短答案
自当年 1 月 1 日起累计，按自然人去重，同一用户多次传输只计一次。敏感个人信息单独计数，门槛远低于一般个人信息。
门槛对应关系：不满 10 万人（不含敏感）可豁免；10 万至 100 万人走标准合同或认证；100 万人以上，或敏感个人信息 1 万人以上，或涉及重要数据，须申报安全评估。
边界条件
- 去重按人，不按条。 同一用户一年内传输一百次，也只计一人。
- 匿名化数据不计入；去标识化仍属个人信息，需要计入。 匿名化要求无法复原，去标识化只是移除直接标识，两者法律效果不同。
- 敏感个人信息单独统计。 包括生物识别、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人的信息等；一般个人信息与敏感个人信息不能合并计算后再套用一般门槛。
- 累计不是「自首次传输起」。 每年 1 月 1 日重新起算，跨年度的旧传输不叠加。
- 人数算不出来，通常是归集问题而不是口径问题。 日志、订单、客服系统分散在不同库中，没有按用户维度归集，就无法得出可用数字。
下一步
- 做一次字段级盘点。 把各系统中的个人信息字段映射到用户 ID，再按人去重。
- 单独建敏感个人信息统计。 与一般个人信息的数字分开记录，避免混算。
- 设置阈值预警。 人数接近 10 万或 100 万时提前启动路径准备，不要等到跨过门槛才处理。
相关服务：数据合规。
出处：《数据出境：三条路径怎么选、什么时候必须申报、预算怎么估》
本文为存量研究文章的问答化改写，完整论证与法规依据见出处文章。最后更新：2026 年 11 月 4 日。