丰礼合规通讯 - 出口管制反垄断数据保护等
(一) 美国GAO认定BIS关于AI扩散规则的“不执行”政策受国会审查约束
(三) 中国商务部就稀土等关键矿产出口管制回应中美经贸磋商成果
(七) 英国ICO因水务公司重大网络攻击和数据泄露开出近百万英镑罚单
一、 出口管制和贸易措施动态
(一) 美国GAO认定BIS关于AI扩散规则的“不执行”政策受国会审查约束
2026年5月12日，美国政府问责署（GAO）发布决定，认定美国商务部工业与安全局（BIS）此前宣布不执行“人工智能扩散规则”的政策，属于《国会审查法》（CRA）项下应提交国会审查的规则。
“人工智能扩散规则”为拜登政府2025年1月15日发布，旨在对先进计算集成电路、含有此类芯片的产品、相关模型权重以及数据中心能力的跨境扩散设置许可和合规要求。特朗普上任后，BIS于2025年5月12日宣布，正在推进替代规则，在此之前不执行该规则，引发外界对行政机关是否可通过政策声明改变既有监管安排的关注。
GAO在决定中强调，相关“不执行”政策并非单纯的内部管理安排，而是会影响受监管主体权利义务和执法预期的普遍性政策。因此，该政策需按照CRA程序提交国会和审计机关审查。
2026年5月19日，英国政府发布一项通用贸易许可证，正式允许进口由第三国使用俄罗斯原油加工制成的柴油和航空燃油。这项许可由英国商业贸易部颁发，适用对象为俄罗斯境外以俄原油为原料炼制的特定柴油、航空燃油产品，同时许可与这类油品进口相关的配套服务及相关业务操作。
英国政府的公告显示，此次获准进口品类为两类柴油和一类航空燃油。公告明确要求相关经营主体妥善留存完整交易记录，以备核查。
自2022年俄乌冲突升级以来，英国已对俄罗斯实施多轮制裁，其中涵盖对俄原油及石油产品的进口限制。此次发布贸易许可，相当于在制裁框架内设置有限豁免，为第三国加工的部分俄原油成品油开放了进口通道。
(三) 中国商务部就稀土等关键矿产出口管制回应中美经贸磋商成果
2026年5月20日，商务部美大司负责人解读中美经贸磋商初步成果时表示，对于稀土出口管制，中美经贸团队就有关出口管制问题进行了充分沟通交流，双方将共同研究解决彼此合理合法关切。中国政府依法依规对稀土等关键矿产实施出口管制，对合规、民用的许可申请予以审核。中方愿与美方一道共同为促进两国企业互利合作、保障全球产业链供应链安全稳定创造良好条件。
二、 反垄断动态
2026年5月12日，市场监管总局发布消息，附加限制性条件批准腾讯收购喜马拉雅股权案。该案涉及在线音频播放平台、网络音乐播放平台等平台经济相关市场。
市场监管总局认为，交易可能在中国境内在线音频播放平台服务市场、网络音乐播放平台服务市场及相关车载音频服务场景产生排除、限制竞争效果。审查机关据此围绕内容供给、用户权益、车载端渠道和主播多平台分发等方面设置约束。
限制性条件包括不得提高在线音频播放平台服务价格、降低服务水平或附加不合理交易条件；不得降低免费内容及免费热门内容比例；不得达成或维持相关独家授权；不得向汽车厂商搭售或限制其采购竞争对手产品；不得限制主播多平台分发作品等。
(五) 美国司法部取得拜耳种子竞争承诺
2026年5月20日，美国司法部反垄断司宣布，在其对玉米和大豆种子市场排他性行为的调查中，拜耳已从其忠诚度计划中删除可能具有反竞争效果的条款，并承诺七年内不恢复相关安排。
司法部称，相关条款可能促使经销商和农户在采购种子时集中选择拜耳产品，并减少竞争性种子供应商获得销售机会。拜耳的承诺包括删除被关注条款、维持相关限制期限，并接受司法部对承诺履行情况的持续监督。
2026年5月7日，美国司法部与Agri Stats, Inc.达成和解协议。司法部在诉讼中主张，Agri Stats向肉鸡、猪肉和火鸡加工企业提供高度细分、接近实时且可识别竞争对手经营情况的数据报告，可能削弱竞争者之间的不确定性，并便利行业内协调定价、产量和产能决策。
Agri Stats长期收集肉类加工企业的非公开信息，并通过内部行业报告的形式进行共享。美国司法部调查指出，这一行为使得鸡肉、猪肉及火鸡加工商能够利用信息不对称，向无法获取相关数据的餐饮企业、零售超市等买方单方面抬高售价。根据拟议的和解协议，Agri Stats将被强制要求向美国本土买方公开其从加工企业处收集的绝大部分数据。
(七) 英国ICO因水务公司重大网络攻击和数据泄露开出近百万英镑罚单
2026年5月11日，英国信息专员办公室（ICO）宣布，对South Staffordshire Plc及South Staffordshire Water Plc处以963,900英镑罚款。该案源于一起重大网络攻击，633,887名客户和员工的个人信息被提取并发布至暗网。
被泄露信息包括客户和员工的姓名、地址、出生日期、银行账户信息、薪资信息及其他身份识别信息。ICO认为，攻击者在取得初始访问权限后较长时间未被发现，说明相关网络安全监测和异常响应机制存在明显不足。
ICO指出，相关公司存在权限控制不足、日志和监测覆盖不足、使用过时软件、漏洞管理不到位等问题。作为供水服务企业，该公司掌握大量客户和员工数据，案件也体现出英国监管机构在个人信息保护与关键基础设施网络安全交叉领域的执法关注。
2026年5月19日，法国数据保护监管机构CNIL发布2025年度报告，回顾其在专业支持、调查执法、公众宣传、AI监管、网络安全和欧洲合作等方面的工作。
报告显示，CNIL在2025年继续处理大量数据主体投诉和数据泄露通知，并围绕网络安全、Cookie、直接营销、未成年人数据保护和AI系统中的个人数据使用开展执法及指导工作。AI监管被列为年度重点之一。
CNIL指出，在欧盟《人工智能法案》框架下，其负责监督被禁止的AI用途。该安排意味着法国未来的AI监管将兼具数据保护与《人工智能法案》市场监督的特点。
