近年来，随着地缘政治风险上升及各国供应链监管措施不断强化，供应链信息、产业链布局和关键资源流向，逐渐成为各国监管机构重点关注的领域。

欧盟以《零毁林法案》（EUDR）为代表的多项制度陆续出台，对供应链透明度提出了越来越高的要求。EUDR于2023年6月颁布，历经两次延期，即将于今年年底正式施行（小微企业的施行时间为2027年6月）。该法规为进入欧盟市场的企业构建起一套全新的合规门槛，要求对天然橡胶等商品及其相关衍生产品开展较高标准的尽职调查，包括追溯至原产地的地理定位信息和上游供应商的完整映射。

我国亦开始从产业链供应链安全、数据安全和国家安全角度，加强对相关信息收集活动的监管。在2026年3月底颁布并正式施行的《国务院关于产业链供应链安全的规定》（简称“第834号令”），将供应链调查正式纳入制度化监管框架，体现出中国对产业链供应链安全问题的制度回应。这意味着：EUDR合规不再仅仅是满足欧盟要求的单向问题，而是一项须同时通过中国法合规审查的双轨任务。4月初，我国又通过了《中华人民共和国反外国不当域外管辖条例》（简称“第835号令”），进一步完善并丰富了我国反制和阻断外国歧视性、限制性规则的工具箱。

本文面向受EUDR影响的中国出口企业及其法律合规团队，初步梳理在配合欧盟客户或执法机关进行EUDR相关调查时可能遭遇的中国法合规问题，并提出具有可操作性的应对思路。

一、EUDR与中国法的潜在交叉：哪些要求可能触发中国法关注?

从近年来的监管趋势看，中国政府对于产业链供应链安全问题的关注已逐步从制度建设阶段进入实践阶段。比如早在2025年1月9日我国商务部就依据《对外贸易壁垒调查规则》，认定欧盟依据《外国补贴条例》【Foreign Subsidy Regulation, (EU) 2022/2560】对中国企业调查中采取的相关做法构成贸易投资壁垒。2026年5月15日，我国司法部等主管机关依据第835号令调查认定，欧盟利用其《外国补贴条例》在对同方威视公司调查中，对中国实体采取的相关跨境调查做法，构成不当域外管辖措施，并明确要求任何组织、个人不得执行或者协助执行该不当域外管辖措施。同时，笔者在实践中也了解到，部分在中国开展供应链调查相关信息收集活动的第三方机构，已受到有关部门的关注和问询。

虽然目前尚无针对EUDR调查活动的公开执法案例，但从监管趋势来看，中国企业已经有必要将EUDR合规与中国法合规进行一体化考虑，而不宜再将其视为单纯的客户问卷或商业调查。

1.EUDR对供应链追溯和信息收集的核心要求

根据 EUDR 第 3 条，EUDR 要求木材、大豆、可可、咖啡、棕榈油、牛和橡胶 7 类商品及其相关衍生产品进入欧盟市场前完成尽职调查，证明其不涉及毁林（Deforestation-free），符合原产国法律，并附有尽职调查声明。为实现上述目标，企业需要建立一套高度依赖供应链追溯和信息收集的尽职调查体系。

EUDR的监管对象原则上是欧盟运营商和贸易商，然而为满足EUDR项下的尽职调查要求，下游欧盟客户常通过合同安排、供应商问卷及第三方审核等方式向上游传导相关要求。因此，对于向欧盟出口相关产品的中国企业而言，虽然并非EUDR的直接适用对象，却往往需要配合提供大量供应链和溯源信息，否则将面临高额的合同违约风险。

以轮胎企业为例，在实践中，下游欧盟客户通常会要求中国供应商提供原材料来源、上游供应商信息、多层级追溯记录、农场或种植园地理坐标、土地合法性证明以及相关尽职调查材料等信息。

这些信息部分属于普通商业信息，但部分信息在中国法框架下可能涉及个人信息、重要数据或者产业链供应链相关信息。当然，在天然橡胶等行业中，部分原材料可能来源于中国境外，相关信息是否触发中国法项下的监管要求，仍需结合具体信息内容和实际场景个案判断。

换言之，中国企业面临的现实情况并非“是否适用EUDR”，而是如何在满足欧盟客户EUDR合规要求的同时，避免违反中国的数据、供应链和国家安全相关监管要求。

2.中国法对供应链调查活动的监管回应

近年来，中国针对数据安全、国家安全和产业链供应链安全的监管力度持续加强。针对EUDR项下常见的信息收集需求，中国企业通常需要重点关注以下3类规则，见表1。

其中，《数据安全法》和《个人信息保护法》主要关注“收集了什么数据”；而第834号令更关注“为何收集、如何收集，以及收集活动本身是否符合中国法要求”。因此，第834号令实际上成为连接供应链调查活动与数据合规监管的重要纽带。

3.中国监管规则视角下：EUDR调查活动为何可能受到关注？

如果将 EUDR 典型合规要求与第834 号令等中国监管规则关注事项进行对照，可以发现两者存在较高程度的交叉，见表2。

换言之，对于欧盟监管机构而言，上述信息是完成EUDR尽职调查所需要的信息；而对于中国监管机构而言，上述信息则可能构成产业链供应链相关信息收集活动的一部分。

834号令

2026年施行的第834号令是中国近年来产业链供应链安全领域的重要基础性立法。与传统数据合规规则不同，第834号令并非单纯规范数据本身，而是将产业链供应链相关调查、信息收集和分析活动纳入监管视野。对于需要开展供应链追溯和尽职调查的 EUDR 场景而言，该规定具有较强的现实关联性，见表3。

第 834 号令第 13 条规定“任何组织、个人违反我国法律、行政法规、部门规章和国家有关规定，在我国境内开展与产业链供应链相关的调查等信息收集活动的，有关部门依法采取相应处理措施。”从条文结构来看，第13条本身并未创设新的行政许可制度，也未直接禁止产业链供应链调查活动，而是将相关活动纳入现有法律体系进行评价。换言之，其并非要求企业事前审批，而是要求企业在开展相关活动时，同时满足中国现行法律法规的要求。

因此，第 13 条实际上将产业链供应链调查活动与现有数据合规规则相衔接，使相关活动需要同时接受《数据安全法》《个人信息保护法》等规则的评价。对于中国企业而言，这意味着EUDR项下的信息提供行为，不再只是客户要求与商业配合的问题，而需要同时纳入中国法项下的数据合规和供应链安全合规框架进行评估。

特别值得关注的是，谁属于第 13条项下的“调查者”？从第834号令的表述来看，其监管重点并非行为主体的名称，而是相关主体是否实际开展了产业链供应链相关调查、信息收集、整理、分析或使用活动。因此，即使境外主体（例如下游欧盟客户）将自身定位为“EUDR合规协调方”或第三方审核机构，只要其实际参与问卷设计、信息收集、供应链追溯、数据汇总及跨境使用等活动，均有可能进入中国监管机构的关注范围。对于中国企业而言，这一点亦具有重要的实践意义。EUDR 项下的信息收集活动并非仅涉及中国供应商一方的合规责任，而可能同时关系到信息提供方和信息接收方的合规风险。因此，在与下游欧盟客户沟通时，中国企业并非单纯以“被调查者”身份面对信息索取要求，而可以与欧盟客户共同讨论，如何在满足 EUDR 要求的同时，兼顾中国法下的合规要求。

与此同时，第14条和第15条展现了中国立法对于产业链供应链安全问题的整体态度，即反对利用供应链调查、信息收集或者合规机制，对中国企业实施具有歧视性、限制性或者排他性的措施。

在实践中，如果相关调查活动被理解为针对中国产业链供应链的限制性措施，或者被视为超出正常商业尽职调查所必需的范围，则更容易引发监管关注。此外，第834号令还创设了关键领域清单制度，未来随着相关目录和实施细则的颁布，监管重点、监管对象以及具体合规要求仍存在进一步细化的可能，企业有必要持续关注后续立法动态。

835号令

第835号令进一步完善了中国应对外国不当域外适用措施的制度框架。从目前公开信息来看，欧盟EUDR尚不属于中国已经认定的歧视性措施范围，但对于部分以供应链调查、供应链限制或市场准入条件为基础的境外监管措施，中国监管机构近年来已展现出更高程度的关注，因此企业需要关注后续监管动态及相关执法实践。

相关数据合规监管规则

在 EUDR 框架下，企业通常需要提供大量供应链信息，而这些信息在中国法体系内，可能同时涉及重要数据、个人信息以及产业链供应链相关信息等多个维度。

首先是重要数据问题。《数据安全法》及相关配套规定，重要数据出境受到较严格监管。虽然目前“重要数据”的具体范围仍存在一定判断空间，但对于涉及产业布局、生产能力、资源储备、供应链结构等信息，企业仍需结合行业特点进行审慎评估。

其次是个人信息问题。在 EUDR 尽职调查过程中，企业提供的联系人信息、负责人信息、员工信息以及部分证明文件中，均可能包含个人信息。根据《个人信息保护法》，个人信息跨境提供需满足相应的合法性基础和跨境传输要求，达到法定门槛时，还可能涉及网信部门安全评估等特殊程序。

二、双重合规要求下的企业应对：建立“四道防线”

对于中国企业而言，EUDR 并非一个可以简单选择“配合”或“不配合”的问题。若不配合，可能导致客户无法完成EUDR项下的尽职调查，进而影响产品进入欧盟市场；若过度或不加筛选地提供相关信息，有可能触发中国法律中的数据合规和产业链供应链安全风险。

因此，企业需要建立兼顾欧盟合规要求与中国法监管要求的“双重合规”思维，在信息收集、审核、传输和使用的各个环节提前构建风险防线。

1.建立内部“EUDR—中国法”双轨审查机制

不应将对欧盟客户的EUDR配合视为纯粹的商务合规事务，而应建立由中国法律顾问、数据合规人员、采购部门及业务部门共同参与的内部审查机制。任何来自欧盟客户的信息请求，在回复前均建议至少经过以下两个层面的审查：

必要性审查：请求的信息对于欧盟客户完成EUDR尽职调查是否确属必要？是否存在使用脱敏数据、汇总数据或替代证明路径的可能性？

合规性审查：拟提供的信息是否可能涉及个人信息、重要数据或产业链供应链相关敏感信息？是否可能触发数据出境、个人信息跨境提供或其他中国法项下的合规要求？

2.坚持最小必要原则，以“摘要”代替原始数据

在向欧盟客户传递信息时，应尽可能遵循最小必要原则，例如：

●将上游供应商名称、联系方式等个体信息替换为匿名化编号或汇总信息；

●将原始采购记录替换为经审计的汇总报告、证明文件或标准化模板；

●对涉及个人信息的内容进行脱敏处理，删除与EUDR合规目标无直接关联的信息。

3.提前评估数据出境和监管程序安排

对于确有必要向境外提供的信息（EUDR明确要求提供的地理定位信息），企业应尽量提前开展中国法项下的合规评估，而非在客户催促后被动处理。若相关信息难以通过匿名化或摘要化方式替代，企业应结合具体数据来源、数据内容及适用法律要求，提前评估是否涉及中国法项下的数据合规义务，并在必要时与主管部门、法律顾问或相关合作方沟通后再行提供。例如：

●对于可能涉及重要数据的信息，应结合行业规则和主管部门要求，评估是否存在数据出境相关义务；

●对于涉及到的个人信息，应评估是否涉及个人信息跨境提供以及相应合规要求；

●对于涉及供应链深度映射、上游主体识别和产业链结构信息的调查活动，应同步关注第834号令及相关规则的发展动态。

此外，从项目经验来看，时间的不可控性是跨境合规的最大风险之一。欧盟客户的商业节奏可能以周为单位，而中国法项下的数据合规程序可能需要更长时间准备。企业若能够在项目初期同步开展数据合规评估，将更有利于避免后续陷入“违规提供”与“延迟履约”之间的两难处境。

4.通过合同合理分配合规责任

除内部管理措施外，企业还可考虑通过合同安排，明确双方的责任边界。例如，可考虑约定：

●中国企业提供信息的范围以中国法律允许的范围为限；

●如相关信息依法需要完成审批、备案或其他程序后方可出境，供应商有权在完成相关程序后再行提供；

●客户承诺仅将相关信息用于 EUDR合规目的，不得超范围使用；

●设计违约风险排除机制，约定因遵守中国法律法规要求而导致的信息提供延迟、格式调整或内容删减，不应直接认定为违约。

对于中国企业而言，合同条款不仅是责任分配工具，也是在跨境监管冲突背景下管理客户预期的重要手段。通过在合作初期明确中国法约束和信息提供边界，可以有效降低后续因监管要求变化、数据出境限制或供应链信息披露争议引发的商业风险。