Google Meet et le RGPD : ce que vous devez vérifier avant de l'utiliser

Google Meet peut stocker vos enregistrements et transcriptions en Europe, à condition que votre édition Google Workspace donne accès au réglage « région des données » et que votre administrateur l'ait choisi. Sans ce réglage, Google n'impose aucune localisation. Google s'engage contractuellement à ne pas utiliser vos données pour entraîner ses modèles sans votre autorisation. Google reste un éditeur de droit américain, et une région de stockage européenne ne change pas ce rattachement. Cette page est éditée par Leexi, dont l'outil de prise de notes IA s'utilise sur Google Meet, et elle ne dit que ce que les pages officielles de Google documentent.

Où Google Meet héberge et traite vos données

Par défaut, nulle part en particulier. Avec le bon réglage, en Europe.

Google Workspace propose un réglage nommé « data regions ». Un administrateur y choisit où les données couvertes sont stockées.

Google Workspace, « Data covered by data regions », mis à jour le 26 août 2026 « you can choose to store your covered data in a specific geographic location (the United States or Europe) »

Deux régions existent, États-Unis ou Europe, plus l'option « sans préférence », qui n'impose aucune localisation. Pour Google Meet, les données couvertes sont les enregistrements (chats compris, dans Google Drive), les rapports de présence, les résultats de sondages, les transcriptions et les questions.

Le réglage n'est pas disponible dans toutes les éditions. La page « Choose a geographic location for your data » liste celles qui y ont accès : Business Standard et Business Plus, Enterprise Standard et Enterprise Plus, Frontline Starter, Standard et Plus, Education Standard et Plus, Enterprise Essentials Plus. Business Starter n'en fait pas partie.

Stockage et traitement sont deux réglages différents

C'est le point que les pages du marché omettent. Le réglage de région couvre les données au repos pour toutes les éditions listées. Il ne couvre le traitement que pour trois d'entre elles.

D'après la même page, la couverture du traitement des données est « disponible pour Frontline Plus, Enterprise Plus et Enterprise Essentials Plus ». Une organisation en Business Standard qui choisit « Europe » obtient un stockage européen de ses enregistrements Meet, et un traitement qui peut avoir lieu ailleurs.

Deux exclusions sont écrites noir sur blanc.

Google Workspace, « Data covered by data regions » « Data regions cannot be applied to customer-supplied data or data types not specifically stated in this document, such as logs or cached content. »

Et pour les fonctions Gemini : « Your organization's file sharing and data region settings do not apply to data in Gemini Notebook » (privacy hub, 14 août 2026).

Ce que ça donne pour vous : demandez à votre administrateur Workspace deux choses, l'édition souscrite et la valeur du réglage de région. Sans ces deux réponses, personne ne peut dire où sont vos réunions.

Ce que Google fait de vos conversations

Google s'engage par contrat à ne pas entraîner ses modèles sur vos données sans votre autorisation.

L'engagement figure dans le centre de confidentialité de l'IA générative de Google Workspace.

Google Workspace, « Generative AI in Google Workspace privacy hub », mis à jour le 14 août 2026 « Workspace does not use customer data for training models without customer's prior permission or instruction. »

Le même document précise que les prompts sont des données client au sens du Cloud Data Processing Addendum, que « your interactions with Gemini stay within your organization », et que les contenus « won't be reviewed by human reviewers or otherwise used to train generative AI models outside of your domain without permission ».

La force juridique de cet engagement tient au contrat. Le Cloud Data Processing Addendum fixe le rôle de Google.

Google, Cloud Data Processing Addendum, article 4.1 « Google is a processor and Customer is a controller or processor, as applicable, of Customer Personal Data. »

Un sous-traitant n'agit que sur instruction. C'est l'article 28 du RGPD qui l'impose.

RGPD, article 28, paragraphe 3, point a) « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement »

Ce que ça donne pour vous : l'engagement de non-entraînement de Google est contractuel, pas seulement affiché. La réserve porte sur l'expression « sans autorisation préalable » : vérifiez qu'aucune fonction activée dans votre domaine ne vaut autorisation.

Les certifications de Google Workspace

Google s'engage à maintenir une certification ISO 27001 et des rapports SOC 2 et SOC 3 annuels.

Google, Cloud Data Processing Addendum, article 7.4 « Google will maintain at least the following for the Audited Services to verify the continued effectiveness of the Security Measures: a. certificates for ISO 27001 and any additional certifications described in Appendix 4 (Specific Products) […] ; and b. SOC 2 and SOC 3 reports produced by Google's Third-Party Auditor and updated annually based on an audit performed at least once every 12 months »

Le même contrat fixe le sort des données en fin de contrat : suppression sur instruction du client, après une période de récupération de 30 jours au plus, dans un délai maximal de 180 jours (article 6.2).

Le crédit est dû : la certification est contractualisée et auditée par un tiers chaque année. Ce que la page publique de Google ne donne pas, c'est le périmètre exact du certificat par produit. Il figure à l'annexe 4 du contrat, à demander.

Le rattachement juridique de l'éditeur

Google est un éditeur de droit américain. Une région de stockage européenne ne change pas ce point.

La loi américaine dite Cloud Act, adoptée en 2018, impose aux fournisseurs de services de communication de droit américain de remettre les données qu'ils détiennent, où qu'elles soient stockées.

18 U.S. Code § 2713, ajouté par la loi Pub. L. 115-141 du 23 mars 2018 « A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »

Ce que ça donne pour vous : le réglage « Europe » répond à la question « où sont mes données ». Il ne répond pas à la question « quel droit peut y donner accès ». Les deux questions sont distinctes, et un DPO les pose séparément. Le point est dit ici une fois, il ne se répète pas.

Ce que ça change pour une équipe européenne

Ce que Leexi ajoute quand il rejoint une réunion Meet est un second périmètre, distinct de celui de Google : l'audio est transcrit et résumé sur l'infrastructure de Leexi (AWS région Paris, modèle de langage exécuté via Azure France en circuit fermé, aucun entraînement sur vos réunions), avec un DPA public et dix sous-traitants nommés. La page d'intégration Google Meet décrit comment brancher Leexi sur Meet. Le dossier de conformité et le glossaire donnent les définitions et les pièces.

Questions fréquentes

Puis-je garantir à mon DPO que les enregistrements Meet restent en Europe ?

Oui pour le stockage, si votre édition donne accès au réglage de région (Business Standard et Plus, Enterprise Standard et Plus, Frontline, Education Standard et Plus, Enterprise Essentials Plus) et si l'administrateur a choisi « Europe ». Le traitement n'est couvert qu'en Frontline Plus, Enterprise Plus et Enterprise Essentials Plus. Les journaux et le contenu en cache restent hors réglage.

Google utilise-t-il mes réunions Meet pour entraîner Gemini ?

Non sans votre autorisation ou instruction préalable, d'après le centre de confidentialité de l'IA générative de Workspace (14 août 2026). Les interactions restent dans votre organisation et ne sont pas relues par des humains hors de votre domaine sans permission. Vérifiez qu'aucune fonction activée dans votre domaine ne vaut autorisation.

Les participants sont-ils prévenus quand une réunion Meet est enregistrée ?

Oui. La page d'aide de Google Meet indique que les participants reçoivent une notification au démarrage et à l'arrêt de l'enregistrement. Cette notification ne remplace pas l'information que le RGPD vous impose de donner en tant qu'organisateur, sur la finalité et la durée de conservation.

Où va l'enregistrement et qui y a accès ?

Dans le Google Drive de l'organisateur, dans un dossier « Meet », avec un sous-dossier par réunion. L'accès suit les règles de partage de Drive de votre organisation. Seules certaines éditions autorisent l'enregistrement : Business Standard et Plus, Enterprise, Essentials, Education Plus, Workspace Individual.

Que deviennent mes données à la fin de mon contrat Google Workspace ?

Le Cloud Data Processing Addendum (article 6.2) prévoit la suppression de toutes les données client restantes sur instruction du client à la fin du contrat, après une période de récupération de 30 jours au plus, dans un délai maximal de 180 jours, sauf obligation légale de conservation.

Google Meet suffit-il pour une exigence de souveraineté stricte ?

Non. Google est un éditeur de droit américain, soumis au 18 U.S. Code § 2713 quel que soit le lieu de stockage. Le réglage « Europe » localise les données, il ne change pas le droit qui peut y donner accès. Pour cette exigence, le critère est le rattachement juridique de l'éditeur, pas la région du datacenter.

Sources

Données vérifiées le 2 septembre 2026 sur les pages officielles de Google.

• Google Workspace, « Data covered by data regions », mis à jour le 26 août 2026
• Google Workspace, « Choose a geographic location for your data », mis à jour le 26 août 2026
• Google, Cloud Data Processing Addendum, articles 4.1, 6.2, 7.4, 10 et 11
• Google Workspace, « Generative AI in Google Workspace privacy hub », mis à jour le 14 août 2026
• Aide Google Meet, « Record a video meeting »
• RGPD, articles 5 et 28, texte publié par la CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Cette page décrit le cadre applicable. Elle ne constitue pas un avis juridique.