J.8 取得、利用及び提供に関する原則

第三者から個人データの提供を受けるときは、必要な確認を行います。確認が不要なのは、委託、事業承継、共同利用、法令に基づく場合などです。確認したときは、記録を作成し、必要な期間保管します。受け取るときに特定された利用目的も含めて、確認・記録することが望ましいとされています。
たとえば、名簿を他社から受け取る場合、「相手がどうやって取得した情報か」を確認します。受け取ったあとで問題が見つかると、自社も影響を受けるため、事前の確認と記録が大切です。確認の手順を様式にしておくと、実務で使いやすくなります。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.8.8.3を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。