社会通念上、「本人が通常予期し得る限度と客観的に認められる範囲」を超える場合になります。
例えば、当初の利用目的を「会員カードの盗難・不正利用発覚時の連絡のため」としてメールアドレス等を取得していた場合において、新たに「当社が提供する商品・サービスに関する情報のお知らせ」を行う場合は予期し得る限度を超えると判断されます。
【参考情報】
・個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）3-1-2」
<https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-1-2>