Я не юрист, но по-моему email это вполне себе персональные данные и по GDPR пользователь должен иметь над ними контроль (например, иметь право на удаление своего email).