Bloquer Yandex Metrica avant consentement

Pourquoi c'est un écart

Mesure d'audience avec enregistrement de session, éditée par le groupe russe Yandex.

La Fédération de Russie ne fait l'objet d'aucune décision d'adéquation et son droit organise un accès étendu des autorités aux données. La présence de cet outil sur un site français constitue un point d'attention majeur.

Le point de droit est simple : l'article 82 de la loi n° 78-17 subordonne le dépôt ou la lecture d'informations dans le terminal de votre visiteur à son consentement préalable, sauf si l'opération est strictement nécessaire au service qu'il a demandé. Un service chargé dès l'ouverture de la page, avant toute action, ne remplit pas cette condition.

Comment corriger

1. 01Conditionner strictement le chargement de l'outil au consentement : l'enregistrement de session ne bénéficie d'aucune exemption.
2. 02Activer le masquage des champs de formulaire dans la configuration de l'outil.
3. 03Exclure explicitement les pages traitant de données sensibles ou de paiement.
4. 04Conditionner le chargement de l'outil au consentement.
5. 05Ou basculer vers une solution de mesure configurable en mode exempté.
6. 06Documenter le transfert hors Espace économique européen : garanties applicables et analyse d'impact.

Le code

<!-- Le navigateur n'exécute pas un script de type "text/plain". -->
<script type="text/plain" data-categorie="marketing"
        src="https://mc.yandex.ru/…"></script>

<script>
  // Appelé uniquement après acceptation de la catégorie concernée.
  function activerCategorie(categorie) {
    document
      .querySelectorAll('script[type="text/plain"][data-categorie="' + categorie + '"]')
      .forEach(function (balise) {
        var actif = document.createElement('script');
        for (var i = 0; i < balise.attributes.length; i++) {
          var a = balise.attributes[i];
          if (a.name !== 'type' && a.name !== 'data-categorie') {
            actif.setAttribute(a.name, a.value);
          }
        }
        actif.text = balise.text;
        balise.parentNode.replaceChild(actif, balise);
      });
  }
</script>

Règles du référentiel concernées

• KZC-DEPOT-011Enregistrement de session actif avant consentement
• KZC-SPECIAL-003Enregistrement de session actif sur un formulaire de données sensibles
• KZC-DEPOT-002Cookie de mesure d'audience non exempté déposé avant consentement
• KZC-TRANSFER-001Requête avant consentement vers un destinataire hors EEE