2025年数据隐私合规师（DPO）考试题库（附答案和详细解析）（0816）.docxVIP

2025年数据隐私合规师（DPO）考试题库（附答案和详细解析）（0816）

数据隐私合规师（DPO）考试试卷

一、单项选择题（共10题，每题1分，共10分）

依据《通用数据保护条例》（GDPR），个人有权要求企业删除其个人数据，该权利被称为：A.更正权B.删除权C.可携带权D.访问权答案：B解析：删除权（RighttoErasure）允许个人在特定条件下要求企业删除其个人数据，GDPR第17条明确规定了此权利。其他选项中，更正权是修正不准确数据，可携带权是要求以结构化格式获取数据，访问权是查阅个人数据。

在数据分类分级中，“公开数据”通常指：A.企业运营所需的核心业务数据B.经过脱敏处理可对外公开的数据C.未经授权不得泄露的内部数据D.涉及个人隐私的敏感数据答案：B解析：公开数据是指法律允许公开访问且不含个人或商业秘密的数据，如政府公示信息。其他选项中，A是商业机密，C是内部机密数据，D是敏感数据。

以下哪项不属于《个人信息保护法》规定的敏感个人信息？A.生物识别信息B.行踪轨迹信息C.财务账户信息D.宗教信仰信息答案：C解析：根据《个人信息保护法》第46条，敏感个人信息包括生物识别、行踪轨迹、特定身份、宗教信仰等，但未明确将财务账户列为敏感信息（尽管需特殊处理）。其他选项均属于敏感类别。

数据处理者向监管机构报告数据泄露事件时，通常应在多久内启动通知程序？A.24小时内B.48小时内C.72小时内D.7天内答案：C解析：GDPR（第33条）和《个人信息保护法》均要求在发现数据泄露后72小时内通知监管机构。A和B时限过短，D过长。

企业实施”数据最小化原则”的核心要求是：A.仅收集与合同履行直接相关的数据B.收集越多数据越好C.限制内部员工访问权限D.定期销毁过期数据答案：A解析：数据最小化要求仅处理实现特定目的所必需的数据，与合同履行直接相关是典型场景。B违反原则，C是访问控制，D是存储安全措施。

《网络安全法》中”关键信息基础设施运营者”不包括：A.电信运营商B.金融机构C.教育机构D.智能制造企业答案：C解析：关键信息基础设施包括能源、交通、金融、公共事业等，教育机构通常不属于此类。其他选项均属于或可能涉及关键基础设施。

假设某企业通过第三方SDK收集用户行为数据，依据《个人信息保护法》，该企业需：A.仅向用户提供SDK，无需额外说明B.获得用户单独同意，并明确告知SDK用途C.仅在隐私政策中笼统提及，无需单独同意D.仅需获得企业自身业务相关的同意答案：B解析：第三方SDK收集数据属于间接处理，需获得用户明确同意并单独说明（第7条）。其他选项均不符合要求。

数据主体请求查阅其被处理的数据时，企业应当：A.拒绝请求，除非有合理理由B.在5个工作日内提供数据C.要求支付查阅费用D.仅提供数据统计结果答案：B解析：GDPR（《个人信息保护法》类似）要求在1个月内（最长2个月）响应查阅请求。A、C、D均违反规定。

企业使用自动化决策系统（如AI评分）对个人进行特定活动评价时，必须：A.确保决策具有法律依据B.未经个人同意即可实施C.提供人工复核渠道D.仅在金融领域允许答案：C解析：自动化决策需满足透明度、人工干预、存储限制等要求（《个人信息保护法》第24条），必须提供人工复核。其他选项片面。

离职员工离职后，其访问企业内部数据的权限应：A.立即完全撤销B.维持3个月后再撤销C.自动继承给接替者D.由员工自行申请撤销答案：A解析：数据访问权限应随职责终止立即撤销，以防止数据泄露。B、C、D均存在安全隐患。

二、多项选择题（共10题，每题2分，共20分）

《欧盟数据保护条例》（GDPR）中关于数据主体权利的表述正确的有：A.有权撤回同意B.有权要求限制处理C.有权要求数据可移植性D.有权要求企业公开数据算法E.有权要求因错误信息被歧视答案：ABC解析：GDPR赋予个人撤回同意（第7）、限制处理（第18）、数据可移植性（第20）等权利。D和E不属于GDPR明确列举的权利。

企业实施”数据泄露通知计划”时，应包含哪些内容？A.漏洞描述与影响评估B.受影响数据类型与范围C.防范措施与补救建议D.监管机构联系方式E.企业营销计划答案：ABCD解析：通知内容需包括事件性质、影响、补救措施及监管联系信息。E与通知无关。

敏感个人信息的处理限制情形包括：A.为公共利益所必需B.经数据主体明确同意C.为履行劳动合同所必需D.用于科学研究，无替代方案E.数据控制者或处理者自身利益答