2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（1126）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据《通用数据保护条例》（GDPR），以下哪项属于“数据控制者”的核心定义？

A.代表控制者处理个人数据的实体

B.决定个人数据处理目的和方式的实体

C.仅执行数据存储操作的技术服务提供商

D.接收并分析匿名化数据的第三方研究机构

答案：B

解析：GDPR第4条第7款明确“数据控制者”是指单独或与他人共同决定个人数据处理目的和方式的自然人或法人。选项A是“数据处理者”的定义（GDPR第4条第8款）；选项C属于处理者的具体场景；选项D处理的是匿名化数据（非个人信息），不适用控制者定义。

中国《个人信息保护法》规定，个人信息处理者向境外提供个人信息时，无需进行安全评估的情形是？

A.关键信息基础设施运营者向境外提供个人信息

B.处理个人信息达到国家网信部门规定数量的个人信息处理者向境外提供

C.通过国家网信部门组织的安全评估的

D.处理不满十四周岁未成年人个人信息向境外提供

答案：C

解析：《个人信息保护法》第38条规定，向境外提供个人信息需通过安全评估、认证或签订标准合同。选项C是已通过安全评估的情形，无需重复评估；选项A、B、D均属于必须进行安全评估的法定情形（见《个人信息出境安全评估办法》第5条）。

隐私影响评估（PIA）的核心目的是？

A.证明企业已获得隐私认证

B.识别并降低个人信息处理中的隐私风险

C.替代数据泄露通知义务

D.满足数据主体的访问请求

答案：B

解析：国际隐私专业协会（IAPP）定义PIA为“系统性识别、分析和缓解个人信息处理活动中隐私风险的过程”。选项A是认证目标；选项C错误，PIA无法替代法律规定的通知义务；选项D是数据主体权利响应的内容。

以下哪项符合“数据最小化原则”的要求？

A.电商平台收集用户姓名、手机号、收货地址、购物偏好、健康状况

B.银行仅收集贷款申请所需的收入证明和信用记录

C.社交APP在用户未授权时默认开启定位功能

D.教育平台存储学生10年前的课堂作业记录

答案：B

解析：数据最小化原则要求收集的个人信息在种类、数量、存储时间上与处理目的直接相关且必要（GDPR第5条第1款c项）。选项B仅收集必要信息；选项A超出购物需求收集健康信息；选项C未获授权默认收集；选项D存储时间超过教育记录必要期限。

根据CCPA（加州消费者隐私法），消费者不享有以下哪项权利？

A.要求企业删除其个人信息

B.要求企业提供其个人信息的具体用途

C.要求企业不得将其个人信息用于营销

D.要求企业更正其不准确的个人信息

答案：D

解析：CCPA（现CCPA/CPRA）规定消费者享有访问、删除、拒绝销售、获取披露信息等权利，但未明确“更正权”（更正权是GDPR的核心权利）。选项D是GDPR第16条“更正权”的内容，非CCPA要求。

匿名化处理后的信息是否属于个人信息？

A.是，因为仍可能关联到特定自然人

B.否，因为无法识别特定自然人且不能复原

C.部分属于，取决于处理技术的复杂度

D.由数据控制者自行判断

答案：B

解析：《个人信息保护法》第4条规定，个人信息是“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”。匿名化是通过技术手段使信息无法识别特定自然人且不能复原（区别于去标识化），因此不属于个人信息（见GB/T35273-2020《信息安全技术个人信息安全规范》3.10）。

以下哪项不属于数据主体的“可携带权”范围？

A.要求控制者将个人信息转移至其指定的另一控制者

B.要求控制者以结构化、通用、可机读的格式提供个人信息

C.要求控制者删除原存储的个人信息

D.适用于自动化处理产生的个人信息

答案：C

解析：可携带权（GDPR第20条）是数据主体要求控制者将个人信息转移给其他控制者的权利，核心是“转移”而非“删除”。选项C属于删除权（GDPR第17条）的内容。

隐私政策中“同意”的有效要件不包括？

A.明确性（具体说明处理目的、方式、范围）

B.自愿性（非强迫或隐蔽诱导）

C.可撤回性（用户可随时撤销同意）

D.书面形式（必须通过纸质文件签署）

答案：D

解析：GDPR第7条和《个人信息保护法》第14条规定，同意需满足明确、自愿、具体、可撤回的要求，但未强制要求书面形式（电子勾选、口头同意等符合条件的形式均可）。选项D错误，因同意可通过电子方式作出。

以下哪类场景无需进行隐私影响评估（PIA）？

A.开发人脸识别考勤系统

B.医院将患者病历数据共享给保险公司

C.电商平台常规更新用户界面

D.政府部门建立公民信用信息数据库

答案：C

解析：IAPP指南指出，PIA适用于高风险处理活动（如生物识别、大规模数据共享、敏感信息处理）