Google Meet e il GDPR: cosa verificare prima di usarlo

Google Meet può archiviare le tue registrazioni e trascrizioni in Europa, a condizione che la tua edizione di Google Workspace consenta l'impostazione della «regione dei dati» e che l'amministratore l'abbia selezionata. Senza questa configurazione, Google non impone una localizzazione. Google si impegna contrattualmente a non utilizzare i tuoi dati per addestrare i suoi modelli senza la tua autorizzazione. Google è un'azienda di diritto statunitense, e una regione di archiviazione europea non modifica questo legame. Questa pagina è redatta da Leexi, il cui assistente note IA è utilizzato in Google Meet, e riporta solo quanto documentato nelle pagine ufficiali di Google.

Dove Google Meet ospita e tratta i tuoi dati

Per impostazione predefinita, non in un luogo specifico. Con la configurazione corretta, in Europa.

Google Workspace offre un'impostazione chiamata «regioni dei dati». Un amministratore sceglie dove vengono archiviati i dati coperti.

Google Workspace, «Data covered by data regions», aggiornato il 26 agosto 2026 «puoi scegliere di archiviare i tuoi dati coperti in una localizzazione geografica specifica (Stati Uniti o Europa)»

Esistono due regioni, Stati Uniti o Europa, più l'opzione «nessuna preferenza», che non impone localizzazione. Per Google Meet, i dati coperti sono le registrazioni (inclusa la chat su Google Drive), report di presenza, risultati dei sondaggi, trascrizioni e domande.

L'impostazione non è disponibile in tutte le edizioni. La pagina «Choose a geographic location for your data» elenca quelle che vi hanno accesso: Business Standard e Business Plus, Enterprise Standard e Enterprise Plus, Frontline Starter, Standard e Plus, Education Standard e Plus, Enterprise Essentials Plus. Business Starter non è inclusa.

Archiviazione e trattamento sono impostazioni distinte

È un punto omesso nelle pagine del marketplace. L'impostazione della regione copre i dati a riposo per tutte le edizioni elencate, ma copre il trattamento solo per tre di esse.

Secondo la stessa pagina, la copertura del trattamento dati è «disponibile per Frontline Plus, Enterprise Plus e Enterprise Essentials Plus». Un'organizzazione in Business Standard che sceglie «Europa» ottiene un'archiviazione europea delle registrazioni Meet, ma il trattamento può avvenire altrove.

Due esclusioni sono chiare.

Google Workspace, «Data covered by data regions» «Le regioni dei dati non possono essere applicate ai dati forniti dal cliente o a tipi di dati non specificati in questo documento, come i log o i contenuti in cache.»

E per le funzioni Gemini: «Le impostazioni di condivisione file e regione dei dati della tua organizzazione non si applicano ai dati in Gemini Notebook» (privacy hub, 14 agosto 2026).

Cosa significa per te: chiedi al tuo amministratore Workspace due cose, l'edizione sottoscritta e il valore dell'impostazione di regione. Senza queste risposte, nessuno può dire dove si trovano le tue riunioni.

Cosa fa Google con le tue conversazioni

Google si impegna contrattualmente a non addestrare i suoi modelli con i tuoi dati senza la tua autorizzazione.

Questo impegno è al centro del centro privacy dell'IA generativa di Google Workspace.

Google Workspace, «Generative AI in Google Workspace privacy hub», aggiornato il 14 agosto 2026 «Workspace non utilizza i dati dei clienti per addestrare modelli senza permesso o istruzione preventiva del cliente.»

Lo stesso documento precisa che i prompt sono dati clienti secondo il Cloud Data Processing Addendum, che «le tue interazioni con Gemini rimangono all'interno della tua organizzazione», e che i contenuti «non saranno esaminati da umani né usati per addestrare modelli di IA generativa fuori dal tuo dominio senza permesso».

La forza legale di questo impegno è contrattuale. Il Cloud Data Processing Addendum definisce il ruolo di Google.

Google, Cloud Data Processing Addendum, articolo 4.1 «Google è un subappaltatore e il Cliente è responsabile del trattamento o subappaltatore, a seconda dei casi, dei Dati Personali del Cliente.»

Un subappaltatore agisce solo su istruzione. Questo è richiesto dall'articolo 28 del GDPR.

GDPR, articolo 28, paragrafo 3, lettera a) «tratta i dati personali solo su istruzione documentata del titolare»

Cosa significa per te: l'impegno di Google a non addestrare è contrattuale, non solo dichiarato. La riserva riguarda l'espressione «senza autorizzazione preventiva»: verifica che nessuna funzione attivata nel tuo dominio valga come autorizzazione.

Certificazioni di Google Workspace

Google si impegna a mantenere la certificazione ISO 27001 e report SOC 2 e SOC 3 annuali.

Google, Cloud Data Processing Addendum, articolo 7.4 «Google manterrà almeno quanto segue per i Servizi Auditati per verificare l'efficacia continua delle Misure di Sicurezza: a. certificati ISO 27001 e tutte le certificazioni aggiuntive descritte nell'Allegato 4 (Prodotti Specifici) [...] ; e b. report SOC 2 e SOC 3 prodotti dall'Auditor Esterno di Google e aggiornati annualmente sulla base di un audit effettuato almeno una volta ogni 12 mesi»

Lo stesso contratto definisce la destinazione dei dati a fine contratto: cancellazione su istruzione del cliente, dopo un periodo di recupero fino a 30 giorni, massimo 180 giorni (articolo 6.2).

Il merito è dovuto: la certificazione è contrattuale e auditata da terzi annualmente. Ciò che la pagina pubblica di Google non dettaglia è l'esatto perimetro del certificato per prodotto. È nell'allegato 4 del contratto, da richiedere.

Legame giuridico dell'editore

Google è un'azienda di diritto statunitense. Una regione di archiviazione europea non cambia nulla.

La legge statunitense chiamata Cloud Act, adottata nel 2018, obbliga i fornitori di servizi di comunicazione di diritto statunitense a consegnare i dati in loro possesso, ovunque siano archiviati.

18 U.S. Code § 2713, aggiunto dalla legge Pub. L. 115-141 del 23 marzo 2018 «Un fornitore di servizi di comunicazione elettronica o di calcolo a distanza deve conformarsi agli obblighi di questo capitolo per conservare, salvaguardare o divulgare il contenuto di una comunicazione elettronica e qualsiasi registrazione o altra informazione relativa a un cliente o abbonato in possesso, custodia o controllo del fornitore, indipendentemente da dove tali dati siano localizzati.»

Cosa significa per te: l'impostazione «Europa» risponde alla domanda «dove sono i miei dati». Non risponde alla domanda «quale legge può accedervi». Le due domande sono distinte e un DPO le gestisce separatamente. Questo punto è menzionato qui una volta, non sarà ripetuto.

Cosa cambia per un team europeo

Ciò che Leexi aggiunge collegandosi a una riunione Meet è un secondo perimetro, distinto da quello di Google: l'audio è trascritto e riassunto nell'infrastruttura di Leexi (regione AWS Parigi, modello linguistico eseguito tramite Azure Francia in circuito chiuso, nessun addestramento sulle tue riunioni), con DPA pubblico e dieci subappaltatori nominati. La pagina di integrazione Google Meet spiega come collegare Leexi a Meet. Il dossier di conformità e il glossario forniscono definizioni e documenti.

Domande frequenti

Posso garantire al mio DPO che le registrazioni Meet restino in Europa?

Sì, per l'archiviazione, se la tua edizione consente l'impostazione di regione (Business Standard e Plus, Enterprise Standard e Plus, Frontline, Education Standard e Plus, Enterprise Essentials Plus) e se l'amministratore ha scelto «Europa». Il trattamento è coperto solo in Frontline Plus, Enterprise Plus e Enterprise Essentials Plus. Log e contenuti in cache sono fuori configurazione.

Google usa le mie riunioni Meet per addestrare Gemini?

No senza la tua autorizzazione o istruzione preventiva, secondo il centro privacy dell'IA generativa di Workspace (14 agosto 2026). Le interazioni rimangono nella tua organizzazione e non sono esaminate da umani fuori dal tuo dominio senza permesso. Verifica che nessuna funzione attivata nel tuo dominio valga come autorizzazione.

I partecipanti sono avvisati quando una riunione Meet è registrata?

Sì. La pagina di aiuto Google Meet indica che i partecipanti ricevono una notifica all'inizio e alla fine della registrazione. Questa notifica non sostituisce l'informazione che il GDPR richiede tu fornisca come organizzatore, riguardo allo scopo e alla durata della conservazione.

Dove va la registrazione e chi vi ha accesso?

Nel Google Drive dell'organizzatore, in una cartella «Meet», con sottocartella per riunione. L'accesso segue le regole di condivisione del Drive della tua organizzazione. Solo alcune edizioni permettono la registrazione: Business Standard e Plus, Enterprise, Essentials, Education Plus, Workspace Individual.

Cosa succede ai miei dati a fine contratto Google Workspace?

Il Cloud Data Processing Addendum (articolo 6.2) prevede la cancellazione di tutti i dati clienti residui su istruzione del cliente a fine contratto, dopo un periodo di recupero fino a 30 giorni, massimo 180 giorni, salvo obbligo legale di conservazione.

Google Meet è sufficiente per un requisito di sovranità rigorosa?

No. Google è un'azienda di diritto statunitense, soggetta al 18 U.S. Code § 2713 indipendentemente dal luogo di archiviazione. L'impostazione «Europa» localizza i dati, ma non cambia la legge che può accedervi. Per questo requisito, il criterio è il legame giuridico dell'editore, non la regione del datacenter.

Fonti

Dati verificati al 2 settembre 2026 sulle pagine ufficiali di Google.

• Google Workspace, «Data covered by data regions», aggiornato il 26 agosto 2026
• Google Workspace, «Choose a geographic location for your data», aggiornato il 26 agosto 2026
• Google, Cloud Data Processing Addendum, articoli 4.1, 6.2, 7.4, 10 e 11
• Google Workspace, «Generative AI in Google Workspace privacy hub», aggiornato il 14 agosto 2026
• Guida Google Meet, «Record a video meeting»
• GDPR, articoli 5 e 28, testo pubblicato da CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Questa pagina descrive il quadro applicabile. Non costituisce consulenza legale.

Prova Leexi gratuitamente