Spett.le Altroconsumo,
Spett.le Dipartimento Legale di Booking.com,
Con la presente intendo segnalare un gravissimo episodio di violazione della sicurezza dei miei dati personali (Data Breach) e la successiva, inaccettabile condotta omissiva da parte della società Booking.com.
I FATTI:
Phishing mirato tramite WhatsApp: In data 13/06/2026 ho ricevuto un messaggio fraudolento (phishing) finalizzato alla sottrazione dei dati della mia carta di credito. Il messaggio conteneva informazioni estremamente precise e accurate relative a una mia prenotazione effettuata (e poi cancellata) tramite Booking.com (prenotazione n. 6117602205 presso la struttura Espacios Blanco Adeje Paradise, con date esatte del soggiorno dal 27 ottobre al 5 novembre 2026). Tali dati sensibili non erano pubblici ed erano in possesso unicamente di Booking.com e della struttura ricettiva, a dimostrazione di una falla di sicurezza a monte.
Formale messa in mora e istanza ex GDPR: In data 13/06/2026 e 15/06/2026 ho inviato formali richieste di riscontro e chiarimenti ex artt. 12 and 15 GDPR a Booking.com a mezzo PEC (consegnate sui loro canali mail ordinari di assistenza), richiedendo spiegazioni sull'origine dell'accesso illecito ai miei dati e formulando riserva di azione risarcitoria ex art. 82 GDPR per il danno immateriale subito (perdita di controllo dei dati personali, stress da potenziale frode finanziaria).
Pendenza presso il Garante Privacy (GPDP): Avendo tenuto in copia conoscenza l'Autorità Garante nelle mie comunicazioni PEC, l'Ufficio Protocollo del Garante per la Privacy italiano ha formalmente aperto due procedimenti d'ufficio, registrando le mie segnalazioni con i seguenti protocolli ufficiali:
Protocollo N. 0105887/26 del 09/07/2026 (relativo alla segnalazione del 13/06/2026)
Protocollo N. 0106075/26 del 09/07/2026 (relativo all'integrazione del 15/06/2026)
Inadempimento e silenzio di Booking.com: Ai sensi dell'art. 12 par. 3 del GDPR, Booking.com aveva l'obbligo di risponderle entro un mese dalla ricezione. Alla data odierna, tali termini di legge sono interamente e inutilmente decorso nel totale silenzio del Titolare.
COSA CHIEDO:
Tramite il supporto di Altroconsumo, intendo intimare a Booking.com di:
Fornire immediato, analitico e documentato riscontro in merito all'accesso illecito ai dati della mia prenotazione n. 6117602205, indicando se la compromissione sia avvenuta sui sistemi di Booking o della struttura partner, e quali misure di sicurezza siano state adottate.
Formulare una proposta di risarcimento del danno immateriale ex art. 82 GDPR per l'esposizione illecita dei miei dati personali a soggetti terzi malintenzionati e per la gestione omissiva della mia richiesta di accesso, riservandomi in difetto di adire le vie legali.
Segnalo che il 16 luglio provvederò a inviare al Garante per la Privacy formale sollecito di chiusura istruttoria con richiesta di sanzione amministrativa verso Booking.com per omesso riscontro.
Resto in attesa di un riscontro sollecito.
Alessandro Bastanzio
