DSA : la Commission ouvre une procédure contre Booking.com, entre annonces frauduleuses et hameçonnage par les données de réservation

La Commission européenne a ouvert le 21 octobre 2026 une procédure formelle contre Booking.com au titre du règlement sur les services numériques (DSA). Elle soupçonne la plateforme de ne pas avoir évalué avec diligence ni atténué efficacement les risques liés aux annonces frauduleuses et aux escroqueries par hameçonnage, et de ne pas signaler clairement comme publicités les annonces boostées. Pour un DPO, le deuxième axe de l'enquête est le plus parlant : il porte sur la manière dont les données de réservation sont partagées avec les hébergeurs, et sur les garanties qui empêchent leur détournement.

Ce que la Commission veut vérifier

D'après le communiqué IP/26/2223, l'enquête porte sur trois domaines.

• Les annonces frauduleuses et non conformes. La Commission examinera si Booking.com a correctement identifié et évalué les risques systémiques liés à la diffusion de contenus illicites, comme les fausses annonces pour des propriétés inexistantes, la fraude à l'usurpation d'identité ou les offres d'hébergement non conformes, et si la plateforme les retire efficacement.
• L'hameçonnage qui exploite les données de réservation et d'invité. La Commission regardera les risques liés au partage de ces données avec les fournisseurs d'hébergement, ainsi que la conception et le fonctionnement du service de messagerie de Booking.com. Elle vérifiera si l'entreprise a mis en place des garanties suffisantes pour empêcher que les données servent à de l'hameçonnage et à solliciter des paiements frauduleux.
• Les annonces boostées. Les hébergeurs peuvent gagner en visibilité dans les résultats de recherche en payant une commission plus élevée. La Commission examinera si les utilisateurs reconnaissent clairement ces annonces comme des publicités, et s'ils voient qui est derrière, qui a payé, pourquoi elles leur sont montrées et comment modifier les paramètres.

Si ces défaillances étaient prouvées, elles constitueraient des violations des articles 34 et 35 du DSA, qui obligent les très grandes plateformes à identifier, analyser, évaluer et atténuer les risques systémiques, et de l'article 26, paragraphe 1, sur l'identification des publicités. La Commission rappelle que l'ouverture d'une procédure ne préjuge pas de son issue.

Pourquoi c'est important

Booking.com est désignée très grande plateforme en ligne depuis le 25 avril 2023, ce qui la soumet aux obligations d'évaluation des risques systémiques du DSA. Comme pour Stripchat, dont le Tribunal de l'UE a confirmé la désignation, ce statut la soumet aux articles 34 et 35, que la Commission dit soupçonner d'avoir été enfreints.

La procédure fait suite à une enquête préliminaire qui a analysé les rapports d'évaluation des risques remis par Booking.com en 2026 et les trois années précédentes, ses rapports de transparence et ses réponses à deux demandes formelles d'informations, du 23 septembre 2025 et du 26 mai 2026. La Commission coopère avec l'Autorité néerlandaise pour les consommateurs et les marchés, coordinateur pour les services numériques du pays où Booking.com est établie.

Le sujet des données de réservation n'est pas neuf pour la plateforme : en avril, Leto relevait que Booking.com avait prévenu une partie de ses clients d'un accès non autorisé à leurs données. Le communiqué de la Commission ne fait pas de lien entre cet incident et la procédure. Il montre en revanche que le DSA saisit désormais, sous l'angle du risque systémique, une question que les DPO traitent d'ordinaire sous l'angle de l'article 32 du RGPD : la sécurité des données confiées à des tiers.

Les suites possibles sont connues : nouvelles demandes d'informations, entretiens, inspections, puis éventuellement mesures provisoires, décision de non-conformité ou acceptation d'engagements proposés par Booking.com. La Commission a déjà sanctionné sur ce terrain : elle a infligé 200 millions d'euros à Temu en mai 2026.

Ce que ça change pour les organisations

La plupart des ETI ne sont pas des très grandes plateformes, mais beaucoup partagent des données clients avec un réseau de partenaires, de franchisés ou de revendeurs. La question posée à Booking.com se transpose directement :

• Cartographier les flux vers les partenaires. Quelles données clients partent vers des tiers, par quel canal (API, export, extranet), et avec quels droits d'accès ? Le registre des traitements doit le dire.
• Traiter la messagerie comme une surface d'attaque. Un canal de messagerie entre clients et partenaires est un vecteur d'hameçonnage crédible : il porte le nom de la marque et des données de réservation réelles.
• Évaluer le risque de détournement, pas seulement de fuite. L'analyse de risques couvre aussi l'usage frauduleux de données légitimement transmises, y compris par un compte partenaire compromis.
• Préparer la communication aux clients. Les victimes d'une fuite sont des cibles de choix pour les escrocs, comme la CNIL l'a déjà signalé : rappeler aux clients ce que l'organisation ne leur demandera jamais par message.

Ce que Leto en pense

Cette procédure confirme une tendance : le partage de données avec un écosystème de partenaires n'est plus seulement un sujet de contrat, c'est un risque que les autorités demandent d'évaluer et d'atténuer, preuves à l'appui. Pour un DPO, la meilleure défense reste une cartographie à jour des flux vers les tiers et des équipes qui savent reconnaître un message frauduleux. C'est ce second volet que Leto travaille avec ses modules de sensibilisation.

Sources

• Commission européenne, « Commission to investigate how Booking.com combats scams and fraud under the Digital Services Act », 21 octobre 2026
• Commission européenne, communiqué IP/26/2223, « La Commission enquête sur la manière dont Booking.com lutte contre les escroqueries et la fraude au titre du règlement sur les services numériques », 21 octobre 2026