Réponse courte : le GDPR concerne le PCB assembly chaque fois que vos fichiers de projet portent des données personnelles identifiables : noms de sous-traitants, identifiants utilisateurs liés à l'appareil, comptes de service embarqués ou journaux de bancs de test avec des IDs opérateurs. Les prestataires EMS basés UE comme Energetika-VDS opèrent sous un régime unique et opposable de protection des données avec recours civils ; les prestataires chinois opèrent sous PIPL et la China Cybersecurity Law, où l'accès de l'État aux données commerciales est juridiquement imposé dans des cas définis.
Pour la plupart des acheteurs d'électronique, "protection des données en PCBA" sonne comme un sujet RH. Ce n'est pas le cas. Votre BOM contient votre liste de fournisseurs, votre firmware contient vos algorithmes, vos rapports de test contiennent vos rendements et vos fixtures encodent votre stratégie de test. L'endroit où ces données vivent, et qui peut être contraint de les divulguer, est une décision business, pas une note en bas de page de conformité.
Pourquoi le GDPR touche le PCB assembly
Le GDPR (règlement UE 2016/679) régit le traitement des données personnelles des résidents UE. Le PCBA ressemble à un service technique B2B, mais plusieurs points de contact franchissent la ligne :
- Les fichiers BOM incluent souvent les noms et emails d'ingénieurs, distributeurs et concepteurs sous contrat.
- Les binaires firmware peuvent porter des comptes de service compilés, des endpoints de télémétrie liés à des utilisateurs identifiables ou des clés cryptographiques associées à des personnes nommées.
- Les emails de retour DFM sont par définition de la correspondance personnelle.
- Les enregistrements de traçabilité produits pendant le PCB assembly relient des IDs opérateurs à des numéros de série spécifiques ; ce sont des données personnelles au sens de l'article 4(1).
- Les téléversements au stade devis vers un estimateur de devis portent adresses IP et métadonnées de contact.
Dès que l'un de ces éléments entre dans un système EMS, le GDPR s'applique. La question n'est pas "s'applique-t-il ?" mais "la relation responsable-sous-traitant est-elle propre ?".
EMS UE contre prestataires chinois : le cadre juridique
| Juridiction | Loi primaire | Règle de transfert transfrontière | Dispositions d'accès étatique | Recours civil en cas de violation |
|---|---|---|---|---|
| UE (incl. Energetika-VDS en MK comme partie PEM, aligné GDPR) | GDPR + DPA national | Adéquation Article 45 / CCT | Mandat judiciaire uniquement | Jusqu'à 4 % du CA mondial |
| Chine (JLCPCB, PCBWay) | PIPL + Cybersecurity Law | Évaluation de sécurité CAC pour l'export | Article 7 Cybersecurity Law : coopération obligatoire | Limité, à discrétion du tribunal |
| Suisse / Norvège (adéquation) | revFADP / Personal Data Act | Équivalent Article 45 | Mandat judiciaire uniquement | Comparable au GDPR |
| États-Unis | Mosaïque d'États (CCPA, etc.) | Aucune pour le B2B style PCBA | FISA 702, CLOUD Act | Sectoriel |
Le cadre PIPL en Chine inclut des dispositions (article 41) autorisant le transfert vers des autorités non chinoises uniquement avec l'approbation du gouvernement de RPC, ce qui signifie que votre BOM, si elle est demandée par un régulateur UE, ne peut pas être restituée sans le feu vert de Pékin. Pour la plupart de l'électronique grand public, c'est sans importance. Pour les projets adjacents défense, médical, dual-use ou infrastructure critique, c'est matériel.
À quoi ressemble réellement le "data handling" chez un EMS UE intermédiaire
Quand un client engage Energetika-VDS, le pipeline de données se déroule ainsi :
- NDA signée avant qu'aucun fichier technique n'arrive. Bilatérale, mutuelle, régie par le droit macédonien avec option de juridiction UE.
- Fichiers téléversés en TLS vers notre portail de devis ; les métadonnées sont retirées des PDF.
- BOM importée dans le MES pour le sourcing composants ; les noms de fournisseurs ne sont visibles que par le bureau achats.
- Gerbers, pick-and-place et firmware archivés dans un coffre projet, chiffrés au repos (AES-256).
- L'accès opérateur est basé sur les rôles ; les opérateurs de ligne voient des IDs de job, pas les noms clients.
- À l'expiration de la fenêtre de garantie (typiquement 24 mois après expédition finale), les fichiers sont effacés de manière sécurisée, niveau NIST SP 800-88 Purge.
- Les enregistrements de traçabilité reliant opérateur et numéro de série sont conservés selon la politique qualité-traçabilité et IPC-1782.
Le processus complet est documenté sous processus de fabrication et nos contrôles d'inspection et test.
Firmware et PI : les préoccupations spécifiques
Le firmware est l'artefact le plus à risque dans un contrat PCBA. Les clients demandent :
- "Si vous flashez mon binaire, en gardez-vous une copie ?" Oui, pendant la fenêtre de garantie, chiffrée et non extractible de la ligne.
- "Un concurrent sur votre ligne peut-il voir mon firmware ?" Non. Les cellules de production sont séparées physiquement ; les stations de programmation écrivent depuis un coffre scellé.
- "Et si un programmeur part ?" Son accès est révoqué le jour même ; le journal d'audit du coffre montre chaque lecture.
- "Faites-vous de l'ingénierie inverse ?" Contractuellement interdit ; techniquement inutile : nous sommes assembleur, pas fondeur.
Pour les projets sensibles, les clients peuvent fournir des MCU pré-flashés, expédier vierges ou utiliser des fusibles one-time-programmable après FCT.
Rétention, suppression et droits d'audit
Les fenêtres de rétention des EMS UE intermédiaires sont liées à l'obligation de garantie et aux règles de traçabilité IPC (la rétention 10 ans n'est pas une valeur par défaut GDPR ; c'est un choix piloté par le client pour les secteurs critiques pour la sécurité). Rétention standard Energetika-VDS :
- Devis et correspondance email : 36 mois
- BOM, Gerbers, P&P : fenêtre de garantie + 12 mois
- Binaire firmware : fenêtre de garantie uniquement
- JSON de traçabilité (opérateur + numéro de série + lot) : 10 ans pour IPC Class 3, 5 ans pour Class 2
- Images AOI : 6 mois sauf exigence client plus longue
Les clients peuvent auditer le data handling avec 30 jours de préavis. Nous sommes une alternative à JLCPCB précisément parce que ce droit d'audit est opposable ici et effectivement non opposable à Shenzhen.
Recommandations pratiques
- Pour le PCB assembly bas volume en Europe, un EMS UE supprime tout un vecteur de conformité à coût premium modéré.
- Incluez une annexe de protection des données dans votre RFQ. Nous la signerons. La plupart des maisons asiatiques non.
- Demandez le diagramme de flux de données. Si l'EMS ne peut pas le produire en une semaine, partez.
- Vérifiez la liste de sous-traitants. Le travail de programmation ou de banc de test sous-traité demande le même flow-down.
- Quand vous demandez un devis, signalez d'emblée toute exposition à des données personnelles pour que la portée du NDA colle à la réalité.
Questions fréquentes
Le GDPR est-il pertinent pour le PCBA ? Oui, chaque fois que les fichiers de projet portent des données personnelles : noms de sous-traitants, IDs utilisateurs embarqués, endpoints de télémétrie liés à des personnes, ou enregistrements de traçabilité reliant opérateurs à unités. Pour la plupart de l'électronique commerciale, la réponse est "oui, de manière limitée".
Et la PI de mon firmware ? Les binaires firmware sont stockés chiffrés, accédés uniquement par les identifiants des stations de programmation et effacés à la fin de la garantie. L'ingénierie inverse est contractuellement interdite et opérationnellement n'est pas ce que fait un assembleur. Les clients voulant un contrôle maximal peuvent fournir des appareils pré-flashés.
Quelles sont les normes de rétention des EMS UE ? BOM et Gerbers : fenêtre de garantie plus 12 mois. Firmware : fenêtre de garantie uniquement. Traçabilité : 10 ans pour IPC Class 3, 5 ans pour Class 2. Images AOI : 6 mois par défaut. Tout peut être surchargé par le client.
Un NDA est-il standard ? Oui, signé bilatéralement avant que les fichiers n'arrivent. Energetika-VDS fournit un NDA mutuel standard en anglais ; nous signerons aussi un modèle client s'il est raisonnable. Le droit applicable est négociable ; la juridiction par défaut est Skopje avec option d'arbitrage reconnu UE.
Y a-t-il des protections supplémentaires pour les projets défense ou dual-use ? Oui : cellule séparée, opérateurs nommés, pas de sous-traitance de programmation, ouverture de ligne sous le regard du client et coffres firmware air-gapped. Discutez des exigences au stade devis.