// CLUBIC — CYBERSECURITY
Bruxelles ouvre une enquête sur les pratiques de Booking.com
La Commission européenne soupçonne Booking.com de ne pas avoir évalué avec sérieux, ni réduit efficacement, les risques d’annonces frauduleuses et de phishing. Les autorités européennes vérifient aussi que les logements mis en avant contre paiement sont bien présentés comme des publicités.
La Commission européenne a ouvert hier une procédure formelle contre Booking.com au titre du règlement sur les services numériques (DSA). Trois sujets sont passés au crible : les fausses annonces, les arnaques qui exploitent les données de réservation et les annonces« boostées ».
Booking.com est classée VLOP (Very Large Online Platform) depuis le 25 avril 2023, un statut réservé aux plateformes de plus de 45 millions d’utilisateurs dans l’UE. Les articles 34 et 35 du DSA lui imposent d’identifier régulièrement les risques que son service peut créer, de les évaluer, puis de les réduire. Il y a tout d'abord les fausses inscriptions (logements inexistants, usurpation d’identité, hébergements non conformes). Selon The Register, la Commission vise notamment des personnes qui se font passer pour le propriétaire d’un bien qu’elles ne possèdent pas.
Le deuxième sujet concerne le phishing. La Commission regarde comment les données de réservation et d’invité sont partagées avec les hébergeurs, comment la messagerie de Booking.com est conçue, et si des garde-fous empêchent leur détournement. Elle soupçonne aussi une protection insuffisante des données des consommateurs et des professionnels. Dans le scénario décrit par ses porte-paroles, des escrocs prennent le contrôle du compte d’un propriétaire, récupèrent ses coordonnées et réclament des paiements supplémentaires aux voyageurs. Nous rapportions déjà le cas d'un voyageur qui, quelques minutes après sa réservation, recevait un message reprenant ses vraies informations, par WhatsApp, SMS, email ou via la messagerie de Booking.com. La plateforme affirmait alors que ses systèmes n’avaient pas été piratés.
Le troisième sujet concerne la publicité. Un hébergeur peut payer une commission plus élevée pour que son annonce remonte dans les résultats. Cette visibilité accentuée doit alors être identifiée comme une publicité. L’article 26, paragraphe 1, du DSA demande aussi que l’utilisateur sache qui est derrière l’annonce, qui l’a payée, pourquoi elle s’affiche et comment modifier les réglages qui la déterminent. Sans ces informations, difficile de savoir si un logement arrive en tête parce qu’il correspond à la recherche ou parce que l’hébergeur a payé.
Pour justifier la procédure, des responsables de la Commission rappellent que Booking.com a reconnu en juin 2024 une hausse de 500 à 900 % des arnaques au voyage sur 18 mois. Aux Pays-Bas, plus de 1 000 signalements ont été déposés début 2026, pour 82 000 euros de préjudice, soit dix fois plus qu’un an plus tôt. Booking.com prend déjà des mesures, mais la Commission juge l’évaluation des risques insuffisante. Elle attend un retrait rapide des annonces signalées, un contrôle des licences et une révision de l’accueil des propriétaires. La plateforme dit coopérer pleinement. Bruxelles va poursuivre l’enquête avec de nouvelles demandes d’informations, des entretiens ou des inspections. Elle peut aussi imposer des mesures provisoires, rendre une décision de non-conformité ou accepter des engagements de Booking.com.