Google Forms est-il légal en Suisse ?

Utiliser Google Forms en Suisse n'est pas illégal. La loi fédérale révisée sur la protection des données (nLPD, RS 235.1) ne contient aucune disposition interdisant les logiciels étrangers, ni aucune exigence de serveurs suisses. Ce que la loi fait, c'est poser des conditions — et la bonne question n'est donc pas « Google Forms est-il autorisé ? » mais « ce formulaire-ci, avec ces données-ci, est-il licite dans mon rôle à moi ? ». Pour l'inscription à une conférence, la réponse est presque toujours oui. Pour le questionnaire d'admission d'un cabinet médical zurichois, presque toujours non — et pas pour la raison que l'on suppose.

Cet article répond à la question juridique. Notre article jumeau Google Forms est-il sécurisé ? répond à la question technique : les réponses sont-elles chiffrées, et qui peut les lire. Sa conclusion compte ici : Google Forms chiffre en transit et au repos, mais pas de bout en bout ; Google, vos administrateurs Workspace et toute personne atteinte par le tableur lié voient du texte en clair. Le droit suisse ne s'intéresse pas au chiffrement pour lui-même, mais à qui peut lire les données et sur quelle base contractuelle. C'est précisément pour cela que le constat technique commande la réponse juridique.

Google Forms est-il autorisé en Suisse ?

Oui, sur le principe. La nLPD est neutre sur le plan technologique comme sur celui des fournisseurs. Elle ne tient aucune liste d'outils agréés, n'impose pas d'hébergement suisse et ne traite pas un prestataire américain comme interdit par nature. Une entreprise suisse qui recueille par Google Forms des inscriptions à une newsletter, des enregistrements à un événement ou un sondage interne sur les repas ne commet rien d'illicite, pour autant qu'elle respecte les devoirs ordinaires : traiter licitement, de bonne foi et proportionnellement (art. 6), garantir la sécurité (art. 8), informer (art. 19) et supprimer ce qui n'est plus nécessaire.

Derrière le mot « légal » se cache toutefois une autre inquiétude : que quelqu'un désigne l'outil et affirme qu'il n'aurait jamais dû servir à ces données-là. Cette inquiétude est fondée et elle a quatre sources distinctes. Elles s'additionnent, et chacune peut à elle seule rendre illicite une configuration par ailleurs impeccable.

Les quatre questions qui tranchent vraiment

1. Qui êtes-vous ? Les organisations privées relèvent de la nLPD fédérale. Les organes cantonaux et communaux — écoles, administrations, hôpitaux publics — relèvent du droit cantonal de la protection des données, souvent plus strict, ainsi que de la pratique de surveillance de leur autorité cantonale.
2. Quel est le degré de sensibilité des données ? L'art. 5 let. c nLPD définit les données sensibles de manière étroite mais lourde de conséquences. Leur traitement relève le seuil du consentement (l'art. 6 al. 7 let. a exige un consentement exprès lorsque le traitement s'y fonde) et déclenche, en cas de traitement à grande échelle, une analyse d'impact selon l'art. 22 al. 2 let. a.
3. Un secret s'y superpose-t-il ? Le secret professionnel de l'art. 321 CP, le secret bancaire de l'art. 47 LB et le secret de fonction de l'art. 320 CP ne relèvent pas de la protection des données. Ce sont des normes pénales, elles vous lient personnellement, et aucun contrat de sous-traitance ne les satisfait.
4. Avez-vous les documents ? Contrat de sous-traitance selon l'art. 9, base licite pour la communication à l'étranger selon l'art. 16 ou l'art. 17, et devoir de transparence de l'art. 19 al. 4 — qui impose de nommer l'État destinataire dans la déclaration de confidentialité. C'est la couche que presque tout le monde saute.

Faut-il un contrat de sous-traitance avec Google ?

Oui. Lorsque vous recueillez des réponses via Google Forms, vous êtes responsable du traitement et Google est votre sous-traitant : il traite des données personnelles pour votre compte, sur vos instructions, à vos fins. L'art. 9 al. 1 nLPD autorise cette délégation par contrat ou par la législation, à deux conditions — le sous-traitant ne peut traiter les données que comme le responsable serait lui-même en droit de le faire, et aucune obligation légale ou contractuelle de garder le secret ne doit l'interdire. L'art. 9 al. 2 ajoute que vous devez vous assurer, spécifiquement, que le sous-traitant est en mesure de garantir la sécurité des données.

Concrètement : activer le Cloud Data Processing Addendum de Google, ou vérifier que votre contrat l'intègre déjà. Il est proposé pour Google Workspace et Cloud Identity et vise expressément la LPD suisse à côté du RGPD et du droit britannique. Google signale lui-même que les clients dont l'adresse de facturation se situe hors de la zone Europe, Moyen-Orient et Afrique et dont l'usage tombe sous la LPD suisse doivent le certifier — exactement la situation d'un client suisse facturé hors EMEA. Vérifiez-le, ne le présumez pas.

Les sous-traitants ultérieurs exigent votre autorisation préalable

L'art. 9 al. 3 nLPD prévoit que le sous-traitant ne peut confier le traitement à un tiers qu'avec l'autorisation préalable du responsable. Google, comme tout hyperscaler, s'appuie sur une longue liste de sous-traitants ultérieurs, qui évolue. Le schéma conforme est l'autorisation générale assortie d'une notification : vous acceptez la liste publiée et le processus de modification prévu par l'addendum, et vous conservez une copie de l'état accepté. Le schéma non conforme consiste à ne l'avoir jamais consultée.

Ce qu'un contrat de sous-traitance n'achète pas

Un addendum signé rend la relation de traitement licite. Il ne change rien à qui peut techniquement lire les données, il ne libère d'aucun secret professionnel et il n'empêche aucune injonction licite dans la juridiction d'origine du prestataire. Les contrats répartissent la responsabilité ; ils ne suppriment pas une capacité. Cette distinction est le cœur du débat suisse sur les services cloud internationaux et la raison pour laquelle question technique et question juridique refusent de rester séparées.

Est-il illicite que les données de formulaire quittent la Suisse ?

Pas en soi. L'art. 16 al. 1 nLPD permet la communication à l'étranger lorsque le Conseil fédéral a constaté que l'État destinataire garantit une protection adéquate — la liste figure à l'annexe 1 de l'ordonnance sur la protection des données (OPDo, RS 235.11). Tous les États de l'UE et de l'EEE y figurent. Les États-Unis aussi, mais sous condition : par ordonnance du 14 août 2024, en vigueur depuis le 15 septembre 2024, le Conseil fédéral reconnaît une protection adéquate aux destinataires américains certifiés sous le Swiss-U.S. Data Privacy Framework. Google LLC est certifié sous ce cadre, comme sous l'EU-U.S. DPF et son extension britannique.

La voie du transfert est donc ouverte. Ce que l'on oublie, c'est que l'adéquation n'est ni automatique ni définitive : elle dépend du maintien de la certification du destinataire pour les catégories de données concernées, et une décision du Conseil fédéral peut être révisée. Si l'art. 16 al. 1 ne porte pas, vous retombez sur les garanties de l'art. 16 al. 2 — clauses types reconnues par le PFPDT, règles d'entreprise contraignantes — ou, dans des cas particuliers seulement, sur les dérogations de l'art. 17. Notre guide des transferts à l'étranger déroule ce test en entier.

Un hébergement dans l'UE suffit-il pour des données suisses ?

Pour la question de l'adéquation, oui : tous les États de l'UE et de l'EEE figurent à l'annexe 1, stocker dans un centre de calcul européen les réponses de participants suisses n'exige donc aucun instrument de transfert supplémentaire. Google Workspace propose un réglage de régions de données permettant à l'administration de fixer l'emplacement des données primaires au repos dans l'UE ou aux États-Unis ; la documentation de Google mentionne Forms parmi les services couverts pour les données au repos. Deux réserves comptent. D'abord, la couverture du lieu de traitement est plus étroite que celle du stockage : des traitements passagers peuvent avoir lieu ailleurs. Ensuite — et c'est le point que les acheteurs suisses manquent obstinément — la Suisse n'est pas une option. La multirégion européenne exclut explicitement les territoires hors UE, dont la Suisse et le Royaume-Uni. « Hébergement dans l'UE » est une réponse licite à l'art. 16 ; ce n'est pas une réponse à la question de l'hébergement suisse.

Vous devez nommer l'État destinataire dans votre déclaration de confidentialité

L'art. 19 al. 4 nLPD est court et massivement ignoré : lorsque les données personnelles sont communiquées à l'étranger, le responsable indique également à la personne concernée l'État ou l'organisme international destinataire et, le cas échéant, les garanties de l'art. 16 al. 2 ou l'application d'une dérogation de l'art. 17. Une phrase du type « nous recourons à des services tiers » n'y suffit pas. « Google LLC, États-Unis, sur la base du Swiss-U.S. Data Privacy Framework » y suffit. La violation du devoir d'information est elle-même punissable selon l'art. 60 nLPD, là encore jusqu'à 250 000 francs d'amende.

Quand Google Forms ne pose aucun problème en Suisse

Il faut le dire clairement, parce que les contenus de conformité laissent volontiers entendre que tout outil est un risque. Google Forms est un bon produit, gratuit, connu de tous, et pour une large classe d'usages suisses il ne soulève aucune question juridique sérieuse. Si votre formulaire correspond à la description suivante, utilisez-le et dépensez votre énergie de conformité ailleurs :

• Vous l'exploitez depuis un compte Google Workspace avec le Cloud Data Processing Addendum en place — pas depuis un compte Gmail personnel.
• Il s'agit de données personnelles ordinaires : nom, courriel, entreprise, préférence de repas, choix d'atelier, note de satisfaction.
• Aucune catégorie sensible au sens de l'art. 5 let. c n'est recueillie — ni santé, ni appartenance religieuse ou politique, ni procédure pénale, ni aide sociale.
• Aucun secret professionnel ne vous lie à l'égard des personnes qui répondent.
• Votre déclaration de confidentialité nomme Google et l'État destinataire, et votre registre des activités de traitement (art. 12) mentionne l'outil.
• La conservation est délibérée : réponses et tableur lié sont supprimés à la fin de la finalité, et non « un jour ».

Quand Google Forms n'est pas le bon choix

La ligne de partage n'oppose pas « suisse » et « étranger ». Elle porte sur la question de savoir qui a le droit de pouvoir lire ces données. Dès que la réponse est « moi et la personne qui répond, personne d'autre », un outil dont le fournisseur détient les clés cesse de convenir — indépendamment des décisions d'adéquation, des contrats et de la qualité, réellement excellente, de l'ingénierie de sécurité de Google. Le tableau ci-dessous est la version pratique des quatre questions.

Les domaines où la réponse est en pratique non

Dans quatre contextes suisses, l'analyse est court-circuitée : une norme extérieure au droit de la protection des données tranche avant même que le test nLPD ne commence.

Cabinets médicaux, dentaires, psychologiques et pharmacies

L'art. 321 CP punit — d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire — les médecins, dentistes, chiropraticiens, pharmaciens, sages-femmes, psychologues et leurs auxiliaires qui révèlent un secret à eux confié en raison de leur profession. Un éditeur de logiciel disposant d'un accès technique aux données de patients en clair se situe inconfortablement près de ce périmètre, et le risque pénal pèse personnellement sur le praticien. L'art. 9 al. 1 let. b nLPD boucle la boucle du côté de la protection des données : le traitement ne peut être délégué lorsqu'une obligation légale ou contractuelle de garder le secret l'interdit. C'est pourquoi un contrat de sous-traitance n'est pas la solution pour un cabinet — le contrat est un instrument de protection des données, l'obstacle est pénal. Notre cas d'usage cabinet dentaire montre comment une admission à connaissance nulle résout la difficulté.

Études d'avocats et notaires

Le même art. 321 CP vise les avocates, les défenseurs et les notaires, renforcé par les règles professionnelles des ordres cantonaux. Les formulaires de prise en charge captent régulièrement les faits d'un litige avant même qu'un mandat existe — précisément la matière que le secret est censé protéger. Un prestataire capable de lire le formulaire est une partie qui détient des informations couvertes par le secret sans y être soumise. Notre cas d'usage prise en charge décrit le dispositif pratique.

Écoles, administrations cantonales et autres organes publics

Les organes publics constituent le cas le plus strict, et la position s'est durcie récemment. Dans une résolution publiée en novembre 2025, privatim — la conférence des préposés suisses à la protection des données — retient que l'externalisation de données sensibles ou couvertes par une obligation légale de secret vers des prestataires cloud internationaux est, dans la plupart des cas, inadmissible pour les organes publics : la majorité des offres SaaS ne fournit pas de véritable chiffrement de bout en bout excluant l'accès du prestataire au texte en clair, et les entreprises mondiales offrent trop peu de transparence pour que les autorités puissent vérifier le respect des obligations contractuelles. L'exception que la résolution laisse ouverte est étroite et précise : l'organe responsable chiffre lui-même les données et le prestataire n'a pas accès à la clé.

Pour les écoles, la Suisse a trouvé une voie médiane praticable au niveau de la plateforme : educa a négocié un contrat-cadre pour Google Workspace for Education, en vertu duquel le droit suisse et un for suisse s'appliquent à la relation avec Google Ireland, des emplacements de stockage dans l'UE peuvent être choisis et le profilage publicitaire des élèves est contractuellement exclu. Les guides cantonaux qui l'accompagnent restent toutefois cohérents : les données sensibles n'ont pas leur place dans la plateforme, et les enquêtes qui en recueillent exigent une protection supplémentaire. Utiliser l'espace de classe pour un sondage de dates ne pose pas de problème ; l'utiliser pour un questionnaire social, si. Notre cas d'usage établissements scolaires est construit exactement sur cette césure.

Banques, assurances et établissements financiers surveillés

Les données identifiant le client sont protégées par l'art. 47 LB, et les exigences de la FINMA en matière d'externalisation imposent aux établissements surveillés de conserver la maîtrise, l'auditabilité et les droits d'accès sur les traitements externalisés — y compris les droits de consultation de l'autorité et de la révision interne. Un outil de formulaires grand public et gratuit ne résiste pas à un inventaire d'externalisation, et « nous avons recueilli le questionnaire d'entrée en relation via Google Forms » n'est pas une phrase que quiconque souhaite lire dans un rapport d'audit.

Un arbre de décision pour les organisations suisses

Déroulez les points dans l'ordre. Le premier non tranche — il n'y a pas de moyenne à faire.

1. Êtes-vous un organe public ? Si oui, appliquez d'abord le droit cantonal et la pratique de votre autorité, et lisez la résolution privatim avant toute chose. Pour des données sensibles ou couvertes par un secret, partez du non tant que vous ne détenez pas vous-même les clés.
2. Un secret vous lie-t-il au titre de l'art. 321 CP, de l'art. 320 CP ou de l'art. 47 LB ? Si oui, arrêtez-vous là. Aucun contrat de sous-traitance ne guérit une obligation pénale ; il vous faut un outil que le prestataire ne peut pas lire.
3. Le formulaire recueille-t-il des données sensibles au sens de l'art. 5 let. c nLPD — santé, opinions religieuses, philosophiques, politiques ou syndicales, sphère intime, appartenance ethnique, données génétiques ou biométriques, poursuites pénales ou administratives, aide sociale ? Si oui, tenez Google Forms pour inadapté et consignez pourquoi.
4. Un champ libre peut-il devenir une donnée sensible ? Un champ « autre chose que nous devrions savoir ? » sur un formulaire d'inscription recueille immanquablement des informations de santé. Si vous ne pouvez pas l'empêcher, traitez le formulaire comme sensible.
5. Êtes-vous sur Workspace avec le Cloud Data Processing Addendum, et pouvez-vous le produire ? Sinon, réglez ce point avant de recueillir quoi que ce soit.
6. Votre déclaration de confidentialité nomme-t-elle Google et l'État destinataire, et votre registre selon l'art. 12 mentionne-t-il l'outil ? Sinon, vous avez un problème au titre des art. 19 et 60, indépendamment de tout le reste.
7. Si les six points sont clairs, utilisez-le. Fixez ensuite une règle de conservation pour les réponses et le tableur lié, et revoyez les réglages de partage des deux.

Que faire si vous utilisez déjà Google Forms pour les mauvaises données

C'est la situation courante, et la panique n'est pas la bonne réaction. Un cabinet qui recueille depuis deux ans des anamnèses par Google Forms a une situation à assainir, pas un scandale à dissimuler. L'ordre compte : arrêter la collecte sans nettoyer les archives laisse l'exposition intacte.

L'alternative suisse à connaissance nulle

Schweizerform est conçu exactement pour les formulaires de la colonne « non ». Les réponses sont chiffrées en AES-256-GCM dans le navigateur de la personne qui répond, avant transmission ; la clé de chaque envoi est enveloppée avec la clé publique du formulaire, et la chaîne de clés privées est protégée par la clé du coffre du propriétaire, qui n'atteint jamais nos serveurs. Nous stockons les soumissions chiffrées sur une infrastructure suisse et, structurellement, nous ne pouvons lire aucun envoi.

La conséquence juridique est ici l'essentiel, et elle est précise plutôt que promotionnelle : il n'y a pas de communication de données personnelles lisibles à l'étranger, puisqu'il n'existe nulle part de données lisibles en dehors des deux navigateurs. L'obstacle de l'art. 9 al. 1 let. b — une obligation de secret qui interdit la délégation — tombe lorsque le prestataire n'a aucun accès technique au secret. Et l'exception étroite de la résolution privatim, où l'organe responsable chiffre lui-même et le prestataire ne détient aucune clé, décrit l'architecture plutôt qu'une option supplémentaire. Pour une vue de marché plutôt que la nôtre : le panorama des outils de formulaires hébergés en Suisse compare honnêtement les options suisses, et le comparatif Schweizerform contre Google Forms donne le niveau fonctionnel.

En résumé : Google Forms est-il légal en Suisse ?

Pour des données personnelles ordinaires, depuis un compte Google Workspace, avec le Cloud Data Processing Addendum en place et une déclaration de confidentialité qui nomme Google et l'État destinataire : oui. Le Swiss-U.S. Data Privacy Framework figure à l'annexe 1 de l'ordonnance depuis le 15 septembre 2024, Google LLC y est certifié, et la voie du transfert est ouverte. Rien dans l'outil n'est intrinsèquement illicite en Suisse.

Pour des données sensibles au sens de l'art. 5 let. c nLPD, pour quiconque est soumis à l'art. 321 CP, pour les organes publics traitant des informations couvertes par un secret, et pour les signalements ou les questionnaires sociaux : non — et la raison n'est pas l'emplacement du serveur, mais le fait que le prestataire peut lire le texte en clair. Le test honnête est celui du début de cet article : dressez la liste de qui peut lire les réponses et décidez si chaque nom y a sa place. Lorsque la liste doit se réduire à « moi », l'outil doit être un outil incapable de lire vos données.