L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) de Roumanie a publié une décision de sanction à l'encontre de GENPACT ROMANIA SRL, comprenant le prononcé d'une amende de 50 899 lei (équivalent de 10 000 €), pour des manquements en lien avec la sécurité du traitement de données. Cette affaire débute par la notification d'une violation de données personnelles par l'entreprise elle-même, signalant un accès non autorisé à des données par le biais d'une cyberattaque.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'entreprise n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Cette défaillance a entraîné la divulgation non autorisée des données personnelles d'un nombre significatif d'employés au sein de l'Union européenne, suite à une cyberattaque exploitant la vulnérabilité de mots de passe et de la procédure de réinitialisation d'un compte utilisateur compromis. Les données concernées incluaient le nom de l'employé, le numéro d'employé interne, le courriel professionnel, le département, l'intitulé de poste interne, l'adresse du bureau, la date de création du compte et le code pays.

En conséquence, l’autorité a imposé une amende de 50 899 lei (équivalent de 10 000 €) à GENPACT ROMANIA SRL.