。选项A属于“完成合同必要”，企业可拒绝删除；选项B（消费者主动提供）、C（安全检测）、D（公开政府记录）均不属拒绝情形。

隐私设计（PrivacybyDesign）的核心思想是？

A.在数据泄露后快速响应补救

B.将隐私保护嵌入系统开发全周期

C.仅在用户授权后处理敏感数据

D.通过匿名化完全消除隐私风险

答案：B

解析：隐私设计的核心理念是“预防为主”，要求在系统设计初期（而非事后）融入隐私保护措施，贯穿数据生命周期（设计阶段、开发阶段、运行阶段）。选项B正确；选项A（事后补救）违背核心思想；选项C（仅授权后处理）是同意原则的体现；选项D（完全消除风险）不现实。

以下哪项是“去标识化数据”与“匿名化数据”的主要区别？

A.去标识化后仍可能通过关联其他数据重新识别主体，匿名化则不能

B.去标识化需获得用户同意，匿名化无需同意

C.去标识化属于数据处理活动，匿名化属于数据销毁

D.去标识化受GDPR约束，匿名化不受GDPR约束

答案：A

解析：GDPR第26条解释，去标识化数据（De-identifiedData）通过技术手段移除直接标识符（如姓名、身份证号），但仍可能通过关联其他数据集重新识别主体；匿名化数据（AnonymousData）通过不可逆技术处理，无法重新识别主体。因此，去标识化数据仍属“个人数据”，受GDPR约束；匿名化数据不属个人数据，不受约束。选项A正确；选项D错误（去标识化仍受约束）；选项B（同意要求与处理目的相关，非两类数据的区别）、C（匿名化非销毁）错误。

根据《个人信息保护法》（中国），个人信息处理者向境外提供个人信息时，无需满足以下哪项条件？

A.通过国家网信部门组织的安全评估

B.与境外接收方订立标准合同

C.经专业机构进行个人信息保护认证

D.取得个人单独同意

答案：D

解析：《个人信息保护法》第38条规定，向境外提供个人信息需满足以下至少一项条件：（1）通过安全评估；（2）经专业机构认证；（3）订立标准合同；（4）法律、行政法规规定的其他条件。个人单独同意是处理敏感个人信息的要求（第29条），非跨境传输的必要条件（但实践中可能需告知并取得同意）。选项D错误。

以下哪项不属于数据主体的“数据可携带权”（RighttoDataPortability）范围？

A.要求企业以结构化、通用、机器可读格式提供个人数据

B.将个人数据直接传输给另一个数据控制者

C.要求企业删除已提供的个人数据

D.获取个人数据的副本用于自主管理

答案：C

解析：GDPR第20条规定，数据可携带权指数据主体有权获取其个人数据副本（结构化、机器可读格式），并要求控制者将数据直接传输给另一控制者（若技术可行）。删除权（RighttoErasure）是独立权利（第17条），与可携带权无关。选项C属于删除权范畴，不属于可携带权。

隐私影响评估（PIA）的主要目的是？

A.证明企业已遵守所有隐私法规

B.识别数据处理活动中的隐私风险并提出缓解措施

C.替代数据保护官（DPO）的日常监督职责

D.向监管机构申请数据处理活动的行政许可