2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（1204）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR，以下哪项不属于“个人数据”的定义范围？

A.姓名+电话号码

B.匿名化处理后无法关联到特定个体的数据

C.IP地址+设备MAC地址

D.医疗诊断记录

答案：B

解析：GDPR中“个人数据”指可直接或间接识别自然人的信息（如A、C、D）。匿名化数据因无法关联到特定个体（《GDPR》第4条第5款），不属于个人数据，因此选B。

隐私设计（PrivacybyDesign）的核心目标是？

A.事后补救数据泄露风险

B.数据处理过程中默认保护隐私

C.仅在用户投诉时响应隐私需求

D.减少数据处理活动的技术复杂度

答案：B

解析：隐私设计强调“隐私内置”（默认隐私、主动保护），而非事后补救（A错误）或被动响应（C错误），与技术复杂度无关（D错误），因此选B（参考ISO/IEC29100隐私框架）。

依据CCPA，消费者对个人数据的“拒绝销售权”适用于？

A.企业向关联公司共享数据的行为

B.企业为提供服务必需的内部数据使用

C.企业向第三方出售数据的行为

D.企业用于改进产品的数据分析

答案：C

解析：CCPA“拒绝销售权”针对企业向第三方“出售”数据的行为（C正确），关联公司共享（A）、内部使用（B）、产品改进（D）不属于“销售”范畴（CCPA第1798.100条）。

隐私影响评估（PIA）的关键步骤不包括？

A.识别数据处理的目的和范围

B.评估数据泄露的具体经济损失

C.分析数据主体权利的实现障碍

D.制定风险缓解措施

答案：B

解析：PIA核心是识别风险（如数据泄露可能性）而非计算经济损失（B错误），其他选项均为PIA标准步骤（参考GDPR第35条）。

跨境数据传输中，欧盟“充分性认定”（AdequacyDecision）指？

A.接收国数据保护水平与欧盟等效

B.企业自行承诺保护水平

C.通过标准合同条款（SCCs）约束

D.数据主体明确同意

答案：A

解析：“充分性认定”是欧盟对接收国整体保护水平的认可（A正确）；B为约束性公司规则（BCRs），C为SCCs，D为同意，均非“充分性认定”定义（GDPR第45条）。

以下哪项符合“数据最小化原则”的要求？

A.收集用户身份证号用于注册登录

B.仅收集用户手机号完成短信验证

C.存储用户10年的历史搜索记录

D.要求用户提供学历证明以使用免费服务

答案：B

解析：数据最小化要求“收集实现目的所需的最少数据”（B正确）；A、D为过度收集，C为超期存储，均违反原则（GDPR第5条第1款c项）。

隐私政策的“透明度要求”不包括？

A.用通俗易懂的语言表述

B.明确数据共享的第三方名称

C.隐藏数据保留期限的具体规则

D.说明用户行使权利的途径

答案：C

解析：透明度要求公开关键信息（如保留期限），隐藏（C）违反要求；A、B、D均为GDPR第12-14条规定的必要内容。

处理儿童个人信息时，以下合规措施正确的是？

A.仅需获得儿童本人同意

B.根据COPPA，需获得父母或监护人同意

C.可默认收集13岁以下儿童的位置信息

D.无需单独说明儿童数据的处理方式

答案：B

解析：COPPA规定13岁以下儿童信息处理需父母同意（B正确）；A忽略监护人角色，C违反最小化原则，D违反透明度要求（COPPA第3条）。

以下哪项属于“敏感个人信息”？

A.公开的企业员工名单

B.普通用户的网购记录

C.某用户的宗教信仰

D.匿名化的健康统计数据

答案：C

解析：GDPR第9条明确敏感信息包括宗教信仰（C正确）；A、B为普通个人信息，D因匿名化不属敏感信息。

数据泄露事件发生后，GDPR要求的最短通知期限是？

A.24小时

B.48小时

C.72小时

D.96小时

答案：C

解析：GDPR第33条规定，数据控制者应在“知悉泄露后72小时内”通知监管机构（无合理延迟时），因此选C。

二、多项选择题（共10题，每题2分，共20分）

GDPR的关键原则包括（）

A.数据最小化

B.目的限制

C.完全匿名化

D.透明度

答案：ABD

解析：GDPR第5条规定核心原则包括数据最小化（A）、目的限制（B）、透明度（D）；“完全匿名化”是处理结果而非原则（C错误）。

隐私设计（PrivacybyDesign）的核心要素包括（）

A.默认隐私设置

B.数据安全保障

C.用户主动授权

D.数据公开共享

答案：ABC

解析：隐私设计强调“默认保护”（A）、“安全内置”（B）、“用户控制”（C）；数据公开共享（D）与隐私保护目标矛盾，错误。

CCPA赋予消费者的权利包括（）

A.访问个人数据的具体内容

B.要求删除个人