Да, статья 137 УК РФ здесь применима напрямую — это незаконное распространение сведений о частной жизни лица, составляющих его личную тайну, без согласия, совершенное в данном случае путем пересылки конкретному человеку. Раз он сам признался в этом (устно вам, но постарайтесь зафиксировать это признание письменно — переписка, аудиозапись разговора, что угодно с датой), у вас есть прямое подтверждение и факта распространения, и умысла. Санкция по этой статье — штраф до 200 000 рублей, либо обязательные, исправительные, принудительные работы, либо арест до четырех месяцев; если такое фото размещалось где-то публично (не только лично вашему парню, а, например, в открытом доступе или групповом чате), это уже квалифицированный состав с более серьезным наказанием.
Что касается покупки личной информации в Telegram-боте, то тут просматриваются признаки состава преступления, предусмотренные статьей 272.1 УК РФ «Незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконных хранения и (или) распространения». Она охватывает не только тех, кто изначально украл базу данных или ведет такой бот, но и тех, кто приобретает, использует, хранит такую информацию, полученную незаконным путем, — то есть покупатель тоже полностью подпадает под ответственность, а не только продавец. Раз он сам признался в покупке данных о вас через такой бот — это отдельный, самостоятельный состав, который стоит указать в заявлении отдельной строкой, не смешивая с историей про фото.
Теперь по поводу заявления и работы в Газпроме. Тут важно разделить два вопроса — юридические последствия для него и то, что может (но не обязано) сделать компания. С точки зрения закона, компания не обязана и, строго говоря, не имеет прямого правового основания увольнять сотрудника только на основании вашего письма о его личной жизни — совершение правонарушения, не связанного с работой и не подтвержденного пока приговором суда, само по себе не входит в перечень оснований для увольнения по инициативе работодателя (статья 81 ТК РФ). Единственное исключение — если внутренний кодекс корпоративной этики компании прямо предусматривает возможность применения дисциплинарных мер за подобное поведение, порочащее репутацию компании, даже вне работы, и компания сама решит этим воспользоваться — но это уже вопрос их внутренней политики и доброй воли, а не что-то, что вы можете юридически потребовать через заявление.
Практически отправить копию заявления в компанию как дополнительный репутационный рычаг вполне можно — крупные компании действительно иногда реагируют на такие вещи, особенно если дело получит официальный статус (возбуждено дело, есть постановление), но рассчитывать на это как на гарантированный правовой инструмент не стоит — основной путь все равно официальное заявление в полицию по обоим составам (137 и 272.1 УК РФ), с максимально подробным изложением фактов, приложением скриншотов переписки, где он признается в покупке данных и в отправке фото, и с указанием даты и обстоятельств каждого эпизода.