Информационная безопасность

Имеется коммерческая компания меньше 300 сотрудников, общение с клиентами происходит через ватсап, под недавно вышедший 41 закон не попадает, вопрос можно ли запрашивать в ватсапе (базы данных ватсапа находятся за рубежом ) персональные данные клиента? Пример узнать фамилию для того что бы внести в список приглашены на обучающий курс. На какие нормативны документы нужно обратить внимание, почему можно или нельзя ?