Un objet connecté produit des données sur les personnes qui l'entourent, souvent plus détaillées qu'il n'y paraît : une courbe de consommation électrique révèle les heures de lever, une enceinte le rythme de vie, un bracelet l'activité et le sommeil.
Le traitement de ces données relève du règlement européen : information claire, base légale, minimisation des données collectées, durée de conservation limitée, et droits d'accès, de rectification et d'effacement. Un consentement doit être libre, spécifique et éclairé, et il ne l'est pas lorsque le refus rend l'objet inutilisable pour son usage principal.
Les assistants vocaux enregistrent à partir d'un mot de réveil, mais des déclenchements accidentels existent et ont donné lieu à des transmissions non voulues. Les caméras domestiques, elles, ne peuvent filmer que l'intérieur du domicile et ses seuls accès privatifs : filmer la voie publique ou le terrain d'un voisin est interdit.
Vérifier où sont hébergées les données, si l'objet fonctionne sans cloud, ce qu'il advient du service en cas d'arrêt du fabricant, et si une exportation des données est prévue. Plusieurs objets vendus avec abonnement sont devenus inertes après la fermeture du service, sans recours pratique pour leurs acheteurs.