2025年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（1128）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR，以下哪类个人数据处理活动无需进行隐私影响评估（PIA）？

A.大规模处理敏感个人数据

B.基于用户画像的自动化决策

C.匿名化后的数据统计分析

D.跨境传输个人数据至非充分性认定国家

答案：C

解析：GDPR第35条规定，需进行PIA的情形包括：大规模处理敏感数据、自动化决策（含画像）、高风险的跨境传输等。匿名化数据因无法识别自然人（GDPR第4条），不属于个人数据，因此无需PIA。选项C正确。

以下哪项是CCPA（加州消费者隐私法案）特有的数据主体权利？

A.访问权

B.删除权

C.拒绝销售权

D.更正权

答案：C

解析：CCPA相比GDPR，新增了“拒绝销售权”（RighttoOpt-OutofSale），允许消费者要求企业停止销售其个人信息。其他权利（访问、删除、更正）为多数隐私法规共有。选项C正确。

隐私设计（PrivacybyDesign）的核心原则中，“默认隐私”指的是？

A.系统默认设置为最高隐私保护级别

B.仅在用户主动选择时收集数据

C.数据处理前需获得用户明确同意

D.数据最小化是系统设计的默认要求

答案：A

解析：“默认隐私”（PrivacybyDefault）要求系统默认设置即提供充分隐私保护，无需用户主动调整（如默认关闭定位权限）。数据最小化是“数据最小化原则”的要求，非“默认隐私”的直接定义。选项A正确。

以下哪项不属于数据控制者（Controller）的核心责任？

A.制定数据处理目的和方式

B.监督数据处理者（Processor）的活动

C.响应数据主体的访问请求

D.对数据泄露承担最终法律责任

答案：B

解析：数据控制者负责定义处理目的和方式（GDPR第4条），直接响应数据主体请求，并对合规负最终责任。监督处理者是控制者的责任，但“监督活动”属于处理者的义务（如按控制者指令处理）。选项B错误，应为处理者责任。

根据ISO/IEC27701隐私信息管理体系标准，以下哪项是PDCA循环中“检查（Check）”阶段的核心活动？

A.制定隐私政策和流程

B.实施内部审核和管理评审

C.对员工进行隐私培训

D.处理数据主体的投诉

答案：B

解析：PDCA循环中，“检查”阶段包括内部审核（验证体系有效性）和管理评审（高层评估改进需求）。制定政策（计划）、培训（实施）、投诉处理（改进）属于其他阶段。选项B正确。

以下哪种数据匿名化技术可能因“重新识别风险”导致数据仍被认定为个人数据？

A.完全删除姓名、身份证号等标识符

B.对年龄进行“20-30岁”的区间化处理

C.使用加密技术对数据进行脱敏

D.基于哈希算法对手机号进行不可逆转换

答案：B

解析：区间化处理（如年龄20-30岁）可能结合其他公开数据（如职业、地区）重新识别个体（如某公司仅2名20-30岁员工），因此可能仍被视为个人数据。完全删除标识符、加密、哈希（不可逆）通常被认定为匿名化。选项B正确。

跨境数据传输中，“标准合同条款（SCCs）”的法律效力来源于？

A.数据接收国的国内法

B.数据输出国与接收国的双边协议

C.GDPR第46条授权的欧盟委员会模板

D.企业自行制定的合同条款

答案：C

解析：GDPR第46条规定，欧盟委员会可制定“标准合同条款”（SCCs）作为跨境传输的合法机制，企业需采用欧盟认可的模板。自行制定的条款不具法律效力。选项C正确。

以下哪项符合“数据最小化原则”的要求？

A.为提升用户体验，收集超出服务所需的位置信息

B.仅收集实现注册功能必需的姓名和手机号

C.存储用户历史搜索记录用于个性化推荐

D.共享用户完整通信录给第三方合作平台

答案：B

解析：数据最小化要求收集“必要且适当”的数据（GDPR第5条）。仅收集注册必需信息符合该原则；其他选项均涉及过度收集或存储。选项B正确。

根据《个人信息保护法》（中国），处理敏感个人信息的必要条件不包括？

A.取得个人的单独同意

B.具有特定的目的和充分的必要性

C.采取严格的保护措施

D.告知处理的必要性和对个人权益的影响

答案：D

解析：《个人信息保护法》第29条规定，处理敏感个人信息需：单独同意、特定目的和充分必要性、严格保护措施。告知必要性和影响是一般个人信息处理的要求（第17条），非敏感信息特有的必要条件。选项D正确。

隐私影响评估（PIA）的核心目标是？

A.证明企业已遵守所有隐私法规

B.识别并降低数据处理中的隐私风险

C.替代数据保护影响评估（DPIA）

D.向监管机构提交合规报告

答案：B

解析：PIA（或DPIA）的核心是通过系统性分析，识别数据处理活动中的隐私风险（