2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（1123）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR，以下哪类个人数据处理活动必须进行数据保护影响评估（DPIA）？

A.仅用于内部统计的员工考勤数据处理

B.基于用户位置信息的精准广告推送

C.人力资源部门对员工绩效的常规分析

D.企业内部通讯录的日常更新维护

答案：B

解析：GDPR第35条规定，涉及“大规模系统性监控”（如基于位置的精准广告）、“特殊类别数据处理”或“高风险处理”的活动必须进行DPIA。选项A（内部统计）、C（常规分析）、D（日常维护）均属于低风险或常规处理，无需强制DPIA。

以下哪项是《加州消费者隐私法案（CCPA）》特有的权利？

A.访问个人数据的权利

B.删除个人数据的权利

C.选择退出销售个人数据的权利

D.反对自动化决策的权利

答案：C

解析：CCPA首次提出“选择退出销售（Opt-OutofSale）”的权利，要求企业为消费者提供明确的退出渠道；其他权利（访问、删除、反对自动化决策）在GDPR等法规中已有类似规定。

隐私设计（PrivacybyDesign）的核心原则不包括：

A.主动防御而非被动响应

B.默认隐私保护（PrivacybyDefault）

C.最小化数据收集

D.数据处理透明化

答案：D

解析：隐私设计的七大核心原则包括：主动防御、默认保护、嵌入隐私、完整功能、端到端安全、可见性与透明度、责任共担。“数据处理透明化”是GDPR的要求，属于合规原则而非隐私设计的核心原则。

以下哪种场景符合“匿名化数据”的定义？

A.移除姓名、身份证号，但保留手机号和地址

B.通过哈希算法对用户ID加密，无密钥无法解密

C.对年龄、性别进行分组统计（如“20-30岁女性”）

D.删除所有直接标识符，并通过统计方法消除再识别可能

答案：D

解析：匿名化数据需满足“无法通过合理手段再识别自然人”的标准（GDPR第4条）。选项D同时删除直接标识符并消除再识别风险，符合定义；A（保留间接标识符）、B（加密可解密）、C（分组统计可能关联个体）均属于去标识化数据。

根据《个人信息保护法》，个人信息处理者向境外提供个人数据时，不需要满足的条件是：

A.通过国家网信部门组织的安全评估

B.与境外接收方订立数据保护合同

C.获得个人信息主体的单独同意

D.确保境外接收方的技术能力优于境内处理者

答案：D

解析：《个人信息保护法》第38条规定，向境外提供数据需满足：安全评估/认证/标准合同、单独同意、告知接收方信息等。“境外接收方技术能力优于境内”无法律依据，核心要求是“达到同等保护水平”。

以下哪项不属于数据主体的“可携带权”（RighttoDataPortability）范围？

A.要求将个人数据从社交媒体平台导出为结构化、通用格式

B.要求将导出的个人数据直接传输至另一家服务提供商

C.要求删除原平台存储的个人数据

D.要求获取个人数据的副本

答案：C

解析：可携带权（GDPR第20条）仅涉及数据的获取与传输，不包括删除原数据；删除权是独立的权利（第17条）。

隐私影响评估（PIA）的关键步骤不包括：

A.识别数据处理的目的和范围

B.评估数据主体的隐私风险等级

C.制定数据泄露后的补救措施

D.提出降低风险的技术或管理方案

答案：C

解析：PIA是“事前评估”，关注风险预防而非事后补救；泄露补救属于事件响应计划（IRP）的内容。

以下哪种同意机制符合GDPR“明确、具体、自愿”的要求？

A.注册时默认勾选“同意隐私政策”

B.弹窗提示“点击继续即视为同意”

C.单独勾选框选择“同意个性化推荐”

D.会员协议中以小字标注“包含个人信息使用条款”

答案：C

解析：GDPR要求同意需“明确、具体、可撤回”，需通过积极行动（如单独勾选）表达；默认勾选（A）、隐含同意（B）、模糊条款（D）均不符合要求。

以下哪项属于“特殊类别个人信息”（SensitivePersonalData）？

A.电商平台的用户购物记录

B.医疗平台的患者诊疗记录

C.社交平台的用户兴趣标签

D.教育平台的学生成绩排名

答案：B

解析：GDPR第9条、《个人信息保护法》第28条均将生物识别、宗教信仰、医疗健康等列为特殊类别信息；购物记录（A）、兴趣标签（C）、成绩排名（D）属于普通个人信息。

跨境数据流动中，“约束性公司规则（BCRs）”适用于：

A.不同国家的关联企业间数据传输

B.企业与非关联第三方的数据共享

C.政府机构间的跨境数据交换

D.个人向境外发送自身数据

答案：A

解析：BCRs是跨国企业集团内部制定的、经监管机构批准的隐私保护规则，仅适用于关联企业间的跨境数据传输（如母公司与子公司