Здравствуйте. Если вы давали согласие своему работодателю на обработку персональных данных, то действия вашего работодателя законны. В статье 6 Федерального закона N 152-ФЗ "О персональных данных" указано:
"обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных"

Однако, в силу части 2 статьи 9 Федерального закона N 152-ФЗ "О персональных данных", даже если ранее вы давали такое согласие, вы можете его отозвать.

Что касается использования вашей фотографии, согласно статье 152.1 Гражданского кодекса, без вашего согласия работодатель не имеет права обнародовать её:
1. Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. Такое согласие не требуется в случаях, когда:
1) использование изображения осуществляется в государственных, общественных или иных публичных интересах;
2) изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования;
3) гражданин позировал за плату.