Booking.com čelí vyšetřování EU kvůli údajným podvodům na uživatele. Pokuta může dosáhnout 6 % celosvětových tržeb

Evropská komise zahájila formální řízení proti Booking.com kvůli podezření, že platforma nedostatečně brzdí falešné nabídky ubytování a phishing.

Zdroj fotografie: Unsplash

Vyšetřování se zaměřuje na tři konkrétní oblasti: fiktivní ubytování a zneužívání identity skutečných poskytovatelů, využívání rezervačních a zákaznických údajů k phishingovým útokům a nedostatečné označování placeně zvýhodněných nabídek jako reklamy. Evropská komise postupuje podle článků 34 a 35 nařízení o digitálních službách (DSA), které velmi velkým online platformám ukládají povinnost vyhodnocovat systémová rizika a přijímat opatření k jejich zmírnění, a podle článku 26, jenž upravuje transparentnost reklamy. Pokud by Komise porušení pravidel prokázala, mohla by požadovat nápravná opatření a za určitých podmínek uložit pokutu až do výše 6 % celosvětového ročního obratu společnosti. Orientační výpočet vycházející z výsledků mateřské společnosti Booking Holdings, která za rok 2025 vykázala tržby 26,9 miliardy dolarů, by znamenal teoretickou maximální sankci v přepočtu zhruba 38,6 miliardy korun. Tento výpočet je však pouze ilustrativní: skutečný základ pro výpočet pokuty závisí na právním posouzení a relevantním obratu podle pravidel DSA. Booking.com B.V. navíc samostatný údaj o vlastním obratu veřejně nepublikuje.

Proč právě teď a proč právě Booking

Podle briefingu Evropské komise z 21. října 2026 připadá na Booking.com 66 % všech online hotelových rezervací v Evropě. Platforma na své stránce věnované DSA uvádí, že v první polovině roku 2026 měla v Evropské unii výrazně více než 45 milionů průměrných měsíčních uživatelů. Díky tomu spadá do kategorie velmi velkých online platforem, na které se vztahují přísnější povinnosti podle nařízení o digitálních službách.

Komise v briefingu zmínila také údaj, podle něhož Booking.com sám mezi lety 2022 a 2024 zaznamenal pětinásobný nárůst podvodných aktivit na platformě. Tento údaj pomáhá vysvětlit, proč se problém dostal do popředí zájmu evropských institucí. Formálnímu řízení předcházelo šetření, během něhož si Komise vyžádala hodnocení rizik Booking.com za rok 2026 a tři předchozí roky, zprávy o transparentnosti a odpovědi společnosti na formální žádosti o informace z 23. září 2025 a 26. května 2026. Na dohledu spolupracuje také nizozemský koordinátor digitálních služeb ACM.

Zajímavý je kontrast s vlastním hodnocením společnosti. Auditní zpráva Booking.com z roku 2025 podle dostupných informací označila platformu za subjekt na „nižším konci spektra rizik podle DSA“ a nepřisuzovala jí významná systémová rizika. O rok později Komise zahájila formální řízení, protože má podezření, že platforma některá rizika dostatečně nezvládá. Samotné zahájení řízení ale ještě neznamená, že bylo porušení pravidel prokázáno.

Co přesně „podvody na uživatele“ znamenají

Nejde jen o starší debatu o upozorněních typu „zbývají dva pokoje“ nebo o nepřehledných slevách. Komise se zaměřuje na podvody, které zasahují přímo do rezervací a komunikace mezi ubytovateli a hosty.

Polský tým CERT Polska, který se podvodům souvisejícím s Booking.com věnuje, popsal dva typické scénáře:

• Převzetí účtu ubytovatele. Útočník získá přístup k účtu hotelu či jiného ubytovacího zařízení a prostřednictvím interního komunikačního systému pošle hostovi zprávu s žádostí o dodatečnou platbu mimo platformu. Host peníze odešle a následně zjistí, že ubytovatel o žádné platbě neví, případně že nabízené ubytování vůbec neexistuje.
• Phishingová infrastruktura. Podvodné weby napodobují Booking.com nebo jeho partnerskou aplikaci Pulse a snaží se přimět ubytovatele či hosty k zadání přihlašovacích údajů. V některých případech mohou podobné útoky vést také k instalaci škodlivého softwaru na zařízeních s Androidem.

Komise ve svých materiálech upozorňuje i na scénář, kdy cestující dorazí na uvedenou adresu a zjistí, že hotel neexistuje, nebo kdy mu po zneužití jeho údajů přijde zpráva s požadavkem na další platbu.

Třetí oblast vyšetřování, tedy placeně zvýhodněné nabídky bez dostatečně jasného označení reklamy, může působit méně dramaticky. Pro uživatele je ale také důležitá. Pokud nepozná, že se nabídka zobrazuje na základě placeného zvýhodnění, nemůže správně posoudit, proč se objevila na předních místech výsledků.

Jak se liší od starších kauz

V roce 2020 Evropská komise řešila Booking.com a Expedia Group kvůli transparentnosti nabídek v rámci spotřebitelského práva. Tehdy se pozornost soustředila na propagační slevy, vliv plateb na pořadí výsledků, uvádění celkových cen a praktiky vytvářející umělý pocit naléhavosti. Obě společnosti se zavázaly k nápravě.

Současné řízení má jiný charakter. DSA ukládá velmi velkým online platformám povinnost systémová rizika aktivně vyhodnocovat a přijímat opatření k jejich zmírnění. Nejde tedy pouze o zákaz klamání zákazníků, ale také o povinnost řešit rizika spojená s fungováním samotné platformy. Zjednodušeně řečeno: nestačí, aby platforma sama neuváděla uživatele v omyl. Musí se také zabývat tím, zda její systémy nevytvářejí prostor pro podvody páchané jinými lidmi.

V dostupných materiálech Evropské komise se nepodařilo dohledat srovnatelné formální řízení podle DSA proti Airbnb nebo Expedii. To však samo o sobě neznamená, že se tyto platformy s podobnými riziky nesetkávají nebo že je Komise nikdy neprověřovala.

Co to znamená pro české uživatele

V českém prostředí se nepodařilo dohledat aktuální samostatné varování České obchodní inspekce ani NÚKIB, které by se výslovně týkalo právě tohoto řízení. České úřady však dlouhodobě upozorňují na phishing a další formy internetových podvodů. Jejich doporučení platí i pro uživatele rezervačních portálů.

Největším rizikem není automaticky samotná platba přes Booking.com, ale podvodná komunikace, která může navazovat na existující rezervaci a působit důvěryhodně.

Varovné signály, které by vás měly přimět k opatrnosti:

• Naléhavá výzva k doplacení částky „do 24 hodin, jinak rezervace propadne“.
• Požadavek na zaslání údajů o platební kartě, hesla nebo PINu e-mailem, telefonicky, přes SMS či WhatsApp.
• Výzva ke kliknutí na přihlašovací odkaz, který vede mimo oficiální aplikaci nebo web.
• Pokus přesunout komunikaci či platbu mimo rezervační platformu.
• Nově založená nabídka ubytování s podezřele nízkou cenou.
• Podezřelá webová adresa, která pouze obsahuje slovo „booking“, ale ve skutečnosti nevede na oficiální doménu booking.com. Rozhodující je celá doména, nikoli jen část adresy před lomítkem nebo zavináčem.

Booking.com na své bezpečnostní stránce uvádí, že legitimní transakce nevyžaduje sdělení údajů o platební kartě po telefonu nebo prostřednictvím SMS. Pokud dostanete podezřelou výzvu k platbě, ověřte si ji přes oficiální aplikaci nebo zákaznickou podporu. Pokud máte podezření, že někdo získal přístup k vašemu účtu, změňte heslo a zabezpečte účet. Jestliže jste zadali údaje o kartě na podvodné stránce, neprodleně kontaktujte banku a požádejte o potřebná bezpečnostní opatření, například zablokování karty.

Jak daleko je vyšetřování a co bude dál

K 26. říjnu 2026 jde o čerstvě zahájené formální řízení, nikoli o uzavřený případ. Komise může shromažďovat další důkazy, vyžadovat informace, vést rozhovory a za splnění zákonných podmínek provádět inspekce. Podle výsledků šetření může přijmout závazky společnosti, uložit předběžná opatření nebo později rozhodnout, že Booking.com pravidla porušil. DSA nestanovuje pevnou lhůtu, ve které musí být podobné řízení dokončeno.

Mluvčí Booking.com podle dostupných informací uvedl, že společnost s Komisí „plně spolupracuje“, „konstruktivně se zapojuje“ a považuje bezpečnost, důvěru a ochranu osobních údajů za své nejvyšší priority. Konkrétní veřejný plán nápravných kroků však zatím firma nepředstavila.

Zahájení řízení neznamená, že by platforma musela přestat fungovat nebo že by její používání bylo automaticky nebezpečné. Omezení přístupu k platformě představuje podle DSA krajní možnost pro výjimečné situace, kdy přetrvává závažné porušování pravidel a hrozí vážná újma; vyžaduje také zapojení soudních orgánů.

Booking.com tedy bude fungovat dál. Podstatné bude, zda Komise dokáže svá podezření potvrdit a zda případná nápravná opatření skutečně povedou k lepší ochraně uživatelů.