La Commission nationale de l'informatique et des libertés (CNIL) présente le cadre juridique du Règlement sur les données, qui organise le partage et l'utilisation des données issues des objets connectés.

Ce règlement établit des règles pour l'accès et l'utilisation des données, personnelles ou non, générées par les objets connectés et les services associés. Il concerne divers acteurs tels que les fabricants, les détenteurs de données, les utilisateurs et les destinataires tiers. En cas de conflit avec le RGPD sur des données personnelles, ce dernier prévaut. La plupart de ses dispositions sont applicables depuis le 12 septembre 2025, avec des obligations supplémentaires entrant en vigueur en septembre 2026 pour la conception des produits, en janvier 2027 pour le changement de fournisseur de services d'informatique en nuage et en septembre 2027 pour l'interdiction des clauses abusives dans les contrats préexistants.

Les obligations principales incluent la nécessité pour les fabricants de rendre les données facilement accessibles aux utilisateurs dès la conception, gratuitement et dans un format réutilisable. Les utilisateurs peuvent également exiger le partage de leurs données avec des tiers, un droit qui étend la portabilité prévue par le RGPD. Une information transparente doit être fournie avant toute conclusion de contrat. Le règlement vise aussi à faciliter le changement de prestataire de services d'informatique en nuage. L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) est désignée comme autorité compétente pour le pilotage, tandis que la CNIL contrôlera son application pour les aspects liés à la protection des données personnelles, en collaboration avec l'ARCEP.