2025年信息系统安全专家物联网GDPR合规实践专题试卷及解析.docxVIP

2025年信息系统安全专家物联网GDPR合规实践专题试卷及解析

2025年信息系统安全专家物联网GDPR合规实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、根据GDPR，物联网设备收集的个人数据处理的合法性基础不包括以下哪项？

A、数据主体的同意

B、履行合同的必要

C、数据控制者的合法利益

D、设备制造商的商业惯例

【答案】D

【解析】正确答案是D。GDPR规定的合法性基础包括同意、履行合同、法律义务、保护重要利益、执行公务及合法利益等，但商业惯例本身不是独立的合法性基础。A、B、C都是GDPR明确规定的合法性基础。知识点：GDPR第6条合法性基础。易错点：容易将合法利益与商业惯例混淆，前者需要经过利益衡量测试。

2、物联网设备默认设置应遵循GDPR的哪项原则？

A、数据最小化原则

B、设计隐私原则

C、目的限制原则

C、数据准确性原则

【答案】B

【解析】正确答案是B。设计隐私原则要求在系统设计阶段就考虑隐私保护，包括默认设置应尽可能保护用户隐私。A、C、D都是GDPR原则，但默认设置直接体现的是设计隐私原则。知识点：GDPR第25条设计隐私与默认隐私。易错点：可能误选数据最小化原则，但该原则更侧重于收集范围而非默认设置。

3、GDPR规定的数据主体权利中，物联网场景下最难实现的是哪项？

A、访问权

B、更正权

C、被遗忘权

D、数据可携带权

【答案】C

【解析】正确答案是C。物联网设备通常具有分布式、实时处理的特点，完全删除数据（被遗忘权）在技术上存在挑战。其他权利相对更容易实现。知识点：GDPR第17条被遗忘权。易错点：可能误选数据可携带权，虽然也有挑战，但技术上比完全删除更可行。

4、物联网设备制造商在发生数据泄露时，通知监管机构的时限是？

A、24小时内

B、48小时内

C、72小时内

D、7天内

【答案】C

【解析】正确答案是C。GDPR第33条规定，数据控制者知悉数据泄露后应在72小时内通知监管机构。知识点：GDPR数据泄露通知义务。易错点：容易与其他法规（如某些行业要求24小时）混淆。

5、以下哪项不属于GDPR定义的特殊类别个人数据？

A、健康数据

B、生物识别数据

C、IP地址

D、政治观点

【答案】C

【解析】正确答案是C。IP地址属于一般个人数据，而A、B、D都是GDPR第9条明确列出的特殊类别数据。知识点：GDPR特殊类别数据定义。易错点：可能误认为IP地址是特殊类别数据，因为它常用于追踪。

6、物联网跨境数据传输时，以下哪种机制GDPR明确禁止？

A、标准合同条款

B、有约束力的公司规则

C、充分性认定

D、自动传输协议

【答案】D

【解析】正确答案是D。GDPR认可的跨境传输机制包括充分性认定、标准合同条款、有约束力的公司规则等，但没有自动传输协议这一机制。知识点：GDPR第五章跨境数据传输。易错点：可能误选其他选项，因为它们都是有效的传输机制。

7、物联网设备的数据保护影响评估(DPIA)应在何时进行？

A、设备上市后

B、数据处理活动开始前

C、收到用户投诉后

D、监管机构要求时

【答案】B

【解析】正确答案是B。GDPR第35条规定，高风险处理活动应在开始前进行DPIA。知识点：DPIA实施时机。易错点：可能误选D，因为监管机构确实可以要求DPIA，但不是唯一或首要时机。

8、GDPR对数据控制者与处理者的责任划分，以下说法正确的是？

A、处理者承担主要责任

B、控制者负最终责任

C、两者责任完全相同

D、责任完全由制造商承担

【答案】B

【解析】正确答案是B。GDPR规定控制者决定处理目的和方式，因此承担主要责任，处理者仅根据控制者指示行事。知识点：控制者与处理者责任划分。易错点：可能误选C，因为两者都有责任，但程度不同。

9、物联网设备固件更新涉及个人数据时，应优先考虑？

A、更新速度

B、数据安全

C、功能增强

D、成本控制

【答案】B

【解析】正确答案是B。GDPR要求采取适当技术和组织措施保护数据安全，固件更新是重要环节。知识点：GDPR安全措施要求。易错点：可能误选A，因为快速更新很重要，但不能以牺牲安全为代价。

10、GDPR对儿童数据的特殊保护，物联网场景下主要体现为？

A、禁止收集任何儿童数据

B、需要监护人同意

C、数据保留期限减半

D、禁止跨境传输

【答案】B

【解析】正确答案是B。GDPR第8条规定，16岁以下儿童数据需要监护人同意（成员国可降至13岁）。知识点：儿童数据保护规则。易错点：可能误选A，因为GDPR并非完全禁止收集儿童数据。

第二部分：多项选择题（共10题，每题2分）

1、物联网设备制造商在设计阶段应考虑的GDPR合规要素包括？

A、数据最小化

B、默认隐私设置

C、数据加密

D、用户友好界面

E、自动数据删除

【答案】A、B、C