Google Forms

Qu'est-ce que Google Forms et comment ça fonctionne

Google Forms fait partie de la suite Google Workspace et permet de créer des sondages, des quiz, des formulaires d'inscription et des questionnaires de satisfaction via une interface simple de glisser, déposer. Les formulaires sont hébergés sur docs.google.com et peuvent être diffusés via un lien partageable, une invitation par email ou, plus fréquemment sur les sites web, intégrés dans une iframe. Chaque réponse est stockée dans un fichier Google Sheets associé ou directement dans le panneau de réponses Forms.

Quelles données et cookies Google Forms collecte

Lorsqu'un formulaire Google Forms se charge sur votre site (que ce soit via une iframe ou une visite directe), Google dépose plusieurs cookies sur les domaines docs.google.com et google.com, notamment NID, CONSENT, SOCS, AEC et 1P_JAR. Au, delà des cookies, Google collecte l'adresse IP du répondant, le user agent, le referrer, la résolution d'écran et, si le répondant est connecté, l'identifiant du compte Google. Toutes les réponses au formulaire sont stockées sur les serveurs de Google.

Implications RGPD et ePrivacy

Étant donné que des cookies sont écrits sur l'appareil de l'utilisateur dès le chargement de la page, l'article 5(3) de la directive ePrivacy (transposé dans les lois nationales sur les cookies à travers l'UE) exige un consentement préalable, éclairé et libre avant que Google Forms puisse être chargé dans un contexte intégré. Google agit comme sous-traitant pour les réponses au formulaire au titre du DPA Google Workspace, mais comme responsable indépendant pour certaines télémétries, ce qui signifie que les éditeurs restent responsables de la transparence et doivent proposer un refus aussi simple que l'acceptation.

Exigences de consentement avant chargement

En pratique, un Google Forms intégré doit être bloqué derrière une plateforme de gestion du consentement jusqu'à ce que le visiteur ait activement opté pour la catégorie pertinente (généralement Fonctionnel ou Marketing selon la classification retenue). Une solution dite à deux clics, où un placeholder explique ce qu'implique le chargement du formulaire et laisse l'utilisateur accepter explicitement, est le motif le plus courant et s'aligne sur les recommandations de la CNIL, du BfDI et d'autres régulateurs européens.

Transferts de données vers les États-Unis

Les données de Google Forms sont traitées sur l'infrastructure de Google LLC principalement aux États-Unis. Les transferts s'appuient sur les Clauses Contractuelles Types au titre de l'article 46(2)(c) RGPD et sur le Data Privacy Framework UE, États-Unis lorsque Google LLC y est certifié. Les responsables de traitement doivent réaliser une analyse d'impact des transferts, envisager des mesures supplémentaires (par exemple pseudonymiser les champs du formulaire) et documenter la base légale du transfert dans leur registre des activités de traitement.

Étapes pratiques de conformité

Concrètement, listez Google Forms dans votre politique cookies et votre registre des traitements, bloquez l'iframe tant que le consentement n'est pas recueilli, présentez un placeholder à deux clics, conservez le DPA Google Workspace, effectuez une analyse d'impact des transferts et évitez de collecter des catégories sensibles via Google Forms sans condition forte au titre de l'art. 9. Pour les cas à risque élevé (enquêtes santé, retours salariés, mineurs), envisagez d'héberger les formulaires sur une alternative basée dans l'UE.