1-й) вы выполняете запрос (последний), что вы получаете поле «EMAIL» в $ to, и после этого вы не используете его в своей структуре почты !!! Так что бесполезный запрос
2-й) у вас есть почтовый код внутри al oop
while($row3 = $stmt->fetch()){
для каждой получаемой вами записи. Так что, если последний запрос вернет 3, 4 или 100 записей, вы отправите одинаковое количество писем !!