En France, la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dite « loi informatique et libertés » fixe le cadre pour la protection des données à caractère personnel sur internet. La commission nationale de l'informatique et des libertés (CNIL) veille à ce que les dispositifs de traitement de données personnelles soient mis en oeuvre conformément aux dispositions de la loi. Les infractions à la loi sont réprimées par les articles 226-16 à 226-24 du code pénal. En fonction, entre autres, de la nature des données personnelles concernées, de la nature du dispositif de collecte et de la personne effectuant la collecte, d'autres dispositifs législatifs et réglementaires sont par ailleurs susceptibles de s'appliquer (code du travail, code de la santé publique etc.). Les dispositifs législatifs et réglementaires précités fixent les limites à l'exploitation des données personnelles des internautes (et a contrario décrivent les usages légitimes) et prévoient plusieurs garde-fous contre les usages abusifs (consentement, intérêt légitime, durée de conservation, etc.). La France, dans le cadre de la discussion sur le Règlement européen sur la protection des données personnelles, qui doit être adopté d'ici 2015, souhaite un renforcement de la protection actuelle et de son effectivité, notamment dans le cas de données traitées par des acteurs extra-européens.