«¿Google Forms cumple el RGPD?» es la pregunta más repetida y peor respondida sobre esta herramienta. Las respuestas habituales son «de ninguna manera, los datos están en Estados Unidos» o «si solo es una encuesta». Ninguna de las dos llega lejos.
Google Forms se puede usar cumpliendo el RGPD si trabajas con una cuenta de pago de Google Workspace, porque solo ahí existe el contrato de encargo de tratamiento, si tienes una base jurídica, si el formulario explica quién recoge los datos, para qué, durante cuánto tiempo y cómo revocar, y si solo preguntas lo que tu análisis necesita de verdad. Para este artículo revisamos en agosto de 2026 las condiciones contractuales y la ayuda de administración de Google.
Consejo: también puedes ahorrarte la cuestión del contrato. En empirio.ai los datos de las encuestas se guardan en la UE, en Fráncfort del Meno, las funciones de IA se ejecutan igualmente sobre infraestructura dentro de la UE, y el contrato de encargo de tratamiento es un anexo de las condiciones de uso que aceptas al registrarte. No hay que solicitarlo ni contratar un plan de pago para tenerlo. A eso se suma lo que aporta una herramienta especializada en encuestas, buena parte de ello gratis. Lo tienes desarrollado más abajo en La alternativa europea: empirio.ai.
📌 Lo esencial de un vistazo
- El contrato de encargo solo existe con Google Workspace de pago.
- Abrir el formulario ya trata datos técnicos de conexión.
- La región Europa falta en Business Starter y en la cuenta gratuita.
- En Google Forms cubre los datos almacenados, no los registros.
- El EU-US Data Privacy Framework sigue vigente, pero está recurrido.
Crear encuesta gratis
Con empirio.ai creas una encuesta en línea moderna en pocos minutos — con alojamiento en la UE.
- Encuesta creada con IA
- Ajusta con arrastrar y soltar
- Análisis en tiempo real
El primer paso: ¿eres responsable del tratamiento?
Antes que Google estás tú. El RGPD no se aplica a toda encuesta, y quien no es responsable del tratamiento no necesita base jurídica, ni contrato, ni cláusula informativa.
La frontera no separa preguntas inofensivas de preguntas delicadas, sino la actividad puramente personal de todo lo demás. Esa distinción manda sobre el resto del artículo, por eso va primero.
La excepción doméstica en encuestas privadas
Según el artículo 2, apartado 2, letra c) del RGPD, el reglamento no se aplica al tratamiento efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas. Preguntar una fecha en familia o hacer un sondeo entre amigos entra en esa excepción. Quien se mueve solo en ese terreno no necesita nada de lo que viene después.
Dónde termina la excepción doméstica
El Tribunal de Justicia de la Unión Europea la interpreta de forma estricta y la limita a lo estrictamente necesario (TJUE, 11.12.2014, C-212/13, Ryneš). Para la difusión de datos a un número indefinido de personas en internet, el Tribunal resolvió que la excepción no se aplica (TJUE, 06.11.2003, C-101/01, Lindqvist). Tres casos quedan fuera:
- Se añade una finalidad profesional, aunque sea mixta.
- Detrás hay una persona jurídica: empresa, asociación, centro escolar, administración.
- La encuesta llega a un público indefinido a través de un enlace publicado.
El último punto sorprende a mucha gente. Difundir la encuesta del trabajo de fin de grado en grupos abiertos de Facebook saca del terreno protegido. El caso concreto del enlace público no lo ha resuelto el Tribunal, el razonamiento se apoya en la línea Lindqvist. En los trabajos académicos se suman de todos modos las exigencias de la universidad.
Por qué bastan los datos técnicos
El error más frecuente cabe en una frase: «No pregunto nada personal, así que la encuesta no plantea problemas de protección de datos.» Ese razonamiento no se sostiene.
En cuanto alguien abre un formulario de Google, Google trata datos técnicos de conexión: dirección IP, fecha y hora, página solicitada, información de navegador y dispositivo. Las direcciones IP son datos personales cuando quien las trata dispone de medios que puedan ser utilizados razonablemente para identificar a la persona (TJUE, 19.10.2016, C-582/14, Breyer). El Tribunal confirmó ese criterio relativo el 04.09.2025 en el asunto C-413/23 P. Para Google como operador, la identificación suele ser posible.
Hay por tanto un tratamiento de datos personales, con independencia de lo que pregunte tu cuestionario. Y de ahí depende si hacen falta una base jurídica y un contrato con Google. La respuesta es sí, desde la primera respuesta.
Dos aclaraciones, para evitar malentendidos:
- Google Forms nunca muestra direcciones IP a quien crea el formulario, tampoco en la exportación.
- Una encuesta puede ser anónima desde tu punto de vista, lo uno no excluye lo otro. Cómo se hace lo explica Crear una encuesta anónima.
El contrato de encargo: aquí está el problema real
Cuando Google trata datos personales por cuenta tuya, Google es encargado del tratamiento y tú eres el responsable. El artículo 28 del RGPD exige un contrato para esa relación, y su apartado 9 exige que conste por escrito, incluso en formato electrónico.
Google lo regula en el Cloud Data Processing Addendum. Según las propias condiciones contractuales de Google, ese anexo se aplica a Google Workspace, Cloud Identity y Google Cloud. No se aplica a las cuentas de Google gratuitas. Para Google Workspace Individual, Google se compromete a suscribirlo cuando el servicio se usa de forma profesional o comercial.
Quien usa Google Forms en el trabajo desde una cuenta personal de Gmail arrastra por tanto una laguna que ninguna cláusula informativa, por buena que sea, cierra. Ahí es donde falla en la práctica, y ese es justo el punto que la mayoría de las guías omite.
⚠️ Atención
Usar Google Forms de forma profesional desde una cuenta gratuita de Google te deja sin contrato de encargo. Ese requisito formal no se puede subsanar después. La salida es una cuenta de Workspace de pago o una herramienta que ofrezca el contrato también en su plan gratuito.
La ubicación de los servidores: menos bloqueante de lo que parece
El argumento estándar contra Google cabe en una frase: los datos están en Estados Unidos, así que no puede ser. Desde 2023 la situación es más matizada, en los dos sentidos.
El 10 de julio de 2023, la Comisión Europea adoptó una decisión de adecuación para el EU-US Data Privacy Framework, la Decisión de Ejecución (UE) 2023/1795. Para las empresas estadounidenses certificadas, la transferencia descansa desde entonces en la misma base que dentro de la Unión. Google declara que Google LLC está certificada. El Tribunal General de la Unión Europea confirmó la decisión el 03.09.2025 en el asunto T-553/23 (Latombe).
Por qué esa base es menos firme de lo que suena
La confirmación no es firme: el 31.10.2025 se interpuso recurso de casación ante el Tribunal de Justicia, asunto C-703/25 P. A eso se suma un segundo punto. La decisión de adecuación descansa en buena medida sobre la independencia de las autoridades de control estadounidenses. El 29.06.2026, el Tribunal Supremo de Estados Unidos resolvió en Trump v. Slaughter que la protección frente al cese de los comisarios de la FTC es inconstitucional, y abandonó el precedente Humphrey's Executor. El Comité Europeo de Protección de Datos pidió a la Comisión, por carta de 31.07.2026, que examine el efecto sobre la decisión.
En la práctica: en agosto de 2026 la ubicación de los servidores no es un criterio de exclusión, porque la decisión sigue vigente. Sí es un riesgo que conviene conocer. Quien monta una recogida pensada para durar años hace bien en no construir sobre ella.
Crear encuesta gratis
Con empirio.ai creas una encuesta en línea moderna en pocos minutos — con alojamiento en la UE.
- Encuesta creada con IA
- Ajusta con arrastrar y soltar
- Análisis en tiempo real
La región de datos Europa y qué cubre de verdad
Mucha gente ve la región de datos como la solución: se pone Europa y los datos se quedan aquí. Dos limitaciones rompen esa cuenta.
La primera afecta a la edición contratada, la segunda al servicio. Juntas hacen que la región de datos rinda bastante menos en Google Forms de lo que promete su nombre.
La región de datos no está en todas las ediciones
La función regiones de datos está ligada a determinadas ediciones de Google Workspace. Cuáles son figura en la ayuda de administración de Google y cambia de vez en cuando.
| Edición de Google Workspace | Regiones de datos disponibles |
|---|---|
| Business Standard, Business Plus | sí |
| Enterprise Standard, Enterprise Plus | sí |
| Education Standard, Education Plus | sí |
| Frontline Starter, Standard, Plus | sí |
| Enterprise Essentials Plus | sí |
| Business Starter, Essentials Starter, Essentials | no |
| Enterprise Essentials, Education Fundamentals | no |
| Cuenta gratuita de Google | no |
Fuente: ayuda de administración de Google Workspace, a 29 de julio de 2026, sujeto a cambios.
En Google Forms la región cubre solo la mitad
Google distingue entre datos en reposo y datos en tratamiento. En servicios como Gmail, Drive o Docs la región cubre ambos. En Google Forms, la tabla de Google solo marca el reposo, es decir texto, imágenes insertadas, respuestas y borradores de respuesta. El tratamiento en sí no está cubierto. La misma fuente excluye con carácter general los registros y el contenido en caché, justo donde están los datos técnicos de conexión (a 24 de marzo de 2026).
La región de datos es por tanto una pieza útil, no una garantía de que ningún dato salga de la Unión. Quien necesita esa garantía acaba en un proveedor europeo.
Qué tienes que hacer en concreto
Supongamos que te quedas con Google Forms y lo usas profesionalmente. El contrato va al principio y el plazo de conservación al final, y entre medias caben cinco pasos que se resuelven en una hora.
El orden es deliberado: sin el primer punto, los otros seis no sirven de nada.
- Contratar Google Workspace de pago. Es el único sitio donde nace el contrato de encargo. Todo lo demás se apoya en eso.
- Fijar la base jurídica. En encuestas voluntarias suele ser el consentimiento del artículo 6, apartado 1, letra a) del RGPD: libre, informado y revocable.
- Poner la cláusula informativa en la descripción del formulario. Quién recoge, con datos de contacto, para qué, cuánto tiempo se conserva, que la participación es voluntaria y cómo revocar el consentimiento. Un enlace a tu política de privacidad forma parte de ello.
- Revisar la minimización. En cada pregunta: ¿necesito este dato de verdad para el análisis? Lo que no recoges tampoco tienes que protegerlo.
- Pedir consentimiento si incrustas el formulario. Un formulario de Google incrustado no es necesario para que tu web funcione, así que solo debe cargarse tras una aceptación activa.
- Completar el registro de actividades de tratamiento. Se olvida a menudo y sigue siendo obligatorio.
- Definir el plazo de supresión. ¿Cuándo se borran las respuestas? La hoja de cálculo vinculada es una segunda copia y hay que borrarla aparte.
Una plantilla general de cláusula informativa y más contexto están en la guía sobre protección de datos y RGPD en encuestas.
Tres casos especiales que aparecen a menudo
En tres situaciones la lista del capítulo anterior no basta, porque se añaden exigencias que no tienen nada que ver con Google.
Lo que comparten es que el carácter libre del consentimiento se vuelve discutible o que decide también un tercero. Quien lo pasa por alto puede haberlo hecho todo bien en la forma y tener igualmente un problema.
Encuestas en el centro escolar
El alumnado necesita protección reforzada, y con menores se añaden exigencias al consentimiento, por regla general con intervención de quienes ejercen la patria potestad. En España el interlocutor es el delegado de protección de datos del centro o de la consejería, y la autoridad competente es la Agencia Española de Protección de Datos. No nos consta una evaluación publicada de Google Workspace for Education por parte de la Agencia. Pregunta por tanto al delegado de tu centro antes de lanzar una encuesta de clase.
Encuestas a la plantilla
El punto crítico no es la ubicación de los servidores, sino el desequilibrio de poder: en una relación laboral el consentimiento solo se considera libre de forma limitada. A eso se suma la participación de la representación de los trabajadores. Y en la práctica: si la plantilla no cree en el anonimato, no habrá respuestas sinceras. El marco metodológico está en la guía sobre encuestas a empleados.
Recogidas para trabajos académicos
En un trabajo de fin de grado o de máster suelen mandar las normas de la universidad, y muchas exigen expresamente una recogida en servidores europeos. A eso se suma el apartado de metodología, donde tienes que poder describir cómo aseguraste el anonimato y la protección de datos. «Usé Google Forms» no es una buena respuesta en la defensa.
La alternativa europea: empirio.ai
La forma más sencilla de evitar todas estas preguntas es un proveedor donde no se planteen. Si los datos nunca salen de la Unión, no hace falta base para la transferencia ni discusión sobre regiones de datos. empirio.ai es una herramienta de encuestas en línea de Alemania con la que creas encuestas casi con la misma facilidad que con Google Forms. Cuatro puntos la separan justo donde este artículo ha ido señalando problemas.
Los datos de la encuesta se quedan en la UE
El almacenamiento está en la Unión Europea, concretamente en Fráncfort del Meno. Así, la pregunta por el EU-US Data Privacy Framework ni siquiera se plantea para tus respuestas. Y tampoco tienes que consultar qué edición de Workspace permite elegir región de datos ni si esa región cubre solo los datos almacenados o también el tratamiento. En Google Forms son dos obstáculos distintos.
La IA también se ejecuta en la UE
Dónde se guardan los datos y dónde los trata la IA son dos preguntas distintas, y la segunda suele quedarse fuera. Una herramienta puede guardar impecablemente en Europa y mandar igualmente el texto del cuestionario a un modelo estadounidense en cuanto alguien pulsa «mejorar las preguntas». En empirio.ai las funciones de IA corren sobre infraestructura dentro de la UE y lo que escribes no se usa para entrenar los modelos. La AEPD viene insistiendo en no volcar datos personales en sistemas de IA sin saber dónde acaban, y esta es precisamente la parte que aquí queda resuelta.
El contrato de encargo lo tienes desde el primer día
Aquí es donde Google Forms falla en la práctica. En empirio.ai el contrato de encargo de tratamiento del artículo 28 del RGPD es un anexo de las condiciones de uso que aceptas al registrarte. Nada que solicitar, nada que firmar, ningún plan de pago como requisito. Para el uso profesional eso cierra justo el hueco formal que después ya no se puede arreglar.
Más funciones, porque es una herramienta de encuestas
Google Forms es un creador de formularios que además sirve para encuestas. empirio.ai está pensado para encuestas desde el principio, y se nota en los tipos de pregunta: más de 35, entre ellos matriz, ranking, NPS y escalas de valoración. Las respuestas entran en directo en un panel en lugar de en una hoja de cálculo, y un editor con IA redacta el cuestionario a partir de una sola frase. Los tipos de pregunta, el editor con IA, las plantillas, el código QR y la inserción en tu propia web entran en el plan gratuito, que está en 50 participantes al mes.
Para que la cuenta sea honesta: justo en ese límite Google Forms es más fuerte, porque allí las respuestas son ilimitadas y no cuestan nada. Para una encuesta corta y anónima, sin preguntas personales, lanzada desde una cuenta de Workspace y con una cláusula informativa correcta, Google Forms sigue siendo una herramienta defendible. En cuanto entran datos personales, un comité de empresa o una norma de la universidad, la balanza cambia. Otras opciones y sus respectivas fortalezas están comparadas en el repaso de alternativas a Google Forms.
Conclusión
La cuestión de protección de datos en Google Forms se decide en la cuenta, no en la ubicación de los servidores: sin Google Workspace de pago no hay contrato de encargo, y esa laguna no se rodea. Para feedback anónimo y breve desde una cuenta de Workspace, Google Forms es defendible. Para encuestas a la plantilla, contextos escolares y datos de salud recomendamos un proveedor cuyos datos no salgan de la UE.
Este artículo refleja el estado de nuestra investigación en agosto de 2026 y no sustituye al asesoramiento jurídico. En recogidas sensibles, habla con tu delegado de protección de datos o con un abogado.
Cómo seguir
- ¿Estás montando la encuesta ahora? Google Forms: opiniones, precios, ventajas y desventajas
- ¿Quieres que sea realmente anónima? Crear una encuesta anónima
- ¿Buscas el marco general? Protección de datos y RGPD en encuestas
- ¿Estás pensando en cambiar? Alternativas a Google Forms comparadas
¿Lanzar una encuesta sin la cuestión del contrato?
En empirio.ai los datos se quedan en la UE y el contrato de encargo forma parte del uso, también en el plan gratuito. Probar gratis