Chaque rentrée, la même question revient en salle des profs : pourquoi ne pas simplement envoyer un Google Forms aux parents ? C'est gratuit, tout le monde connaît, et les réponses arrivent dans un tableur. Jusqu'à ce que quelqu'un demande si c'est permis par le RGPD, et que personne ne sache vraiment répondre.
La réponse honnête n'est ni oui ni non. Le RGPD n'autorise ni n'interdit de produits. Il impose des obligations à votre établissement, et le fait que Google Forms (ou Microsoft Forms) y réponde dépend de la version utilisée, de sa configuration et de ce que vous y demandez. Cet article fait le point sur ce qu'ont réellement dit les autorités en Belgique, en France et ailleurs en Europe, sur les risques, sur ce que l'école doit mettre en place, et sur les cas où un outil hébergé dans l'UE comme TinyForms est tout simplement plus facile.
Il s'agit d'un guide pratique, pas d'un avis juridique. Le délégué à la protection des données (DPD ou DPO) de votre établissement ou de votre pouvoir organisateur a le dernier mot.
En bref :
- Google Forms n'est pas interdit, mais le compte Google personnel d'un enseignant n'a rien à voir avec un compte d'école correctement configuré.
- Des organismes publics aux Pays-Bas, en Flandre et au Danemark ont examiné en profondeur les outils éducatifs de Google. Leur conclusion : utilisables sous conditions, dans les versions payantes, et l'école doit faire un vrai travail de mise en conformité.
- En France, le ministère de l'Éducation nationale a demandé dès 2021 d'arrêter le déploiement d'Office 365 et de Google dans les écoles.
- Les quatre risques : les transferts hors UE, le contrat de sous-traitance, les données de mineurs (surtout de santé) et la durée de conservation.
- Pour les formulaires destinés aux parents, comme les autorisations de sortie et les inscriptions, un outil hébergé dans l'UE qui supprime les réponses tout seul enlève une bonne partie de ce travail.
Google Forms et RGPD à l'école : tout dépend de quel Google Forms
Derrière le même logo se cachent deux situations très différentes.
Un compte d'école dans Google Workspace for Education. Google Forms fait partie des services principaux de Google Workspace et relève du contrat entre l'école et Google. L'école est alors responsable du traitement et Google agit en grande partie comme sous-traitant, selon des conditions que l'école a acceptées.
Un compte Google personnel. Un enseignant qui crée un formulaire dans son propre compte Gmail est entièrement en dehors du contrat de l'école. Il n'existe alors aucun contrat de sous-traitance entre l'école et Google pour ces données, et l'école ne peut ni les gérer ni les supprimer. C'est là que commencent la plupart des vrais problèmes.
La bonne question n'est donc pas « Google Forms est-il conforme au RGPD ? », mais « notre école utilise-t-elle une version et une configuration qu'elle peut justifier ? »
Ce que disent les autorités
En France : un coup d'arrêt au déploiement dès 2021
Dans sa réponse à une question écrite publiée en novembre 2022, le ministère de l'Éducation nationale rappelle qu'il a demandé aux recteurs, dès octobre 2021, d'arrêter tout déploiement ou extension d'Office 365 et de la solution de Google, qui seraient selon lui contraires au RGPD. La même réponse cite un courrier de la CNIL de mai 2021 recommandant aux établissements d'enseignement supérieur de privilégier des suites collaboratives de prestataires soumis exclusivement au droit européen. Le ministère renvoie vers les environnements numériques de travail (ENT) fournis par les collectivités. Cette position date d'avant le nouveau cadre de transfert vers les États-Unis (voir plus bas) ; vérifiez auprès de votre académie ce qui s'applique aujourd'hui.
En Belgique francophone : un guide pratique pour la classe
La Fédération Wallonie-Bruxelles a publié avec la circulaire 7573 un guide « Comprendre et appliquer le RGPD en classe ». Il rappelle qu'une entreprise privée qui héberge des données pour l'école est un sous-traitant, dont il faut vérifier les garanties, et reprend la liste de l'Autorité de protection des données (APD) pour un consentement valable : un langage clair, une case jamais cochée d'avance, des consentements documentés, et aucune conséquence négative en cas de refus.
Aux Pays-Bas et en Flandre : utilisable, mais pas en version gratuite
Aux Pays-Bas, SIVON et SURF ont mené une analyse d'impact (AIPD) sur Google Workspace for Education qui a relevé huit risques élevés en 2021. Google a apporté des corrections, et SIVON a conclu en 2024 qu'une utilisation sûre est possible si l'école prend elle-même des mesures, dont certaines n'existent que dans les versions payantes. En Flandre, la commission de contrôle flamande (VTC) a exigé des garanties au moins équivalentes, et le groupe d'experts de l'enseignement flamand estime qu'une licence payante est nécessaire pour garder les données dans l'Espace économique européen.
Au Danemark : de sévères critiques
L'autorité danoise a ordonné en 2024 à des communes de cesser de transmettre des données d'élèves à Google à des fins sans base légale. En janvier 2026, elle a adressé de sévères critiques à 51 communes, en visant les sous-traitants de Google hors de l'UE.
Les transferts vers les États-Unis : autorisés, mais encore contestés
L'UE a adopté le cadre de protection des données UE-États-Unis en juillet 2023. Le député français Philippe Latombe l'a attaqué, et le Tribunal de l'UE a rejeté son recours en septembre 2025. Un pourvoi est pendant devant la Cour de justice, et les deux cadres précédents avaient été annulés.
Le point commun : personne ne dit « jamais ». Tous disent que c'est à l'école de démontrer que son usage est licite.
Où sont les risques
1. Les transferts hors de l'UE
Même avec des données stockées en Europe, un fournisseur américain et ses sous-traitants peuvent relever du droit américain. Dans son avis 22/2024, le Comité européen de la protection des données rappelle que le responsable du traitement (votre école) doit connaître ses sous-traitants et sous-traitants ultérieurs et vérifier leurs garanties.
2. Le contrat de sous-traitance
L'article 28 du RGPD exige un contrat écrit avec chaque sous-traitant. Pour un compte Workspace d'école, il existe, si quelqu'un l'a accepté. Pour un compte personnel, non. Il en va de même pour tout outil auquel un enseignant s'inscrit en deux clics.
3. Les données de mineurs, et de santé en particulier
Les élèves méritent une protection renforcée. Une autorisation de sortie demande souvent les allergies, les médicaments ou le régime alimentaire. Ce sont des données de santé, une catégorie particulière au sens de l'article 9. Ne demandez que ce dont la sortie a besoin, et seulement à ceux qui y participent.
4. La durée de conservation
Le RGPD impose de ne pas conserver les données plus longtemps que nécessaire. Or un Google Forms garde ses réponses, et la feuille de calcul liée, jusqu'à ce que quelqu'un les supprime. La liste médicale de l'an dernier survit ainsi tranquillement dans un Drive.
Ce que l'école doit mettre en place
Quel que soit l'outil choisi, voici la liste :
- Utilisez uniquement des comptes de l'établissement. Pas de formulaires dans des comptes personnels pour les affaires de l'école.
- Vérifiez le contrat et la version. Y a-t-il un contrat de sous-traitance, et pouvez-vous garder les données dans l'UE ?
- Réalisez une AIPD pour tout traitement à grande échelle sur des élèves ou impliquant des données sensibles.
- Informez les personnes. Chaque formulaire a besoin d'une politique de confidentialité claire : qui vous êtes, pourquoi vous collectez, combien de temps vous conservez, qui contacter.
- Choisissez la bonne base légale. Une grande partie de ce que fait une école repose sur sa mission d'intérêt public, pas sur le consentement. Ne demandez le consentement que là où l'on peut vraiment refuser, comme pour la publication de photos.
- Collectez moins. Chaque question supprimée est un risque en moins.
- Fixez une date de suppression et assurez-vous qu'elle est respectée, y compris dans les exports.
- Associez votre DPD avant de déployer un nouvel outil, pas après.
Quand un formulaire RGPD hébergé dans l'UE est le choix le plus simple
Si votre école utilise déjà une version payante de Workspace, bien configurée et couverte par une AIPD, des formulaires internes dans cet environnement peuvent tout à fait se justifier. Mais beaucoup de formulaires ne sont pas internes : ils s'adressent aux parents, souvent envoyés par un enseignant ou une association de parents sans accès à la console d'administration. La liste ci-dessus représente alors beaucoup de travail, à refaire pour chaque sortie.
C'est là que TinyForms trouve sa place. Il est développé et exploité dans l'UE par Hyperchicken BV, et tout est hébergé dans l'UE. Les parents n'ont pas besoin de compte. Et le travail lié à la vie privée fait partie du formulaire au lieu d'être une tâche à part :
- Une page de confidentialité pour chaque formulaire, accessible depuis le formulaire. Par défaut, elle est rédigée dans la langue du formulaire et indique le nom de votre école et la durée de conservation. Vous pouvez la remplacer par votre propre politique, pour tout l'espace de travail ou pour un seul formulaire.
- Une case de consentement avec votre propre texte et vos liens, enregistrée avec la réponse à laquelle elle se rapporte.
- Une suppression automatique. Vous choisissez combien de jours les réponses sont conservées, et elles sont supprimées chaque nuit une fois ce délai passé. Seuls des comptages anonymes subsistent. Les propriétaires et administrateurs reçoivent chaque semaine un e-mail listant ce qui va bientôt disparaître.
Pour être honnête sur le reste : TinyForms enregistre l'adresse IP et le navigateur de chaque réponse pour lutter contre le spam, votre école reste responsable du traitement, et c'est à vous de juger ce qui est proportionné. Pour le contrat de sous-traitance, demandez le document actuel via notre page de contact. La page sur les formulaires conformes au RGPD détaille notre approche.
Créer un formulaire scolaire respectueux du RGPD avec TinyForms
Étape 1 : partez d'un modèle pour l'école
Le modèle d'autorisation de sortie scolaire demande l'élève, un parent, un numéro d'urgence et l'autorisation, et n'affiche les questions de santé et d'alimentation que si l'élève participe.
Pour les nouveaux élèves, le modèle d'inscription sépare un consentement obligatoire à la politique de confidentialité d'un consentement facultatif pour les photos. Un refus pour les photos n'est donc pas un refus d'inscription.
Les deux modèles contiennent un envoi de fichier, et celui de la sortie une signature manuscrite. Ces deux types de champ font partie des offres Pro et Business ; avec l'offre gratuite, supprimez-les et publiez le reste.
Étape 2 : vérifiez la page de confidentialité
Ouvrez la page de confidentialité depuis l'aperçu. Si le texte généré vous convient, c'est terminé. Si votre établissement a sa propre politique, collez-la une fois dans les paramètres de l'espace de travail, et tous les formulaires l'utilisent.
Étape 3 : rédigez le consentement avec soin
Réservez la case de consentement à ce qui est vraiment facultatif, une case par choix, et ne la cochez jamais d'avance. Ajoutez dans le texte un lien vers votre page de confidentialité.
Étape 4 : choisissez une durée de conservation adaptée
La durée de conservation vaut pour tout l'espace de travail et court à partir du jour où chaque réponse est arrivée. Si vous ouvrez le formulaire deux mois avant la sortie, un délai de 30 jours effacerait les réponses avant le départ. L'offre gratuite permet jusqu'à 30 jours, Pro jusqu'à un an, et Business peut conserver les réponses sans limite. Tous les détails sont sur la page des tarifs.
Étape 5 : exportez ce que vous devez garder, puis laissez partir le reste
Si votre administration doit garder une trace, exportez en CSV ou Excel avant la fin du délai. Le reste disparaît à temps. L'article d'aide données et confidentialité explique précisément ce qui est supprimé et quand.
D'autres idées de formulaires pour l'enseignement se trouvent sur notre page pour les écoles.
Questions fréquentes
Google Forms est-il conforme au RGPD ?
Aucun produit n'est « conforme au RGPD » à lui seul. Google Forms dans une version payante et bien configurée de Google Workspace for Education, avec une AIPD et un contrat de sous-traitance, peut être utilisé licitement selon plusieurs organismes publics européens. Google Forms dans le compte personnel d'un enseignant est très difficile à justifier pour des données d'élèves.
Faut-il le consentement des parents pour utiliser Google Forms ?
Le consentement est souvent la mauvaise base légale pour un outil auquel les élèves ne peuvent pas échapper, car un refus les exclurait d'une activité scolaire. Il reste en revanche nécessaire pour des choix vraiment libres, comme la diffusion de photos. Demandez à votre DPD ce qui s'applique à votre établissement.
Et Microsoft Forms ?
Les mêmes questions se posent : quel compte, quel contrat, où vont les données, combien de temps elles restent. Les évaluations de Microsoft 365 diffèrent selon les autorités ; suivez les consignes de votre académie, de votre pouvoir organisateur ou de votre DPD.
TinyForms est-il certifié RGPD ?
Non, et nous ne le prétendons pas. Nous proposons un hébergement dans l'UE, une page de confidentialité et une case de consentement sur chaque formulaire, une suppression automatique, et un contrat de sous-traitance sur demande.
Des élèves peuvent-ils utiliser TinyForms pour un TFE ou un mémoire ?
Oui. Notre guide pour créer un questionnaire pour un mémoire ou un TFE aborde les questions, le consentement et l'anonymat dans la recherche menée par des élèves et des étudiants.