Google Meet et le RGPD : ce que vous devez vérifier avant de l'utiliser

Google Meet peut stocker vos enregistrements et transcriptions en Europe, à condition que votre édition de Google Workspace permette le réglage « région des données » et que votre administrateur l'ait sélectionné. Sans cette configuration, Google n'impose pas de localisation. Google s'engage contractuellement à ne pas utiliser vos données pour entraîner ses modèles sans votre autorisation. Google est une entreprise de droit américain, et une région de stockage européenne ne modifie pas ce lien. Cette page est éditée par Leexi, dont l'assistant de notes IA est utilisé dans Google Meet, et ne fait que rapporter ce que les pages officielles de Google documentent.

Où Google Meet héberge et traite vos données

Par défaut, nulle part en particulier. Avec la bonne configuration, en Europe.

Google Workspace propose un paramètre appelé « régions de données ». Un administrateur choisit où les données couvertes sont stockées.

Google Workspace, « Data covered by data regions », mis à jour le 26 août 2026 « vous pouvez choisir de stocker vos données couvertes dans une localisation géographique spécifique (États-Unis ou Europe) »

Il existe deux régions, États-Unis ou Europe, plus l'option « sans préférence », qui n'impose pas de localisation. Pour Google Meet, les données couvertes sont les enregistrements (y compris les chats sur Google Drive), rapports de présence, résultats de sondages, transcriptions et questions.

Le paramètre n'est pas disponible dans toutes les éditions. La page « Choose a geographic location for your data » liste celles qui y ont accès : Business Standard et Business Plus, Enterprise Standard et Enterprise Plus, Frontline Starter, Standard et Plus, Education Standard et Plus, Enterprise Essentials Plus. Business Starter n'est pas incluse.

Stockage et traitement sont des paramètres distincts

C'est un point omis dans les pages du marché. Le paramètre de région couvre les données au repos pour toutes les éditions listées, mais couvre le traitement uniquement pour trois d'entre elles.

Selon la même page, la couverture du traitement des données est « disponible pour Frontline Plus, Enterprise Plus et Enterprise Essentials Plus ». Une organisation en Business Standard qui choisit « Europe » obtient un stockage européen des enregistrements Meet, mais le traitement peut avoir lieu ailleurs.

Deux exclusions sont claires.

Google Workspace, « Data covered by data regions » « Les régions de données ne peuvent pas être appliquées aux données fournies par le client ou aux types de données non spécifiés dans ce document, comme les logs ou le contenu en cache. »

Et pour les fonctions Gemini : « Les paramètres de partage de fichiers et de région des données de votre organisation ne s'appliquent pas aux données dans Gemini Notebook » (privacy hub, 14 août 2026).

Ce que cela signifie pour vous : demandez à votre administrateur Workspace deux choses, l'édition souscrite et la valeur du paramètre de région. Sans ces réponses, personne ne peut dire où se trouvent vos réunions.

Ce que Google fait de vos conversations

Google s'engage contractuellement à ne pas entraîner ses modèles avec vos données sans votre autorisation.

Cet engagement est au cœur du centre de confidentialité de l'IA générative de Google Workspace.

Google Workspace, « Generative AI in Google Workspace privacy hub », mis à jour le 14 août 2026 « Workspace n'utilise pas les données clients pour entraîner des modèles sans permission ou instruction préalable du client. »

Le même document précise que les prompts sont des données clients selon le Cloud Data Processing Addendum, que « vos interactions avec Gemini restent au sein de votre organisation », et que les contenus « ne seront pas examinés par des humains ni utilisés pour entraîner des modèles d'IA générative hors de votre domaine sans permission ».

La force juridique de cet engagement est contractuelle. Le Cloud Data Processing Addendum définit le rôle de Google.

Google, Cloud Data Processing Addendum, article 4.1 « Google est un sous-traitant et le Client est responsable du traitement ou sous-traitant, selon le cas, des Données Personnelles du Client. »

Un sous-traitant agit uniquement sur instruction. Ceci est requis par l'article 28 du RGPD.

RGPD, article 28, paragraphe 3, alinéa a) « traite les données personnelles uniquement sur instruction documentée du responsable »

Ce que cela signifie pour vous : l'engagement de Google à ne pas entraîner est contractuel, pas seulement déclaré. La réserve porte sur l'expression « sans autorisation préalable » : vérifiez qu'aucune fonction activée dans votre domaine ne vaut autorisation.

Certifications de Google Workspace

Google s'engage à maintenir la certification ISO 27001 et des rapports SOC 2 et SOC 3 annuels.

Google, Cloud Data Processing Addendum, article 7.4 « Google maintiendra au moins ce qui suit pour les Services Audités afin de vérifier l'efficacité continue des Mesures de Sécurité : a. certificats ISO 27001 et toutes certifications supplémentaires décrites en Annexe 4 (Produits Spécifiques) [...] ; et b. rapports SOC 2 et SOC 3 produits par l'Auditeur Externe de Google et mis à jour annuellement sur la base d'un audit réalisé au moins une fois tous les 12 mois »

Le même contrat définit la destination des données à la fin du contrat : suppression sur instruction du client, après une période de récupération pouvant aller jusqu'à 30 jours, au maximum en 180 jours (article 6.2).

Le mérite est dû : la certification est contractuelle et auditée par des tiers annuellement. Ce que la page publique de Google ne détaille pas est le périmètre exact du certificat par produit. Il est dans l'annexe 4 du contrat, à demander.

Lien juridique de l'éditeur

Google est une entreprise de droit américain. Une région de stockage européenne ne change rien.

La loi américaine appelée Cloud Act, adoptée en 2018, oblige les fournisseurs de services de communication de droit américain à remettre les données qu'ils possèdent, où qu'elles soient stockées.

18 U.S. Code § 2713, ajouté par la loi Pub. L. 115-141 du 23 mars 2018 « Un fournisseur de service de communication électronique ou de calcul à distance doit se conformer aux obligations de ce chapitre pour préserver, sauvegarder ou divulguer le contenu d'une communication électronique et tout enregistrement ou autre information relative à un client ou abonné en possession, garde ou contrôle du fournisseur, indépendamment de l'endroit où ces données sont localisées. »

Ce que cela signifie pour vous : le paramètre « Europe » répond à la question « où sont mes données ». Il ne répond pas à la question « quelle loi peut y accéder ». Les deux questions sont distinctes et un DPO les traite séparément. Ce point est mentionné ici une fois, il ne sera pas répété.

Ce qui change pour une équipe européenne

Ce que Leexi ajoute en se connectant à une réunion Meet est un second périmètre, distinct de celui de Google : l'audio est transcrit et résumé dans l'infrastructure de Leexi (région AWS Paris, modèle de langage exécuté via Azure France en circuit fermé, aucun entraînement sur vos réunions), avec DPA public et dix sous-traitants nommés. La page d'intégration Google Meet explique comment connecter Leexi à Meet. Le dossier de conformité et le glossaire fournissent définitions et documents.

Ces vérifications portent sur l'outil de visioconférence. Les obligations qui pèsent sur vous, en tant qu'organisateur qui enregistre, sont décrites dans les règles RGPD de l'enregistrement d'une réunion professionnelle.

Questions fréquentes

Puis-je garantir à mon DPO que les enregistrements Meet restent en Europe ?

Oui, pour le stockage, si votre édition permet le réglage de région (Business Standard et Plus, Enterprise Standard et Plus, Frontline, Education Standard et Plus, Enterprise Essentials Plus) et si l'administrateur a choisi « Europe ». Le traitement est couvert uniquement en Frontline Plus, Enterprise Plus et Enterprise Essentials Plus. Logs et contenu en cache sont hors configuration.

Google utilise-t-il mes réunions Meet pour entraîner Gemini ?

Non sans votre autorisation ou instruction préalable, selon le centre de confidentialité de l'IA générative du Workspace (14 août 2026). Les interactions restent dans votre organisation et ne sont pas examinées par des humains hors de votre domaine sans permission. Vérifiez qu'aucune fonction activée dans votre domaine ne vaut autorisation.

Les participants sont-ils avertis lorsqu'une réunion Meet est enregistrée ?

Oui. La page d'aide Google Meet indique que les participants reçoivent une notification au début et à la fin de l'enregistrement. Cette notification ne remplace pas l'information que le RGPD exige que vous fournissiez en tant qu'organisateur, sur la finalité et la durée de conservation.

Où va l'enregistrement et qui y a accès ?

Dans le Google Drive de l'organisateur, dans un dossier « Meet », avec sous-dossier par réunion. L'accès suit les règles de partage du Drive de votre organisation. Seules certaines éditions permettent l'enregistrement : Business Standard et Plus, Enterprise, Essentials, Education Plus, Workspace Individual.

Que deviennent mes données à la fin du contrat Google Workspace ?

Le Cloud Data Processing Addendum (article 6.2) prévoit la suppression de toutes les données clients restantes sur instruction du client à la fin du contrat, après une période de récupération pouvant aller jusqu'à 30 jours, au maximum en 180 jours, sauf obligation légale de conservation.

Google Meet suffit-il pour une exigence de souveraineté stricte ?

Non. Google est une entreprise de droit américain, soumise au 18 U.S. Code § 2713 indépendamment du lieu de stockage. Le paramètre « Europe » localise les données, mais ne change pas la loi qui peut y accéder. Pour cette exigence, le critère est le lien juridique de l'éditeur, pas la région du datacenter.

Sources

Données vérifiées au 2 septembre 2026 sur les pages officielles de Google.

• Google Workspace, « Data covered by data regions », mis à jour le 26 août 2026
• Google Workspace, « Choose a geographic location for your data », mis à jour le 26 août 2026
• Google, Cloud Data Processing Addendum, articles 4.1, 6.2, 7.4, 10 et 11
• Google Workspace, « Generative AI in Google Workspace privacy hub », mis à jour le 14 août 2026
• Aide Google Meet, « Record a video meeting »
• RGPD, articles 5 et 28, texte publié par la CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Cette page décrit le cadre applicable. Elle ne constitue pas un conseil juridique.

Essayez Leexi gratuitement