行政機関の長等は、第三者に個人関連情報を提供する場合（当該第三者が当該個人関連情報を個人情報として取得することが想定される場合に限る。）において、必要があると認めるときは、当該第三者に対し、提供に係る個人関連情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人関連情報の適切な管理のために必要な措置を講ずることを求めるものとする。
要点個人情報保護法72条は、行政機関が個人関連情報を第三者に提供する際、提供先が個人情報として取得すると想定される場合に、利用制限や漏えい防止措置を求めるよう定める規定である。
Q · 名前が入っていないデータなら、役所は自由に企業へ渡していいの？
いいえ、渡した先で個人情報になるなら役所は制限を求める義務がある
個人情報保護法72条により、行政機関の長等が個人関連情報（クッキー・閲覧履歴・単体では特定できない位置情報など）を第三者に提供する場合、その第三者が個人情報として取得すると想定されるときは、利用の目的や方法の制限、漏えい防止その他の適切な管理措置を求めなければなりません。名前がないデータでも「無制限」ではなく、提供先での照合による再特定を防ぐため、出口に条件付きのゲートが置かれています。これは民間事業者版の第31条と対になる規定です。
あなたが役所のサイトで手続きをしたときの閲覧履歴、アクセスログ、位置情報。これらは単体では「あなたの個人情報」ではない。名前も住所も紐づいていないからだ。法律はこれを「個人関連情報」と呼ぶ（第2条第7項、個人情報でも仮名加工情報でも匿名加工情報でもないデータ）。ところが、役所がこのデータを企業に渡し、その企業が手元の顧客リストと突き合わせれば、「名無しのデータ」は一瞬で「特定の誰か＝あなた」の個人情報に化ける。第72条は、まさにこの受け渡しの瞬間を狙い撃ちにする。行政機関の長等は、渡した先が個人情報として取得すると想定される場合、その企業に対して「利用の目的や方法を制限しろ」「漏えいを防ぐ措置を取れ」と求めなければならない。あなたのデータが役所の外へ出る出口に、条件付きのゲートを置く条文だ。
個人情報保護法72条は、行政機関の長等が第三者に個人関連情報を提供する場合の措置要求を定める規定である。提供先が当該情報を個人情報として取得すると想定されるときに限り、利用の目的・方法の制限、漏えいの防止その他の適切な管理のために必要な措置を講ずるよう求めるものとする。個人関連情報とは、生存する個人に関する情報のうち個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものを指す（第2条第7項）。
AI 輔助整理，以條文原文為準
生存する個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものです（第2条第7項）。クッキー、閲覧履歴、単体では特定できない位置情報が典型例です。
行政機関が個人関連情報を第三者に提供する際、提供先が個人情報として取得すると想定される場合に、利用制限や漏えい防止措置を求めるよう義務づける規定です。
クッキー単体は個人関連情報で、原則個人情報ではありません。ただし受け取った側が会員IDと照合した瞬間に個人情報に変わります。法は受け取る側の視点で判断します。
提供自体は禁止されていません。行政機関は72条の措置要求を、民間事業者は31条の同意確認等を満たせば適法に提供できます。
72条は行政機関側の措置要求、31条は民間事業者側の第三者提供制限を定めます。役所が渡し、民間が受け取る場面で両者が対になって機能します。
個人関連情報は特定の個人を識別できない段階のデータのため、保有個人情報の開示請求（第76条以下）の対象になりにくいです。データ連携の根拠規程を情報公開法で請求する方法があります。
72条自体に直接の罰則はありませんが、個人情報保護委員会が行政機関に資料提出要求・実地調査、受領した民間企業に報告徴収・立入検査を行えます。措置を求めなかった手続不備も対象です。
名寄せは複数の断片データを突き合わせて同一人物にまとめる作業です。個人関連情報は単体では匿名でも、名寄せで個人が復元されるため72条が受け渡しの瞬間を規制します。
生存する個人に関する情報のうち、個人情報でも仮名加工情報でも匿名加工情報でもないもの、それが個人関連情報です（第2条第7項）。クッキー、閲覧履歴、単体では個人を特定できない位置情報などが典型。鍵は「それ単体で特定の誰かにたどり着けるか」です。業界裏話ヒント：多くの組織はクッキーIDを「個人情報ではない」と扱いますが、受け取った側が会員IDと紐づけた瞬間に個人情報に変わります。提供する側と受け取る側で判定がずれるのが実務の落とし穴で、法は受け取る側の視点で判断させます
72条は行政機関の長等が制限や安全管理措置を「求めるものとする」という規定で、求められた企業がそれを破っても、この条文自体が直接の罰則を科すわけではありません。ただし受け取った企業が民間事業者なら、別途第31条や安全管理義務の規制が及びます。業界裏話ヒント：「求めるだけで実効性がない」と侮ると危険です。個人情報保護委員会は、受領した民間企業には報告徴収・立入検査（第146条）を、提供元の行政機関等には資料提出要求・実地調査（第156条以下の監視）を行え、措置を求めなかった役所側の手続不備も対象になります
保有個人情報の開示請求（第76条以下）を使えば、役所が自分についてどんな情報を持ち、どう扱っているかを確認できます。ただし個人関連情報は「特定の個人を識別できない」段階のデータなので、開示請求の対象になりにくいのが難点です。業界裏話ヒント：正面から請求して「個人情報に当たらない」と返されたら、当該データ連携事業の根拠規程やデータ提供協定そのものを情報公開法に基づいて開示請求すると、72条の措置がどう設計されたかを外堀から確認できます
| dimension | thisArticle | alternatives |
|---|---|---|
| 規律の名宛人 | 72条：行政機関の長等（提供する役所側） | — |
| 対象データ | 個人関連情報（第2条第7項） | — |
| 発動要件 | 提供先が個人情報として取得すると想定される場合 | — |
| 求められる措置 | 利用の目的・方法の制限、漏えい防止その他必要な措置を求める | — |
ログインすると、他の読者と一緒にこの条文へメモを残せます。
ログインして共同ノートを始める以下は各文が単独で意味の通る客観的事実です。引用は e-Gov法令検索を基準としてください。