Commissie onderzoekt hoe Booking.com fraude bestrijdt

De Europese Commissie opent op 21 oktober een formeel DSA-onderzoek naar hoe Booking.com nepaccommodaties, phishing via reserveringsdata en betaalde hotelposities aanpakt; een overtreding is nog niet vastgesteld.

De betrouwbaarheid van Booking.com als verkoopkanaal voor Nederlandse hotels hangt af van welke accommodaties en aanbiedingen zichtbaar zijn, hoe gastgegevens met hotels worden gedeeld en waarom een vermelding hoger staat. De Commissie kondigt geen directe wijziging voor hotels aan.

De Commissie bekijkt drie onderdelen van de keten

De eerste lijn gaat over frauduleuze of niet-conforme accommodaties. De Commissie onderzoekt hoe Booking.com risico’s rond mogelijk illegale accommodatievermeldingen heeft beoordeeld en of de maatregelen werken, bijvoorbeeld bij het verwijderen van frauduleuze en niet-conforme aanbiedingen. Daarbij noemt zij accommodaties die niet bestaan, identiteitsfraude en aanbiedingen die niet aan de regels voldoen.

De tweede lijn volgt de gegevensstroom. De Commissie kijkt naar de manier waarop reserverings- en gastgegevens met accommodaties worden gedeeld, plus het ontwerp en de werking van de berichtenfunctie. Ook onderzoekt zij of Booking.com voldoende waarborgen heeft tegen hergebruik van die gegevens voor phishing en frauduleuze betaalverzoeken. De aankondiging stelt geen hack van een Nederlands hotel of van de berichtenfunctie vast.

De derde lijn gaat over betaalde zichtbaarheid. Accommodaties kunnen hun plek in de zoekresultaten verhogen door een hogere commissie te betalen. De Commissie wil nagaan of gasten zulke betaalde hogere posities duidelijk als advertenties kunnen herkennen, wie ervoor betaalde, waarom zij de advertentie te zien krijgen en hoe zij advertentie-instellingen kunnen wijzigen. Dat kan raken aan de verdeling van boekingsverkeer tussen hotels; of bestaande vermeldingen de regels schenden, staat nog open.

Het dossier loopt sinds 2023

De Commissie wees Booking.com B.V. op 25 april 2023 aan als zeer groot onlineplatform. Die categorie geldt voor diensten met meer dan 45 miljoen maandelijkse ontvangers in de EU. Booking.com B.V. staat in het Europese overzicht als in Nederland gevestigd. De Commissie zegt bij het toezicht samen te werken met de Autoriteit Consument & Markt.

In september 2025 vroeg de Commissie Booking.com, Apple App Store, Google Play, Bing en Google Search hoe zij financiële fraude opsporen en beheersen. Voor Booking.com ging het onder meer om valse accommodaties, controle van bedrijfsidentiteit en advertentieregisters. Dat was een informatieverzoek, nog geen formele procedure. De huidige stap volgde op een voorlopige beoordeling van Booking.com-risicorapporten uit 2026 en de drie voorafgaande jaren, transparantierapporten en antwoorden op verzoeken van 23 september 2025 en 26 mei 2026.

Booking.com zegt op zijn DSA-pagina jaarlijkse risico- en mitigatierapporten, onafhankelijke audits en een advertentieregister te publiceren. Het bedrijf schat het gemiddelde aantal maandelijkse ontvangers in de EU voor de eerste helft van 2026 op ruim 45 miljoen, maar waarschuwt dat dit een schatting is die van aannames en meetkeuzes afhangt. Een gepubliceerd risicorapport of advertentieregister laat op zichzelf niet zien hoe effectief de controles werken of wat een gast in de zoekresultaten ziet.

Een eerdere datamelding is relevante context

In april 2026 waarschuwde Booking.com klanten na verdachte activiteit die een aantal reserveringen trof. De BBC zag de melding aan klanten: onbevoegden konden mogelijk namen, e-mailadressen, telefoonnummers en gegevens over eerdere en lopende boekingen inzien. Financiële gegevens waren volgens Booking.com niet uit de systemen gehaald. Het bedrijf wijzigde reserverings-PIN’s, maar maakte niet bekend hoeveel klanten of regio’s waren geraakt.

De Commissie zegt niet dat de huidige procedure specifiek over die aprilmelding gaat. De DSA-zaak onderzoekt bredere risico’s rond gedeelde reserveringsgegevens en de berichtenfunctie. Een vergelijkbaar patroon kwam naar voren bij TUI, waar melders phishingberichten met hun hotel en reisdata kregen terwijl het bedrijf de herkomst van die gegevens nog niet kon vaststellen. De gelijkenis is context, geen bewijs van een gezamenlijke oorzaak. In de eerdere berichtgeving over het TUI-datalek staat de onduidelijkheid tussen het datalek en de phishing verder uitgewerkt.

Hotels krijgen ook via zoekmachines verkeer

Hotelzichtbaarheid hangt ook af van andere platformen. Onder de aparte Digital Markets Act wijzigde Google de Europese zoekresultaten voor hotels en andere aanbieders. Google zei dat zijn eerdere aanpassingen het aantal gratis directe boekingsklikken voor hotels en luchtvaartmaatschappijen met maximaal 30 procent hadden verlaagd. Dat is een bedrijfsclaim van Google, geen onafhankelijke effectmeting. Een eerder voorbeeld is Googles aanpassing van de Europese hotelresultaten onder de DMA; ook die veranderde hoe aanbieders directe boekingsklikken kregen.

De DSA kent vergelijkbare toezichtstappen bij andere platforms. In juli 2026 stelde de Commissie voorlopig vast dat Meta de risico’s van autoplay, pushmeldingen en oneindig scrollen op Instagram en Facebook onvoldoende had beperkt. Dat was geen eindbesluit. Ook Meta’s voorlopige DSA-bevinding over autoplay en oneindig scrollen draaide om platformontwerp en risicobeheersing. Bij Booking.com kan de Commissie nu aanvullend bewijs opvragen, interviews houden of inspecties uitvoeren. Ook kan zij tussentijdse maatregelen nemen, een niet-nalevingsbesluit vaststellen of toezeggingen van het bedrijf aanvaarden. Bij bewezen overtredingen kan de Commissie onder de DSA een boete opleggen tot 6 procent van de wereldwijde jaaromzet; dat maximum is geen voorspelling van de uitkomst.

De aankondiging geeft hotels geen nieuwe instructie en noemt geen directe wijziging van hun boekingsstroom. De uitkomst hangt af van wat het onderzoek aantoont over aanbiedingscontrole, gegevensgebruik en advertentielabels. Die beoordeling moet duidelijk maken of de huidige maatregelen voldoende zicht geven op betrouwbare accommodaties, veilig gegevensgebruik en betaalde zichtbaarheid.