个人信息保护合规审计人员（中级）能力测试试卷

考试说明：

• 考试方式：闭卷、笔试
• 试卷满分：100分
• 考试时间：120分钟
• 题型：单选题、多选题、判断题、简答题、案例分析题

一、单项选择题（每题2分，共10题，共计20分）

1. 根据《个人信息保护法》，个人信息处理者委托他人处理个人信息的，应当与受托人约定委托处理的（ ），并对受托人的个人信息处理活动进行监督。

A. 目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务

B. 目的、范围、期限、费用标准

C. 处理方式、数据格式、存储位置

D. 个人信息数量、处理效率、服务质量

答案：A

解析： 本题考查委托处理个人信息的法定要求。《个人信息保护法》第二十一条规定："个人信息处理者委托他人处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务，并对受托人的个人信息处理活动进行监督。"1 选项B、C、D均不完整，缺少法定的核心要素。

2. 下列关于敏感个人信息的说法，正确的是（ ）。

A. 敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息

B. 处理敏感个人信息只需取得个人同意即可

C. 敏感个人信息可以与一般个人信息采用相同的保护措施

D. 处理敏感个人信息不需要进行个人信息保护影响评估

答案：A

解析： 本题考查敏感个人信息的定义和处理要求。《个人信息保护法》第二十八条规定："敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。" 选项B错误，处理敏感个人信息需取得个人的单独同意；选项C错误，敏感个人信息需要采取更严格的保护措施；选项D错误，处理敏感个人信息应当进行个人信息保护影响评估。

3. 处理超过1000万人个人信息的个人信息处理者个人信息保护合规审计的频率，应当（ ）。

A. 至少每年进行一次

B. 至少每两年进行一次

C. 至少每三年进行一次

D. 根据企业自行决定，无强制要求

答案：B

解析： 本题考查合规审计的频率要求。根据《个人信息保护合规审计管理办法》相关规定，个人信息处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计，处理超过1000万人个人信息的个人信息处理者至少每两进行一次。选项A、C、D均不符合监管要求。

4. 下列关于个人信息保护影响评估（PIA）的说法，错误的是（ ）。

A. PIA是个人信息处理者在处理个人信息前应当进行的风险评估活动

B. 处理敏感个人信息应当进行PIA

C. PIA报告应当至少保存三年

D. PIA可以替代合规审计

答案：D

解析： 本题考查PIA与合规审计的关系。《个人信息保护法》第五十五条规定，处理敏感个人信息、利用个人信息进行自动化决策、向境外提供个人信息等情形，应当进行个人信息保护影响评估。PIA报告应当至少保存三年，且PIA不能替代合规审计，二者是不同的合规管理工具。选项D错误，PIA和合规审计是互补关系，不能相互替代。

5. 个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当（ ）。

A. 告知个人接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意

B. 只需告知个人接收方的名称即可

C. 不需要告知个人，只需内部记录

D. 告知个人后无需取得同意

答案：A

解析： 本题考查向第三方提供个人信息的合规要求。《个人信息保护法》第二十三条规定："个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。"选项B、C、D均不符合法定要求。

6. 下列关于共同处理个人信息的说法，正确的是（ ）。

A. 共同处理个人信息的，共同个人信息处理者应当约定各自的权利和义务

B. 共同处理个人信息不需要告知个人

C. 共同处理者中只有一方需要承担法律责任

D. 共同处理个人信息不需要签订书面协议

答案：A

解析： 本题考查共同处理个人信息的合规要求。《个人信息保护法》第二十条规定："两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。"选项B错误，共同处理仍需履行告知义务；选项C错误，共同处理者均可能承担法律责任；选项D错误，应当签订书面协议明确各自权利义务。

7. 个人信息处理者因合并、重组、分立、解散、被宣告破产等原因需要转移个人信息的，应当（ ）。

A. 向个人告知接收方的名称或者姓名和联系方式

B. 无需告知个人，直接转移

C. 只需内部审批即可

D. 告知监管部门即可

答案：A

解析： 本题考查个人信息转移的告知义务。《个人信息保护法》第二十二条规定："个人信息处理者因合并、重组、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。"选项B、C、D均不符合法定告知要求。

8. 下列关于自动化决策的说法，错误的是（ ）。