一句话回答：情节严重的，企业最高面临五千万元以下罚款或者上一年度营业额百分之五的罚款，按较高数额执行，直接负责的主管人员和其他责任人员最高罚一百万元；一般违法拒不改正的，最高也可罚一百万元。
一、法律依据：个人信息保护法第66条的两档罚则
《个人信息保护法》第六十六条：违反本法规定处理个人信息，或者处理个人信息未履行个人信息保护义务的，由监管部门责令改正、给予警告、没收违法所得；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、吊销相关业务许可或者营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，还可以禁止其一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
二、真正厉害的是"上一年度营业额5%"
五千万元是绝对上限，让大企业睡不着的是比例罚：营业额一百亿的企业，理论上罚款上限就是五个亿。处罚不是按违法所得算，而是按企业体量算，越大越疼。
三、实务中要注意：哪些情形容易被顶格处罚？
"情节严重"是升到顶格档的钥匙，结合执法实践，这几类风险最高：一是大规模违法处理个人信息，比如几百万用户信息被违规收集、共享、买卖；二是涉及人脸、行踪轨迹、健康等敏感个人信息且未取得单独同意；三是造成严重后果或者恶劣社会影响；四是拒不整改、屡查屡犯；五是泄露后不补救、不通知。实务里提醒一句：监管部门通常先给改正机会，第一次整改机会非常宝贵，错过才可能顶格处罚。
四、案例分析（公开通报案例）
公开通报的两起大案可以参考：2022年7月，国家网信办对滴滴全球股份有限公司罚款80.26亿元，通报称其违法处理个人信息行为情节严重（处罚依据包括网络安全法、数据安全法、个人信息保护法）；2022年9月，知网（同方知网（北京）技术有限公司）因违反个人信息保护法等被罚款5000万元。两案均为国家网信办公开通报，是"情节严重、顶格量级"处罚的典型样本。
对企业来说，把第66条罚则倒过来读就是一份合规清单：处理要有合法基础、敏感信息要单独同意、泄露要补救和通知、整改要闭环。真被立案调查，第一时间配合整改并请专业律师评估，比硬扛划算得多。
五、常见问题（FAQ）
问：企业违反个人信息保护法，情节严重的最高会被罚多少？
答：处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、吊销相关业务许可或者营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
问：一般违法但不改正，会被罚多少？
答：拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
问：为什么说“上一年度营业额5%”比五千万元更厉害？
答：五千万元是绝对上限，处罚不是按违法所得算，而是按企业体量算，营业额一百亿的企业理论上罚款上限就是五个亿，越大越疼。
问：哪些情形容易被顶格处罚？
答：大规模违法处理个人信息、涉及敏感个人信息且未取得单独同意、造成严重后果或者恶劣社会影响、拒不整改屡查屡犯、泄露后不补救不通知。
问：被立案调查后企业最好怎么做？
答：第一时间配合整改并请专业律师评估；监管部门通常先给改正机会，第一次整改机会非常宝贵，错过才可能顶格处罚。
相关阅读
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512