Este es el comportamiento esperado.

Cuando se produce una infracción de una regla de DLP y se muestra una ventana emergente de notificación al usuario, comienza una secuencia de cuenta atrás de 20 segundos. Esta cuenta atrás permite un búfer entre las notificaciones de infracciones de reglas. Si el mismo contenido infringe la misma regla dentro de la secuencia de la cuenta atrás de 20 segundos, el usuario ve una notificación emergente que significa que hay varios eventos de DLP. Al activar de nuevo la regla, se restablece la cuenta atrás de 20 segundos. Las infracciones de reglas posteriores resultantes del mismo contenido no activan ventanas emergentes de notificación adicionales hasta que se ha completado la cuenta atrás de 20 segundos. Este diseño está codificado para evitar escenarios en los que se producen varias infracciones de reglas de forma simultánea, lo que provoca una cascada de mensajes emergentes de notificación de usuarios de DLP.

NOTA: Las ventanas emergentes de notificación al usuario funcionan de forma diferente con las reglas de protección de la publicación web según se describe en KB93577.