2026年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（0108）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据GDPR，以下哪类主体需遵守其规定？

A.仅注册地在欧盟的企业

B.在欧盟境内提供商品或服务的企业（无论注册地）

C.处理非欧盟公民个人信息的全球企业

D.仅处理欧盟公民敏感信息的企业

答案：B

解析：GDPR的域外效力适用于“在欧盟境内提供商品或服务（无论是否收费）”或“监控欧盟境内个人行为”的企业，无论其注册地（第3条）。选项A错误，因注册地非唯一标准；C错误，因需与欧盟境内活动相关；D错误，敏感信息非适用前提。

隐私设计（PrivacybyDesign）的核心原则不包括？

A.主动预防而非事后补救

B.默认保护（PrivacybyDefault）

C.全生命周期保护

D.差别化对待不同用户

答案：D

解析：隐私设计七大原则包括主动预防、默认保护、全生命周期、透明公开、尊重用户隐私、端到端安全、责任明确（Cavoukian博士提出）。差别化对待可能违反公平处理原则，故D错误。

数据主体的“数据可携带权”（RighttoDataPortability）要求控制者？

A.向用户提供个人数据的纸质副本

B.以结构化、通用、可机器读取的格式传输数据

C.将数据直接传输至用户指定的第三方控制者

D.免费提供无限次数据传输服务

答案：B

解析：GDPR第20条规定，数据可携带权要求控制者以“结构化、通用、可机器读取的格式”向用户提供个人数据，并支持安全传输至其他控制者（需技术可行）。A错误（非纸质）；C错误（需用户请求且技术可行）；D错误（仅首次免费，后续可收费）。

以下哪项属于“匿名化”（Anonymization）技术？

A.对姓名进行哈希处理（Hash）

B.移除直接标识符（如身份证号）但保留间接标识符（如年龄+职业）

C.将数据与其他数据集关联分析

D.对地址进行模糊化处理（如“北京市”改为“华北地区”）

答案：A

解析：匿名化需确保数据无法通过合理手段重新识别主体（GDPRRecital26）。哈希处理（不可逆）属于匿名化；B、D仅为去标识化（De-identification），仍可能通过关联分析重新识别；C是重新识别风险行为。

隐私影响评估（PIA）的核心目的是？

A.证明企业已履行合规义务

B.识别并降低个人信息处理中的隐私风险

C.替代数据保护影响评估（DPIA）

D.满足监管机构的定期报告要求

答案：B

解析：PIA（或DPIA）的核心是“系统性识别、评估和降低个人信息处理活动中的隐私风险”（GDPR第35条）。A是结果而非目的；C错误，PIA与DPIA为同一概念不同表述；D是合规要求之一，非核心目的。

根据CCPA，消费者的“删除权”不适用于以下哪类数据？

A.企业为完成交易必需的个人数据

B.消费者主动提供的评论内容

C.企业内部用于质量控制的测试数据

D.公开可获取的政府记录

答案：D

解析：CCPA第1798.105条规定，删除权不适用于“法律要求保留的信息”或“公开可获取的政府记录”（如公开的企业注册信息）。A、B、C均属于需响应删除请求的范围。

跨境数据传输中，“标准合同条款”（SCCs）的法律效力来源于？

A.数据接收国的国内法

B.欧盟委员会的批准

C.数据控制者与处理者的约定

D.联合国《公民权利与政治权利国际公约》

答案：B

解析：GDPR允许通过欧盟委员会批准的标准合同条款（SCCs）作为跨境传输的合规机制（第46条）。SCCs经欧盟委员会认可后，在欧盟境内具有法律效力，无需接收国单独批准。

以下哪项不符合“最小化原则”（DataMinimization）要求？

A.电商平台仅收集用户收货地址和联系电话

B.社交应用在注册时要求用户提供学历和收入信息

C.医疗APP仅收集与诊疗相关的症状描述

D.银行仅收集贷款申请所需的收入证明和信用记录

答案：B

解析：最小化原则要求“收集的个人数据应与处理目的相关、充分且必要”（GDPR第5条）。社交应用注册时要求学历和收入信息与“用户注册”目的无直接关联，超出必要范围，违反最小化原则。

隐私政策（PrivacyPolicy）必须包含的核心信息不包括？

A.个人数据的存储地点和期限

B.数据处理者的联系方式

C.用户同意的具体形式（如勾选框）

D.数据共享的第三方名称及共享目的

答案：C

解析：GDPR第13条规定，隐私政策需包含处理者信息、数据类型、处理目的、存储期限、共享方、用户权利等。用户同意的形式（如勾选框）属于同意机制的技术实现，非隐私政策必须内容。

隐私管理体系（PrivacyManagementSystem,PIMS）的核心框架不包括？

A.隐私政策与流程