Sempre é criado um objeto de sessão na página JSP e é possível desativar sua criação?

Нет, не всегда. По умолчанию объект session доступен на всех JSP-страницах. Это происходит благодаря тому, что директива <%@ page session="true" %> включена по умолчанию. Чтобы отключить автоматическое создание объекта сессии для конкретной страницы, нужно установить атрибут session в false:

<%@ page session="false" %>

При этом директива <%@ page import="javax.servlet.http.HttpSession" %> остается активной, но попытка получить сессию через request.getSession() без создания (например, request.getSession(false)) вернет null, если сессия еще не была создана ранее в этом запросе или при предыдущем взаимодействии пользователя с приложением.

Отключение сессии может быть полезно для статических страниц или страниц, которые не требуют сохранения состояния между запросами, что позволяет немного снизить нагрузку на сервер.