« Est-ce que n8n est conforme au RGPD ? » C'est une question que j'entends souvent, et elle est mal posée. Le RGPD ne s'applique pas à un logiciel, il s'applique à ce que vous faites des données personnelles. Le même n8n peut servir un traitement irréprochable ou un traitement problématique, selon ce qu'on y branche.
Cet article reprend les questions concrètes que je me pose quand je construis une automatisation qui touche à des données de clients, de salariés ou de prospects. Si vous n'avez pas encore choisi votre outil, commencez par mon comparatif n8n, Make et Zapier, qui aborde aussi l'auto-hébergement.
Cet article remplace-t-il un avis juridique ?
Non. Je suis développeur, pas juriste. Je vous donne une méthode pratique et les pages officielles de la CNIL où trouver les règles. Pour un traitement sensible (santé, données d'enfants, surveillance de salariés, gros volumes), faites valider votre analyse par un professionnel du droit ou par votre délégué à la protection des données.
Qui est responsable des données dans une automatisation n8n ?
En général, c'est vous : l'entreprise qui décide pourquoi et comment les données sont traitées est le responsable de traitement. Les prestataires qui traitent les données pour votre compte sont des sous-traitants au sens de l'article 28 du RGPD : l'hébergeur de votre serveur, n8n si vous utilisez son cloud, le fournisseur du modèle d'IA, le service d'envoi d'e-mails ou de SMS. Chacun doit être encadré par un contrat qui précise ce qu'il a le droit de faire des données.
Bon point pour n8n : sa page juridique propose un accord de traitement des données (DPA) pré-signé, à télécharger, contresigner et renvoyer. Pensez à faire de même avec chaque service branché dans vos workflows.
Faut-il héberger n8n soi-même pour respecter le RGPD ?
Pas forcément. Les deux options peuvent convenir, avec des responsabilités différentes.
| Point | n8n Cloud | n8n auto-hébergé |
|---|---|---|
| Localisation des données | Dans l'UE, serveurs à Francfort (page tarifs de n8n) | Là où vous louez le serveur : à choisir dans l'UE |
| Contrat de sous-traitance | DPA proposé par n8n | Avec votre hébergeur |
| Sécurité, sauvegardes, mises à jour | Assurées par n8n | À votre charge |
| Données envoyées à l'éditeur | L'éditeur héberge tout | Télémétrie anonyme par défaut, désactivable |
| Historique des exécutions | Conservé 7 jours (Starter) ou 30 jours (Pro) d'après la page tarifs | Réglable par variables d'environnement |
En auto-hébergé, la documentation de n8n indique que l'outil envoie par défaut des données de télémétrie anonymes. On les coupe avec la variable N8N_DIAGNOSTICS_ENABLED=false, et la vérification des nouvelles versions avec N8N_VERSION_NOTIFICATIONS_ENABLED=false. L'auto-hébergement vous donne le plus de contrôle, à condition de savoir sécuriser un serveur. Un serveur mal tenu est un risque plus grand qu'un cloud européen bien géré.
Où passent vraiment les données dans un workflow ?
C'est le point que la plupart des gens oublient. n8n est un tuyau : chaque nœud envoie ou reçoit des données d'un autre service. Héberger n8n en France ne change rien si le workflow envoie le contenu de vos e-mails à un service situé hors de l'UE.
Prenons un workflow type : un formulaire de demande de devis sur votre site, une IA qui résume la demande, une ligne dans un tableau, un e-mail de confirmation au client. Les données passent par :
- le formulaire de votre site (et son hébergeur) ;
- n8n (et son hébergeur) ;
- le fournisseur du modèle d'IA ;
- l'éditeur du tableur (Google, Microsoft…) ;
- votre messagerie.
Cinq services, donc potentiellement cinq contrats à vérifier et cinq lieux de stockage. Si l'un d'eux traite les données hors de l'Union européenne, il faut un encadrement des transferts : la CNIL l'explique dans sa page sur les transferts de données hors de l'UE.
L'historique des exécutions, une copie qu'on oublie
n8n garde par défaut une trace de chaque exécution, avec les données qui sont passées dans chaque nœud. C'est très utile pour corriger une erreur, mais c'est aussi une copie de données personnelles. En auto-hébergé, la documentation indique que le nettoyage automatique est activé par défaut : les exécutions de plus de 14 jours (336 heures) sont supprimées, ou les plus anciennes au-delà de 10 000. On peut aller plus loin et ne garder que les exécutions en erreur. La CNIL rappelle que les données ne doivent pas être conservées plus longtemps que nécessaire : réglez cette durée en conséquence.
Que dit la CNIL sur les agents IA et l'IA générative ?
Dans ses questions-réponses sur l'utilisation d'un système d'IA générative (publiées le 18 juillet 2024), la CNIL donne plusieurs repères utiles pour un agent IA branché dans n8n :
- partir d'un besoin précis, plutôt que de déployer l'outil sans objectif ;
- pour des données personnelles ou stratégiques, un déploiement « sur site » lui semble généralement plus opportun et plus sûr ; le recours à une API dans le cloud reste possible, en sécurisant l'infrastructure externe ;
- un contrat avec le fournisseur, qui précise les responsabilités et les accès autorisés aux données ;
- éviter d'envoyer des données personnelles quand ce n'est pas nécessaire ;
- ne pas reprendre telles quelles les sorties du système, et former les utilisateurs.
En juillet 2026, la CNIL a aussi publié avec le Conseil de l'IA et du numérique une note exploratoire sur l'IA agentique et les données personnelles. Si vos agents prennent des décisions ou agissent seuls (envoyer un e-mail, modifier un dossier), lisez-la.
Dans la pratique, je construis les agents IA pour qu'un humain valide les cas sensibles, et je choisis des fournisseurs d'IA qui n'utilisent pas les données de mes clients pour entraîner leurs modèles. C'est ce que je fais dans mes projets d'agents IA sur mesure.
Quelle checklist RGPD appliquer à un workflow n8n ?
Pour chaque workflow qui touche des données personnelles, je passe ces questions en revue. Elles ne remplacent pas une analyse juridique, mais elles évitent les oublis les plus courants.
| Question | Où regarder | Exemple (demande de devis) |
|---|---|---|
| Quelles données passent ? | Chaque nœud du workflow | Nom, e-mail, téléphone, description du besoin |
| Toutes sont-elles utiles ? | Les champs du formulaire | La date de naissance ne sert à rien : on la retire |
| Où sont-elles stockées ? | Hébergeur de n8n et de chaque service | Serveur UE, tableur, messagerie |
| Y a-t-il un contrat avec chaque prestataire ? | Pages juridiques (DPA) | Hébergeur, fournisseur d'IA, messagerie |
| Combien de temps les garde-t-on ? | Réglages d'exécution, tableur | Historique n8n court, tableur nettoyé régulièrement |
| Qui y a accès ? | Comptes n8n et identifiants | Deux comptes nominatifs, double authentification |
| Est-ce inscrit au registre ? | Registre des traitements | Ligne « gestion des demandes de devis » |
Sur le registre : la CNIL indique que l'obligation concerne tous les organismes, quelle que soit leur taille. Les structures de moins de 250 salariés bénéficient d'une dérogation, mais elle est limitée : les traitements réguliers, ceux qui présentent un risque et ceux qui portent sur des données sensibles doivent y figurer. Une automatisation qui tourne tous les jours est, par nature, un traitement régulier. La CNIL propose un modèle de registre simplifié pour les petites structures.
Quand faut-il se faire accompagner ?
- Données de santé, données sensibles ou données d'enfants. Une analyse d'impact (AIPD) peut être obligatoire : la CNIL explique dans quels cas.
- Surveillance ou évaluation de personnes (salariés, candidats), ou décision automatique qui les concerne.
- Gros volumes ou croisement de plusieurs fichiers.
- Personne dans l'entreprise ne peut tenir un serveur à jour. Dans ce cas, préférez un service cloud européen à un n8n auto-hébergé laissé à l'abandon.
Pour le reste, une automatisation bien pensée respecte souvent mieux le RGPD qu'un processus manuel : moins de copies dans des boîtes mail, moins de fichiers qui traînent, des durées de conservation appliquées automatiquement. Quand je construis une automatisation pour une entreprise, je livre la liste des services utilisés et des données qui y passent, pour que vous puissiez compléter votre registre.
Sources consultées le 17 octobre 2026
- CNIL, questions-réponses sur l'utilisation d'un système d'IA générative
- CNIL, IA agentique et données personnelles : note exploratoire
- CNIL, le registre des activités de traitement
- CNIL, les durées de conservation des données
- CNIL, transférer des données hors de l'UE
- CNIL, ce qu'il faut savoir sur l'analyse d'impact (AIPD)
- CNIL, guide de la sécurité des données personnelles
- Règlement général sur la protection des données (EUR-Lex)
- n8n, page des tarifs (localisation des données du cloud) et accord de traitement des données
- n8n, contrôler la télémétrie et gérer les données d'exécution
Questions fréquentes
n8n est-il conforme au RGPD ?
Aucun logiciel n'est conforme à lui seul : c'est l'usage qui compte. n8n permet de l'être, en auto-hébergé sur un serveur dans l'UE ou sur n8n Cloud, hébergé à Francfort, avec un accord de traitement des données proposé par l'éditeur. Il faut aussi vérifier chaque service branché dans vos workflows.
Où sont hébergées les données de n8n Cloud ?
D'après la page tarifs de n8n, consultée le 17 octobre 2026, les données des offres hébergées sont stockées dans l'Union européenne, sur des serveurs situés à Francfort, en Allemagne.
Faut-il héberger n8n en France ?
Ce n'est pas une obligation générale du RGPD, qui raisonne à l'échelle de l'Union européenne et des transferts hors UE. Un serveur dans l'UE simplifie les choses. Ce qui compte surtout, c'est où les services branchés dans vos workflows traitent les données.
Peut-on utiliser un agent IA avec des données clients ?
Oui, avec des précautions. La CNIL recommande notamment de partir d'un besoin précis, d'encadrer le fournisseur par un contrat, d'éviter d'envoyer des données personnelles inutiles et de ne pas reprendre telles quelles les sorties du système. Pour des données sensibles, elle juge un déploiement sur site généralement plus sûr.
Combien de temps n8n garde-t-il l'historique des exécutions ?
En auto-hébergé, la documentation indique que le nettoyage automatique est activé par défaut : les exécutions de plus de 14 jours sont supprimées, ou les plus anciennes au-delà de 10 000. Ces valeurs se règlent par variables d'environnement.