Google Forms et RGPD : ce qui s'applique vraiment

« Google Forms est-il conforme au RGPD ? » est la question la plus posée et la plus mal traitée au sujet de cet outil. Les réponses habituelles sont soit « surtout pas, les données sont aux États-Unis », soit « ce n'est qu'un sondage ». Les deux passent à côté.

Google Forms peut s'utiliser dans le respect du RGPD si tu passes par un compte Google Workspace payant, parce que le contrat de sous-traitance n'existe que là, si tu disposes d'une base légale, si le formulaire indique qui collecte, pourquoi, pour combien de temps et comment retirer son consentement, et si tu ne demandes que ce dont ton analyse a vraiment besoin. Pour cet article, nous avons relu les conditions contractuelles et l'aide d'administration de Google en août 2026.

📌 L'essentiel en un coup d'œil

• Le contrat de sous-traitance n'existe qu'avec Google Workspace payant.
• L'ouverture du formulaire traite déjà des données techniques de connexion.
• La région Europe manque dans Business Starter et le compte gratuit.
• Pour Google Forms, elle couvre les données stockées, pas les journaux.
• Le cadre EU-US Data Privacy Framework s'applique, mais reste contesté.

Première étape : es-tu seulement responsable de traitement ?

Avant Google, il y a toi. Le RGPD ne s'applique pas à tous les sondages, et qui n'est pas responsable de traitement n'a besoin ni de base légale, ni de contrat, ni de mention d'information.

La frontière ne passe pas entre questions anodines et questions sensibles, mais entre activité purement personnelle et tout le reste. Cette distinction commande la suite de l'article, elle vient donc en premier.

L'exception domestique pour les sondages privés

Selon l'article 2, paragraphe 2, point c) du RGPD, le règlement ne s'applique pas au traitement effectué par une personne physique dans le cadre d'une activité strictement personnelle ou domestique. Demander une date à sa famille ou sonder ses amis relève de cette exception. Qui reste dans ce cadre n'a rien à faire de ce qui suit.

Où l'exception domestique s'arrête

La Cour de justice de l'Union européenne interprète l'exception de façon stricte et la limite au strict nécessaire (CJUE, 11.12.2014, C-212/13, Ryneš). Pour la diffusion de données à un nombre indéfini de personnes sur Internet, la Cour a jugé que l'exception ne joue pas (CJUE, 06.11.2003, C-101/01, Lindqvist). Trois cas en sortent :

• Une finalité professionnelle s'ajoute, même mixte.
• Une personne morale est derrière : société, association, école, administration.
• Le sondage atteint un public indéfini via un lien publié ouvertement.

Le dernier point surprend beaucoup de monde. Diffuser le sondage de son mémoire dans des groupes Facebook ouverts fait sortir de la zone protégée. Le cas précis du lien public n'a pas été tranché par la Cour, le raisonnement s'appuie sur la ligne Lindqvist. Pour les travaux universitaires, les exigences de l'établissement s'ajoutent de toute façon.

Pourquoi les données techniques suffisent déjà

L'erreur la plus fréquente tient en une phrase : « Je ne demande rien de personnel, donc le sondage ne pose pas de question de protection des données. » Ce raisonnement ne tient pas.

Dès que quelqu'un ouvre un formulaire Google, Google traite des données techniques de connexion : adresse IP, date et heure, page appelée, informations de navigateur et d'appareil. Les adresses IP sont des données personnelles dès lors que l'organisme qui les traite dispose de moyens raisonnablement susceptibles d'être utilisés pour identifier la personne (CJUE, 19.10.2016, C-582/14, Breyer). La Cour a confirmé cette approche relative le 04.09.2025 dans l'affaire C-413/23 P. Pour Google, l'identification est en règle générale possible.

Un traitement de données personnelles est donc en cours, quel que soit le contenu de ton questionnaire. Et c'est cela qui détermine si une base légale et un contrat avec Google sont nécessaires. La réponse est oui, dès la première réponse reçue.

Deux précisions, pour éviter le malentendu :

• Google Forms ne montre jamais les adresses IP au créateur du formulaire, même dans l'export.
• Un sondage peut rester anonyme de ton point de vue, les deux ne s'excluent pas. La marche à suivre est dans Créer un sondage anonyme.

Le contrat de sous-traitance : le vrai point de blocage

Quand Google traite des données personnelles pour ton compte, Google est sous-traitant et tu es responsable de traitement. L'article 28 du RGPD exige un contrat pour cette relation, et son paragraphe 9 exige l'écrit, y compris sous forme électronique.

Google organise cela dans le Cloud Data Processing Addendum. Selon les conditions contractuelles de Google, cet avenant s'applique à Google Workspace, Cloud Identity et Google Cloud. Il ne s'applique pas aux comptes Google gratuits. Pour Google Workspace Individual, Google s'engage à le conclure dès lors que le service est utilisé à titre professionnel ou commercial.

Utiliser Google Forms au travail depuis une adresse Gmail personnelle laisse donc une lacune qu'aucune mention d'information, aussi soignée soit-elle, ne comble. C'est là que cela coince en pratique, et c'est le point que la plupart des guides omettent.

⚠️ Attention

Utiliser Google Forms à titre professionnel depuis un compte Google gratuit te prive du contrat de sous-traitance. Cette condition de forme ne se rattrape pas après coup. La sortie est un compte Workspace payant, ou un outil qui propose le contrat aussi dans sa formule gratuite.

Le lieu des serveurs : moins bloquant que sa réputation

L'argument standard contre Google tient en une phrase : les données sont aux États-Unis, donc c'est impossible. Depuis 2023, la situation est plus nuancée, dans les deux sens.

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le EU-US Data Privacy Framework, la décision d'exécution (UE) 2023/1795. Pour les entreprises américaines certifiées, le transfert repose donc sur la même base qu'à l'intérieur de l'Union. Google déclare que Google LLC est certifiée. Le Tribunal de l'Union européenne a confirmé la décision le 03.09.2025 dans l'affaire T-553/23 (Latombe).

Pourquoi cette base est moins solide qu'il n'y paraît

La confirmation n'est pas définitive : un pourvoi a été formé devant la Cour de justice le 31.10.2025, affaire C-703/25 P. S'y ajoute un second point. La décision d'adéquation repose largement sur l'indépendance des autorités de contrôle américaines. Le 29.06.2026, la Cour suprême des États-Unis a jugé dans Trump v. Slaughter que la protection contre la révocation des commissaires de la FTC est inconstitutionnelle, en abandonnant le précédent Humphrey's Executor. Le Comité européen de la protection des données a demandé à la Commission, par courrier du 31.07.2026, d'examiner l'effet sur la décision.

Concrètement : en août 2026, le lieu des serveurs n'est pas un critère d'exclusion, la décision reste en vigueur. C'est en revanche un risque à connaître. Qui monte une collecte prévue pour durer des années a intérêt à ne pas bâtir dessus.

La région de données Europe et ce qu'elle couvre vraiment

Beaucoup voient la région de données comme la solution : régler sur Europe et les données restent ici. Deux limites cassent ce calcul.

La première tient à l'édition, la seconde au service. Ensemble, elles font que la région de données apporte nettement moins pour Google Forms que ce que son nom promet.

La région de données n'existe pas dans toutes les éditions

La fonction régions de données est liée à certaines éditions de Google Workspace. Lesquelles, l'aide d'administration de Google le précise, et cela change de temps en temps.

Source : aide d'administration Google Workspace, au 29 juillet 2026, sous réserve de modification.

Pour Google Forms, la région ne couvre que la moitié

Google distingue les données au repos et les données en cours de traitement. Pour des services comme Gmail, Drive ou Docs, la région couvre les deux. Pour Google Forms, seul le repos est coché dans le tableau de Google, soit le texte, les images intégrées, les réponses et les brouillons de réponse. Le traitement lui-même n'est pas couvert. La même source exclut de manière générale les journaux et les contenus en cache, c'est-à-dire précisément les données techniques de connexion (au 24 mars 2026).

La région de données est donc une brique utile, pas une garantie qu'aucune donnée ne quitte l'Union. Qui a besoin de cette garantie passe par un prestataire européen.

Ce que tu dois faire concrètement

Admettons que tu restes sur Google Forms et que tu l'utilises professionnellement. Le contrat vient en premier, la durée de conservation en dernier, et entre les deux tiennent cinq étapes qui se règlent en une heure.

L'ordre est voulu : sans le premier point, les six autres ne servent à rien.

1. Passer à Google Workspace payant. C'est le seul endroit où le contrat de sous-traitance existe. Tout le reste s'appuie dessus.
2. Fixer la base légale. Pour les sondages volontaires, c'est en règle générale le consentement au titre de l'article 6, paragraphe 1, point a) du RGPD : libre, éclairé et révocable.
3. Mettre la mention d'information dans la description du formulaire. Qui collecte, avec un contact, pourquoi, pendant combien de temps, que la participation est libre et comment retirer son consentement. Un lien vers ta politique de confidentialité en fait partie.
4. Vérifier la minimisation. Pour chaque question : ai-je vraiment besoin de cette donnée pour l'analyse ? Ce que tu ne collectes pas, tu n'as pas à le protéger.
5. Recueillir le consentement si tu intègres le formulaire. Un formulaire Google intégré n'est pas nécessaire au fonctionnement de ton site et ne doit donc se charger qu'après accord actif.
6. Compléter le registre des activités de traitement. Souvent oublié, pourtant obligatoire.
7. Définir la durée de conservation. Quand les réponses sont-elles supprimées ? La feuille de calcul liée est une seconde copie, à supprimer séparément.

Un modèle général de mention d'information et davantage de contexte se trouvent dans notre guide sur la protection des données et le RGPD dans les enquêtes.

Trois cas particuliers fréquents

Dans trois configurations, la liste du chapitre précédent ne suffit pas, parce que des exigences supplémentaires s'ajoutent, sans rapport avec Google.

Leur point commun : le caractère libre du consentement devient contestable, ou un tiers a son mot à dire. Qui l'oublie peut avoir tout fait dans les formes et avoir quand même un problème.

Sondages à l'école et en classe

Les élèves ont besoin d'une protection renforcée, et pour les mineurs des exigences supplémentaires s'appliquent au consentement, en règle générale avec les titulaires de l'autorité parentale. En France, l'interlocuteur est le délégué à la protection des données de l'établissement ou de l'académie, et l'autorité compétente est la CNIL. Une évaluation publiée de Google Workspace for Education par la CNIL ne nous est pas connue. Renseigne-toi donc auprès du délégué de ton établissement avant de lancer un sondage en classe.

Enquêtes auprès des salariés

Le point sensible n'est pas le lieu des serveurs mais le rapport de subordination : dans une relation de travail, le consentement n'est libre que de façon limitée. S'y ajoute la consultation du comité social et économique. Et concrètement : si le personnel ne croit pas à l'anonymat, tu n'auras pas de réponses sincères. Le cadre méthodologique est détaillé dans notre guide sur l'enquête auprès des salariés.

Collectes pour un travail universitaire

Pour un mémoire, ce sont le plus souvent les règles de l'établissement qui s'appliquent, et beaucoup exigent expressément une collecte sur des serveurs européens. S'y ajoute la partie méthodologie, où tu dois pouvoir décrire comment l'anonymat et la protection des données ont été assurés. « J'ai pris Google Forms » n'est pas une bonne réponse en soutenance.

L'alternative : ne pas transférer du tout

Le moyen le plus simple d'éviter toutes ces questions est un prestataire chez qui elles ne se posent pas. Si les données ne quittent jamais l'Union, il n'y a besoin ni d'une base de transfert ni d'un débat sur les régions de données, et les prestataires européens proposent généralement le contrat de sous-traitance jusque dans leurs formules gratuites.

Avec empirio.ai, un outil de sondage en ligne venu d'Allemagne, tu crées des sondages presque aussi simplement qu'avec Google Forms, mais les données restent entièrement dans l'Union. D'autres options et leurs forces respectives sont comparées dans notre panorama des alternatives à Google Forms.

Cela ne veut pas dire que Google Forms serait interdit. Pour une enquête courte et anonyme, sans questions personnelles, lancée depuis un compte Workspace et accompagnée d'une mention d'information correcte, Google Forms reste un outil défendable. Simplement pas pour tout.

Conclusion

La question de la protection des données avec Google Forms se joue sur le compte, pas sur le lieu des serveurs : sans Google Workspace payant, il n'y a pas de contrat de sous-traitance, et cette lacune ne se contourne pas. Pour un retour anonyme et court depuis un compte Workspace, Google Forms est défendable. Pour les enquêtes internes, le contexte scolaire et les données de santé, nous conseillons un prestataire dont les données ne quittent pas l'Union.

Cet article reflète l'état de notre recherche en août 2026 et ne remplace pas un conseil juridique. Pour des collectes sensibles, adresse-toi à ton délégué à la protection des données ou à un avocat.

Pour aller plus loin

• Tu construis le sondage en ce moment ? Créer un sondage avec Google Forms
• Tu veux une collecte vraiment anonyme ? Créer un sondage anonyme
• Tu cherches le cadre général ? Protection des données et RGPD dans les enquêtes
• Tu envisages de changer ? Les alternatives à Google Forms comparées

Lancer un sondage sans la question du contrat ?

Chez empirio.ai, les données restent dans l'Union et le contrat de sous-traitance fait partie de l'utilisation, même en formule gratuite. Essayer gratuitement