Парадокс в том, что правила обработки персональных данных пишите вы и вы можете указать, что будете передавать данные третьим лицам в целях которые придумаете, но при этом, эти самые третьи лица, в соответствии с законом о рекламе, не могут напрямую взаимодействовать с вашим общим клиентом, т.к. этот клиент не оставил третьим лицам свои персональные данные. Однако, отправка не рекламного сообщение, не попадает под закон о рекламе. Так что, в вашем случае закон не регламентирует такие действия. Однако, пользователя это может задеть за живое и он может отказаться пользоваться услугами тех, кому вы передали данные, т.к. "Откуда эти черти знают мою почту?".
Собственно, небольшая ремарка.
Как-то я обнаружил сервис, который, при посещении сайта, сканил систему и дергал все что можно. id в vk, от туда почту, телефон и другие контакты. Работает ли он так сейчас не знаю, но после этого я пять раз думаю, прежде чем соглашаться на обработку данных и стоит два блокера, которые на 99% избавляют от скана такими сервисами
