2010年，咱们要求谷歌把中国用户的数据存在国内，别往外传。谷歌不干，直接撤出中国。当时西方媒体骂声一片，说咱们“搞封闭”“侵犯自由”。


把谷歌2010年退出中国，直接解释成“中国要求它把用户数据留在境内，谷歌拒绝后愤然离场”，听起来很痛快，也很适合拿来和欧盟对比。


可惜，这个故事最关键的地基并不牢，要揭西方在数据问题上的双重标准，当然可以，但不能靠把两个并不相同的事件硬拼成一面镜子。


谷歌当年公开给出的理由，主要是网络攻击以及搜索内容审查上的分歧，2010年3月，它停止在中国内地提供经过审查的搜索结果，并把相关服务转向香港。


现有公开材料并不能证明，谷歌离开的直接导火索是中国要求它把全部用户数据存进境内服务器，把多年后形成的法律框架提前塞回2010年，时间线就错了。


中国如今比较明确的数据本地化制度，是在后续立法中逐步建立起来的，《网络安全法》要求关键信息基础设施运营者将在境内收集和产生的个人信息、重要数据存放在境内，确需向外提供时要接受安全评估。


《个人信息保护法》又把相关要求扩展到处理个人信息达到规定数量的主体，这套制度有适用范围，也有依法出境的通道，并不是简单一句“所有数据一律不得出境”。


再看欧盟的《通用数据保护条例》，它确实在2018年正式适用，对个人数据处理、用户权利和违法处罚都定下了严格规矩，但它也没有规定“欧洲人的数据只能存在欧洲”。


欧盟官方写得很清楚，数据可以传往欧盟以外，只是接收地需要获得充分性认定，或者企业必须采用标准合同条款、集团内部规则等保障措施，管得严，和绝对禁止外传，是两回事。


因此，“中国要求数据留下，谷歌摔门而去，欧盟提出同样要求，谷歌立刻建机房服从”，并不是一个准确的对照。


谷歌在欧洲建设数据中心也早于GDPR生效，不能把企业早已有之的基础设施布局，全算成2018年以后被欧盟逼出来的结果。


这样的写法看似替中国出气，实际却给别人留下了一个很容易拆穿的口子。


但这不意味着西方在数据治理上没有双重标准，恰恰相反，真正值得谈的，是同一种“国家有权管理跨境数据”的理念，到了不同国家手里，往往会被西方舆论换一套词来包装。


欧盟强调隐私保护时，被称作树立全球规则；中国强调国家安全和个人信息权益时，却时常被描述成设置数字壁垒。讨论还没开始，帽子已经先扣下来了。


这种话语游戏的高明之处，就是把西方制定的规则说成天然中立，把其他国家制定的规则说成带有政治目的。


欧盟限制数据出境，可以解释为让保护措施跟着数据一起走，美国依法向科技企业调取电子信息，可以解释为打击严重犯罪，轮到中国建立安全评估、标准合同和认证机制，某些人便突然开始担忧“自由流动”受阻。


规则本身可以讨论，选择性使用评价标准，却很难让人信服。


美国2018年通过《云法案》后，受其管辖的服务商可能被要求提交掌握或控制的电子数据，不会仅仅因为服务器放在海外就当然免责。


美国司法部对这项制度的解释相当直接：企业把数据存在什么地方，并不必然阻挡美国执法机关依法索取。


换句话说，美国自己从未真正相信“数据放在哪里都与国家主权无关”。


数据当然需要流动，跨境贸易、云计算、医学研究和国际支付，都不可能靠把服务器全部锁在国境线内完成。


但数据也不是一阵没有归属的风，它背后连着个人隐私、商业秘密、公共安全和产业竞争力。


任何有能力的大国和经济体，都会为数据出境划线，只是划线的位置、审批方式和法律传统有所不同。


在我看来，中国真正需要坚持的，不是证明自己在2010年就提出了和GDPR完全相同的规则，而是堂堂正正说明：保护本国公民的信息安全，维护重要数据不被无序获取，是中国作为主权国家的正当权利。


中国不必借欧盟的做法来证明自身合理，更没有必要把不准确的旧闻包装成先见之明。


反击双重标准，最有力的办法从来不是编出一个更顺耳的故事，而是把对方的规则、自己的法律和现实利益摆在同一张桌子上。


欧盟可以为欧洲人的数据设门槛，美国可以让本国法律触及海外服务器，中国当然也有权建立符合自身安全和发展需要的数据治理体系。


标准可以不同，评价却不能永远只看规则是谁写的。


说到底，数据治理不是“开放”和“封闭”之间的单选题，而是在流动、安全、隐私和发展之间不断寻找平衡。


谁都可以批评具体制度，但不能一边把自己的管控称为文明进步，一边把别人的监管一概说成压制自由。


中国要争的，正是这种平等解释规则、平等参与治理的权利，而不是靠一段经不起核对的对比来赢得掌声。