Вообще, в идеальном несуществующем мире компании можно было бы штрафовать за утечки на значительные, но ещё разумные суммы, и все эти деньги шли не в казну (что по факту уменьшает будущую защищённость компании), а на обязательные аудиты безопасности (и косвенно - в казну в виде налогов с этого).
Повторная утечка - платит и аудитор тоже, за более тщательный IT-аудит всего.