2010年，中国明确要求谷歌把境内用户的数据留在国内，不能随意传到境外。谷歌不愿接受，干脆退出中国市场。消息一出，西方媒体立刻群起指责，给中国扣上“封闭市场”“限制自由”的帽子。可十六年后再回头看，事情真是这么简单吗？

这段话很抓人，但并不完全准确。2010年，谷歌将中国内地搜索服务转到香港，公开争议的直接焦点，是谷歌停止按照中国法律对有害信息进行过滤，并不是今天已经成形的数据本地化制度；

谷歌也没有把所有在华业务一次性清空。因此，把“数据必须存在国内”写成当年退出的唯一原因，容易造成时间线混乱。

但核心问题没有变：任何跨国平台进入中国市场，都必须遵守中国法律，不能因为掌握技术、流量和大量用户，就要求获得特殊待遇。

后来发生的事情，反而证明中国提前看到了数据安全风险。2017年施行的网络安全法，要求关键信息基础设施运营者将在境内收集和产生的个人信息、重要数据存储在境内；

2021年施行的个人信息保护法进一步明确，达到规定数量的个人信息处理者，也要履行境内存储和数据出境安全义务。

这不是禁止数据跨境流动，而是先明确企业责任，再允许符合条件的数据依法出境。

2024年出台的新规把范围说得更清楚：非关键信息基础设施运营者，当年累计向境外提供100万人以上个人信息，或者1万人以上敏感个人信息，需要申报数据出境安全评估；提供10万人以上、不满100万人普通个人信息，可以通过标准合同或者认证办理。

跨境购物、汇款、支付、机票酒店预订、跨境人力资源管理等业务，还设置了相应豁免条件。中国的规则不是所有数据一律禁止出境，而是对重要数据严格管理，对一般商业数据提供便利。

新规实施一年后，数据出境安全评估项目月均受理数量下降约60%，个人信息出境标准合同月均备案数量下降约50%，平均评估时间缩短到30个工作日以内。

截至2026年3月，已有9地自贸试验区发布数据出境负面清单，覆盖汽车、零售、民航、再保险、地理信息等22个领域。

2026年7月24日发布的最新政策问答还明确，个人信息出境的单独同意不能与其他授权捆绑，符合条件的安全评估结果可以申请再延长3年。

这些数据证明，中国的方向不是封闭，而是在守住安全底线的同时，减少企业不必要的合规成本。
再看美国。

美国司法部的数据安全项目已于2025年4月8日生效，把基因、精确地理位置、生物识别、健康、金融等列为敏感数据，对可能让中国等“受关注国家”获得相关数据的部分交易实施禁止或者限制。美国司法部甚至直接将这套制度描述为类似数据出口管制。

欧盟对个人数据传往第三国，同样要求满足“充分性决定”、标准合同或者其他安全保障条件。过去批评中国数据监管严格的国家，如今也在不断完善自己的数据出境监管制度。

我认为，真正需要反对的不是数据安全监管，而是双重标准。中国保护本国用户数据，就被指责为封闭；美国限制敏感数据流向中国，却被称为国家安全需要。对中国和本国企业使用两套标准，本质上是在利用规则服务不公平竞争。

中国也不能因此走向另一个极端。数据安全不等于所有数据都不得出境，监管必须分类分级、范围明确、程序透明，还要提高审核效率。

中国近年来持续缩小评估范围、增加豁免情形、推行自贸区负面清单，说明我们的目标是兼顾安全与正常使用，而不是全面限制数据跨境流动。

2010年的争议留给我们的判断很清楚：互联网企业可以选择是否进入一个市场，但不能选择是否遵守当地法律；数据可以跨境，但不能脱离监管。谁收集和掌握用户数据，谁就必须承担保护责任。
中国坚持正常的数据主权和个人信息保护制度，不应受到西方舆论左右，更没有必要因为依法监管跨国平台而缺乏底气。