microsoft-priva

Microsoft Priva

Microsoft Priva 可帮助组织管理隐私风险，并履行针对 Microsoft 365 及其他位置所持有个人数据的数据主体（隐私）权利请求。Priva 是 Purview 之外的独立 SKU——设计方案前请确认许可。

适用场景

当用户负有隐私计划方面的义务（GDPR、CCPA、LGPD、UK DPA），并需要降低个人数据风险或大规模响应数据主体权利请求时，请使用此技能。

以下场景请勿使用此技能：安全 DLP（使用 purview-dlp-policy）、诉讼相关的电子数据展示（使用 purview-ediscovery），或 AI 提示词数据（使用 purview-dspm-ai）。

选择合适的 Priva 解决方案

Priva 是以同一品牌销售的两种不同解决方案。请选择与触发需求相符的行。

目标是……	解决方案	典型的首个策略
查找并减少 SPO/OneDrive 中过度暴露的个人数据	Privacy Risk Management — Overexposure	针对全组织高置信度个人 SIT 的过度暴露策略
阻止个人数据跨境或跨部门传输	Privacy Risk Management — Transfer	阻止个人数据从 EU 跨区域传输
减少数据囤积（长期保留的个人数据）	Privacy Risk Management — Minimisation	识别超过保留义务期限的非活动个人数据
响应 GDPR 第 15 条 / CCPA 知情权请求	Subject Rights Requests (SRR)	含编辑功能的访问请求工作流
履行删除 / 清除请求	SRR (Delete request type)	需审核者批准的清除请求
向有风险行为的用户发送隐私提醒	Privacy Risk Management — user notifications	在外部共享个人数据时显示内联提示

**经验法则：**先从 Privacy Risk Management - overexposure 入手，再处理 SRR。如果租户已经泄露个人数据，你收到的 SRR 会多到无法应付；先修复泄露问题，再将请求流程投入实际运行。

方法

顺序很重要。每个步骤都是下一步的前提。

1. 分类前提条件 — Priva 使用 Purview SIT 和可训练分类器检测个人数据。请通过 Purview → Content Explorer 确认至少内置的个人数据 SIT（国家身份证件、护照、IBAN、驾驶执照、电子邮件、电话）能匹配租户中的实际项目。否则，Priva 策略不会触发，或只会产生噪声。 验证：Content Explorer 显示至少 3 个与你所在地区相关的个人数据 SIT 有非零命中数（例如 UK NINO、EU 国家身份证件、IBAN）。
2. 确认许可 — Priva Privacy Risk Management 和 Priva Subject Rights Requests 是单独的附加 SKU，不包含在 M365 E5 Compliance 中。SRR 按请求数授权（付费套餐）；Privacy Risk Management 按用户每月授权。请先购买，再开始配置。 验证：Microsoft 365 管理中心门户中显示 Priva 磁贴，并且 SKU 已激活。
3. Privacy Risk Management — 以审核模式试点 — 在小型网站集上创建首个过度暴露策略，并以测试模式运行 7-14 天。启用用户通知或补救措施之前，先检查匹配量和误报率。
4. 谨慎发送用户通知 — 从测试模式切换到活动模式后，通知会发送给共享数据的用户。这代表你的隐私计划正在与员工沟通——请先获得传播团队和 HR 对措辞的批准。
5. Subject Rights Requests 工作流 — 配置 SRR 模板：数据源（Exchange、SPO、OneDrive、Teams）、审核者、利益冲突排除项、编辑审核者角色以及安全交付方式。发布受理表单前，先用虚假请求进行测试。 验证：对测试用户执行 SRR 演练，返回预期项目；审核者能够在交付前编辑并批准。
6. 报告与运营 — 跟踪 SRR SLA（GDPR 为 30 天，可延长 60 天）、策略匹配趋势和用户通知忽略率。将洞察反馈给分类团队。

防护措施

• Priva 依赖准确的分类。 至少在验证基本的 Purview SIT 后再部署；否则策略只会产生噪声。
• 上线前与法务和隐私办公室协调。 SRR 履行是一项受监管的流程——在回复中无意披露第三方个人数据属于违规。
• 遵循最小权限原则。 SRR 内容高度敏感（在请求处理期间，是租户中最敏感的内容）。请使用范围受限的 Privacy Management 角色组，而非 Compliance Administrator。
• 审核者职责分离。 批准编辑的审核者不应是请求者或数据主体的经理。
• SRR 交付格式很重要。 默认 PDF 包含元数据；请确认导出格式符合监管机构的要求。
• 始终先使用测试模式。 处于 Active 模式的 Privacy Risk Management 策略会发送用户通知——误报会迅速损害用户对隐私计划的信任。

常见反模式

• “在分类之前启用 SRR。” 请求要么不返回任何内容，要么返回错误的项目；第一个真实请求就会导致你无法满足 SLA。
• “跳过测试模式以加快上线。” 第一波用户通知就会因误报而触发；用户会学会忽略通知，计划也会因此夭折。
• “为隐私团队使用 Compliance Administrator。” 这会授予超出 Priva 范围的全租户合规权限。请使用 Privacy Management 角色组。
• “端到端测试前先构建 SRR 申请表单。” 第一个真实请求就会暴露审核者权限缺口，或发现源系统缺失的情况。

示例提示词

• Set up Microsoft Priva to manage subject rights requests (DSARs).
• Configure privacy risk policies for overexposed personal data.
• What licence do I need for Priva Subject Rights Requests?
• How do I support GDPR fulfilment and data minimisation with Priva?
• Which Priva solution should I roll out first?
• Automate DSAR collection and review with Priva.

Microsoft Learn

• Priva 概述：https://learn.microsoft.com/privacy/priva/priva-overview
• Privacy Risk Management 策略：https://learn.microsoft.com/privacy/priva/risk-management-policies
• Subject Rights Requests：https://learn.microsoft.com/privacy/priva/subject-rights-requests
• 入门／设置：https://learn.microsoft.com/privacy/priva/priva-setup
• 角色和权限：https://learn.microsoft.com/privacy/priva/priva-permissions
• 许可（Priva 和 Purview）：https://learn.microsoft.com/microsoft-365/solutions/data-privacy-protection