Vulneracion ley prevencion de datos

La consulta es la siguiente a ver si me pueden ayudar:
Una empleada - enfermera, saco unas fotos de unas zonas del cuerpo de un anciano que se encuentra en una residencia que tiene subcontratada a una empresa para el cuidado de esas personas mayores, en concreto es un colegio y es la parte correspondiente a la zona de residencia de los curas. Esta empleada, sin consentimiento de esta persona mayor saco esas fotos y las envió a un grupo de wass donde ponia el nombre del anciano ( solo el nombre, pero en la residencia no hay nadie mas que el con ese nombre ). La envío para valorar una heridas producidas, en ese grupo de wass y en ese momento no había nadie que fuera o tuviese conocimientos médicos como para tomar esas decisiones ni tan siquiera opinar,
El caso es que difundió esas imagines sin consentimiento del anciano. Este hecho fue puesto en conocimiento de la empresa, no tomando medidas al respecto.
Desconozco si la empresa cumple con la legislación en tema de protección de datos ya a que a nosotros nadie no ha informado de nuestras obligaciones al tener acceso a este tipo de información que creo sensible.
La pregunta es la siguiente: ¿Se puede denunciar a la agencia estatal de protección de datos de esto?- si es así, ¿Quién es el responsable al que debo denunciar?, ¿A la empresa? ¿A la empleada? A las dos?. ¿Necesito la autorización para presentar esa denuncia por parte del perjudicado o lo puedo hacer yo directamente debido a la edad de la persona?. En la fotos no se ve la cara del enfermo pero si como decía al principio le identifica por su nombre no habiendo nadie más en esa residencia particular con ese nombre.