2026年数据隐私合规师（DPO）考试题库（附答案和详细解析）（0107）.docxVIP

数据隐私合规师（DPO）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据《个人信息保护法》，以下哪项属于“个人信息”的定义范畴？

A.经过匿名化处理后无法识别特定自然人的信息

B.企业公开的年度财务报告数据

C.与已识别的自然人相关的手机号码

D.完全随机生成的无关联数字序列

答案：C

解析：《个人信息保护法》第4条规定，个人信息是“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”。选项A（匿名化信息）、B（企业财务数据）、D（无关联数字）均不符合“可识别自然人”的核心要件，只有C（手机号码）直接关联特定自然人，属于个人信息。

关键信息基础设施运营者（CIIO）的个人信息保护负责人（DPO）应当向哪个部门报告履职情况？

A.企业董事会

B.国家网信部门

C.省级数据安全主管部门

D.所在地消费者协会

答案：B

解析：《个人信息保护法》第52条明确要求，关键信息基础设施运营者的DPO需定期向履行个人信息保护职责的部门（即国家网信部门）报告履职情况。其他选项（董事会、省级部门、消协）均非法定报告对象。

以下哪项不属于《GDPR》规定的数据主体权利？

A.数据可携带权（DataPortabilityRight）

B.被遗忘权（RighttoBeForgotten）

C.自动化决策的解释权

D.无限期数据删除权

答案：D

解析：《GDPR》规定数据主体享有删除权（第17条），但存在例外情形（如法定义务、公共利益等），因此“无限期删除权”表述错误。其他选项均为《GDPR》明确规定的权利（可携带权第20条、被遗忘权第17条、自动化决策解释权第22条）。

个人信息处理者因合并导致个人信息主体变更时，最核心的合规要求是？

A.无需通知用户，直接转移数据

B.向用户告知接收方的名称、处理目的及方式

C.仅需内部备案即可

D.由接收方重新与用户签订服务协议

答案：B

解析：《个人信息保护法》第22条规定，个人信息处理者因合并、分立等转移个人信息的，应当向个人告知接收方的名称或姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。选项B符合“告知+同意”的核心要求，其他选项违反法定程序。

数据匿名化的关键技术特征是？

A.仅删除姓名、身份证号等直接标识符

B.无法通过任何方式恢复识别特定自然人

C.保留部分关联信息但限制访问权限

D.对数据进行加密存储

答案：B

解析：《个人信息保护法》第73条定义“匿名化”为“个人信息经过处理无法识别特定自然人且不能复原的过程”。选项B（无法恢复识别）符合定义，选项A（仅删除直接标识符）属于去标识化，选项C（保留关联信息）和D（加密）均不满足“不可复原”要求。

某企业拟处理100万用户的位置信息，根据《个人信息保护法》，其隐私影响评估（PIA）的最小频次应为？

A.处理活动开始前一次

B.每季度一次

C.每年一次

D.动态评估，处理活动重大变化时重新评估

答案：D

解析：《个人信息保护法》第55条规定，处理敏感个人信息、利用个人信息进行自动化决策等高风险活动时，个人信息处理者应当事前进行PIA，并对处理情况进行动态评估。当处理活动的目的、方式、种类、范围等发生重大变化时，需重新进行评估。因此正确答案为D。

以下哪项不属于“告知-同意”原则的例外情形？

A.为应对突发公共卫生事件

B.为履行法定职责或义务

C.为个人订立或履行合同所必需

D.为新闻报道对公众人物个人信息的合理使用

答案：C

解析：《个人信息保护法》第13条规定了无需同意的例外情形，包括公共卫生事件（A）、法定职责（B）、新闻报道合理使用（D）等。选项C（订立或履行合同）属于“告知-同意”的常规场景（第14条），需取得用户同意，因此不属于例外。

跨境数据流动中，“标准合同”机制的法律依据是？

A.《数据安全法》第31条

B.《个人信息保护法》第38条

C.《网络安全法》第37条

D.《数据出境安全评估办法》第8条

答案：B

解析：《个人信息保护法》第38条规定，个人信息处理者可以通过与境外接收方订立标准合同的方式向境外提供个人信息，具体规则由国家网信部门制定。选项D（安全评估办法）是对第38条的细化，但法律依据仍为《个保法》第38条。

处理14周岁以下未成年人个人信息时，需取得谁的同意？

A.未成年人本人

B.未成年人父母或其他监护人

C.学校

D.未成年人住所地居委会

答案：B

解析：《个人信息保护法》第31条明确规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或其他监护人的同意，并制定专门的个人信息处理规则。其他选项（本人、学校、居委会）均无法律授权。

数据安全事件发生后，个人信息处理者向履行个人信