Google Forms è legale in Svizzera?

Usare Google Forms in Svizzera non è illegale. La legge federale riveduta sulla protezione dei dati (nLPD, RS 235.1) non contiene alcuna disposizione che vieti il software estero, né alcuna che imponga server svizzeri. Quello che la legge fa è porre condizioni — e la domanda giusta non è quindi « Google Forms è ammesso? » ma « questo modulo, con questi dati, è lecito nel mio ruolo? ». Per l'iscrizione a un convegno la risposta è quasi sempre sì. Per il questionario di accettazione di uno studio medico zurighese è quasi sempre no, e non per il motivo che si immagina.

Questo articolo risponde alla domanda giuridica. A quella tecnica risponde il nostro articolo gemello Google Forms è sicuro?: se le risposte sono crittografate e chi può leggerle. La sua conclusione conta anche qui: Google Forms cifra in transito e a riposo, ma non end-to-end; Google, i vostri amministratori Workspace e chiunque raggiunga il foglio di calcolo collegato vedono testo in chiaro. Il diritto svizzero non si interessa alla crittografia in sé, bensì a chi può leggere i dati e su quale base contrattuale. Proprio per questo il dato tecnico determina la risposta giuridica.

Google Forms è ammesso in Svizzera?

In linea di principio sì. La nLPD è neutrale rispetto alla tecnologia e al fornitore. Non tiene elenchi di strumenti autorizzati, non impone hosting svizzero e non tratta un fornitore statunitense come vietato per natura. Un'azienda svizzera che raccoglie con Google Forms iscrizioni alla newsletter, registrazioni a un evento o un sondaggio interno sui pasti non commette nulla di illecito, purché rispetti i doveri ordinari: trattare lecitamente, secondo buona fede e in modo proporzionato (art. 6), garantire la sicurezza (art. 8), informare (art. 19) e cancellare ciò che non serve più.

Dietro la parola « legale » si nasconde però un'altra preoccupazione: che qualcuno indichi lo strumento e dica che per quei dati non avrebbe mai dovuto essere usato. La preoccupazione è fondata e ha quattro fonti distinte. Si sommano, e ciascuna da sola può rendere illecita una configurazione per il resto impeccabile.

Le quattro domande che decidono davvero

1. Chi siete? Le organizzazioni private soggiacciono alla nLPD federale. Gli organi cantonali e comunali — scuole, amministrazioni, ospedali pubblici — soggiacciono al diritto cantonale sulla protezione dei dati, spesso più severo, e alla prassi di vigilanza della loro autorità cantonale.
2. Quanto sono sensibili i dati? L'art. 5 lett. c nLPD definisce i dati degni di particolare protezione in modo stretto ma gravido di conseguenze. Il loro trattamento alza l'asticella del consenso (l'art. 6 cpv. 7 lett. a esige il consenso esplicito quando il trattamento vi si fonda) e, nei trattamenti su vasta scala, fa scattare una valutazione d'impatto secondo l'art. 22 cpv. 2 lett. a.
3. Vi si sovrappone un segreto? Il segreto professionale dell'art. 321 CP, il segreto bancario dell'art. 47 LBCR e il segreto d'ufficio dell'art. 320 CP non sono diritto della protezione dei dati. Sono norme penali, vi vincolano personalmente e nessun contratto di committenza le soddisfa.
4. Avete i documenti? Contratto di committenza secondo l'art. 9, base lecita per la comunicazione all'estero secondo l'art. 16 o l'art. 17, e obbligo di trasparenza dell'art. 19 cpv. 4 — che impone di nominare lo Stato destinatario nell'informativa. È lo strato che quasi tutti saltano.

Serve un contratto di committenza con Google?

Sì. Chi raccoglie risposte tramite Google Forms è titolare del trattamento e Google è il suo responsabile del trattamento: tratta dati personali per conto vostro, secondo le vostre istruzioni, per le vostre finalità. L'art. 9 cpv. 1 nLPD consente questa delega per contratto o per legge, a due condizioni — il responsabile può trattare i dati solo come potrebbe farlo il titolare stesso, e nessun obbligo legale o contrattuale di segretezza deve vietare la delega. L'art. 9 cpv. 2 aggiunge che dovete accertarvi, in particolare, che il responsabile sia in grado di garantire la sicurezza dei dati.

In pratica significa attivare il Cloud Data Processing Addendum di Google, oppure verificare che il vostro contratto lo integri già. È offerto per Google Workspace e Cloud Identity e richiama espressamente la LPD svizzera accanto al GDPR e al diritto britannico. Google stesso segnala che i clienti con indirizzo di fatturazione fuori dall'area Europa, Medio Oriente e Africa il cui utilizzo ricade sotto la LPD svizzera devono certificarlo — esattamente la situazione di un cliente svizzero fatturato fuori EMEA. Verificatelo, non presumetelo.

I subresponsabili richiedono la vostra autorizzazione preliminare

L'art. 9 cpv. 3 nLPD stabilisce che il responsabile del trattamento può delegare il trattamento a un terzo soltanto previa autorizzazione del titolare. Google, come ogni hyperscaler, poggia su un lungo elenco di subresponsabili, che cambia nel tempo. Lo schema conforme è l'autorizzazione generale con notifica delle modifiche: accettate l'elenco pubblicato e il processo di aggiornamento previsto dall'addendum, e conservate una copia dello stato accettato. Lo schema non conforme consiste nel non averlo mai guardato.

Che cosa un contratto di committenza non compra

Un addendum firmato rende lecito il rapporto di trattamento. Non cambia chi può tecnicamente leggere i dati, non libera da alcun segreto professionale e non impedisce un ordine lecito nella giurisdizione d'origine del fornitore. I contratti ripartiscono la responsabilità; non eliminano una capacità. Questa distinzione è la sostanza del dibattito svizzero sui servizi cloud internazionali ed è il motivo per cui questione tecnica e questione giuridica si rifiutano di restare separate.

È illecito che i dati dei moduli lascino la Svizzera?

Non di per sé. L'art. 16 cpv. 1 nLPD ammette la comunicazione all'estero quando il Consiglio federale ha constatato che lo Stato destinatario garantisce una protezione adeguata — l'elenco figura nell'allegato 1 dell'ordinanza sulla protezione dei dati (OPDa, RS 235.11). Vi figurano tutti gli Stati dell'UE e dello SEE. Anche gli Stati Uniti, ma a condizione: con ordinanza del 14 agosto 2024, in vigore dal 15 settembre 2024, il Consiglio federale riconosce una protezione adeguata ai destinatari statunitensi certificati sotto lo Swiss-U.S. Data Privacy Framework. Google LLC è certificata sotto lo Swiss-U.S. DPF, oltre che sotto l'EU-U.S. DPF e la relativa estensione britannica.

La via del trasferimento è dunque aperta. Ciò che sfugge è che l'adeguatezza non è né automatica né definitiva: dipende dal mantenimento della certificazione del destinatario per le categorie di dati interessate, e una constatazione del Consiglio federale può essere rivista. Se l'art. 16 cpv. 1 non regge, si ripiega sulle garanzie dell'art. 16 cpv. 2 — clausole tipo riconosciute dall'IFPDT, norme vincolanti d'impresa — oppure, solo nel caso singolo, sulle deroghe dell'art. 17. La nostra guida ai trasferimenti all'estero percorre il test per intero.

Un hosting nell'UE basta per i dati svizzeri dei moduli?

Per la questione dell'adeguatezza, sì: tutti gli Stati dell'UE e dello SEE figurano nell'allegato 1, quindi conservare in un centro di calcolo europeo le risposte di partecipanti svizzeri non richiede alcuno strumento di trasferimento aggiuntivo. Google Workspace offre l'impostazione delle regioni di dati, con cui l'amministrazione può fissare nell'UE o negli Stati Uniti la posizione dei dati primari a riposo; la documentazione di Google elenca Forms tra i servizi coperti per i dati a riposo. Contano due riserve. La prima: la copertura del luogo di elaborazione è più stretta di quella dell'archiviazione, per cui trattamenti transitori possono avvenire altrove. La seconda — ed è il punto che gli acquirenti svizzeri continuano a mancare — la Svizzera non è tra le opzioni. La multiregione europea esclude esplicitamente i territori extra-UE, Svizzera e Regno Unito compresi. « Hosting nell'UE » è una risposta lecita all'art. 16; non è una risposta sull'hosting svizzero.

Dovete nominare lo Stato destinatario nell'informativa

L'art. 19 cpv. 4 nLPD è breve e largamente ignorato: se i dati personali sono comunicati all'estero, il titolare comunica alla persona interessata anche lo Stato o l'organismo internazionale destinatario e, se del caso, le garanzie dell'art. 16 cpv. 2 o l'applicazione di una deroga dell'art. 17. Un'informativa che dice « ricorriamo a servizi di terzi » non basta. « Google LLC, Stati Uniti, sulla base dello Swiss-U.S. Data Privacy Framework » basta. La violazione dell'obbligo di informare è a sua volta punibile secondo l'art. 60 nLPD, di nuovo con multa fino a 250 000 franchi.

Quando Google Forms in Svizzera non pone alcun problema

Va detto chiaramente, perché i contenuti sulla conformità tendono a suggerire che ogni strumento sia un rischio. Google Forms è un buon prodotto, è gratuito, lo conoscono tutti e per un'ampia classe di casi d'uso svizzeri non solleva alcuna questione giuridica seria. Se il vostro modulo corrisponde alla descrizione seguente, usatelo e spendete altrove le vostre energie di conformità:

• Lo gestite da un account Google Workspace con il Cloud Data Processing Addendum attivo, non da un account Gmail personale.
• Si tratta di dati personali ordinari: nome, e-mail, azienda, preferenza per il pasto, scelta della sessione, voto di soddisfazione.
• Nessuna categoria degna di particolare protezione ai sensi dell'art. 5 lett. c viene raccolta: né dati sulla salute, né appartenenza religiosa o politica, né procedimenti penali, né assistenza sociale.
• Nessun segreto professionale vi vincola nei confronti di chi risponde.
• La vostra informativa nomina Google e lo Stato destinatario, e il registro delle attività di trattamento (art. 12) elenca lo strumento.
• La conservazione è deliberata: risposte e foglio collegato vengono cancellati quando la finalità si esaurisce, non « prima o poi ».

Quando Google Forms non è la scelta giusta

La linea di demarcazione non passa tra « svizzero » ed « estero », ma sulla domanda di chi debba poter leggere questi dati. Non appena la risposta è « soltanto io e la persona che invia », uno strumento il cui fornitore detiene le chiavi smette di essere adatto — a prescindere dalle decisioni di adeguatezza, dai contratti e dalla qualità, davvero eccellente, dell'ingegneria di sicurezza di Google. La tabella seguente è la versione pratica delle quattro domande.

I settori in cui la risposta è di fatto no

In quattro contesti svizzeri l'analisi si accorcia: una norma esterna al diritto della protezione dei dati decide prima ancora che il test nLPD cominci.

Studi medici, dentistici, psicologici e farmacie

L'art. 321 CP punisce — con una pena detentiva sino a tre anni o con una pena pecuniaria — medici, dentisti, chiropratici, farmacisti, levatrici, psicologi e i loro ausiliari che rivelano un segreto loro confidato nella professione. Un fornitore di software con accesso tecnico ai dati dei pazienti in chiaro si colloca scomodamente vicino a quel perimetro, e il rischio penale grava personalmente sullo studio. L'art. 9 cpv. 1 lett. b nLPD chiude il cerchio dal lato della protezione dei dati: il trattamento non può essere delegato quando un obbligo legale o contrattuale di segretezza lo vieta. Ecco perché per uno studio un contratto di committenza non è la soluzione: il contratto è uno strumento di protezione dei dati, l'ostacolo è penale. Il nostro caso d'uso sanitario mostra come l'accettazione a conoscenza zero lo risolva.

Studi legali e notarili

Lo stesso art. 321 CP riguarda avvocate, difensori e notai, rafforzato dalle regole professionali degli ordini cantonali. I moduli di accettazione raccolgono regolarmente i fatti di una controversia prima ancora che esista un mandato — esattamente la materia che il segreto deve proteggere. Un fornitore in grado di leggere il modulo è una parte che detiene informazioni coperte dal segreto senza esservi soggetta. Il nostro caso d'uso accettazione clienti descrive l'impostazione pratica.

Scuole, amministrazioni cantonali e altri organi pubblici

Gli organi pubblici sono il caso più severo, e la posizione si è irrigidita di recente. In una risoluzione pubblicata nel novembre 2025, privatim — la conferenza degli incaricati svizzeri della protezione dei dati — afferma che l'esternalizzazione di dati degni di particolare protezione, o coperti da un obbligo legale di segretezza, verso fornitori cloud internazionali è nella maggior parte dei casi inammissibile per gli organi pubblici: la maggioranza delle soluzioni SaaS non offre una vera crittografia end-to-end che escluda l'accesso del fornitore al testo in chiaro, e le imprese globali offrono troppa poca trasparenza perché le autorità possano verificare il rispetto degli obblighi contrattuali. L'eccezione che la risoluzione lascia aperta è stretta e precisa: l'organo responsabile cifra i dati da sé e il fornitore non ha accesso alla chiave.

Per le scuole la Svizzera ha trovato una via mediana praticabile a livello di piattaforma: educa ha negoziato un contratto quadro per Google Workspace for Education, in virtù del quale al rapporto con Google Ireland si applicano il diritto svizzero e un foro svizzero, si possono scegliere luoghi di archiviazione nell'UE e la profilazione pubblicitaria degli allievi è contrattualmente esclusa. Le guide cantonali che l'accompagnano restano però coerenti: i dati degni di particolare protezione non appartengono alla piattaforma, e le indagini che li raccolgono richiedono protezioni aggiuntive. Usare lo spazio di classe per un sondaggio sulle date non pone problemi; usarlo per un questionario sulla situazione familiare sì. Il nostro caso d'uso istituti scolastici è costruito esattamente su questa distinzione.

Banche, assicurazioni e istituti finanziari vigilati

I dati che identificano il cliente sono protetti dall'art. 47 LBCR, e le aspettative della FINMA in materia di esternalizzazione impongono agli istituti vigilati di mantenere controllo, verificabilità e diritti di accesso sui trattamenti esternalizzati — compresi i diritti di ispezione dell'autorità di vigilanza e della revisione interna. Uno strumento gratuito per moduli destinato al grande pubblico non regge a un inventario delle esternalizzazioni, e « il questionario di entrata in relazione lo abbiamo raccolto con Google Forms » non è una frase che qualcuno voglia leggere in un rapporto di audit.

Un albero decisionale per le organizzazioni svizzere

Procedete nell'ordine indicato. Il primo no decide: qui non si fanno medie.

1. Siete un organo pubblico? Se sì, applicate anzitutto il diritto cantonale e la prassi della vostra autorità, e leggete la risoluzione privatim prima di ogni altra cosa. Per dati sensibili o coperti da segreto, partite dal no finché non detenete voi stessi le chiavi.
2. Vi vincola un segreto ai sensi dell'art. 321 CP, dell'art. 320 CP o dell'art. 47 LBCR? Se sì, fermatevi qui. Nessun contratto di committenza sana un obbligo penale; vi serve uno strumento che il fornitore non possa leggere.
3. Il modulo raccoglie dati degni di particolare protezione ai sensi dell'art. 5 lett. c nLPD — salute, opinioni religiose, filosofiche, politiche o sindacali, sfera intima, appartenenza etnica, dati genetici o biometrici, procedimenti penali o amministrativi, assistenza sociale? Se sì, considerate Google Forms inadatto e mettete a verbale il perché.
4. Il testo libero può diventare un dato sensibile? Un campo « c'è altro che dovremmo sapere? » su un modulo di iscrizione raccoglie immancabilmente informazioni sulla salute. Se non potete impedirlo, trattate il modulo come sensibile.
5. Siete su Workspace con il Cloud Data Processing Addendum, e siete in grado di esibirlo? In caso contrario, sistemate questo punto prima di raccogliere qualsiasi cosa.
6. La vostra informativa nomina Google e lo Stato destinatario, e il registro secondo l'art. 12 elenca lo strumento? In caso contrario, avete un problema ai sensi degli art. 19 e 60, indipendentemente da tutto il resto.
7. Se i sei punti sono chiari, usatelo. Poi fissate una regola di conservazione per le risposte e per il foglio collegato, e rivedete le impostazioni di condivisione di entrambi.

Che fare se usate già Google Forms per i dati sbagliati

È la situazione più comune, e il panico non è la reazione giusta. Uno studio che da due anni raccoglie anamnesi con Google Forms ha una situazione da risanare, non uno scandalo da nascondere. L'ordine conta: fermare la raccolta senza ripulire l'archivio lascia l'esposizione intatta.

L'alternativa svizzera a conoscenza zero

Schweizerform è costruito esattamente per i moduli della colonna « no ». Le risposte sono cifrate con AES-256-GCM nel browser di chi risponde, prima della trasmissione; la chiave di ogni invio è incapsulata con la chiave pubblica del modulo, e la catena di chiavi private è protetta dalla chiave della cassaforte del titolare, che non raggiunge mai i nostri server. Archiviamo gli invii crittografati su infrastruttura svizzera e, per costruzione, non possiamo leggere nemmeno un invio.

La conseguenza giuridica è qui l'essenziale, ed è precisa anziché promozionale: non avviene alcuna comunicazione all'estero di dati personali leggibili, perché fuori dai due browser non esistono da nessuna parte dati leggibili. L'ostacolo dell'art. 9 cpv. 1 lett. b — un obbligo di segretezza che vieta la delega — cade quando il fornitore non ha accesso tecnico al segreto. E l'eccezione stretta della risoluzione privatim, in cui l'organo responsabile cifra da sé e il fornitore non detiene alcuna chiave, descrive l'architettura invece di un'opzione aggiuntiva. Per una visione di mercato anziché la nostra: la panoramica degli strumenti per moduli ospitati in Svizzera confronta onestamente le opzioni svizzere, e il confronto Schweizerform contro Google Forms offre il piano funzionale.

In sintesi: Google Forms è legale in Svizzera?

Per dati personali ordinari, da un account Google Workspace, con il Cloud Data Processing Addendum attivo e un'informativa che nomina Google e lo Stato destinatario: sì. Lo Swiss-U.S. Data Privacy Framework figura nell'allegato 1 dell'ordinanza dal 15 settembre 2024, Google LLC vi è certificata e la via del trasferimento è aperta. Nello strumento in sé non c'è nulla di intrinsecamente illecito in Svizzera.

Per i dati degni di particolare protezione ai sensi dell'art. 5 lett. c nLPD, per chiunque soggiaccia all'art. 321 CP, per gli organi pubblici che trattano informazioni coperte da segreto e per le segnalazioni o i questionari sociali: no — e il motivo non è l'ubicazione del server, bensì il fatto che il fornitore può leggere il testo in chiaro. Il test onesto è quello dell'inizio di questo articolo: elencate chi può leggere le risposte e decidete se ogni nome di quell'elenco ha il diritto di starci. Quando l'elenco deve ridursi a « soltanto io », lo strumento deve essere uno che non può leggere i vostri dati.