Microsoft Teams et le RGPD : ce que vous devez vérifier avant de l'utiliser

Teams stocke vos enregistrements et transcriptions dans le OneDrive de l'organisateur ou dans le SharePoint du canal, avec une expiration par défaut de 120 jours. Si votre organisation Microsoft 365 a été créée dans un pays de l'Union européenne ou de l'AELE, ces données sont couvertes par l'EU Data Boundary, l'engagement de Microsoft de les stocker et de les traiter dans ses datacenters européens, avec des transferts résiduels documentés. Microsoft est un éditeur de droit américain, ce que l'EU Data Boundary ne change pas. Cette page est éditée par Leexi, dont l'outil de prise de notes IA s'utilise sur Teams, et elle ne dit que ce que Microsoft Learn documente.

Où Teams héberge et traite vos données

Dans votre propre espace Microsoft 365, dans la région de votre organisation.

L'enregistrement d'une réunion Teams ne va pas dans un espace de Microsoft séparé. Il va dans OneDrive ou SharePoint, selon le type de réunion.

Microsoft Learn, « Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint », mis à jour le 18 août 2026 « For meetings and events, the recording saves to the organizer's OneDrive, even if the organizer didn't attend the meeting or event. »

Pour les réunions de canal, « the recording is stored in the SharePoint Teams site documentation library in a folder named Recordings ». Pour les appels à deux ou en groupe, le fichier va dans le OneDrive de la personne qui a lancé l'enregistrement. Une heure d'enregistrement pèse 400 Mo et compte dans votre quota.

La région dépend de votre organisation, pas de la réunion

La localisation suit celle de votre organisation Microsoft 365. Pour les organisations européennes, Microsoft a pris un engagement nommé.

Microsoft Learn, « What is the EU Data Boundary? », contenu daté du 26 février 2025 « The EU Data Boundary is a geographically defined boundary within which Microsoft has committed to store and process Customer Data and personal data for our Microsoft enterprise online services, including Azure, Dynamics 365, Power Platform, and Microsoft 365. »

La condition d'accès est écrite : « For Microsoft 365, customers with a sign-up location in a country or region in the EU or EFTA are in scope for the EU Data Boundary. » Une organisation qui a acheté les capacités Multi-Geo en est exclue, même si son pays est européen.

Deux limites sont écrites dans le même document. Les engagements sont « subject to limited circumstances where Customer Data, personal data, and Professional Services Data will continue to be transferred outside the EU Data Boundary ». Et le périmètre géographique inclut la Suisse, la Norvège, l'Islande et le Liechtenstein, pas seulement l'Union européenne.

Ce que ça donne pour vous : vérifiez le pays d'inscription de votre organisation dans le centre d'administration Microsoft 365, et l'absence de Multi-Geo. Ces deux points décident de la couverture.

Combien de temps Teams garde vos enregistrements

Microsoft Learn, « Manage Teams recording expiration policy », mis à jour le 31 août 2026 « Meeting recordings and transcripts have a default expiration time of 120 days. »

À l'expiration, le fichier passe dans la corbeille de l'emplacement où il était stocké. Pour un compte professionnel, les éléments de la corbeille « are automatically deleted after 93 days, unless the administrator has changed the setting ». L'administrateur peut fixer une autre durée, de 1 à 99 999 jours, ou désactiver l'expiration. Le changement ne s'applique qu'aux nouveaux enregistrements.

Le RGPD demande une durée limitée au nécessaire.

RGPD, article 5, paragraphe 1, point e) « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées »

Ce que ça donne pour vous : la valeur par défaut de 120 jours est une décision de Microsoft, pas la vôtre. Votre politique de conservation doit la confirmer ou la remplacer.

Ce que Microsoft fait de vos conversations

Microsoft agit comme sous-traitant, et Copilot n'entraîne pas ses modèles sur vos réunions.

Microsoft Learn, « General Data Protection Regulation », mis à jour le 5 mai 2026 « As a data processor, Microsoft processes personal data on behalf of the data controller (the customer). […] Microsoft processes Customer Data to provide the Online Services in accordance with the controller's documented instructions, as specified in the Product Terms and Products and Services Data Protection Addendum (DPA). »

C'est l'obligation que le RGPD impose à tout sous-traitant.

RGPD, article 28, paragraphe 3, point a) « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement »

Sur l'entraînement, l'engagement porte sur Copilot, qui produit les transcriptions et les récapitulatifs de réunion dans Teams.

Microsoft Learn, « Data, Privacy, and Security for Microsoft Copilot », mis à jour le 18 août 2026 « Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft Copilot. »

Le même document précise : « For European Union (EU) users, we have additional safeguards to comply with the EU Data Boundary. EU traffic stays within the EU Data Boundary », et ajoute une exception nommée : « Models provided by Anthropic as a subprocessor are currently excluded from the EU Data Boundary. »

Ce que ça donne pour vous : l'engagement de non-entraînement est écrit et il couvre Copilot. Si votre administrateur active des modèles tiers dans Copilot, l'exception Anthropic sort de l'EU Data Boundary. C'est un réglage à vérifier, pas une faute de Microsoft.

Les certifications de Microsoft 365

ISO 27001, ISO 27018 et un portefeuille de conformité publié, avec les mécanismes de transfert écrits.

La page RGPD de Microsoft renvoie à ses offres de conformité, qui incluent « FedRamp, HIPAA/HITECH, ISO 27001, ISO 27002, ISO 27018, NIST 800-171, UK G-Cloud ». La page Copilot cite en plus l'ISO 42001, la norme des systèmes de management de l'IA.

Sur les transferts hors de l'Union européenne, Microsoft est précis.

Microsoft Learn, « General Data Protection Regulation » « Microsoft incorporated the Standard Contractual Clauses into all of its Volume Licensing agreements via the Product Terms. […] Microsoft is certified under the EU-U.S. Data Privacy Framework but does not rely on it as a basis for the transfer of personal data from the EU/EEA to the United States. »

Le crédit est dû : les clauses contractuelles types sont intégrées à tous les contrats, et Microsoft dit explicitement ne pas s'appuyer sur le Data Privacy Framework. Ce qu'un DPO vérifie ensuite, c'est le périmètre exact des certificats pour Teams, disponible sur le portail de confiance de Microsoft.

Le rattachement juridique de l'éditeur

Microsoft est un éditeur de droit américain. L'EU Data Boundary localise les données, il ne change pas le droit applicable à l'éditeur.

18 U.S. Code § 2713, ajouté par la loi Pub. L. 115-141 du 23 mars 2018 « A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »

Ce que ça donne pour vous : l'EU Data Boundary est l'engagement de localisation le plus documenté du marché, et il répond à la question « où ». La question « quel droit » reste celle du siège de l'éditeur. Le point est dit une fois.

Ce que ça change pour une équipe européenne

Sur Teams, Leexi est un second périmètre, distinct de celui de Microsoft : le bot rejoint la réunion, l'audio est transcrit et résumé sur l'infrastructure de Leexi (AWS région Paris, modèle de langage exécuté via Microsoft Azure OpenAI Service dans l'Union européenne, aucun entraînement sur vos réunions), avec un DPA public et dix sous-traitants nommés. Teams est la plateforme de visioconférence la plus présente dans les demandes de support de Leexi, et un tiers de ces demandes porte sur le consentement et la notification des participants. La page d'intégration Microsoft Teams décrit comment brancher Leexi sur Teams. Copilot, l'assistant IA de Microsoft, a sa propre page : alternative à Microsoft Copilot. Le dossier de conformité et le glossaire donnent les définitions et les pièces.

Essayez Leexi gratuitement

Questions fréquentes

Où sont stockés mes enregistrements de réunion Teams ?

Dans le OneDrive de l'organisateur pour les réunions et les événements, même s'il n'a pas assisté à la réunion. Dans le SharePoint du canal pour les réunions de canal. Dans le OneDrive de la personne qui a lancé l'enregistrement pour les appels à deux ou en groupe. Le fichier compte dans votre quota, à raison de 400 Mo par heure.

Combien de temps Teams conserve-t-il un enregistrement ?

120 jours par défaut, puis passage dans la corbeille, où un compte professionnel garde les éléments 93 jours avant suppression définitive. Votre administrateur peut fixer une autre durée, de 1 à 99 999 jours, ou désactiver l'expiration, pour les nouveaux enregistrements seulement.

Mon organisation est-elle couverte par l'EU Data Boundary ?

Oui si son pays d'inscription est dans l'Union européenne ou l'AELE, et si elle n'a pas acheté les capacités Multi-Geo. Le pays d'inscription se vérifie dans le centre d'administration Microsoft 365. Des transferts résiduels hors de la frontière restent documentés par Microsoft.

Copilot entraîne-t-il ses modèles sur mes réunions Teams ?

Non. Les prompts, les réponses et les données de Microsoft Graph ne servent pas à entraîner les modèles de fondation. Le trafic des utilisateurs européens reste dans l'EU Data Boundary, à une exception près, les modèles Anthropic activés en tant que sous-traitant, qui en sont exclus.

Les participants sont-ils prévenus quand une réunion Teams est enregistrée ?

Oui. Tous les participants reçoivent une notification dans Teams dès que l'enregistrement démarre. L'aide de Microsoft ajoute que « depending on your region, you may need everyone's permission before you can record them ». L'information des participants sur la finalité et la conservation reste votre obligation d'organisateur.

Teams suffit-il pour une exigence de souveraineté stricte ?

Non. Microsoft est un éditeur de droit américain, soumis au 18 U.S. Code § 2713 quel que soit le lieu de stockage. L'EU Data Boundary localise les données et documente les transferts résiduels, il ne change pas le rattachement juridique de l'éditeur.

Sources

Données vérifiées le 2 septembre 2026 sur les pages officielles de Microsoft.

• Microsoft Learn, « Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint », mis à jour le 18 août 2026
• Microsoft Learn, « Manage Teams recording expiration policy », mis à jour le 31 août 2026
• Microsoft Learn, « What is the EU Data Boundary? », page du 21 juillet 2026, contenu daté du 26 février 2025
• Microsoft Learn, « General Data Protection Regulation », mis à jour le 5 mai 2026
• Microsoft Learn, « Data, Privacy, and Security for Microsoft Copilot », mis à jour le 18 août 2026
• Aide Microsoft, « Record a meeting in Microsoft Teams »
• RGPD, articles 5 et 28, texte publié par la CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Cette page décrit le cadre applicable. Elle ne constitue pas un avis juridique.