2025年数据隐私合规师（DPO）考试题库（附答案和详细解析）（0930）.docxVIP

数据隐私合规师（DPO）考试试卷

一、单项选择题（共10题，每题1分，共10分）

根据《个人信息保护法》，数据隐私合规师（DPO）的直接报告对象应为：

A.法务部门负责人

B.董事会或类似决策机构

C.信息技术部门负责人

D.市场营销部门负责人

答案：B

解析：《个人信息保护法》第五十二条规定，个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施进行监督，并直接向本组织的主要负责人报告工作。董事会或类似决策机构属于主要负责人的决策层级，因此选B。其他选项为具体执行部门，不符合“直接报告”要求。

以下哪项属于“去标识化”与“匿名化”的核心区别？

A.去标识化需技术处理，匿名化无需技术处理

B.去标识化后仍可能结合其他信息识别特定自然人，匿名化不能

C.去标识化受《个人信息保护法》约束，匿名化不受约束

D.去标识化仅适用于境内数据，匿名化适用于跨境数据

答案：B

解析：《个人信息保护法》第四条明确，个人信息是“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”。去标识化是“对个人信息进行处理，使其在不借助额外信息的情况下无法识别特定自然人”，但仍可能通过其他信息关联识别；匿名化则是“无法通过任何方式识别特定自然人”，因此不再属于个人信息。选项B正确，C错误（匿名化后不受约束）；A、D无法律依据。

某电商平台收集用户的“收货地址”，其处理目的合法性的核心依据是：

A.用户注册时勾选的《隐私政策》

B.与平台提供商品配送服务的直接相关性

C.行业惯例中“默认收集地址信息”

D.平台与物流服务商的合作协议

答案：B

解析：《个人信息保护法》第十三条规定，处理个人信息的合法性基础包括“为履行合同所必需”。电商平台收集收货地址是为了履行商品配送的合同义务，属于直接相关的必要处理，因此选B。A是告知同意的形式，C、D不构成合法性基础。

以下哪项不属于数据隐私影响评估（DPIA）的必选内容？

A.个人信息的种类、数量及敏感程度

B.处理活动对个人权益的潜在风险

C.数据处理系统的技术架构细节

D.已采取的风险缓解措施

答案：C

解析：《个人信息保护法》第五十五条规定，DPIA应包括“个人信息的处理目的、处理方式等是否合法、正当、必要”“对个人权益的影响及风险”“所采取的保护措施是否合法、有效并与风险程度相适应”。技术架构细节属于技术实现层面，非必选内容，因此选C。

根据GDPR，个人信息主体的“数据可携带权”要求处理者提供的信息格式应为：

A.加密的专有格式

B.结构化、通用且机器可读的格式

C.纸质文件扫描件

D.处理者内部系统的原始数据格式

答案：B

解析：GDPR第20条规定，数据可携带权要求处理者以“结构化、通用且机器可读的格式”向主体提供其个人信息，以便在不同处理者之间传输。选项B正确，其他格式不符合“可携带”的技术要求。

某医疗机构拟将患者诊疗数据用于医学研究，需优先取得患者的：

A.一般同意

B.书面同意

C.单独同意

D.无需同意（因涉及公共健康）

答案：C

解析：《个人信息保护法》第二十三条规定，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。医疗数据属于敏感个人信息（第二十八条），用于研究需单独同意，因此选C。

以下哪项属于“敏感个人信息”？

A.普通用户的手机号码

B.企业员工的考勤记录

C.未成年人的13周岁生日信息

D.电商用户的历史购物清单

答案：C

解析：《个人信息保护法》第二十八条规定，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。选项C中“未成年人的生日信息”属于“不满十四周岁未成年人的个人信息”，因此为敏感信息；其他选项为普通个人信息。

数据跨境传输时，若接收方所在国被我国认定为“具有充分保护水平”，则可适用的合规路径是：

A.签订标准合同

B.通过安全评估

C.无需额外合规（直接传输）

D.取得认证

答案：C

解析：《数据出境安全评估办法》第四条规定，数据出境符合“数据接收方所在国家或者地区已经通过我国国家网信部门认定具有充分的数据保护水平”的，可免于安全评估。因此选C，其他选项为其他情形的合规路径。

个人信息处理者未按规定公开DPO的联系方式，可能面临的最高行政处罚是：

A.警告

B.50万元以下罚款

C.上一年度营业额5%以下罚款

D.责令暂停业务

答案：B

解析：《个人信息保护法》第六十六条规定，未履行“指定个人信息保护负责人并公开其联系方式”义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收