ユーザーがクラウドサービスにファイルをアップロードできる場合とできない場合があるという問題は、エンドポイントDLPポリシーの適用に一貫性がないことを示唆しています。これは、Microsoft 365エンドポイントDLP設定で許可されていないブラウザーが構成されていないことが原因である可能性があります。また、Microsoft 365エンドポイントDLP設定にファイルパスの除外設定が含まれていることも原因として考えられます。
エンドポイントDLPは、許可されていないブラウザを使用している場合にのみアップロードをブロックできます。許可されていないブラウザが設定されていない場合、ユーザーは別のブラウザに切り替えることで制限を回避できる可能性があります。そのため、使用するブラウザによってアップロードが成功したり失敗したりすることがあるのです。
ファイルパスの除外設定により、特定のファイルやフォルダをDLP（データ損失防止）の制限から除外できます。特定のファイル保存場所を除外すると、そこに保存されたファイルはDLPポリシーのトリガーとならなくなり、動作が不安定になる可能性があります。その結果、一部のアップロードがブロックされる一方で、他のアップロードは許可されるといった事態が発生する可能性があります。

正しい：
* OneDriveアカウント
正しくない：
* Microsoft Defender for Cloud Apps
* Microsoft Entra セキュリティ グループ
* オンプレミスリポジトリ
* Teamsチャンネルメッセージ
* チームチャット
注記：
Microsoft 365 の自動ラベル付けポリシーは、Exchange メールボックス、SharePoint サイト、OneDrive アカウントに適用できます。また、Teams やその他の Microsoft 365 グループ内のコンテンツ、および Azure SQL や Azure Cosmos DB などの Azure サービスにも適用できます。
Exchange Online：送信中のメールに適用されます。
SharePoint: SharePoint サイトに静止状態で保存されているドキュメントに適用されます。
OneDrive: OneDriveアカウントに保存されているドキュメントに適用されます。
チーム: チームに関連付けられた SharePoint サイトに保存されているドキュメントに適用されます。
Azureおよびその他のデータソース：Azure SQL、Azure Cosmos DBなどのサービスに保存されているデータにも適用できるように拡張できます。
参照：
https://learn.microsoft.com/en-us/purview/apply-sensitivity-label-automatically

GDPR DLPポリシーにおける誤検知を減らすには、まず監査専用モードでポリシーを実行して問題点を特定し、このデータに基づいてルールを継続的に改善し、従業員に適切なデータ処理方法についてトレーニングを実施してください。
既存のGDPR DLPポリシーを監査モードで実行するには、Microsoft Purviewポータルでポリシーを編集し、ポリシーモードを「シミュレーション」または「テスト」に設定する必要があります。ポリシー構成で、すぐに強制適用を有効にするのではなく、「シミュレーションモードでポリシーを実行する」または「テストモードでポリシーを実行する」オプションを選択してください。これにより、違反はブロックされずにログに記録されるため、本格的な展開前に結果を確認できます。
監査（シミュレーション）モードでポリシーを実行する手順
ステップ 1: DLP ポリシーに移動します。Microsoft Purview ポータルにサインインし、[データ損失防止] > [ポリシー] に移動します。
ステップ2：ポリシーの編集：実行したい既存のGDPRポリシーを選択し、編集を選択します。
ステップ 3: ポリシー モード設定を見つける: ポリシー構成ワークフローで、ポリシー モードのページを探します。このページには、「ポリシー モード」または「ポリシーのシミュレーションまたは有効化」というラベルが付いている場合があります。
ステップ4：シミュレーションモードを有効にする：「ポリシーをシミュレーションモードで実行する」オプションを選択します。
ステップ 5: オプション設定の構成: シミュレーション モードで「ポリシーのヒントを表示」を選択すると、実際にブロックすることなく、潜在的な違反についてユーザーに説明できます。[スキップ] ステップ 6: 保存して送信: ウィザードの残りの手順に進み、「次へ」と「送信」を選択して変更を保存します。
参照：
https://learn.microsoft.com/en-us/purview/dlp-learn-about-dlp

問題点：エンドポイントDLPがブロックしているため、ユーザーは米国パスポート番号が記載された書類を正規の旅行管理ウェブサイトにアップロードできません。
解決策: Endpoint DLP でサービス ドメインを構成します。これにより、機密情報のアップロードが許可される特定の信頼できるドメインを定義しながら、承認されていない他のドメインへのアップロードをブロックすることができます。
なぜ他の国ではダメなのか？
許可されていないブラウザ：ブラウザを制限/ブロックリストに登録するものであり、ここでは問題ではありません。
ファイルパスの除外：ローカルフォルダ/パスを監視対象から除外します。これはWebアップロードとは無関係です。
許可されないアプリ：デスクトップアプリを制限しますが、ブラウザベースのサイトは制限しません。
参照：
Microsoft Learn: エンドポイント DLP のサービス ドメインを構成する