Data Act européen : automatiser le registre de portabilité et de partage des données avec n8n

Le Data Act (règlement européen 2023/2854) est entré en application le 12 septembre 2025 pour l'essentiel de ses dispositions, sans le tapage médiatique qu'ont connu le RGPD ou l'AI Act. Pourtant, pour toute entreprise qui exploite des objets connectés, qui héberge des services cloud pour des clients professionnels, ou qui négocie un contrat SaaS avec une clause de réversibilité, ce texte change directement la donne : droit d'accès aux données générées par un produit connecté, obligation de partage vers un tiers désigné par l'utilisateur, portabilité cloud sans frais de sortie, et interdiction progressive des clauses contractuelles abusives. Comme pour le RGPD en 2018, la difficulté n'est pas de comprendre le texte — c'est de tenir, dans la durée, un registre à jour de qui a demandé quoi, sur quelles données, et dans quel délai vous avez répondu.

Ce que change concrètement le Data Act

Le règlement distingue plusieurs obligations qui ne concernent pas toutes les mêmes entreprises :

• Accès aux données générées par un produit connecté — l'utilisateur d'un objet connecté (machine industrielle, véhicule, capteur IoT, électroménager connecté) a le droit d'accéder aux données qu'il génère, et de les faire transmettre directement à un tiers de son choix (un concurrent du fabricant, un intégrateur, un prestataire de maintenance).
• Partage B2B encadré — le détenteur de données ne peut pas refuser une demande de partage légitime, mais peut facturer une compensation raisonnable et négocier les conditions techniques, sauf pour les PME bénéficiaires qui profitent de conditions allégées.
• Portabilité cloud sans verrou — les fournisseurs IaaS/PaaS/SaaS doivent permettre à leurs clients professionnels de changer de fournisseur (ou de revenir en interne) sans frais de transfert prohibitifs, avec un préavis de résiliation maximal de deux mois.
• Clauses contractuelles abusives interdites — les clauses qui empêchent unilatéralement un client (notamment une PME) de faire valoir ses droits sur ses propres données sont nulles, sur le modèle des clauses abusives déjà encadrées en droit de la consommation.

Contrairement à NIS2 ou au Cyber Resilience Act, qui imposent des obligations de sécurité et de signalement, le Data Act est avant tout un texte de traçabilité et de délai de réponse : chaque demande d'accès ou de partage doit être traitée « sans retard indu », un critère flou qui, en pratique, se prouve avec un horodatage et un historique complet plutôt qu'avec une déclaration a posteriori.

Ce que montre la recherche sur la mise en œuvre pratique

Une étude de Shahlaei et Berente, An Analysis of European Data and AI Regulations for Automotive Organizations (2024), qui examine comment les organisations du secteur automobile doivent composer simultanément avec le RGPD, l'AI Act et le Data Act, souligne que la difficulté principale n'est pas la compréhension juridique de chaque texte pris isolément, mais la cohérence opérationnelle entre des obligations qui se chevauchent partiellement sans se recouper totalement — exactement la situation d'une PME déjà engagée dans un chantier RGPD qui découvre que le Data Act ajoute une couche de traçabilité distincte, sur un périmètre de données différent. Une seconde étude, Measuring data access and re-use in the European Legal Framework for Data, publiée dans Open Research Europe par Crepax et ses coauteurs, montre à travers le cas des données véhicule que l'écart entre le droit théorique d'accès et sa mise en œuvre technique reste large tant qu'aucun dispositif structuré ne trace systématiquement les demandes et les délais de réponse. Le point commun : sans registre horodaté et fiable, la conformité déclarée et la conformité réelle divergent silencieusement.

Construire le registre de demandes dans n8n

Le principe reprend celui déjà éprouvé pour le registre des traitements RGPD et la piste d'audit RGPD sur Supabase, avec un schéma adapté aux spécificités du Data Act :

1. Point d'entrée des demandes — un Form Trigger hébergé recueille les demandes d'accès ou de partage de données (identité du demandeur, produit ou service concerné, type de donnée visée, tiers destinataire le cas échéant), qu'elles viennent d'un client ou d'un partenaire. Pour les demandes reçues par email, un Email Trigger IMAP couplé à un Information Extractor reconstitue les mêmes champs structurés à partir du message brut.
2. Qualification automatique — une chaîne LLM avec Structured Output Parser classe chaque demande (accès produit connecté, partage B2B, portabilité cloud) et évalue si elle relève d'un cas standard ou d'une clause à négocier, sur le même principe de pré-analyse que nos workflows de conformité NIS2 et DORA : le workflow trie et prépare, une personne responsable valide la réponse finale.
3. Enregistrement horodaté — chaque demande qualifiée est écrite dans une table Supabase dédiée, sur le modèle du workflow d'enregistrement d'audit du Pack Conformité & Audit (149 €) : demandeur, produit ou service, nature de la demande, date de réception, date de réponse, statut.

Chronométrer le « sans retard indu »

Le règlement ne fixe pas toujours un délai chiffré strict comme le fait le CRA avec ses 24 heures, mais un standard de « délai raisonnable » qui se défend d'autant mieux qu'il est mesuré, pas estimé. Un second workflow, calqué sur le suivi des relances automatiques du pack, interroge la table à intervalle régulier via un Schedule Trigger : il alerte l'équipe juridique ou technique dès qu'une demande dépasse un seuil interne (par exemple 15 jours ouvrés, calibré selon votre pratique et votre secteur), et distingue clairement les demandes traitées dans les temps de celles qui traînent — un signal bien plus solide qu'un simple rappel dans un tableur partagé. Comme pour nos autres workflows de conformité, un Error Workflow couvre le cas où le pipeline lui-même tombe en panne, pour ne jamais confondre absence de demande et panne silencieuse du dispositif de suivi.

Documenter la preuve de diligence

Le workflow de rapport de synthèse par IA du pack, pointé sur cette table, produit un registre exploitable : nombre de demandes reçues par type, délai moyen de traitement, demandes en cours et échéances dépassées. C'est ce registre — pas un souvenir approximatif d'échanges par email — qui constitue la preuve de diligence en cas de contrôle ou de litige avec un client professionnel invoquant son droit d'accès. Pour les entreprises qui gèrent en parallèle RGPD, NIS2 ou DORA, l'article sur l'automatisation des preuves de conformité ISO 27001 / SOC 2 détaille comment faire cohabiter plusieurs registres réglementaires sur une même base Supabase sans les mélanger.

Pièges fréquents

• Traiter le Data Act comme une simple extension du RGPD : le périmètre (données non personnelles incluses), les obligés (fabricants et fournisseurs cloud, pas seulement les responsables de traitement) et les mécanismes de recours diffèrent ; un registre RGPD ne couvre pas automatiquement les demandes Data Act.
• Ignorer le volet contrats cloud parce qu'on ne fabrique pas d'objets connectés : si vous êtes fournisseur SaaS ou hébergeur pour des clients professionnels, les obligations de portabilité sans frais de sortie vous concernent directement, indépendamment de tout produit IoT.
• Confondre qualification automatique et décision juridique : le workflow trie, chronomètre et alerte ; il ne décide jamais seul si une demande de partage doit être refusée ou sous quelles conditions — cette décision reste humaine, en particulier pour les clauses de compensation financière.
• Un registre qui commence trop tard : contrairement à un signalement d'incident ponctuel, le Data Act s'applique en continu depuis septembre 2025 ; plus le registre démarre tôt, plus il couvre un historique défendable en cas de contrôle rétroactif.

Pour aller plus loin

Le Data Act est déjà en application depuis septembre 2025, et son volet le plus contraignant pour les fournisseurs cloud (portabilité sans frais) monte en puissance jusqu'en 2027 : mieux vaut un registre imparfait mais actif dès maintenant qu'un chantier de mise en conformité improvisé le jour d'une demande de portabilité qui traîne. Le Pack Conformité & Audit (149 €) fournit la piste d'audit horodatée, les relances automatiques et le rapport de synthèse pour démarrer rapidement ; pour les entreprises qui jonglent aussi avec le RGPD, NIS2 ou le CRA, le Bundle FlowKit Complet (269 €) regroupe l'ensemble des packs FlowKit, dont le Pack Assistant RAG pour rendre interrogeable votre propre documentation contractuelle Data Act au fil des demandes reçues.