Утечка - это любая ситуация, когда персональные данные становятся доступны тем, кому вы их не передавали намеренно. Для небольшого интернет-магазина типичные примеры: взлом админки сайта и выгрузка базы заказов, незащищенная резервная копия в открытом облаке по прямой ссылке, сотрудник перед увольнением скопировал базу клиентов себе на почту, фишинговое письмо, из-за которого злоумышленник получил доступ к CRM.
Есть и менее очевидные случаи, которые тоже считаются утечкой. Если форма на сайте написана с ошибкой и по определенному запросу отдает чужую заявку - это утечка, даже если ей никто не воспользовался специально. Курьерская служба потеряла распечатку с адресами и телефонами клиентов - тоже утечка, просто не цифровая. Подрядчик, которому вы дали доступ к базе для рассылки, слил ее третьим лицам - утечка на вашей стороне, потому что вы отвечаете за оператора, которому передали данные.
Стоит отличать утечку от обычной ошибки без последствий: если сотрудник случайно отправил письмо не тому клиенту с его же данными - это инцидент, но не утечка чужих данных третьим лицам в смысле закона. А вот если то же письмо ушло с приложенным файлом базы всех клиентов - это уже полноценная утечка с обязанностью уведомить Роскомнадзор в течение 24 часов о самом факте и 72 часов - о результатах разбирательства.