Reporte a policía o a la empresa.
Si optas por la empresa, yo buscaría la empresa que haya desarrollado el sistema, no la empresa que esté usándolo (De esta manera evitas que el cliente se enfade, denuncie al que le ha dado el servicio y posíblemente no te denuncian a tí por no comerse el marrón). Y cuida mucho el tema de cómo lo dices, a fin de cuentas quien reciba el mensaje lo estará viendo como que estas diciendo que no tienen ni p**a idea de programar y eso duele. Intenta dar todos los datos técnicos que puedas para solucionar el error, como la variable y el codigo que tenga el error.
Generálmente el reporte a policía va seguido de denuncia por parte de esta a la empresa por tema de protección de datos (mas que denuncia advertencia) con lo que el problema lo suelen solucionar muy rápido (antes de que venga la denuncia).
En cuestión legal, no se cómo de en pelotas estás ante una denuncia por parte de a quien reportas (Creo que estamos un poco en pelotas en ese aspecto). Si hay alguién que sepa de legislación que comente en que medida se puede reportar estando seguro juridicamente. Yo alguna vez he reportado fallos y han arreglado dichos fallos. Eso si, normálemente no recibes respuesta pero al menos ayudas a un Internet más seguro.