2026年隐私保护工程师（CIPT）考试题库（附答案和详细解析）（0101）.docxVIP

隐私保护工程师（CIPT）考试试卷

一、单项选择题（共10题，每题1分，共10分）

1.下列哪项符合GDPR的适用范围？

A.美国企业仅存储欧盟居民的个人数据但不进行处理

B.德国企业在欧盟境内处理非欧盟居民的个人数据

C.中国企业在境外处理非欧盟居民的个人数据

D.法国企业在欧盟境外处理欧盟居民的个人数据

答案：D

解析：GDPR适用于两类主体：（1）在欧盟境内设立的实体处理个人数据（无论数据主体是否为欧盟居民）；（2）在欧盟境外设立的实体处理欧盟居民的个人数据（只要处理行为与向欧盟居民提供商品/服务或监控其行为相关）。选项D符合第二类情形；选项A未涉及“处理”行为（仅存储不构成处理）；选项B中数据主体非欧盟居民但处理行为发生在欧盟境内仍适用，但题目问“符合”，D更典型；选项C不涉及欧盟居民。

2.根据GDPR，数据主体行使“被遗忘权”（删除权）的法定情形不包括？

A.个人数据已无必要实现收集目的

B.数据主体撤回同意且无其他合法基础

C.数据主体因儿童身份要求删除

D.企业基于公共利益需要保留数据

答案：D

解析：GDPR第17条规定，数据主体可要求删除个人数据的情形包括：数据不再必要、同意撤回且无其他合法基础、数据处理违法、儿童个人数据（需删除）等。但公共利益（如新闻报道、学术研究）属于删除权的例外情形（选项D），因此不适用。

3.隐私设计（PrivacybyDesign）的核心目标是？

A.事后补救数据泄露风险

B.在数据处理全生命周期嵌入隐私保护

C.仅在数据收集阶段限制数据采集

D.通过技术手段替代法律合规义务

答案：B

解析：隐私设计的核心理念是“主动预防”而非“事后补救”，强调在数据处理的全生命周期（从设计到实施）嵌入隐私保护措施（如默认隐私设置、最小化数据收集）。选项A错误（应为主动预防）；选项C错误（需覆盖全周期）；选项D错误（技术与法律合规需结合）。

4.下列哪项属于“去标识化”而非“匿名化”？

A.移除姓名、身份证号等直接标识符

B.通过加密技术使数据无法被还原

C.结合其他公开数据可重新识别个人

D.数据完全无法关联到特定个人

答案：C

解析：去标识化（De-identification）是指通过移除或加密直接标识符，使数据在合理场景下无法直接识别个人，但可能通过其他信息重新关联（如结合公开数据库）；匿名化（Anonymization）是彻底无法关联到个人（技术上不可还原）。选项C符合去标识化特征；选项B、D属于匿名化；选项A仅移除直接标识符，可能仍属去标识化但表述不完整。

5.CCPA规定的适用企业需满足的最低年营收标准是？

A.100万美元

B.2500万美元

C.5000万美元

D.1亿美元

答案：B

解析：CCPA（加州消费者隐私法案）适用于满足以下任一条件的企业：（1）年营收≥2500万美元；（2）年度购买、接收或销售5万个以上加州居民的个人数据；（3）50%以上收入来自销售加州居民个人数据。因此正确答案为B。

6.隐私影响评估（PIA）的触发条件通常不包括？

A.采用新型技术处理个人数据（如AI画像）

B.大规模收集敏感个人数据（如健康信息）

C.常规的客户信息登记（如姓名、电话）

D.跨境数据传输至隐私保护水平不足的国家

答案：C

解析：PIA需在高风险数据处理活动前开展，包括新型技术应用、敏感数据处理、跨境传输等高风险场景。常规的低风险数据收集（如客户登记基础信息）通常无需PIA，因此选项C正确。

7.欧盟“标准合同条款”（SCCs）的主要作用是？

A.用于企业内部数据安全培训

B.作为跨境数据传输的合规机制

C.规定数据主体的访问权范围

D.明确数据控制者与处理者的责任

答案：B

解析：SCCs是欧盟委员会批准的标准合同模板，用于数据控制者/处理者向欧盟境外传输个人数据时，通过合同约束接收方履行与GDPR等效的保护义务，是跨境传输的主要合规机制之一。选项B正确；选项D是数据处理协议（DPA）的作用。

8.隐私政策的法律要求不包括？

A.以清晰、易懂的语言表述

B.仅需在企业官网展示

C.明确个人数据的收集目的

D.说明数据共享的第三方信息

答案：B

解析：隐私政策需遵循“透明性”原则，要求以清晰、易懂的语言（选项A），明确收集目的（选项C）、共享对象（选项D）等关键信息，且需在数据收集时向用户提供（如App首次启动时弹窗、网站显著位置），而非仅官网展示（选项B错误）。

9.根据GDPR，数据控制者发现数据泄露后需向监管机构报告的最长时限是？

A.24小时

B.48小时

C.72小时

D.1周

答案：C

解析：GDPR第33条规定，数据控制者需在“知道数据泄露后72小时内”向监管机构报告（若无