- Cosa conviene fare subito se hai una piattaforma o un marketplace?
- Cosa ha fatto esattamente la Commissione UE e perché ora?
- Il problema del phishing è davvero così grave per le piattaforme italiane?
- Cosa dice esattamente il DSA sulla trasparenza degli annunci?
- Tre scenari concreti: cosa cambia per un e-commerce, un portale B2B e uno studio professionale?
- Quali strumenti e misure esistono per mettersi in regola?
- Quali rischi concreti corre chi non si adegua?
- Perché il DSA è diventato urgente proprio adesso?
- Come si parte concretamente con un audit DSA per la propria piattaforma?
- Quali errori si fanno più spesso nell'adeguamento al DSA?
- Come si capisce se la propria piattaforma è davvero in regola?
- Allora, il DSA è un problema reale per la tua piattaforma?
- Come la vediamo in SHM
- Domande frequenti
- La Commissione UE ha avviato un’indagine su Booking.com per tre violazioni del DSA: listing fraudolenti, phishing e mancata etichettatura degli annunci a pagamento.
- Le sanzioni DSA arrivano fino al 6% del fatturato globale annuo: X (ex Twitter) ha già pagato 120 milioni di euro a fine 2025.
- Ogni piattaforma o marketplace italiano che opera nell’UE deve verificare subito tre aree: moderazione contenuti, protezione anti-phishing e trasparenza pubblicitaria.
- Il nodo più sottovalutato è tecnico: DSA e GDPR si sovrappongono sugli annunci, e i team marketing spesso non lo sanno.
La Commissione Europea ha aperto un’indagine formale su Booking.com: annunci a pagamento non etichettati come pubblicità, listing fraudolenti e phishing. Se gestisci una piattaforma o un marketplace, questo caso riguarda anche te.
Cosa conviene fare subito se hai una piattaforma o un marketplace?
Avviare un audit su tre fronti: moderazione dei contenuti, protezione anti-phishing e trasparenza degli annunci. Aspettare che arrivi un’indagine è già troppo tardi.
Il caso Booking.com non è una notizia sul turismo. È un segnale preciso per chiunque gestisca una piattaforma digitale con utenti nell’Unione Europea: il Digital Services Act (DSA, il regolamento europeo sui servizi digitali) viene applicato con procedimenti formali, non con avvertimenti informali.
La domanda giusta non è «siamo grandi come Booking?». La domanda è: «le nostre pratiche reggerebbero a un audit?».
| La tua situazione | Urgenza | Perché |
|---|---|---|
| Marketplace con annunci di terzi e listing a pagamento | Alta | Sei esposto su tutti e tre i fronti dell’indagine: frodi, phishing, trasparenza ads |
| Piattaforma con contenuti generati dagli utenti (UGC) | Alta | Il DSA impone risk assessment e sistemi di segnalazione attivi |
| E-commerce con ranking sponsorizzato non etichettato | Alta | L’art. 26 DSA richiede etichettatura chiara in tempo reale |
| Sito con form di prenotazione o dati di contatto clienti | Media | Rischio phishing indiretto: i tuoi dati possono essere usati per truffe |
| Piccola impresa sotto i 50 dipendenti e 10M€ fatturato | Bassa | Le PMI sono esentate dagli obblighi più pesanti del DSA |
Cosa ha fatto esattamente la Commissione UE e perché ora?
La Commissione ha aperto un procedimento formale su Booking.com per tre possibili violazioni del DSA: listing fraudolenti, phishing che sfrutta i dati di prenotazione e annunci a pagamento non identificabili come tali.
Il comunicato ufficiale della Commissione Europea descrive tre aree di indagine precise. Prima: annunci e strutture ricettive fraudolenti o non conformi pubblicati sulla piattaforma. Seconda: truffe di phishing (tentativi di furto dati tramite email o messaggi falsi) che sfruttano i dati di prenotazione degli utenti. Terza: listing promossi a pagamento per apparire più in alto nei risultati di ricerca, senza che l’utente sapesse che si trattava di pubblicità.
Il DSA è in vigore per tutte le piattaforme online nell’UE dal 17 febbraio 2024, con l’eccezione delle micro e piccole imprese. Per le piattaforme con oltre 45 milioni di utenti mensili nell’UE — le cosiddette VLOP, piattaforme online di dimensioni molto grandi — è operativo dall’agosto 2023, come chiarito dalla Commissione Europea.
| Area di indagine | Articolo DSA violato | Cosa si contesta a Booking.com |
|---|---|---|
| Listing fraudolenti | Art. 16 e 28 | Mancata valutazione diligente e mitigazione del rischio di annunci falsi |
| Phishing su dati di prenotazione | Art. 13 e 35 | Mancata protezione degli utenti da truffe che sfruttano i loro dati |
| Annunci non etichettati | Art. 26 | Listing promossi a pagamento non identificabili come pubblicità |
Non è la prima volta che il DSA produce conseguenze concrete. A dicembre 2025, X (ex Twitter) ha ricevuto una multa da 120 milioni di euro per dark pattern (pratiche di design che ingannano l’utente), carenze nell’archivio pubblicitario e ostacoli all’accesso dei ricercatori, come riportato da Gli Stati Generali. Il caso Booking.com è il secondo grande procedimento formale.
Il problema del phishing è davvero così grave per le piattaforme italiane?
Sì. I dati del 2025 mostrano che oltre 9 milioni di italiani hanno subito una truffa durante la pianificazione delle vacanze, e i portali di prenotazione sono il canale preferito dai truffatori nel 53% dei casi.
Il phishing legato alle piattaforme di viaggio non è un rischio teorico. Nell’estate 2025, oltre 9 milioni di italiani hanno subito una truffa o un tentativo di frode durante la pianificazione delle vacanze, con perdite stimate in circa 560 milioni di euro, secondo quanto riportato da Torino Cronaca.
A maggio 2025, Check Point Research ha rilevato un aumento del 55% nei nuovi domini legati al settore travel rispetto all’anno precedente: su oltre 39.000 nuovi domini registrati, 1 su 21 risultava malevolo o sospetto, come documentato da Hacker Journal. Molti di questi domini clonano le interfacce di Booking.com e Airbnb per ingannare gli utenti.
Il problema si estende anche a livello infrastrutturale. A partire da febbraio 2025, un attore russo ha registrato oltre 4.300 domini per impersonare piattaforme di prenotazione, con un picco di 511 domini in un solo giorno, secondo Matrice Digitale / Netcraft.
Il DMARC è un protocollo tecnico che impedisce alle email fraudolente di sembrare provenire dal tuo dominio. Secondo BitMat / Proofpoint, a luglio 2026 il 30% dei principali siti travel italiani non ha alcuna misura DMARC attiva, e solo il 45% usa il livello più alto di protezione. Questo significa che più della metà dei viaggiatori italiani è esposta a frodi via email che sembrano provenire da piattaforme legittime.
Cosa dice esattamente il DSA sulla trasparenza degli annunci?
L’articolo 26 del DSA impone alle piattaforme di etichettare chiaramente ogni annuncio e di informare l’utente in tempo reale su chi ha pagato l’inserzione e perché gli viene mostrata.
Il punto sugli annunci è quello che colpisce più direttamente chi fa marketing digitale. L’articolo 26 del DSA stabilisce che ogni contenuto promozionale deve essere identificabile come tale in modo immediato, con indicazione del soggetto che ha pagato e del motivo per cui quell’annuncio viene mostrato a quell’utente specifico. Lo spiega chiaramente il DSA Observatory della Commissione Europea.
Nel caso Booking.com, il problema è che i listing promossi a pagamento per apparire più in alto nei risultati non erano riconoscibili come pubblicità. Un utente che cercava un hotel non sapeva se il primo risultato era il più rilevante o quello che aveva pagato di più.
| Obbligo DSA art. 26 | Cosa significa in pratica | Chi deve adeguarsi |
|---|---|---|
| Etichettatura chiara degli annunci | Ogni contenuto sponsorizzato deve essere visivamente distinguibile dai risultati organici | Tutte le piattaforme con annunci di terzi |
| Identità dell’inserzionista | L’utente deve sapere chi ha pagato l’inserzione | Marketplace, comparatori, motori di ricerca interni |
| Motivo della visualizzazione | La piattaforma deve spiegare perché quell’annuncio viene mostrato a quell’utente | Piattaforme con targeting comportamentale |
| Archivio pubblicitario | Le VLOP devono mantenere un archivio pubblico degli annunci | Solo piattaforme con oltre 45M utenti mensili UE |
C’è un ulteriore livello di complessità che i team marketing spesso non considerano. L’EDPB (il Comitato europeo per la protezione dei dati) ha adottato a settembre 2025 le Linee Guida 3/2025, che chiariscono come DSA e GDPR si sovrappongano: il DSA richiede informazioni in tempo reale sugli annunci, ma il GDPR impone disclosure preventiva prima della raccolta dati. Questo crea un nodo tecnico che richiede coordinamento tra team legale, marketing e sviluppo, come spiegato da PPC Land. Il tema è simile a quello già affrontato per le impostazioni predefinite nelle campagne ads con AI, dove la compliance viene spesso ignorata finché non arriva una sanzione.
Tre scenari concreti: cosa cambia per un e-commerce, un portale B2B e uno studio professionale?
L’impatto del DSA varia molto in base al tipo di piattaforma. Ecco tre casi illustrativi per capire dove agire per primi.
Esempi illustrativi: i numeri e le situazioni servono a mostrare il ragionamento, non sono dati di clienti reali.
| Tipo di azienda | Rischio principale | Azione prioritaria | Tempistica consigliata |
|---|---|---|---|
| E-commerce con prodotti di terzi (marketplace) | Listing fraudolenti e annunci sponsorizzati non etichettati | Audit dei listing, sistema di segnalazione, etichettatura ads | Entro 30 giorni |
| Portale B2B con ranking a pagamento | Annunci non identificabili come tali (art. 26 DSA) | Revisione UI per etichettatura chiara, aggiornamento privacy policy | Entro 60 giorni |
| Studio professionale con form di contatto e newsletter | Phishing indiretto: i dati dei clienti possono essere usati da terzi | Attivazione DMARC ‘reject’, verifica SPF e DKIM | Entro 15 giorni |
| Rete di negozi con prenotazioni online | Dati di prenotazione esposti a phishing | Autenticazione a due fattori, monitoraggio domini simili | Entro 30 giorni |
Il caso più sottovalutato è quello dello studio professionale o della piccola azienda con form di contatto. Non sei direttamente soggetto agli obblighi DSA più pesanti, ma i tuoi dati di contatto possono essere usati da truffatori per costruire campagne di phishing credibili. Proteggere il dominio email con DMARC è una misura tecnica semplice che riduce drasticamente questo rischio.
Quali strumenti e misure esistono per mettersi in regola?
Le misure si dividono in tre categorie: protezione tecnica anti-phishing, governance dei contenuti e trasparenza pubblicitaria. Ognuna richiede strumenti diversi.
| Area | Strumento / Misura | Chi la implementa | Costo indicativo |
|---|---|---|---|
| Anti-phishing email | DMARC ‘reject’ + SPF + DKIM | Team tecnico / hosting provider | Basso (configurazione DNS) |
| Monitoraggio domini clonati | Servizi di brand protection (es. Netcraft, Bolster) | Team sicurezza o agenzia | Medio-alto (abbonamento) |
| Etichettatura annunci | Revisione UI con label ‘Sponsorizzato’ visibile | Team design + sviluppo | Basso-medio (una tantum) |
| Archivio pubblicitario | Database annunci con API pubblica | Team sviluppo | Medio (solo VLOP) |
| Sistema di segnalazione contenuti | Form di report + processo di revisione interno | Team legale + operativo | Basso (processo interno) |
| Risk assessment periodico | Audit DSA con checklist ufficiale Commissione UE | Team legale o consulente esterno | Medio (consulenza) |
La norma californiana sugli annunci streaming, analizzata in un articolo dedicato, mostra come le regole sulla trasparenza pubblicitaria stiano convergendo a livello globale. Non si tratta di un’eccentricità europea: è una direzione che il mercato sta prendendo ovunque.
Quali rischi concreti corre chi non si adegua?
Le sanzioni arrivano fino al 6% del fatturato globale annuo. Ma il rischio reputazionale e la perdita di fiducia degli utenti possono essere ancora più costosi.
La multa da 120 milioni di euro a X (ex Twitter) ha dimostrato che la Commissione UE non si ferma alle grandi piattaforme americane. Il procedimento su Booking.com — un’azienda con sede nei Paesi Bassi — conferma che anche le piattaforme europee sono nel mirino.
Il rischio non è solo economico. Una piattaforma associata a frodi o phishing perde la fiducia degli utenti in modo rapido e difficilmente reversibile. Per un marketplace o un portale di prenotazione, la reputazione è il prodotto stesso.
Vale la pena ricordare che sanzioni simili per mancata compliance sono già arrivate anche in ambito GDPR: il caso della multa RTB da 8,6 milioni e quello della multa Uber da 825 milioni mostrano che i regolatori europei applicano le norme con crescente sistematicità.
Perché il DSA è diventato urgente proprio adesso?
Il DSA è pienamente applicabile a tutte le piattaforme dal febbraio 2024, ma i primi procedimenti formali stanno arrivando solo ora: significa che la fase di tolleranza è finita.
Per quasi due anni, la Commissione ha lavorato principalmente con le piattaforme più grandi, raccogliendo dati e avviando dialoghi informali. Il procedimento su X a fine 2025 e quello su Booking.com a ottobre 2026 segnano un cambio di passo: si passa all’applicazione sistematica.
Il contesto è aggravato dall’esplosione delle frodi digitali. I dati di Check Point Research mostrano un aumento del 55% nei domini travel malevoli nel solo 2025. I truffatori si adattano velocemente; le piattaforme che non si adeguano diventano strumenti involontari di frode.
Come si parte concretamente con un audit DSA per la propria piattaforma?
Si parte da una mappatura delle tre aree di rischio identificate nel caso Booking.com, poi si assegnano priorità in base all’esposizione effettiva della piattaforma.
- 1 · Team legale o consulenteVerifica se sei soggetto al DSAControlla dimensioni aziendali e numero di utenti mensili nell’UE. Le micro e piccole imprese sono esentate dagli obblighi più pesanti.
- 2 · Team tecnicoAudit anti-phishing del dominioVerifica la configurazione DMARC, SPF e DKIM. Se non hai il livello ‘reject’, attivalo entro 15 giorni.
- 3 · Team design + sviluppoRevisione etichettatura annunciOgni contenuto sponsorizzato deve essere visivamente distinguibile. Verifica che la label ‘Sponsorizzato’ sia presente e leggibile su tutti i dispositivi.
- 4 · Team operativoSistema di segnalazione contenutiIl DSA richiede un meccanismo che permetta agli utenti di segnalare contenuti illegali o fraudolenti. Se non esiste, va creato.
- 5 · Team legaleRisk assessment documentatoPrepara un documento che descriva i rischi identificati e le misure adottate. In caso di indagine, è la prima cosa che viene richiesta.
- 6 · Tutti i teamAggiornamento periodicoIl DSA non è un adeguamento una tantum. Pianifica revisioni trimestrali e monitora le linee guida aggiornate della Commissione.
Quali errori si fanno più spesso nell’adeguamento al DSA?
L’errore più comune è trattare il DSA come un problema solo legale, delegandolo all’ufficio legale senza coinvolgere i team tecnici e di marketing.
Il caso Booking.com lo dimostra chiaramente: le violazioni contestate non sono errori nei contratti o nelle privacy policy. Sono problemi di design (annunci non etichettati), di architettura tecnica (phishing non bloccato) e di processo operativo (listing fraudolenti non rimossi). Sono problemi che si risolvono solo con il coinvolgimento di più team.
| Errore comune | Perché è sbagliato | Cosa fare invece |
|---|---|---|
| Delegare tutto all’ufficio legale | Le violazioni DSA sono spesso tecniche o di design, non contrattuali | Coinvolgere sviluppatori, designer e marketing |
| Pensare che le PMI siano completamente escluse | Le PMI sono esentate dagli obblighi più pesanti, ma non da tutti | Verificare caso per caso con un consulente |
| Aggiornare la privacy policy e considerarsi a posto | Il DSA richiede azioni operative, non solo documenti | Implementare sistemi di segnalazione e etichettatura reale |
| Ignorare il nodo DSA-GDPR sugli annunci | I due regolamenti si sovrappongono e richiedono soluzioni coordinate | Allineare team legale, marketing e sviluppo |
| Non monitorare i domini clonati | I truffatori usano domini simili al tuo per fare phishing ai tuoi clienti | Attivare un servizio di brand protection o monitoraggio DNS |
Come si capisce se la propria piattaforma è davvero in regola?
Esistono indicatori misurabili per ciascuna delle tre aree di rischio. Monitorarli regolarmente è più utile di un audit annuale.
| Area | Indicatore | Soglia di attenzione | Frequenza di controllo |
|---|---|---|---|
| Anti-phishing | Livello DMARC attivo | Qualsiasi livello sotto ‘reject’ | Mensile |
| Anti-phishing | Segnalazioni di email fraudolente dai clienti | Più di 1 segnalazione al mese | Settimanale |
| Listing fraudolenti | % di listing rimossi dopo segnalazione entro 24h | Sotto il 90% | Mensile |
| Trasparenza ads | % di annunci con label ‘Sponsorizzato’ visibile | Qualsiasi valore sotto il 100% | Ad ogni deploy |
| Governance | Esistenza di un risk assessment documentato e aggiornato | Documento più vecchio di 6 mesi | Trimestrale |
Allora, il DSA è un problema reale per la tua piattaforma?
Vale la pena segestisci un marketplace, un portale con listing di terzi o una piattaforma con annunci a pagamento e hai utenti nell’UE: il DSA si applica a te e le tre aree dell’indagine Booking.com sono probabilmente rilevanti. Parti dall’audit tecnico entro 30 giorni.
Una via di mezzohai un e-commerce con prodotti propri e qualche forma di ranking sponsorizzato: l’obbligo di etichettatura degli annunci si applica comunque. Verifica la UI e la configurazione email anti-phishing come priorità minima.
Non ancora sesei una micro o piccola impresa (sotto 50 dipendenti e 10 milioni di fatturato) senza listing di terzi: gli obblighi più pesanti del DSA non si applicano. Ma proteggere il dominio email con DMARC conviene comunque, indipendentemente dalla norma.
Come la vediamo in SHM
Per noi, il caso Booking.com conferma qualcosa che vediamo spesso nei progetti di architettura web e integrazione digitale: la compliance normativa viene trattata come un problema legale, quando invece è quasi sempre un problema di design e di processo. Gli annunci non etichettati non sono una svista contrattuale: sono un problema di interfaccia. Il phishing non bloccato non è una lacuna nella privacy policy: è un problema di configurazione tecnica.
Crediamo che semplificare il digitale — renderlo trasparente, sicuro e comprensibile per gli utenti — sia la forma più alta di competenza. E in questo caso, coincide anche con la forma più intelligente di gestione del rischio.
Se gestisci una piattaforma o un marketplace e vuoi capire dove sei esposto, possiamo aiutarti con un audit strutturato. I nostri servizi di integrazione strategica AI e di sicurezza web coprono esattamente le aree tecniche che il DSA mette sotto esame. Per chi ha bisogno di formarsi internamente sul tema, il nostro percorso di formazione sull’automazione dei processi aziendali include anche i flussi di governance dei contenuti. Puoi trovare altri approfondimenti su normativa digitale e tecnologia nella sezione Project management e tecnologia.
Domande frequenti
Le micro e piccole imprese (sotto 50 dipendenti e 10 milioni di euro di fatturato) sono esentate dagli obblighi più pesanti del DSA. Tuttavia, se il tuo sito ospita listing o annunci di terzi, alcuni obblighi di base si applicano comunque. Vale la pena verificare con un consulente legale la tua situazione specifica.
Le sanzioni arrivano fino al 6% del fatturato globale annuo. Per le piattaforme più grandi, in caso di violazioni sistematiche, la Commissione può anche imporre misure temporanee o sospensioni. Il rischio reputazionale — essere associati a frodi o phishing — può essere ancora più costoso delle sanzioni economiche.
L’articolo 26 del DSA richiede che ogni contenuto sponsorizzato sia visivamente distinguibile dai risultati organici, con indicazione del soggetto che ha pagato e del motivo per cui quell’annuncio viene mostrato a quell’utente. Non basta una piccola scritta in grigio: deve essere chiara e leggibile su tutti i dispositivi.
DMARC è un protocollo tecnico che impedisce alle email fraudolente di sembrare provenire dal tuo dominio. Non è un obbligo esplicito del DSA, ma è la misura tecnica più efficace per ridurre il rischio di phishing che sfrutta il tuo brand. Il livello ‘reject’ è quello che offre la protezione massima.
Sono due regolamenti distinti ma si sovrappongono, soprattutto in materia di pubblicità. Il GDPR regola la raccolta e il trattamento dei dati personali; il DSA regola le responsabilità delle piattaforme online sui contenuti e sulla trasparenza. Sugli annunci, i due regolamenti creano obblighi che devono essere soddisfatti contemporaneamente, il che richiede coordinamento tra team legale, marketing e sviluppo.
Le VLOP (piattaforme online di dimensioni molto grandi) sono quelle con oltre 45 milioni di utenti mensili nell’Unione Europea. La lista ufficiale è pubblicata dalla Commissione Europea. Se non sei in quella lista, non sei una VLOP, ma gli obblighi di base del DSA si applicano comunque a tutte le piattaforme che operano nell’UE.
Il DSA non chiede alle piattaforme di essere perfette: chiede di dimostrare che ci stanno provando davvero, con sistemi documentati e processi verificabili.
Articoli correlati
Scopri altri articoli che approfondiscono temi simili, selezionati per offrirti una visione più completa e stimolante. Ogni contenuto è scelto con cura per arricchire la tua esperienza.
