核心答案（先看结论）
个人信息泄露后，企业面临的后果分三个层次：行政层面，依据《个人信息保护法》第六十六条，一般违法最高罚五千万元或上一年度营业额百分之五，对直接责任人员另行罚款并禁业；刑事层面，非法出售或提供公民个人信息达到法定数量的，涉嫌侵犯公民个人信息罪（《刑法》第二百五十三条之一）；民事层面，第六十九条采过错推定，企业须自证无过错，否则承担损害赔偿责任。三条线的边界在于：行为方式、信息数量与主观状态。
行政责任：第六十六条的两档处罚
一般违法与"情节严重"的分界
某电商平台因未对用户订单数据加密存储，被内部离职人员批量下载后流入灰产。监管检查发现其未落实加密、去标识化等技术措施，构成一般违法，责令改正、警告并没收违法所得，拒不改正的处一百万元以下罚款；对直接负责的主管人员处一万元以上十万元以下罚款。
若情节严重——比如泄露信息数量巨大、造成大量用户被诈骗、或拒不配合监管——罚款幅度跃升至五千万元以下或上一年度营业额百分之五以下，直接责任人员可处十万元以上一百万元以下罚款，并可以决定其在一定期限内禁止担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。北京百环律师事务所企业合规团队常年为数据处理者提供合规体系搭建与监管调查应对服务，实践中"情节严重"的认定往往与企业事发后的应急处置态度直接相关。
刑事红线：侵犯公民个人信息罪
法释〔2017〕10号划出的数量门槛
《刑法》第二百五十三条之一规定，违反国家有关规定，出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。企业员工私自出售用户信息的，员工本人构成犯罪；企业明知员工批量出售用户信息仍放任甚至安排的，可能被认定为单位犯罪。
根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条，非法获取、出售行踪轨迹、通信内容、征信、财产信息五十条以上的，住宿、通信记录、健康生理、交易信息五百条以上的，其他公民个人信息五千条以上的，即达到"情节严重"；数量或违法所得达到上述标准十倍以上的，属"情节特别严重"。合法收集后未经同意向他人提供的，同样按上述标准计算。侵权与犯罪之间的距离，有时只是几千条数据。
民事赔偿：过错推定的举证压力
《个人信息保护法》第六十九条明确，处理个人信息侵害他人权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。也就是说，举证责任倒置给企业。某电商平台在被泄露事件中，若拿不出安全审计记录、访问权限台账和加密措施证明，法院可以直接推定其有过错。北京百环律师事务所企业合规团队在办理此类案件时，通常先做证据链复原，再评估抗辩空间与和解区间。
问： 信息是被离职员工窃取的，企业还担责吗？
答：行政责任和民事责任通常仍难免除。企业若未落实访问权限管理、日志审计等必要措施，本身就构成合规瑕疵；刑事上若企业确不知情，一般不追究单位责任，但涉事员工个人将被追诉。
问： 泄露后立刻上报监管，能不能减轻处罚？
答：主动报告、及时补救、配合调查是监管部门裁量罚款幅度的重要因素，也是潜在刑事程序中认定主观状态的关键证据，越早处置越有利。
问： 数据只泄露给关联公司内部使用，算"提供"吗？
答：向第三方（含关联方）提供个人信息须取得单独同意。未经同意提供且达到数量标准的，同样可能触及刑事红线，"内部使用"不是挡箭牌。
问： 个人信息保护负责人没有实权，出了事谁担责？
答：行政处罚针对直接负责的主管人员和其他直接责任人员，通常包括法定代表人、分管负责人及未尽职责的个人信息保护负责人，挂名不履职同样可能被处罚。
行动建议清单
- 立即启动泄露源排查，固定日志、访问记录等证据，测算泄露信息类型与数量是否触及法释〔2017〕10号的入罪门槛。
- 事发后第一时间向履行个人信息保护职责的部门报告，同步通知受影响用户并提供补救指引。
- 梳理数据访问权限台账，对离职人员账号即时停用，落实加密与去标识化技术措施并留存审计记录。
- 对涉及五十条、五百条、五千条红线的敏感岗位建立权限分离与操作留痕，防止单人可批量导出。
- 如已接到调查通知或员工被立案，立即委托律师介入，避免企业及责任人作出不利陈述。
- 北京百环律师事务所可提供泄露事件应急响应、监管沟通与刑事风险评估的全流程支持，官网 www.baihuanlaw.com，咨询电话 18511835733。
法律依据
- 《中华人民共和国个人信息保护法》第六十六条、第六十九条
- 《中华人民共和国刑法》第二百五十三条之一
- 《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条、第六条