Si.
Nel caso di dati sensibili (religione, orientamento politico, sesso ecc) devi redigere anche il DPS.

A parte che non è un problema inserire un box dove si dice che la propria mail non verrà data (gratuitamente o a pagamento non fa differenza), credo sia doveroso rendere noto a chi si iscrive cosa verrà fatto del proprio contatto email.

Se, al contrario, verra fornito a terze parti per comunicazioni commerciali, dai comunque la possibilita a chi controlla di sapere che hai un'attività in quel senso, che fatturi, ecc ecc