Microsoft Teams e GDPR: cosa verificare prima di usarlo

Teams archivia registrazioni e trascrizioni nel OneDrive dell'organizzatore o nello SharePoint del canale, con una scadenza predefinita di 120 giorni. Se l'organizzazione Microsoft 365 è stata creata in un Paese dell'Unione europea o dell'EFTA, questi dati sono coperti dall'EU Data Boundary, l'impegno di Microsoft ad archiviarli e trattarli nei propri datacenter europei, con trasferimenti residui documentati. Microsoft è un editore soggetto al diritto statunitense: l'EU Data Boundary non cambia questo fatto. Questa pagina è pubblicata da Leexi, il cui strumento di presa di note IA si utilizza su Teams, e riporta esclusivamente quanto documentato da Microsoft Learn.

Dove Teams ospita e tratta i tuoi dati

Nel tuo spazio Microsoft 365, nella regione della tua organizzazione.

La registrazione di una riunione Teams non viene salvata in uno spazio Microsoft separato. Viene archiviata in OneDrive o SharePoint, a seconda del tipo di riunione.

Microsoft Learn, « Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint », aggiornato il 18 agosto 2026 « For meetings and events, the recording saves to the organizer's OneDrive, even if the organizer didn't attend the meeting or event. »

Per le riunioni di canale, « the recording is stored in the SharePoint Teams site documentation library in a folder named Recordings ». Per le chiamate a due o di gruppo, il file viene salvato nel OneDrive della persona che ha avviato la registrazione. Un'ora di registrazione pesa 400 MB e viene conteggiata nella quota.

La regione dipende dalla tua organizzazione, non dalla riunione

La posizione segue quella della tua organizzazione Microsoft 365. Per le organizzazioni europee, Microsoft ha assunto un impegno specifico.

Microsoft Learn, « What is the EU Data Boundary? », contenuto del 26 febbraio 2025 « The EU Data Boundary is a geographically defined boundary within which Microsoft has committed to store and process Customer Data and personal data for our Microsoft enterprise online services, including Azure, Dynamics 365, Power Platform, and Microsoft 365. »

La condizione di accesso è esplicita: « For Microsoft 365, customers with a sign-up location in a country or region in the EU or EFTA are in scope for the EU Data Boundary. » Un'organizzazione che ha acquistato le funzionalità Multi-Geo è esclusa, anche se il suo Paese è europeo.

Lo stesso documento indica due limiti. Gli impegni sono « subject to limited circumstances where Customer Data, personal data, and Professional Services Data will continue to be transferred outside the EU Data Boundary ». Inoltre, l'ambito geografico include Svizzera, Norvegia, Islanda e Liechtenstein, non solo l'Unione europea.

Cosa significa per te: verifica il Paese di registrazione della tua organizzazione nel centro di amministrazione Microsoft 365 e assicurati che Multi-Geo non sia attivo. Questi due elementi determinano la copertura.

Per quanto tempo Teams conserva le registrazioni

Microsoft Learn, « Manage Teams recording expiration policy », aggiornato il 31 agosto 2026 « Meeting recordings and transcripts have a default expiration time of 120 days. »

Alla scadenza, il file viene spostato nel cestino della posizione in cui era archiviato. Per un account aziendale, gli elementi nel cestino « are automatically deleted after 93 days, unless the administrator has changed the setting ». L'amministratore può impostare una durata diversa, da 1 a 99.999 giorni, oppure disattivare la scadenza. La modifica si applica solo alle nuove registrazioni.

Il GDPR richiede una durata limitata a quanto necessario.

GDPR, articolo 5, paragrafo 1, lettera e) « conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore a quello necessario rispetto alle finalità per le quali sono trattati »

Cosa significa per te: il valore predefinito di 120 giorni è una decisione di Microsoft, non tua. La tua policy di conservazione deve confermarlo o sostituirlo.

Cosa fa Microsoft delle tue conversazioni

Microsoft agisce in qualità di responsabile del trattamento e Copilot non addestra i propri modelli sulle tue riunioni.

Microsoft Learn, « General Data Protection Regulation », aggiornato il 5 maggio 2026 « As a data processor, Microsoft processes personal data on behalf of the data controller (the customer). […] Microsoft processes Customer Data to provide the Online Services in accordance with the controller's documented instructions, as specified in the Product Terms and Products and Services Data Protection Addendum (DPA). »

È l'obbligo che il GDPR impone a ogni responsabile del trattamento.

GDPR, articolo 28, paragrafo 3, lettera a) « tratti i dati personali soltanto su istruzione documentata del titolare del trattamento »

Per quanto riguarda l'addestramento, l'impegno riguarda Copilot, che genera trascrizioni e riepiloghi delle riunioni in Teams.

Microsoft Learn, « Data, Privacy, and Security for Microsoft Copilot », aggiornato il 18 agosto 2026 « Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft Copilot. »

Lo stesso documento precisa: « For European Union (EU) users, we have additional safeguards to comply with the EU Data Boundary. EU traffic stays within the EU Data Boundary », e aggiunge un'eccezione specifica: « Models provided by Anthropic as a subprocessor are currently excluded from the EU Data Boundary. »

Cosa significa per te: l'impegno a non utilizzare i dati per l'addestramento è scritto e copre Copilot. Se l'amministratore attiva modelli di terze parti in Copilot, l'eccezione Anthropic esce dall'EU Data Boundary. È un'impostazione da verificare, non un errore di Microsoft.

Le certificazioni di Microsoft 365

ISO 27001, ISO 27018 e un portafoglio di conformità pubblicato, con meccanismi di trasferimento definiti.

La pagina GDPR di Microsoft rimanda alle sue offerte di conformità, che includono « FedRamp, HIPAA/HITECH, ISO 27001, ISO 27002, ISO 27018, NIST 800-171, UK G-Cloud ». La pagina di Copilot cita inoltre la ISO 42001, lo standard per i sistemi di gestione dell'IA.

Per i trasferimenti al di fuori dell'Unione europea, Microsoft è precisa.

Microsoft Learn, « General Data Protection Regulation » « Microsoft incorporated the Standard Contractual Clauses into all of its Volume Licensing agreements via the Product Terms. […] Microsoft is certified under the EU-U.S. Data Privacy Framework but does not rely on it as a basis for the transfer of personal data from the EU/EEA to the United States. »

Va riconosciuto: le clausole contrattuali tipo sono integrate in tutti i contratti e Microsoft dichiara esplicitamente di non basarsi sul Data Privacy Framework. Ciò che un DPO verifica poi è l'ambito esatto delle certificazioni per Teams, disponibile sul portale di affidabilità di Microsoft.

Il collegamento giuridico dell'editore

Microsoft è un editore soggetto al diritto statunitense. L'EU Data Boundary localizza i dati, ma non modifica il diritto applicabile all'editore.

18 U.S. Code § 2713, aggiunto dalla legge Pub. L. 115-141 del 23 marzo 2018 « A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »

Cosa significa per te: l'EU Data Boundary è l'impegno di localizzazione più documentato sul mercato e risponde alla domanda « dove ». La domanda « quale diritto » resta legata alla sede dell'editore. Il punto viene espresso una sola volta.

Cosa cambia per un team europeo

Su Teams, Leexi costituisce un perimetro distinto da quello di Microsoft: il bot entra nella riunione, l'audio viene trascritto e riepilogato sull'infrastruttura di Leexi (regione AWS di Parigi, modello linguistico eseguito tramite Azure France in circuito chiuso, nessun addestramento sulle tue riunioni), con un DPA pubblico e dieci sub-responsabili nominati. Teams è la piattaforma di videoconferenza più presente nelle richieste di assistenza di Leexi e un terzo di queste richieste riguarda il consenso e la notifica dei partecipanti. La pagina di integrazione Microsoft Teams descrive come collegare Leexi a Teams. Copilot, l'assistente IA di Microsoft, ha una pagina dedicata: alternativa a Microsoft Copilot. Il dossier di conformità e il glossario forniscono definizioni e documenti.

Domande frequenti

Dove vengono archiviate le registrazioni delle riunioni Teams?

Nel OneDrive dell'organizzatore per riunioni ed eventi, anche se non ha partecipato alla riunione. Nello SharePoint del canale per le riunioni di canale. Nel OneDrive della persona che ha avviato la registrazione per le chiamate a due o di gruppo. Il file viene conteggiato nella quota, con un peso di 400 MB all'ora.

Per quanto tempo Teams conserva una registrazione?

120 giorni per impostazione predefinita, poi viene spostata nel cestino, dove un account aziendale conserva gli elementi per 93 giorni prima della cancellazione definitiva. L'amministratore può impostare una durata diversa, da 1 a 99.999 giorni, o disattivare la scadenza, ma solo per le nuove registrazioni.

La mia organizzazione è coperta dall'EU Data Boundary?

Sì, se il Paese di registrazione appartiene all'Unione europea o all'EFTA e l'organizzazione non ha acquistato le funzionalità Multi-Geo. Il Paese di registrazione si verifica nel centro di amministrazione Microsoft 365. Microsoft documenta comunque alcuni trasferimenti residui al di fuori del confine.

Copilot addestra i propri modelli sulle mie riunioni Teams?

No. Prompt, risposte e dati di Microsoft Graph non vengono utilizzati per addestrare i modelli di base. Il traffico degli utenti europei rimane nell'EU Data Boundary, con un'unica eccezione: i modelli Anthropic attivati come sub-responsabili, che ne sono esclusi.

I partecipanti vengono avvisati quando una riunione Teams viene registrata?

Sì. Tutti i partecipanti ricevono una notifica in Teams non appena inizia la registrazione. La guida Microsoft aggiunge che « depending on your region, you may need everyone's permission before you can record them ». Informare i partecipanti sulle finalità e sulla conservazione resta un obbligo dell'organizzatore.

Teams è sufficiente per un requisito di sovranità rigoroso?

No. Microsoft è un editore soggetto al diritto statunitense e all'18 U.S. Code § 2713, indipendentemente dal luogo di archiviazione. L'EU Data Boundary localizza i dati e documenta i trasferimenti residui, ma non modifica il collegamento giuridico dell'editore.

Fonti

Dati verificati il 2 settembre 2026 sulle pagine ufficiali di Microsoft.

• Microsoft Learn, « Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint », aggiornato il 18 agosto 2026
• Microsoft Learn, « Manage Teams recording expiration policy », aggiornato il 31 agosto 2026
• Microsoft Learn, « What is the EU Data Boundary? », pagina del 21 luglio 2026, contenuto del 26 febbraio 2025
• Microsoft Learn, « General Data Protection Regulation », aggiornato il 5 maggio 2026
• Microsoft Learn, « Data, Privacy, and Security for Microsoft Copilot », aggiornato il 18 agosto 2026
• Guida Microsoft, « Record a meeting in Microsoft Teams »
• GDPR, articoli 5 e 28, testo pubblicato dal CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Questa pagina descrive il quadro applicabile. Non costituisce un parere legale.

Prova Leexi gratis