Google Forms e il GDPR: cosa vale davvero

«Google Forms è conforme al GDPR?» è la domanda più posta e peggio risolta su questo strumento. Le risposte abituali sono «assolutamente no, i dati stanno negli Stati Uniti» oppure «è solo un sondaggio». Nessuna delle due arriva lontano.

Google Forms si può usare nel rispetto del GDPR se lavori con un account Google Workspace a pagamento, perché solo lì nasce il contratto con il responsabile del trattamento, se hai una base giuridica, se il modulo spiega chi raccoglie i dati, per quale scopo, per quanto tempo e come revocare, e se chiedi solo ciò di cui la tua analisi ha davvero bisogno. Per questo articolo abbiamo riletto ad agosto 2026 le condizioni contrattuali e la guida di amministrazione di Google.

📌 Il punto in breve

• Il contratto esiste solo con Google Workspace a pagamento.
• Aprire il modulo tratta già dati tecnici di connessione.
• La regione Europa manca in Business Starter e nell'account gratuito.
• In Google Forms copre i dati archiviati, non i log.
• L'EU-US Data Privacy Framework vale, ma è sotto ricorso.

Il primo passo: sei davvero titolare del trattamento?

Prima di Google ci sei tu. Il GDPR non si applica a ogni sondaggio, e chi non è titolare del trattamento non ha bisogno né di base giuridica, né di contratto, né di informativa.

Il confine non passa fra domande innocue e domande delicate, ma fra attività puramente personale e tutto il resto. Questa distinzione comanda il resto dell'articolo, per questo viene per prima.

L'esenzione domestica nei sondaggi privati

Secondo l'articolo 2, paragrafo 2, lettera c) del GDPR, il regolamento non si applica ai trattamenti effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico. Chiedere una data in famiglia o sondare gli amici rientra in questa esenzione. Chi resta in questo perimetro non deve fare nulla di quanto segue.

Dove finisce l'esenzione domestica

La Corte di giustizia dell'Unione europea la interpreta in modo restrittivo e la limita allo stretto necessario (CGUE, 11.12.2014, C-212/13, Ryneš). Per la diffusione di dati a un numero indeterminato di persone su internet, la Corte ha stabilito che l'esenzione non opera (CGUE, 06.11.2003, C-101/01, Lindqvist). Tre casi restano fuori:

• Si aggiunge una finalità professionale, anche solo mista.
• Dietro c'è una persona giuridica: società, associazione, scuola, ente pubblico.
• Il sondaggio raggiunge un pubblico indeterminato tramite un link pubblicato.

L'ultimo punto sorprende molti. Diffondere il sondaggio della tesi in gruppi Facebook aperti fa uscire dal perimetro protetto. Il caso specifico del link pubblico non è stato deciso dalla Corte, il ragionamento poggia sulla linea Lindqvist. Nei lavori accademici si aggiungono comunque le prescrizioni dell'università.

Perché bastano già i dati tecnici

L'errore più frequente sta in una frase: «Non chiedo nulla di personale, quindi il sondaggio non pone problemi di protezione dei dati.» Questo ragionamento non regge.

Non appena qualcuno apre un modulo Google, Google tratta dati tecnici di connessione: indirizzo IP, data e ora, pagina richiesta, informazioni su browser e dispositivo. Gli indirizzi IP sono dati personali quando chi li tratta dispone di mezzi ragionevolmente utilizzabili per identificare la persona (CGUE, 19.10.2016, C-582/14, Breyer). La Corte ha confermato questo criterio relativo il 04.09.2025 nella causa C-413/23 P. Per Google come gestore l'identificazione è di regola possibile.

C'è quindi un trattamento di dati personali, a prescindere da cosa chieda il tuo questionario. Ed è questo a decidere se servano una base giuridica e un contratto con Google. La risposta è sì, dalla prima risposta in poi.

Due precisazioni, per evitare fraintendimenti:

• Google Forms non mostra mai gli indirizzi IP a chi crea il modulo, nemmeno nell'esportazione.
• Un sondaggio può comunque essere anonimo dal tuo punto di vista, le due cose non si escludono. Come si fa lo spiega Creare un sondaggio anonimo.

Il contratto con il responsabile: qui sta il vero nodo

Quando Google tratta dati personali per tuo conto, Google è responsabile del trattamento e tu resti il titolare. L'articolo 28 del GDPR richiede un contratto per questo rapporto, e il paragrafo 9 lo vuole in forma scritta, anche elettronica.

Google lo disciplina nel Cloud Data Processing Addendum. Secondo le condizioni contrattuali di Google, l'addendum si applica a Google Workspace, Cloud Identity e Google Cloud. Non si applica agli account Google gratuiti. Per Google Workspace Individual, Google si impegna a stipularlo quando il servizio è usato in ambito professionale o commerciale.

Chi usa Google Forms al lavoro da un indirizzo Gmail privato si porta dietro una lacuna che nessuna informativa, per quanto curata, riesce a colmare. È qui che nella pratica il discorso si blocca, ed è esattamente il punto che la maggior parte delle guide salta.

⚠️ Attenzione

Usare Google Forms in ambito professionale da un account Google gratuito ti lascia senza contratto. Questo requisito formale non si sana in un secondo momento. La via d'uscita è un account Workspace a pagamento oppure uno strumento che offra il contratto anche nel piano gratuito.

La sede dei server: meno bloccante della sua fama

L'argomento standard contro Google sta in una frase: i dati sono negli Stati Uniti, quindi non si può. Dal 2023 la situazione è più sfumata, in entrambe le direzioni.

Il 10 luglio 2023 la Commissione europea ha adottato una decisione di adeguatezza per l'EU-US Data Privacy Framework, la decisione di esecuzione (UE) 2023/1795. Per le imprese statunitensi certificate il trasferimento poggia quindi sulla stessa base valida dentro l'Unione. Google dichiara che Google LLC è certificata. Il Tribunale dell'Unione europea ha confermato la decisione il 03.09.2025 nella causa T-553/23 (Latombe).

Perché questa base è meno solida di quanto sembri

La conferma non è definitiva: il 31.10.2025 è stata proposta impugnazione davanti alla Corte di giustizia, causa C-703/25 P. Si aggiunge un secondo punto. La decisione di adeguatezza poggia in larga parte sull'indipendenza delle autorità di controllo statunitensi. Il 29.06.2026 la Corte suprema degli Stati Uniti ha stabilito in Trump v. Slaughter che la tutela contro la rimozione dei commissari FTC è incostituzionale, superando il precedente Humphrey's Executor. Il Comitato europeo per la protezione dei dati ha chiesto alla Commissione, con lettera del 31.07.2026, di verificare l'effetto sulla decisione.

In concreto: ad agosto 2026 la sede dei server non è un criterio di esclusione, perché la decisione resta in vigore. È però un rischio da conoscere. Chi imposta una raccolta destinata a durare anni fa meglio a non costruirci sopra.

La regione dati Europa e cosa copre davvero

Molti vedono la regione dati come la soluzione: si imposta Europa e i dati restano qui. Due limiti rompono questo conto.

Il primo riguarda l'edizione sottoscritta, il secondo il servizio. Insieme fanno sì che la regione dati renda parecchio meno in Google Forms di quanto il nome prometta.

La regione dati non c'è in tutte le edizioni

La funzione regioni dati è legata a determinate edizioni di Google Workspace. Quali siano lo indica la guida di amministrazione di Google, e cambia di tanto in tanto.

Fonte: guida di amministrazione Google Workspace, al 29 luglio 2026, soggetta a modifiche.

In Google Forms la regione copre solo metà

Google distingue fra dati inattivi e dati in fase di trattamento. Per servizi come Gmail, Drive o Docs la regione copre entrambi. Per Google Forms nella tabella di Google è spuntata solo la colonna dei dati inattivi, cioè testo, immagini incorporate, risposte e bozze di risposta. Il trattamento in sé non è coperto. La stessa fonte esclude in generale i log e i contenuti in cache, cioè proprio i dati tecnici di connessione (al 24 marzo 2026).

La regione dati è quindi un tassello utile, non una garanzia che nessun dato lasci l'Unione. Chi ha bisogno di questa garanzia finisce da un fornitore europeo.

Cosa devi fare concretamente

Mettiamo che tu resti su Google Forms e lo usi in ambito professionale. Il contratto sta all'inizio e il piano di cancellazione alla fine, e in mezzo stanno cinque passi che si sbrigano in un'ora.

L'ordine è voluto: senza il primo punto, gli altri sei non servono a nulla.

1. Passare a Google Workspace a pagamento. È l'unico posto in cui il contratto nasce. Tutto il resto poggia su questo.
2. Stabilire la base giuridica. Nei sondaggi volontari di regola è il consenso ai sensi dell'articolo 6, paragrafo 1, lettera a) del GDPR: libero, informato e revocabile.
3. Mettere l'informativa nella descrizione del modulo. Chi raccoglie, con recapiti, per quale scopo, per quanto tempo, che la partecipazione è volontaria e come revocare il consenso. Un link alla tua informativa privacy fa parte del pacchetto.
4. Verificare la minimizzazione. Per ogni domanda: mi serve davvero questo dato per l'analisi? Ciò che non raccogli non devi nemmeno proteggerlo.
5. Raccogliere il consenso se incorpori il modulo. Un modulo Google incorporato non è necessario al funzionamento del tuo sito, quindi deve caricarsi solo dopo un consenso attivo.
6. Aggiornare il registro dei trattamenti. Viene dimenticato spesso, resta obbligatorio.
7. Definire i tempi di cancellazione. Quando vengono cancellate le risposte? Il foglio di calcolo collegato è una seconda copia e va cancellato a parte.

Un modello generale di informativa e altro contesto stanno nella guida su privacy e GDPR nei sondaggi.

Tre casi particolari che ricorrono spesso

In tre situazioni la lista del capitolo precedente non basta, perché si aggiungono requisiti che non hanno nulla a che fare con Google.

Hanno in comune che la libertà del consenso diventa discutibile oppure che decide anche un terzo. Chi non ci pensa può aver fatto tutto formalmente giusto e avere comunque un problema.

Sondaggi a scuola e in classe

Gli studenti hanno bisogno di una tutela rafforzata, e con i minori si aggiungono requisiti sul consenso, di regola con il coinvolgimento di chi esercita la responsabilità genitoriale. In Italia l'interlocutore è il responsabile della protezione dei dati dell'istituto, e l'autorità competente è il Garante per la protezione dei dati personali. Non ci risulta una valutazione pubblicata di Google Workspace for Education da parte del Garante. Rivolgiti quindi al responsabile del tuo istituto prima di lanciare un sondaggio in classe.

Indagini sul personale

Il nodo non è la sede dei server ma lo squilibrio di potere: in un rapporto di lavoro il consenso vale come libero solo in misura limitata. Si aggiunge il coinvolgimento delle rappresentanze sindacali. E in pratica: se il personale non crede all'anonimato, risposte sincere non ne arrivano. Il quadro metodologico sta nella guida sull'indagine sul personale.

Raccolte per lavori accademici

Per una tesi valgono di solito le prescrizioni dell'università, e molte richiedono espressamente una raccolta su server europei. Si aggiunge la parte metodologica, dove devi poter descrivere come hai garantito anonimato e protezione dei dati. «Ho usato Google Forms» non è una buona risposta in sede di discussione.

L'alternativa: non trasferire affatto

Il modo più semplice per evitare tutte queste domande è un fornitore presso cui non si pongono. Se i dati non lasciano mai l'Unione, non serve né una base per il trasferimento né una discussione sulle regioni dati, e i fornitori europei offrono di solito il contratto anche nei piani gratuiti.

Con empirio.ai, uno strumento per sondaggi online che arriva dalla Germania, crei sondaggi quasi con la stessa facilità di Google Forms, ma i dati restano interamente nell'UE. Altre opzioni con i rispettivi punti di forza sono messe a confronto nella panoramica delle alternative a Google Forms.

Nulla di tutto questo rende Google Forms vietato. Per un sondaggio breve e anonimo, senza domande personali, avviato da un account Workspace e con un'informativa corretta, Google Forms resta uno strumento difendibile. Solo non per tutto.

Conclusione

La questione privacy in Google Forms si decide sull'account, non sulla sede dei server: senza Google Workspace a pagamento non c'è contratto con il responsabile, e questa lacuna non si aggira. Per un feedback anonimo e breve da un account Workspace, Google Forms è difendibile. Per indagini sul personale, contesti scolastici e dati sanitari consigliamo un fornitore i cui dati non lascino l'UE.

Questo articolo riflette lo stato della nostra ricerca ad agosto 2026 e non sostituisce una consulenza legale. Per raccolte delicate, parla con il tuo responsabile della protezione dei dati o con un avvocato.

Come proseguire

• Stai costruendo il sondaggio adesso? Creare un sondaggio con Google Forms
• Vuoi che sia davvero anonimo? Creare un sondaggio anonimo
• Cerchi il quadro generale? Privacy e GDPR nei sondaggi
• Stai pensando di cambiare? Alternative a Google Forms a confronto

Lanciare un sondaggio senza la questione del contratto?

Con empirio.ai i dati restano nell'UE e il contratto fa parte dell'utilizzo, anche nel piano gratuito. Prova gratis