I85PREP
⌘ K
IAPP CIPP/CN study materials
IAPP CIPP/CN study resources

IAPP CIPP/CN practice questions

One question at a time. Build your IAPP CIPP/CN understanding.

First 50 of 200 questions. Each one lists the choices, the correct answer, and an explanation. The checker at the top of this page saves progress in this browser when it is available.

Continue in the practice tool above to load more questions, 50 at a time.

Question 1China data protection law and policy

根据《中华人民共和国个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关、采取对个人权益影响最小的方式。这一原则通常被称为什么？

  1. 个人参与原则
  2. 公开透明原则
  3. 目的限制与最小必要原则 Correct answer.
  4. 责任原则

Explanation

《个人信息保护法》第六条要求处理个人信息具有明确、合理的目的，与处理目的直接相关，并采取对个人权益影响最小的方式，收集范围限于实现处理目的的最小范围。这一要求在中国法语境下通常概括为最小必要与目的限制。

Question 2China data protection law and policy

某在线教育平台拟处理不满十四周岁未成年人的个人信息。依据《个人信息保护法》，下列哪项做法最符合该法第三十一条的要求？

  1. 取得未成年人本人书面同意即可处理
  2. 只要在隐私政策中概括提示即可处理
  3. 取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则 Correct answer.
  4. 因属于履行合同所必需，无需取得任何同意

Explanation

第三十一条将不满十四周岁未成年人的个人信息列为敏感个人信息，要求取得父母或者其他监护人的同意，并制定专门的个人信息处理规则。概括提示或仅取得未成年人本人同意都不满足该条要求。

Question 3China data protection law and policy

《个人信息保护法》规定，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正。对于通过自动化决策方式向个人进行信息推送、商业营销的情形，该法赋予个人什么权利？

  1. 要求停止使用其个人信息用于定向推送的权利 Correct answer.
  2. 要求说明算法源代码的权利
  3. 要求更换数据处理者的权利
  4. 要求删除全部历史订单的权利

Explanation

第二十四条要求自动化决策保证透明度和结果公平公正，并规定通过自动化决策方式向个人进行信息推送、商业营销时，应当同时提供不针对其个人特征的选项，或者提供便捷的拒绝方式。因此个人有权拒绝针对其个人特征的定向推送。

Question 4China data protection law and policy

某跨国公司中国子公司拟向境外总部传输员工个人信息。下列哪项属于《个人信息保护法》第三十八条列举的向境外提供个人信息的合法途径？

  1. 通过国家网信部门组织的安全评估、个人信息保护认证或订立标准合同等途径之一 Correct answer.
  2. 取得员工口头同意即可不受任何限制地传输
  3. 在内部制度中声明后即可自行传输
  4. 仅在中国境内完成个人信息保护影响评估即可

Explanation

第三十八条规定，向境外提供个人信息应当具备法定条件之一，包括通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、订立标准合同等。仅做影响评估或内部声明不构成出境合法途径。

Question 5China data protection law and policy

依据《个人信息保护法》，个人信息处理者应当指定个人信息保护负责人的人员范围是？

  1. 仅有外商投资企业
  2. 所有在中国境内注册的企业
  3. 处理个人信息达到国家网信部门规定数量的处理者，以及处理敏感个人信息的处理者 Correct answer.
  4. 仅有处理不满十四周岁未成年人信息的处理者

Explanation

第五十二条规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人；处理敏感个人信息的处理者也应指定。该义务并非普遍适用于所有企业。

Question 6China data protection law and policy

某App在用户注册时默认勾选“同意将我的个人信息用于第三方营销”，用户未取消勾选即完成注册。依据《个人信息保护法》，该同意最可能被认定为何种问题？

  1. 效力待定，需事后由监管机关确认
  2. 无效，因为基于个人同意处理个人信息应当由个人自愿、明确作出，默认勾选不构成明确同意 Correct answer.
  3. 有效，因为用户有机会取消勾选
  4. 有效，因为属于履行合同所必需

Explanation

第十四条要求基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。默认勾选、预先勾选等方式不能体现个人的明确意思表示，通常不被认可为有效同意。

Question 7China data protection law and policy

《数据安全法》建立的数据分类分级保护制度，要求各地区、各部门确定重要数据具体目录。下列哪项是该法确立的重要数据目录确定机制？

  1. 由行业协会统一发布
  2. 各地区、各部门按照数据分类分级保护制度确定本地区、本部门以及相关行业、领域的重要数据具体目录 Correct answer.
  3. 由国家网信部门会同国务院有关部门统一确定
  4. 由各企业自行确定并报备

Explanation

《数据安全法》第二十一条规定国家建立数据分类分级保护制度，各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。

Question 8China data protection law and policy

依据《个人信息保护法》，个人信息处理者发现其处理个人信息的目的、方式等发生变更时，应当如何处理？

  1. 应当重新取得个人同意 Correct answer.
  2. 无需任何动作，原同意继续有效
  3. 只需在年度报告中说明
  4. 只需通知个人信息保护负责人

Explanation

第十四条第二款规定，个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。原同意仅覆盖原处理活动，不能自动延伸至变更后的处理。

Question 9China data protection law and policy

某银行拟处理客户金融账户信息。依据《个人信息保护法》第二十九条，处理敏感个人信息应当满足的同意要求是？

  1. 取得个人的概括同意
  2. 取得行业主管部门的同意
  3. 取得个人的单独同意 Correct answer.
  4. 取得客户经理的确认

Explanation

第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。金融账户属于敏感个人信息，需单独同意。

Question 10China data protection law and policy

个人信息处理者违反《个人信息保护法》规定处理个人信息，情节严重的，可能面临下列哪项处罚？

  1. 仅被列入经营异常名录
  2. 由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款 Correct answer.
  3. 仅对直接责任人处以行政拘留
  4. 仅被责令改正，不涉及罚款

Explanation

第六十六条规定，违法处理个人信息情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，还可责令暂停相关业务或吊销业务许可。

Question 11China data protection law and policy

某电商平台与第三方广告商合作，向其提供用户浏览记录用于精准投放。依据《个人信息保护法》第二十三条，该平台应当履行的义务是？

  1. 仅需在事后向监管机关备案
  2. 无需告知用户，因为属于正常商业合作
  3. 向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意 Correct answer.
  4. 仅需与广告商签订保密协议

Explanation

第二十三条规定，向其他个人信息处理者提供个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应在上述范围内处理。

Question 12China data protection law and policy

依据《个人信息保护法》，个人信息保护影响评估报告和处理情况记录应当至少保存多长时间？

  1. 十年
  2. 三年 Correct answer.
  3. 一年
  4. 五年

Explanation

第五十六条规定，个人信息保护影响评估报告和处理情况记录应当至少保存三年。该记录用于证明处理活动符合法律要求，便于监管核查。

Question 13China data protection law and policy

某公司拟开展人脸识别门禁项目。依据《个人信息保护法》第五十五条，下列哪项情形应当事前进行个人信息保护影响评估？

  1. 发布年度社会责任报告
  2. 使用云计算服务
  3. 处理敏感个人信息 Correct answer.
  4. 员工人数超过一百人

Explanation

第五十五条列举了应当事前进行个人信息保护影响评估并记录处理情况的情形，包括处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供、公开个人信息、向境外提供个人信息等。人脸信息属于敏感个人信息。

Question 14China data protection law and policy

《个人信息保护法》第五十八条要求提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者履行额外义务。下列哪项属于该条规定的义务？

  1. 每季度向用户分红
  2. 成立主要由外部成员组成的独立机构对个人信息保护情况进行监督 Correct answer.
  3. 将全部数据迁移至境外
  4. 停止一切个性化推荐

Explanation

第五十八条要求此类平台成立主要由外部成员组成的独立机构对个人信息保护情况进行监督，并制定平台规则、对严重违法处理个人信息的平台内产品或者服务提供者停止提供服务、定期发布个人信息保护社会责任报告。

Question 15China data protection law and policy

某企业委托外部客服公司处理客户个人信息。依据《个人信息保护法》第二十一条，下列哪项描述正确？

  1. 委托方应当与受托方约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务，并对受托方的处理活动进行监督 Correct answer.
  2. 委托方无需对受托方进行任何监督
  3. 受托方可以自行决定将信息用于其他目的
  4. 受托方可以直接对外提供该信息而无需委托方同意

Explanation

第二十一条要求委托处理时约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，委托方并对受托方的处理活动进行监督。受托方应按约定处理，不得超出约定目的和方式。

Question 16China data protection law and policy

《个人信息保护法》第十三条规定了处理个人信息的合法性基础。下列哪项不属于该条列举的合法性基础？

  1. 为应对突发公共卫生事件所必需
  2. 为提升企业广告转化率所必需 Correct answer.
  3. 为订立、履行个人作为一方当事人的合同所必需
  4. 为履行法定职责或者法定义务所必需

Explanation

第十三条规定了取得同意、订立或履行合同所必需、履行法定职责或义务所必需、应对突发公共卫生事件或紧急情况下保护生命健康财产所必需、在合理范围内处理已公开信息等合法性基础。提升广告转化率不属于其中任何一项。

Question 17China data protection law and policy

某公司在公共场所安装图像采集设备。依据《个人信息保护法》第二十六条，下列哪项要求正确？

  1. 只要用于商业分析即可安装
  2. 只需事后告知附近居民
  3. 为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识 Correct answer.
  4. 可以在任何场所随意安装并公开传播所收集的图像

Explanation

第二十六条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的。

Question 18China data protection law and policy

依据《个人信息保护法》，个人请求查阅、复制其个人信息的，个人信息处理者应当如何处理？

  1. 一律拒绝，因为属于商业秘密
  2. 仅在有法院判决时提供
  3. 仅向监管机关提供
  4. 应当及时提供，但法律、行政法规规定应当保密或者无需提供的除外 Correct answer.

Explanation

第四十五条规定，个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第十九条规定情形的除外。个人请求查阅、复制的，个人信息处理者应当及时提供。

Question 19China data protection law and policy

某用户注销账户后要求平台删除其个人信息。依据《个人信息保护法》第四十七条，下列哪项属于应当主动删除个人信息的法定情形？

  1. 平台计划推出新产品
  2. 用户连续三个月未登录
  3. 处理目的已实现、无法实现或者为实现处理目的不再必要 Correct answer.
  4. 用户更换了手机号码

Explanation

第四十七条规定，处理目的已实现、无法实现或者为实现处理目的不再必要，个人信息处理者停止提供产品或者服务，或者保存期限已届满，个人撤回同意等情形下，应当主动删除个人信息。

Question 20China data protection law and policy

《个人信息保护法》第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行何种活动？

  1. 合规审计 Correct answer.
  2. 环境评估
  3. 税务稽查
  4. 财务审计

Explanation

第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。该义务强调对处理活动合法性的定期自查。

Question 21China data protection law and policy

某处理者依据《个人信息保护法》第五十二条指定了个人信息保护负责人。关于该负责人的职责，下列哪项描述最准确？

  1. 负责对外签署所有商业合同
  2. 代替法定代表人承担全部法律责任
  3. 负责对个人信息处理活动以及采取的保护措施等进行监督 Correct answer.
  4. 负责公司全部市场营销决策

Explanation

第五十二条规定，个人信息保护负责人负责对个人信息处理活动以及采取的保护措施等进行监督。其职责限于个人信息保护相关的监督与协调，不替代企业法定代表人的法律责任。

Question 22China data protection law and policy

某App运营者拟将用户的生物识别信息用于身份核验。依据《个人信息保护法》，下列哪项组合最符合该法对敏感个人信息处理的要求？

  1. 仅需通过技术手段加密即可
  2. 仅需取得用户注册时的概括同意
  3. 具有特定目的和充分必要性、取得单独同意、履行告知义务并事前进行个人信息保护影响评估 Correct answer.
  4. 仅需在隐私政策中列明即可

Explanation

处理敏感个人信息需具有特定目的和充分必要性并采取严格保护措施，取得个人的单独同意，履行告知义务，并按第五十五条事前进行个人信息保护影响评估并记录处理情况。多项义务需同时满足。

Question 23China data protection law and policy

依据《数据安全法》，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。该审查的性质是？

  1. 仅适用于外商投资企业
  2. 可以由企业自愿选择是否申请
  3. 仅针对个人信息的跨境传输
  4. 属于法定的安全审查，依法作出的审查决定为最终决定 Correct answer.

Explanation

《数据安全法》第二十四条规定国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查，依法作出的审查决定为最终决定。该制度属于强制性安全审查。

Question 24China data protection law and policy

某企业因业务需要保存个人信息，法律、行政法规规定的最短保存期限尚未届满，但个人请求删除。依据《个人信息保护法》第四十七条，处理者应当如何处理？

  1. 可以不予删除，但应当停止除存储和采取必要安全保护措施之外的处理 Correct answer.
  2. 立即删除，无需考虑其他规定
  3. 可以继续全面使用该信息
  4. 应当将信息转移给第三方保存

Explanation

第四十七条规定，法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。

Question 25China data protection law and policy

依据《个人信息保护法》第十七条，个人信息处理者在处理个人信息前应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知的事项包括？

  1. 处理者的年度利润预测
  2. 处理者的名称和联系方式、处理目的、处理方式、个人信息种类和保存期限等 Correct answer.
  3. 处理者的注册资本与股权结构
  4. 处理者全体员工的姓名

Explanation

第十七条要求告知个人信息处理者的名称或者姓名和联系方式，个人信息的处理目的、处理方式、个人信息种类、保存期限，以及个人行使权利的方式和程序等。告知内容以处理活动为核心。

Question 26China data protection law and policy

《中华人民共和国个人信息保护法》的施行日期是下列哪一项？

  1. 2022年3月1日
  2. 2021年11月1日 Correct answer.
  3. 2020年10月1日
  4. 2021年1月1日

Explanation

《个人信息保护法》于2021年8月20日通过，自2021年11月1日起施行。该日期是该法适用的起点，也是考试中常考的基础时间点。

Question 27China data protection law and policy

依据《个人信息保护法》，处理个人信息应当遵循的原则不包括下列哪一项？

  1. 目的明确和直接相关原则
  2. 合法、正当、必要和诚信原则
  3. 公开透明原则
  4. 数据本地化存储原则 Correct answer.

Explanation

该法第五条、第六条确立的是合法正当必要诚信、目的明确、最小必要、公开透明、质量保证和安全保障等原则。数据本地化存储并非该法规定的通用处理原则，仅在特定主体和特定情形下另有要求。

Question 28China data protection law and policy

依据《个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这一要求通常被概括为什么原则？

  1. 公开透明原则
  2. 安全保障原则
  3. 最小必要原则 Correct answer.
  4. 质量保证原则

Explanation

第六条要求处理个人信息应当与处理目的直接相关，并采取对个人权益影响最小的方式，收集个人信息应当限于实现处理目的的最小范围。这一内容通常被称为最小必要原则，是判断处理行为是否适度的核心标准。

Question 29China data protection law and policy

某健身应用在用户首次打开时弹出隐私政策，用户点击“同意”后即可使用全部功能，同时该应用也提供“仅使用基础功能”的选项。依据《个人信息保护法》第十六条，下列哪项描述最准确？

  1. 该应用不得以个人不同意处理其个人信息为由拒绝提供基本功能服务 Correct answer.
  2. 该应用必须强制用户同意全部条款才能注册
  3. 该应用可以因用户拒绝同意而拒绝提供任何服务
  4. 该应用可以因用户拒绝同意而收取额外费用

Explanation

第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，但处理个人信息属于提供产品或者服务所必需的除外。因此对于非必需的处理，处理者不得以拒绝同意为由拒绝提供基本功能服务。

Question 30China data protection law and policy

依据《个人信息保护法》，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得下列哪一主体的同意？

  1. 未成年人所在地居民委员会的同意
  2. 未成年人的父母或者其他监护人同意 Correct answer.
  3. 未成年人本人单独同意
  4. 未成年人所在学校的同意

Explanation

第三十一条规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。该条将十四周岁以下未成年人的个人信息纳入敏感个人信息范畴予以加强保护。

Question 31China data protection law and policy

依据《个人信息保护法》，个人信息处理者向境外提供个人信息的，下列哪项描述正确？

  1. 仅需在隐私政策中概括说明可能向境外提供即可
  2. 只要取得个人同意即可不受任何其他限制地出境
  3. 向境外提供个人信息无需告知个人任何事项
  4. 应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意 Correct answer.

Explanation

第三十九条规定，向境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。告知与单独同意是跨境提供的前置义务，此外还需满足第三十八条规定的其他条件。

Question 32China data protection law and policy

某跨国企业拟将中国境内收集的个人信息传输至境外总部。依据《个人信息保护法》第三十八条，下列哪项不属于该条列举的跨境提供条件？

  1. 在境外设立分支机构并自行决定 Correct answer.
  2. 与境外接收方订立标准合同
  3. 通过国家网信部门组织的安全评估
  4. 经专业机构进行个人信息保护认证

Explanation

第三十八条列举的条件包括通过安全评估、经专业机构认证、订立标准合同以及法律行政法规或网信部门规定的其他条件。自行在境外设立分支机构并不构成该条规定的独立合法路径。

Question 33China data protection law and policy

依据《个人信息保护法》，个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。这一规定体现了下列哪项原则？

  1. 安全保障原则 Correct answer.
  2. 公开透明原则
  3. 告知同意原则
  4. 目的限制原则

Explanation

第九条要求个人信息处理者对其处理活动负责并采取必要措施保障安全，第五十一条进一步规定了制定内部管理制度、分类管理、加密去标识化、权限管理等措施。这体现的是安全保障与问责的要求。

Question 34China data protection law and policy

某数据处理者拟委托云服务商存储其客户个人信息。依据《个人信息保护法》第二十一条，下列哪项描述正确？

  1. 委托方无需对受托方的处理活动进行监督
  2. 委托方应当与受托方约定委托处理的目的、期限、处理方式、个人信息种类、保护措施以及双方的权利义务 Correct answer.
  3. 受托方可以自行决定将个人信息用于其自身营销
  4. 受托方可以自由转委托给第三方而无需告知委托方

Explanation

第二十一条要求委托处理时约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，并进行监督；受托方应当按照约定处理，不得超出约定目的方式处理，未经委托方同意不得转委托。

Question 35China data protection law and policy

依据《个人信息保护法》，两个个人信息处理者共同决定处理目的和处理方式的，下列哪项描述正确？

  1. 各自独立处理，互不承担连带责任
  2. 由后处理的一方单独承担全部责任
  3. 应当约定各自的权利和义务，但该约定不影响个人向其中任一处理者要求行使权利 Correct answer.
  4. 共同处理无需向个人告知任何事项

Explanation

第二十条规定，共同处理个人信息的，应当约定各自的权利和义务，但该约定不影响个人向其中任何一个处理者要求行使权利；造成损害的，应当依法承担连带责任。

Question 36China data protection law and policy

依据《个人信息保护法》，个人对其个人信息的处理享有下列哪项权利？

  1. 仅享有知情权
  2. 仅享有删除权
  3. 享有知情、决定权，有权限制或者拒绝他人对其个人信息进行处理 Correct answer.
  4. 仅享有查阅权

Explanation

第四十四条规定，个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理，法律、行政法规另有规定的除外。这一条确立了个人在信息处理中的自主地位。

Question 37China data protection law and policy

某用户认为平台处理的其个人信息不准确，要求平台更正。依据《个人信息保护法》第四十六条，下列哪项描述正确？

  1. 只有经法院判决后才能要求更正
  2. 个人发现其个人信息不准确或者不完整的，有权请求处理者更正、补充 Correct answer.
  3. 更正请求只能由监护人提出
  4. 平台可以以信息来源于第三方为由拒绝更正

Explanation

第四十六条规定，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充；处理者应当对其个人信息予以核实，并及时更正、补充。

Question 38China data protection law and policy

依据《个人信息保护法》第四十五条，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当如何处理？

  1. 要求个人另行付费
  2. 一律拒绝
  3. 仅提供纸质副本
  4. 提供转移的途径 Correct answer.

Explanation

第四十五条规定，个人请求查阅、复制其个人信息的，处理者应当及时提供；请求将个人信息转移至其指定的处理者且符合网信部门规定条件的，处理者应当提供转移的途径。这通常被称为可携带权。

Question 39China data protection law and policy

某互联网平台依据《个人信息保护法》第五十二条指定了个人信息保护负责人。关于该负责人的职责，下列哪项描述最准确？

  1. 负责审批平台的财务预算
  2. 负责代表平台对外签署所有商业合同
  3. 负责决定平台是否上市
  4. 负责对个人信息处理活动以及采取的保护措施等进行监督 Correct answer.

Explanation

第五十二条规定，处理个人信息达到网信部门规定数量的处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督，并公开负责人的联系方式并报送主管部门。其职责集中于个人信息保护监督。

Question 40China data protection law and policy

某企业处理个人信息未达到网信部门规定数量，但处理敏感个人信息。依据《个人信息保护法》第五十二条，关于个人信息保护负责人的要求，下列哪项描述正确？

  1. 未达到规定数量的处理者不需要强制指定，但可根据需要指定 Correct answer.
  2. 所有处理者无论规模都必须指定
  3. 只有外资企业必须指定
  4. 只有达到规定数量的处理者才必须指定，其他处理者一律不得指定

Explanation

第五十二条的强制指定义务针对处理个人信息达到网信部门规定数量的处理者。未达到该数量的处理者不承担强制指定义务，但法律并不禁止其根据自身情况指定负责人以加强合规管理。

Question 41China data protection law and policy

依据《个人信息保护法》第五十五条，个人信息处理者开展下列哪项活动前应当进行个人信息保护影响评估？

  1. 利用个人信息进行自动化决策 Correct answer.
  2. 仅在员工入职时收集身份证复印件
  3. 在公司内部发布年度财务报表
  4. 采购办公电脑设备

Explanation

第五十五条列举的情形包括处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向他人提供、公开个人信息、向境外提供以及其它对个人权益有重大影响的处理活动，均应当事前进行个人信息保护影响评估并记录处理情况。

Question 42China data protection law and policy

依据《个人信息保护法》第二十四条，通过自动化决策方式向个人进行信息推送、商业营销的，应当满足下列哪项要求？

  1. 无需向个人提供任何选择
  2. 只能通过短信方式进行
  3. 应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式 Correct answer.
  4. 必须取得个人的书面同意且不得拒绝

Explanation

第二十四条规定，利用个人信息进行自动化决策应当保证决策的透明度和结果公平公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；向个人推送信息、商业营销的，应当同时提供不针对其个人特征的选项或便捷的拒绝方式。

Question 43China data protection law and policy

某公司利用个人信息进行自动化决策，对老客户显示更高价格。依据《个人信息保护法》第二十四条，该做法最可能被认定为什么问题？

  1. 对个人在交易价格等交易条件上实行不合理的差别待遇 Correct answer.
  2. 正常的市场促销行为
  3. 符合最小必要原则的做法
  4. 合法的差异化定价

Explanation

第二十四条明确禁止利用自动化决策对个人在交易价格等交易条件上实行不合理的差别待遇。基于个人信息对老客户实施价格歧视，属于该条禁止的情形，同时还需保证决策透明度和结果公平公正。

Question 44China data protection law and policy

依据《个人信息保护法》第四十九条，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使哪些权利？

  1. 只能行使删除权
  2. 必须经法院许可后才能行使
  3. 可以行使查阅、复制、更正、删除等权利，死者生前另有安排的除外 Correct answer.
  4. 不得行使任何权利

Explanation

第四十九条规定，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利，死者生前另有安排的除外。该条体现了对死者个人信息与近亲属利益的平衡。

Question 45China data protection law and policy

依据《个人信息保护法》第六十六条，情节严重的违法行为，罚款上限可以达到多少？

  1. 上一年度营业额百分之五或者五千万元，以较高者为准 Correct answer.
  2. 一百万元
  3. 上一年度营业额百分之一
  4. 五百万元

Explanation

第六十六条规定，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，以较高者为准，还可责令暂停相关业务或吊销业务许可。

Question 46China data protection law and policy

依据《个人信息保护法》第六十八条，国家机关不履行本法规定的个人信息保护义务的，应当如何处理？

  1. 仅需公开道歉
  2. 无需承担任何责任
  3. 仅由直接责任人员承担刑事责任
  4. 由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分 Correct answer.

Explanation

第六十八条规定，国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。该条明确了国家机关的问责路径。

Question 47China data protection law and policy

依据《个人信息保护法》第五十条，个人行使本法规定的权利，个人信息处理者应当如何处理？

  1. 应当建立便捷的个人行使权利的申请受理和处理机制，拒绝申请时应当说明理由 Correct answer.
  2. 只能通过邮寄方式受理
  3. 可以不予理睬
  4. 必须要求个人支付高额手续费

Explanation

第五十条规定，个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制；个人要求行使权利被拒绝的，处理者应当说明理由。个人还可以依法向人民法院提起诉讼。

Question 48China data protection law and policy

某App运营者收集用户行踪轨迹信息。依据《个人信息保护法》第二十八条，行踪轨迹属于下列哪类信息？

  1. 匿名化信息
  2. 一般个人信息
  3. 敏感个人信息 Correct answer.
  4. 公开信息

Explanation

第二十八条列举的敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。行踪轨迹能够反映个人活动情况，属于敏感个人信息，需适用更严格的处理规则。

Question 49China data protection law and policy

某企业拟处理员工的医疗健康信息。依据《个人信息保护法》第二十八条至第三十条，下列哪项组合最符合该法对敏感个人信息处理的要求？

  1. 仅需取得一般同意，无需告知处理必要性
  2. 仅需在员工手册中概括说明即可
  3. 具有特定目的和充分必要性，采取严格保护措施，取得单独同意，并向个人告知处理必要性及对个人权益的影响 Correct answer.
  4. 无需取得任何同意，只要企业认为有必要

Explanation

第二十八条至第三十条要求处理敏感个人信息具有特定目的和充分必要性，采取严格保护措施，取得个人的单独同意，并向个人告知处理敏感个人信息的必要性以及对个人权益的影响。医疗健康信息属于敏感个人信息，应适用上述规则。

Question 50China data protection law and policy

依据《个人信息保护法》第五十条，个人认为个人信息处理者处理其个人信息侵害其合法权益的，可以采取下列哪项救济途径？

  1. 只能向媒体投诉
  2. 可以依法向人民法院提起诉讼 Correct answer.
  3. 必须先申请仲裁
  4. 只能向公安机关报案

Explanation

第五十条规定，个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。该条为个人权利提供了司法救济渠道，与向履行个人信息保护职责的部门投诉举报并行。