J.8 取得、利用及び提供に関する原則

提供先が、その個人関連情報を個人データとして取得すると想定される場合は、本人への通知・明示を行い、本人の同意を得ます。提供元は、提供先が本人の同意を得ていることを、提供先からの申告を受ける方法など適切な方法で確認します。外国の第三者に提供する場合は、相当措置の継続的な実施を確保する措置をとります。提供元と提供先は、それぞれ確認記録（提供年月日、第三者の氏名・住所、情報の項目など）を作成し、保管します。
たとえば、Webサイトの閲覧履歴のように、それだけでは個人が特定されない情報でも、提供先で他の情報と結びついて個人データになる場合があります。このような場面では、提供先が同意を得ているかを、提供の前に確認する仕組みが必要です。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.8.8.4を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。