Google Meet e il GDPR: cosa verificare prima di usarlo

Google Meet può archiviare le tue registrazioni e trascrizioni in Europa, se la tua edizione Google Workspace consente l'impostazione «regione dati» e l'amministratore l'ha scelta. Senza questa impostazione, Google non impone localizzazione. Google si impegna contrattualmente a non usare i tuoi dati per addestrare i suoi modelli senza autorizzazione. Google è un editore di diritto americano, e una regione di archiviazione europea non cambia questo legame. Questa pagina è di Leexi, il cui strumento di note IA si usa su Google Meet, e riporta solo ciò che documentano le pagine ufficiali di Google.

Dove Google Meet ospita e tratta i tuoi dati

Di default, nessun luogo specifico. Con l'impostazione giusta, in Europa.

Google Workspace offre un'impostazione chiamata «data regions». Un amministratore sceglie dove archiviare i dati coperti.

Google Workspace, «Data covered by data regions», aggiornato 26 agosto 2026 «puoi scegliere di archiviare i dati coperti in una posizione geografica specifica (Stati Uniti o Europa)»

Esistono due regioni, USA o Europa, più l'opzione «nessuna preferenza», che non impone localizzazione. Per Google Meet, i dati coperti sono registrazioni (chat incluse, in Google Drive), report di presenza, risultati sondaggi, trascrizioni e domande.

L'impostazione non è disponibile in tutte le edizioni. La pagina «Choose a geographic location for your data» elenca quelle con accesso: Business Standard e Plus, Enterprise Standard e Plus, Frontline Starter, Standard e Plus, Education Standard e Plus, Enterprise Essentials Plus. Business Starter non è inclusa.

Archiviazione e trattamento sono due impostazioni diverse

Questo punto è omesso dalle pagine di mercato. L'impostazione regione copre i dati a riposo per tutte le edizioni elencate. Copre il trattamento solo per tre di esse.

Secondo la stessa pagina, la copertura del trattamento dati è «disponibile per Frontline Plus, Enterprise Plus e Enterprise Essentials Plus». Un'organizzazione Business Standard che sceglie «Europa» ottiene archiviazione europea delle registrazioni Meet, ma il trattamento può avvenire altrove.

Due esclusioni sono scritte chiaramente.

Google Workspace, «Data covered by data regions» «Le regioni dati non si applicano a dati forniti dal cliente o tipi di dati non specificati in questo documento, come log o contenuti in cache.»

E per le funzioni Gemini: «Le impostazioni di condivisione file e regione dati della tua organizzazione non si applicano ai dati in Gemini Notebook» (privacy hub, 14 agosto 2026).

Cosa significa per te: chiedi al tuo amministratore Workspace due cose, l'edizione sottoscritta e il valore dell'impostazione regione. Senza queste risposte, nessuno può dire dove sono le tue riunioni.

Cosa fa Google con le tue conversazioni

Google si impegna contrattualmente a non addestrare i suoi modelli con i tuoi dati senza autorizzazione.

L'impegno è nel centro privacy IA generativa di Google Workspace.

Google Workspace, «Generative AI in Google Workspace privacy hub», aggiornato 14 agosto 2026 «Workspace non usa dati cliente per addestrare modelli senza previa autorizzazione o istruzione del cliente.»

Lo stesso documento specifica che i prompt sono dati cliente secondo il Cloud Data Processing Addendum, che «le tue interazioni con Gemini restano nella tua organizzazione», e che i contenuti «non saranno revisionati da umani né usati per addestrare AI generativa fuori dal tuo dominio senza permesso».

La forza legale di questo impegno è contrattuale. Il Cloud Data Processing Addendum definisce il ruolo di Google.

Google, Cloud Data Processing Addendum, art. 4.1 «Google è un responsabile del trattamento e il Cliente è titolare o responsabile del trattamento, secondo i casi, dei dati personali cliente.»

Un subappaltatore agisce solo su istruzioni. Lo impone l'articolo 28 del GDPR.

GDPR, art. 28, par. 3, lett. a) «tratta i dati personali solo su istruzioni documentate del titolare del trattamento»

Cosa significa per te: l'impegno di non addestramento di Google è contrattuale, non solo dichiarato. La riserva riguarda «senza autorizzazione preventiva»: verifica che nessuna funzione attivata nel tuo dominio equivalga ad autorizzazione.

Certificazioni di Google Workspace

Google mantiene certificazione ISO 27001 e rapporti SOC 2 e SOC 3 annuali.

Google, Cloud Data Processing Addendum, art. 7.4 «Google manterrà almeno quanto segue per i Servizi Auditati per verificare l'efficacia continua delle Misure di Sicurezza: a. certificati ISO 27001 e altre certificazioni descritte nell'Allegato 4 (Prodotti Specifici) […] ; b. rapporti SOC 2 e SOC 3 prodotti dall'Auditor Terzo di Google e aggiornati annualmente con audit almeno ogni 12 mesi»

Lo stesso contratto stabilisce la gestione dati a fine contratto: cancellazione su istruzione cliente, dopo un periodo di recupero massimo di 30 giorni, entro 180 giorni (art. 6.2).

Il merito è dovuto: la certificazione è contrattuale e auditata da terzi ogni anno. Ciò che la pagina pubblica Google non specifica è l'esatto perimetro del certificato per prodotto. È nell'allegato 4 del contratto, da richiedere.

Il legame giuridico dell'editore

Google è un editore di diritto americano. Una regione di archiviazione europea non cambia questo.

La legge americana Cloud Act, del 2018, impone ai fornitori di servizi di comunicazione di diritto USA di consegnare dati in loro possesso, ovunque archiviati.

18 U.S. Code § 2713, aggiunto dalla legge Pub. L. 115-141 del 23 marzo 2018 «Un fornitore di servizi di comunicazione elettronica o di calcolo remoto deve rispettare gli obblighi di questo capitolo per preservare, eseguire backup o divulgare contenuti di comunicazioni elettroniche e qualsiasi registro o informazione relativa a un cliente o abbonato in suo possesso, indipendentemente da dove siano localizzati.»

Cosa significa per te: l'impostazione «Europa» risponde a «dove sono i miei dati». Non risponde a «quale legge può accedervi». Le due domande sono distinte, e un DPO le considera separatamente. Questo punto è detto qui una volta sola.

Cosa cambia per un team europeo

Ciò che Leexi aggiunge entrando in una riunione Meet è un secondo perimetro, distinto da Google: audio trascritto e riassunto sull'infrastruttura Leexi (AWS regione Parigi, modello linguistico eseguito via Azure Francia in circuito chiuso, nessun addestramento sulle tue riunioni), con DPA pubblico e dieci subappaltatori nominati. La pagina d'integrazione Google Meet spiega come collegare Leexi a Meet. Il dossier conformità e il glossario forniscono definizioni e documenti.

Domande frequenti

Posso garantire al mio DPO che le registrazioni Meet restino in Europa?

Sì per l'archiviazione, se la tua edizione consente l'impostazione regione (Business Standard e Plus, Enterprise Standard e Plus, Frontline, Education Standard e Plus, Enterprise Essentials Plus) e l'amministratore ha scelto «Europa». Il trattamento è coperto solo in Frontline Plus, Enterprise Plus e Enterprise Essentials Plus. Log e contenuti cache restano fuori impostazione.

Google usa le mie riunioni Meet per addestrare Gemini?

No senza autorizzazione o istruzione preventiva, secondo il centro privacy IA generativa Workspace (14 agosto 2026). Le interazioni restano nella tua organizzazione e non sono riviste da umani esterni senza permesso. Verifica che nessuna funzione attivata nel tuo dominio equivalga ad autorizzazione.

I partecipanti sono avvisati quando una riunione Meet è registrata?

Sì. La pagina di aiuto Google Meet indica che i partecipanti ricevono notifica all'inizio e fine registrazione. Questa notifica non sostituisce l'informativa GDPR che devi fornire come organizzatore su finalità e durata conservazione.

Dove va la registrazione e chi vi accede?

Nel Google Drive dell'organizzatore, in una cartella «Meet», con sottocartella per riunione. Accesso secondo regole condivisione Drive dell'organizzazione. Solo alcune edizioni permettono registrazione: Business Standard e Plus, Enterprise, Essentials, Education Plus, Workspace Individual.

Cosa succede ai miei dati a fine contratto Google Workspace?

Il Cloud Data Processing Addendum (art. 6.2) prevede cancellazione di tutti i dati cliente residui su istruzione cliente a fine contratto, dopo periodo recupero massimo 30 giorni, entro 180 giorni, salvo obbligo legale di conservazione.

Google Meet basta per un requisito di sovranità rigorosa?

No. Google è editore di diritto americano, soggetto a 18 U.S. Code § 2713 ovunque siano i dati. L'impostazione «Europa» localizza i dati, ma non cambia la legge che vi può accedere. Per questo requisito conta il legame giuridico dell'editore, non la regione del datacenter.

Fonti

Dati verificati il 2 settembre 2026 sulle pagine ufficiali Google.

• Google Workspace, «Data covered by data regions», aggiornato 26 agosto 2026
• Google Workspace, «Choose a geographic location for your data», aggiornato 26 agosto 2026
• Google, Cloud Data Processing Addendum, articoli 4.1, 6.2, 7.4, 10 e 11
• Google Workspace, «Generative AI in Google Workspace privacy hub», aggiornato 14 agosto 2026
• Guida Google Meet, «Record a video meeting»
• GDPR, articoli 5 e 28, testo pubblicato da CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Questa pagina descrive il quadro applicabile. Non costituisce consulenza legale.