Вопрос состоит из двух частей.
Первое - собственно какие права доступа даны браузеру операционной системой. Тут - сложно сказать. Я-бы исходил из пессиместичного ответа. Скорее всего - полные права пользователя. Вот все что делает пользователь в своём хоум-каталоге - все делает браузер. Видит все-файлы и создает сокетные соединения во внешний мир. В случае чего технически может слить весь ваш home вместе с паролями и ключами и кредитками если они "просто так лежат" в файлах. Почему еще не слил - это просто вопрос нашего доверия к самому производителю.
UPD: Дополнение. Отдельным вопросом можно уточнить что видит JavaScript машина. Тут я не специалист. Пускай веб разработчики скажут. По крайней мере нем обещали что JavaScript не имеет доступа к локальным файлам напрямую.
И второй -
какие сведенья бразуер регулярно шлет на сайты. Это проверить легко например через
https://www.hashemian.com/whoami/ и вообще через любые whoami-сервисы.
В режиме разработки в браузере - можно видеть ту-же самую инфу где-то во вкладке Network (send) кажется.