短答案

按累计人数与数据性质分三档：

标准合同与认证之间可以互换，取决于接收方是否愿意签署、以及出境场景的数量。认证的优势是一次认证覆盖多个场景。

边界条件

• 人数自当年 1 月 1 日起累计，不是按单次传输。 按自然人去重，同一用户多次传输只计一次。
• 敏感个人信息单独计数，门槛远低于一般个人信息。 1 万人即触发安全评估。敏感个人信息包括生物识别、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人的信息等。
• 匿名化数据不计入；去标识化仍属个人信息，需要计入。 两者不是一回事。
• 豁免不等于免于告知与同意。 对外告知与单独同意的义务仍在。
• 关联公司之间的传输不构成豁免。 境内子公司向境外母公司报送用户数据或经营数据，仍属出境，应一并纳入场景清单。
• 接收方不签标准合同时，可改走认证，或在采购合同中前置该条款。 这是路径选择中最常见的变量。
• 自贸试验区负面清单外的数据出境，按清单规则可免于上述程序。 这是区域性豁免，不是全国通行规则，适用前要核对所在片区与清单范围。

下一步

1. 做一次字段级盘点。 日志、订单、客服系统分散在不同库中，多数企业的问题不是算不出来，而是没有按用户维度归集。
2. 把关联方列为接收方。 只统计对外 API、漏掉集团内共享，是最常见的范围错误。
3. 建立阈值预警。 人数接近门槛时不要按豁免处理；新增模型供应商、改变交付方式时重新评估。
4. 按十二周倒排。 场景盘点、路径判断、PIA 与告知同意、合同谈判、备案或申报、制度与监控；安全评估的审查时间不计入，需按上线日往前推至少六个月。

相关服务：数据合规、跨境与出海。

出处：《数据出境：三条路径怎么选、什么时候必须申报、预算怎么估》、《网信办〈数据出境安全管理政策问答〉：重要数据的识别与申报路径》

本文为存量研究文章的问答化改写，完整论证与法规依据见出处文章。最后更新：2026 年 11 月 4 日。