Fotos erstellen und Fotos veröffentlichen sind zwei verschiedene Dinge. Im Bereich von Schulen, Kitas oder in Seniorenheimen werden immer öfter Handy oder Tablet eingesetzt und von der Fotografie regen Gebrauch gemacht. Sei es, um in Kitas zu dokumentieren, wie lecker das Essen den Kindern schmeckt oder für die Wunddoku in Seniorenheimen (die dort Pflicht ist).
In allen Fällen handelt es sich aber um besonders schützenswerte Daten, was bedeutet, dass das mobile Gerät grundsätzlich verschlüsselt sein sollte und der Zugang mit einem sicheren Passwort bzw. PIN gesichert ist. Ein ungesperrtes Geräte sollte in relativer kurzer Zeit wieder in den gesperrten Modus gehen, usw.
Bei iOS und Android neuerer Generation (war’s ab Android 9?) sind die Geräte per Voreinstellung verschlüsselt. Aber meines Wissens nach nur die internen, vorhandenen Speicher. Setzt man eine extra Speicherkarte ein, ist die erst einmal nicht verschlüsselt, wenn man es nicht explizit wünscht.
Bei Dienstgeräten sehe ich sehr oft das (ziemlich große) Problem, dass die Geräte von mehreren Benutzern benutzt werden und alle das Passwort kennen. Und weil das ja möglichst einfach sein soll, nutzt man einfach zu erratende Passwörter oder welche, die mehrfach (oder schlicht: woüberall) woanders genutzt werden.
„Eigentlich“ sollten Dienstgeräte über die IT-Fuzzis des Unternehmens aus der Ferne gelöscht werden können. Dazu braucht’s entsprechende Software, die sich so einige Unternehmen sparen.
Wenn man Glück hat, dann wird das Handy nur irgendwie zurückgesetzt, alle Daten sind weg und das Gerät wird irgendwo weiter verkauft. Oder es ist nicht rücksetzbar und landet im Müll. Oder jemand schreibt einen Artikel im Kuketz-Forum, weil er dringend Hilfe braucht, weil er das Passwort an seinem Handy vergessen hat und dringend darauf zugreifen will 
Die Strafanzeige war schon einmal ein guter Schritt. Die Meldung an Vorgesetzt ebenfalls. Wenn das Unternehmen ein MDM hat, kann das Gerät aus der Ferne gelöscht werden, sobald es irgendwo ein Netz hat).
Ob und in wie weit die Fotos von Kindern Dir zum Verhängnis werden können, kann ich nicht sagen. Ich rate Dir, dich nicht selber zu belasten. Ich sehe hier ein vielschichtiges, komplexes Problem. Was dann vielleicht auch keines ist. Gut gesicherte Geräte gelten z.B. meist nicht als DSGVO-Verstoss. Und das Anfertigen der Fotos kann unter „betriebliche Übung“ fallen, also erlaubt sein. Du handelst dann im Auftrag der Unternehmens und hast dafür das Haftungsprivileg der Arbeitnehmer. Also wenn Du z.B. davon ausgehen kannst, dass z.B. eine Einwilligung für die Fotos schon vom Unternehmen vorliegen müsste, weil’s „immer so war“.
Ich habe beruflich u.a. mit Menschen zu tun, die solche „Pool-Geräte“ nutzen und bekomme jedes mal Instant-Pickel, wenn die mir verraten, dass man sowieso immer das „Standardpasswort“ nimmt (Einrichtungsname, Straße oder sowas).