随着私人生活的进一步数字化,持有大量个人信息的企业不断增多,企业泄露个人信息的新闻也并不少见。我国就个人信息保护的研究已趋成熟,但相关成果多集中于行政法及刑法领域。本文以企业泄露个人信息行为为切入点,通过文献分析、案例分析及比较研究,主要就企业泄露个人信息行为的归责原则、因果关系及损害赔偿三个方面进行讨论,并对正当理由作为泄露个人信息的免责事由的合理性进行了简单的探讨。认为就信息泄露缘由与企业采取大数据技术有关的案例应实行过错推定,因果关系要件应采盖然性因果关系说,侵权主体为复数企业,无法明确具体侵权人的,应当适用举证责任倒置规则。针对损害赔偿,在企业泄露个人信息的场合对精神损害要求的“严重精神损害”应适当放宽解释的标准,并可以预先根据所涉信息类型设定精神损害赔偿的最低额,再个案确定具体金额。针对下游犯罪产生的损害,在企业不应当且未预见后续下游犯罪时仅需依其泄露行为所占损害结果产生的原因力及过错承担相应责任,但在企业已预见或应当预见下游犯罪时,其应当就全部损失承担责任。最后,在以正当理由作为抗辩事由对企业泄露个人信息行为违法性进行阻却时,应当进一步仔细检讨各案具体影响因素为宜。