microsoft-priva

Microsoft Priva

Microsoft Priva は、Microsoft 365 などに保持されている個人データに関するプライバシーリスクの管理と、データ主体の権利（プライバシー権）に基づく要求への対応を支援します。Priva は Purview とは別の SKUです。設計を始める前にライセンスを確認してください。

使用する場合

ユーザーにプライバシープログラム上の義務（GDPR、CCPA、LGPD、UK DPA）があり、個人データのリスクを低減する必要がある場合や、データ主体の権利に基づく要求へ大規模に対応する必要がある場合に、このスキルを使用してください。

このスキルは使用しないでください。セキュリティ DLP には purview-dlp-policy、訴訟に関する電子情報開示には purview-ediscovery、AI プロンプトのデータには purview-dspm-ai を使用してください。

適切な Priva ソリューションを選ぶ

Priva は、1 つのブランドで販売されている 2 つの異なるソリューションです。きっかけに合う行を選んでください。

目的が…	ソリューション	通常最初に作成するポリシー
SPO／OneDrive 全体にわたる個人データの過剰な公開を検出して減らす	プライバシーリスク管理 — 過剰な公開	信頼度の高い個人情報 SIT を対象に、組織全体の過剰な公開を検出
国境や部門を越える個人データの転送を停止する	プライバシーリスク管理 — 転送	EU 外への個人データのリージョン間転送
データの溜め込み（長期間保持されている個人データ）を減らす	プライバシーリスク管理 — 最小化	保持義務期間を過ぎた、非アクティブな個人データ
GDPR 第 15 条／CCPA の知る権利に基づく要求に対応する	データ主体の権利要求（SRR）	編集を含むアクセス要求ワークフロー
削除／消去の要求を履行する	SRR（削除要求タイプ）	レビュー担当者の承認を伴う消去
リスクのある行動をとるユーザーにプライバシーに関する注意を送る	プライバシーリスク管理 — ユーザーへの通知	個人データを外部と共有する際のインラインヒント

経験則： SRR より先にプライバシーリスク管理 — 過剰な公開から始めてください。テナントからすでに個人データが漏れている場合、対応しきれないほど多くの SRR が発生します。まず漏えいを防ぎ、その後に要求対応の流れを運用化してください。

アプローチ

順序が重要です。各ステップが次のステップの前提条件となります。

1. 分類の前提条件 — Priva は Purview SIT とトレーニング可能な分類子を使用して個人データを検出します。組み込みの個人データ SIT（国民 ID、パスポート、IBAN、運転免許証、メール、電話番号）の少なくとも一部が、テナント内の実際のアイテムに一致することを、Purview → コンテンツ エクスプローラーで確認してください。これを行わないと、Priva ポリシーは何も検出しないか、誤検知を起こします。 確認方法：コンテンツ エクスプローラーで、地域に関連する個人データ SIT（例：英国の NINO、EU の国民 ID、IBAN）のうち少なくとも 3 つに一致する結果が 1 件以上表示されることを確認します。
2. ライセンスを確認する — Priva Privacy Risk Management と Priva Subject Rights Requests は、M365 E5 Compliance に含まれない別個のアドオン SKUです。SRR は要求ごと（有料バンドル）にライセンスされ、Privacy Risk Management はユーザーごと、月ごとにライセンスされます。構築を始める前に購入してください。 確認方法：Microsoft 365 管理センターのポータルに Priva タイルが表示され、SKU が有効であることを確認します。
3. プライバシーリスク管理 — 監査モードでパイロット運用 — 小規模なサイト コレクションで、最初の過剰な公開ポリシーをテストモードで 7～14 日間作成します。ユーザーへの通知や修復を有効にする前に、一致件数と誤検知率を確認してください。
4. ユーザーへの通知は慎重に — テストからアクティブに切り替えると、データを共有したユーザーに通知が送られます。これはプライバシープログラムを従業員に伝えるものです。まず通知文面について、広報と人事の承認を得てください。
5. データ主体の権利要求ワークフロー — SRR テンプレートを設定します。データソース（Exchange、SPO、OneDrive、Teams）、レビュー担当者、利益相反に関する除外、編集レビュー担当者の役割、安全な配信方法を指定してください。受付フォームを公開する前に、テスト用の架空の要求で動作を確認します。 確認方法：テストユーザーに対する SRR のドライランで期待どおりのアイテムが返され、レビュー担当者が配信前に編集して承認できることを確認します。
6. レポートと運用 — SRR の SLA（GDPR では 30 日、さらに 60 日延長可能）、ポリシーの一致傾向、ユーザー通知の却下率を追跡します。得られた分析情報を分類チームにフィードバックします。

ガードレール

• Priva は分類の精度に依存します。 少なくとも基本的な Purview SIT が検証されてから導入してください。そうでないと、ポリシーがノイズになります。
• 本番稼働前に法務部門とプライバシー担当部門と調整してください。 SRR の履行は規制対象のプロセスです。回答に第三者の個人データが誤って開示されると、侵害にあたります。
• 最小権限を適用してください。 SRR のコンテンツは非常に機密性が高く、リクエスト期間中はテナント内で最も機密性の高い情報です。Compliance Administrator ではなく、範囲を限定した Privacy Management ロールグループを使用してください。
• レビュー担当者の職務を分離してください。 編集内容を承認するレビュー担当者は、リクエストの申請者やデータ主体のマネージャーであってはなりません。
• SRR の配信形式は重要です。 既定の PDF にはメタデータが含まれます。エクスポート形式が規制当局の要件を満たしていることを確認してください。
• 必ず最初にテストモードを使用してください。 アクティブモードの Privacy Risk Management ポリシーはユーザー通知を送信します。誤検知はプライバシープログラムへの信頼を急速に損ないます。

よくあるアンチパターン

• 「分類の前に SRR を有効にする。」 リクエストの結果が空になるか、誤った項目が返されます。最初の実際のリクエストで SLA を守れなくなります。
• 「早くリリースするためにテストモードを省略する。」 最初のユーザー通知が誤検知で送信されます。ユーザーは通知を無視するようになり、プログラムは機能しなくなります。
• 「プライバシーチームに Compliance Administrator を使用する。」 Priva の範囲を超える、テナント全体のコンプライアンス権限が付与されます。Privacy Management ロールグループを使用してください。
• 「エンドツーエンドでテストする前に SRR の受付フォームを作成する。」 最初の実際のリクエストで、レビュー担当者のアクセス許可の不足や、ソースシステムが欠けているケースが明らかになります。

プロンプトの例

• Microsoft Priva を設定して、データ主体の権利リクエスト（DSAR）を管理してください。
• 過度に公開された個人データに対するプライバシーリスクポリシーを構成してください。
• Priva の Subject Rights Requests にはどのライセンスが必要ですか？
• Priva を使って GDPR の履行とデータ最小化をどのように支援できますか？
• 最初に展開すべき Priva ソリューションはどれですか？
• Priva を使って DSAR の収集とレビューを自動化してください。

Microsoft Learn

• Priva の概要：https://learn.microsoft.com/privacy/priva/priva-overview
• Privacy Risk Management ポリシー：https://learn.microsoft.com/privacy/priva/risk-management-policies
• Subject Rights Requests：https://learn.microsoft.com/privacy/priva/subject-rights-requests
• 開始方法／セットアップ：https://learn.microsoft.com/privacy/priva/priva-setup
• ロールとアクセス許可：https://learn.microsoft.com/privacy/priva/priva-permissions
• ライセンス（Priva と Purview）：https://learn.microsoft.com/microsoft-365/solutions/data-privacy-protection