總部位於荷蘭的 Booking.com 是否面臨 GDPR 重罰？

荷蘭線上旅遊巨頭 Booking.com 近年因違反歐盟《一般資料保護規範》（GDPR）面臨監管機構的嚴厲裁罰。荷蘭資料保護局（AP）曾針對該公司在 2019 年發生的資料外洩事件，因其未能在法定的 72 小時內通報，處以 47.5 萬歐元罰鍰。當時駭客透過社交工程取得全球約 4,000 名用戶的個資，包含信用卡安全碼等敏感資訊。儘管該金額與其營收相比不算巨大，但隨著歐盟將其列為數位市場法（DMA）的「守門人」，未來若發生類似隱私違規，罰金上限將可能飆升至全球年營業額的 10% 至 20%，合規壓力已達歷史新高。

跨國數位平台在歐盟境內的合規成本正急劇攀升，Booking.com 所遭遇的處罰反映出監管機構對於「通報時效」與「數據治理」的零容忍態度。從產業競爭角度看，這類裁罰不僅是財務上的損失，更直接衝擊品牌信任度，尤其在旅遊電商高度依賴用戶信用卡與行程隱私的環境下，資安防護已成為核心競爭力。未來 Booking.com 必須在追求演算法精準推薦與嚴格遵守隱私邊界之間取得平衡。隨著歐盟執法力道從單一事件轉向系統性審查，企業若無法建立自動化的合規監測系統，將面臨更高的營運風險與市場進入門檻。