is het mogelijk om het zo instellen dat de hoofd email (van KPN) helemaal niet bij de 'bij email kan' ?

Je hebt twee manieren om "bij-e-mails" te maken, zoals jij het noemt.
1) Een zogenaamd alias. Dat is een tweede email-adres dat helemaal synoniem is voor het bestaande emailadres. Je kunt er alleen niet mee inloggen, maar alle mailtjes die naar de alias worden gestuurd, gaan ook naar het bestaande adres.
2) Een extra postbus. Dat is een helemaal losstaand emailadres, waarvan de mailtjes in een aparte bus terechtkomen met een eigen wachtwoord.
De eigenaar van het abonnement kan in principe meekijken in allebei, maar omdat ik dat ook niet wou, heb ik het volgende gedaan: de extra postbus is voor mijn dochter (dat is leuk, want nu heeft zij ook een handig adres dochter@mijnachternaam.nl) maar ze heeft ook een Hotmail-account geopend. Bij KPN heb ik ingesteld dat alle mail voor de extra postbus meteen wordt doorgestuurd. Dus haar vrienden en vriendinnen sturen de mail naar dochter@mijnachternaam.nl en zij leest dat in haar hotmail.
Zodoende kan de hoofd-eigenaar wel in de extra postbus meekijken maar de postbus is altijd leeg (het wordt immers meteen doorgestuurd).