Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna decembrie 2025, o investigație la operatorul GENPACT ROMANIA SRL și a constatat încălcarea prevederilor art. 32 alin. (1) lit. b) și alin. (2) din Regulamentul (UE) 679/2016.

Ca atare, operatorul a fost sancționat contravențional cu amendă în cuantum de 50.899 lei, echivalentul sumei de 10.000 EURO.

În cazul de față, având în vedere că sediul principal al GENPACT ROMANIA SRL este în România, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a avut rolul de autoritate de supraveghere a sediului principal al operatorului, competentă să acționeze în calitate de autoritate principală pentru prelucrarea transfrontalieră efectuată de GENPACT ROMANIA SRL în conformitate cu procedura prevăzută la art. 60 din Regulamentul (UE) 679/2016.

Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul Regulamentului General privind Protecția Datelor.

Astfel, GENPACT ROMANIA SRL a notificat o încălcare a securității datelor cu caracter personal, constând în accesarea neautorizată a datelor cu caracter personal prin intermediul unui atac informatic, ale unui număr semnificativ de utilizatori ai operatorului.

În cadrul investigației, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a constatat că GENPACT ROMANIA SRL nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prezentat de prelucrare, generat în special, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal.

Acest fapt a condus la divulgarea neautorizată a datelor cu caracter personal (nume angajat, numărul intern de angajat, email-ul de birou, departamentul, titulatura interna, adresa biroului Genpact în care lucrează, data creării contului angajatului, codul de țară) ale unui număr semnificativ de persoane vizate la nivelul UE, prin intermediul unui atac informatic executat prin exploatarea vulnerabilității unor parole și a modalității de resetare a autentificării unui cont de utilizator compromis.

Autoritatea Națională de Supraveghere a apreciat că circumstanțele cazului menționat mai sus prezintă un grad de gravitate care impune aplicarea unei sancțiuni cu amendă împotriva operatorului, raportat la criteriile de individualizare a amenzilor prevăzute la art. 83 din Regulamentul (UE) 679/2016.

Precizăm că operatorul a achitat amenda contravențională aplicată.

Direcția juridică și comunicare

A.N.S.P.D.C.P.