欧州委員会、詐欺リスクと広告の透明性を巡りブッキング・ドットコムに対しデジタルサービス法に基づく調査を開始

欧州委員会は、宿泊予約のデジタル仲介業者であるブッキング・ドットコムがデジタルサービス法（DSA）に基づく法定の義務に違反したかどうかを調査するため、同社に対する正式な規制手続きを開始した。¹³ 欧州連合（EU）は2023年4月25日、同法枠組みに基づき同社を「超大規模オンラインプラットフォーム（VLOP）」に正式指定し、最も厳格な監督義務の対象とした。³ 欧州当局によってこれら規則の不遵守が立証された場合、同社は世界年間総売上高の最大6%に達する法定罰金を科される可能性がある。² 欧州委員会が、同社がシステミックな詐欺防止および検索広告の透明性に関する要件に違反したと結論付けた場合、国際的な売上高に連動した巨額の金銭的責任を負う可能性があることが証拠により裏付けられている。² 今回の執行措置は、同プラットフォームがシステミックリスクのガバナンスに関する第34条および第35条、ならびに広告の透明性に関する第26条第1項に違反したかどうかに焦点を当てている。³

欧州当局は、ブッキング・ドットコムが宿泊事業者に予約データや宿泊客の個人情報を伝達する内部アーキテクチャに調査の焦点を直接当てている。¹ 規制当局はまた、旅行者と掲載施設運営者を結ぶ同社独自の通信チャネルの機能的運用についても詳しく分析している。¹ この調査では具体的に、ユーザーの認証情報や非公開の予約情報が詐欺的なフィッシング攻撃や不正な支払い請求のために漏洩することを防ぐ十分な保護措置を同社が講じているかどうかが検証される。³ 通信セキュリティにとどまらず、欧州の調査官は、宿泊事業者がより高い手数料率の支払いを確約することでユーザーの検索結果内での視認性を高められるマーケットプレイスの仕組みについても評価している。³ この慣行は、有償の商業的取り決めが掲載順位に影響を与えている時期を消費者が明確に理解できるように設計された透明性要件の下で、コンプライアンス上の疑念を生じさせている。³

正式な手続きの開始により、欧州単一市場全体における行政上の権限配分が再編される。³ 本件の手続きを開始することで、欧州委員会は対象となる行為について、各国のデジタルサービス調整官およびその他の個別の加盟国当局から第26条第1項に関する法執行および監督の権限を直接解除する。³ それでも欧州連合（EU）当局は、法定の枠組みの下で同プラットフォームの監視を調整するため、オランダ消費者・市場庁との積極的な協力関係を維持している。³ 現在進めている事案を立証するため、欧州委員会は正式な情報提供要請、広範な関係者への聞き取り調査、直接の現地立ち入り検査を活用した徹底的な証拠収集手続きを実施する方針である。³

この執行決定に先立ち、同社の業務記録に対する長期にわたる予備調査が行われていた。³ 規制当局は、2026年向けに提出された法定リスク評価書に加え、それ以前の3年間のサイクルを網羅した文書を体系的に分析した。³ 欧州委員会はまた、定期的な透明性報告書とともに、2025年9月23日および2026年5月26日に送付された規制上の要求に対する同社からの詳細な回答を精査した。³ この公の措置に対し、ブッキング・ドットコムはロイターに対し、プライバシー、信頼、プラットフォームのセキュリティを企業の基本的な優先事項と位置づけつつ、欧州規制当局と引き続き協力していくと述べた。¹

ブッキング・ドットコムは、アムステルダムにある本社から広範なグローバルネットワークを管理している。² 同プラットフォームは全世界で28 millionカ所の宿泊施設を網羅する宿泊在庫を公表しており、規制上の精査の対象となる広大な事業領域を抱えている。² 外部の調査により、新規掲載物件に対する同プラットフォームの審査プロトコルに重大な欠陥があることが明らかになっている。² 「Which?」の独立系消費者調査員は、ダウニング街10番地の偽物件を登録し、その架空の掲載から金銭の支払いを受け取ることで、掲載審査の脆弱性を暴くことに成功した。²

プラットフォーム上の脆弱性は、顧客の安全性に対する期待を悪用する巧妙な犯罪手法を可能にしている。² 詐欺グループは漏洩した管理者アカウントのデータを悪用し、「予約乗っ取り」と呼ばれる手口でWhatsAppやブッキング・ドットコム固有のメッセージングインフラを介して直接金銭の不正請求を行っている。² 欧州連合（EU）の担当官は、ブッキング・ドットコムが現在詐欺軽減プロトコルを維持しているものの、同社の現在の対策は現在進行中の不正行為に対抗するには不十分であると指摘した。² 同担当官は、旅行者をシステミックな被害から守るために、同社には大幅に強固な予防システムが必要であると強調した。²

予約詐欺による現実世界の被害は、独立した消費者擁護団体の記録によって文書化されている。² オランダの消費者団体「Consumentenbond」は、2025年にブッキング・ドットコムに関連する正式な詐欺苦情を200件記録し、その金銭的被害総額は€65,000に達した。² これらの数値は、同団体が89件の苦情と報告された消費者被害額€25,000を記録した2024年と比較して著しい急増を示している。² 業界全体のより広範な測定結果は、セクター全体で過少報告が続いていることを示しており、PYMNTSインテリジェンスが収集したデータによると、詐欺被害者の11%が被害を報告しないことを選択し、記録されない被害が前年比で26%増加した。¹

オンライン旅行ポータルにおけるデジタル詐欺の蔓延は、テクノロジーの進歩とともに加速している。² 2024年、ブッキング・ドットコムはBBCに対し、過去18か月間に自社ネットワーク上での詐欺発生件数が500%から900%跳ね上がったことを認めた。² 同社は、この急激な増加の原因として、悪質な業者が生成人工知能ソフトウェアを採用し、説得力のある詐欺リンクやフィッシングメールを作成していることを挙げた。² 欧州連合（EU）当局は、このような急速な拡大には、その場しのぎの技術的介入ではなく、強固で体系的な制度的障壁が必要であると主張している。²³

ブッキング・ドットコムに対する法執行手続きは、欧州のより広範な一連の行政的・経済的プログラムと並行して展開されている。³ 別の財政措置において、欧州委員会は復興・強靱化ファシリティからのドイツによる€6 billion相当の最終支出要請を承認した。³ 同時に欧州委員会は、独立系ジャーナリズム、メディアの多元性、制度的強靱性、デジタルリテラシーを促進するために€20.5 millionを割り当てるクリエイティブ・ヨーロッパの下で3件の公募を開始した。³ これらの並行した取り組みは、公共インフラへの資金提供を行いながら、世界的なテクノロジー仲介業者に対して厳格な規制管理を行使するという欧州委員会の二重の戦略を際立たせている。³

ブッキング・ドットコムに対する正式な調査は、デジタル市場のリーダー企業に説明責任を強制するための欧州連合（EU）の法定制度を試すことになる。³ 規制当局は、同社がシステミックな詐欺や情報の不正使用を評価・軽減するための第34条および第35条に基づく法的義務を果たしたかどうかを精査する。³ 欧州委員会は同時に、より高い手数料の支払いのために検索結果で物件を優遇することが、第26条第1項で定められた広告開示規則を満たしているかどうかを検証する。³ 最大で世界売上高の6%に達する罰金を伴う欧州委員会の正式な調査および検査の結果は、プラットフォーム事業者が消費者データや有償の検索順位をどのように扱うかについて、極めて重要な境界線を定めることになる。²³