プライバシーマークの規格であるJISQ15001:2006には適正な取得という項目があります。

本文には適法で公正な手段で個人情報を取得しないといけない。というような文面が１文だけ記載があります。

非常に抽象的なので、概念的なものとして捉えられがちですが、これが結構重要な項目であったりします。

元をたどると個人情報保護法にもほぼ同様な記載があり、ここには「偽りその他不正の手段により個人情報を取得してはならない。」というような文面になっています。
少し解説をいれると「嘘をついて個人情報を取得したり、他の法律に引っかかるような方法で取得してはダメだよ。」というようなことを法律には書いています。

規格に書いていることもほぼ同様で個人情報を取得する行為が違法や不正であってはならない。というような内容になります。

プライバシーマークを取得されようとする企業であれば、違法や不正な手段で個人情報を取得しているとは考えにくいので、内部の文書等に規格の言葉をそのまま書いてもらえればOKということになります。

ただ、昨年一部文書審査のチェック内容が変わり、受託等で個人情報を取引先等から取得する場合にその委託元が適正に取得した個人情報かどうかを確認するよう規定しているか。といった内容の項目が追加されています。

例えば、アウトバウンドのコールセンターなどで取引先から名簿等を取得する場合にその名簿が違法な手段等で取得されたものでないかを確認しなさい。という内容であると言えます、、、、、実際なかなかここまで行うことは難しいのではないかと思います。。。。。
執拗に確認を行うことで取引関係にヒビが入ってしまったら、元も子もないですからね。

ですので、2012年2月時点ではまだ内部の文書に記載するだけで具体的に確認したか。などの記録は求めれてはいないようです。

しかし、何らかの手段で確認等は行った方が今後は良いのではないかとも思います。
最悪のパターンを想定すると犯罪の片棒を担がされる可能性だって否定できないと思います。

つまり、規格には適正な取得と明言されていますが会社としては取得する個人情報が違法や不正な手段で取得された個人情報を取得いない。ということであれば、それが適正な取得であると言えます。