Здравствуйте, Любовь! Если согласия на распространение (опубликование) персональных (как полных, так и обезличенных) не давалось, то помимо уголовной ответственности, возможно привлечение и к административной ответственности, согласно статьи 13.11. Нарушение законодательства Российской Федерации в области персональных данных КоАП РФ
7. Невыполнение оператором, являющимся государственным или муниципальным органом, предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных -
предусматривает санкцию от предупреждения до штрафа до 6000 руб.
Как действовать? Обратиться в прокуратуру с заявлением о проведении проверки, к руководству данной организации с требованием удалить персональные данные, привлечь работника к ответственности, т.е. написать заявление.