Conformia

ECOWAS zone

Conformia · Benin

Benin — what the product holds, and what it does not hold yet.

Conformia·Benin
Text
Loi n° 2017-20 du 20 avril 2018, code du numérique
Authority
APDP — active
Pack status
in preparation
Sign-up
open — you can create a workspace
Prior formalities
not open yet — no formality rule of this law is loaded; the register, requests and evidence work
Currency
XOF

What is open

The register of processing, data-subject requests, the evidence log, processors, consent and export all work. These functions organise the work; they assert nothing about national law, and so need no signature.

No amount, no deadline, no due date is shown: nobody has signed them. The country is usable; it is not quantified.

The text of the law may be quoted, article by article, with a link to its official publication. A quotation can be checked; it commits nobody but the official journal.

The text, article by article

Transcribed from Loi n° 2017-20 du 20 avril 2018, code du numérique, verbatim. Nothing is summarised: a summary would be one more assertion, and it would have no source. Each answer carries its article, its link and the date it was read.

identité et vigueur

Le texte, son numéro, sa date, et son état de vigueur
Article 647Article 647 : Dispositions abrogatoires La présente loi portant code du numérique en République du Bénin abroge toutes dispositions antérieures contraires notamment celles : - de la loi n° 2014-14 du 14 juillet 2014 relative aux communications électroniques et à la poste en République du Bénin, à l’exception des dispositions relatives au secteur postal ; - de la loi n° 2009-09 du 24 mai 2009 portant protection des données à caractère personnel en République du Bénin. La présente loi sera exécutée comme loi de l’État. Fait à Cotonou, le 20 avril 2018Source, read on 2026-09-02
L'objet du texte — ce qu'il oblige à faire
Article 379Article 379 : Objet et principes Les dispositions du présent Livre ont pour objectif de mettre en place un cadre légal de protection de la vie privée et professionnelle consécutif à la collecte, au traitement, à la transmission, au stockage et à l’usage des données à caractère personnel. Ce dispositif doit garantir que tout traitement, quelle qu’en soit la forme, respecte les libertés et droits fondamentaux des personnes physiques quelle que soient sa nationalité ou sa résidence tout en prenant en compte les prérogatives de l’État, les droits des collectivités locales et les buts pour lesquels les entreprises ont été créées. L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.Source, read on 2026-09-02

champ d'application

Le champ d'application matériel — ce que le texte couvre
Article 380Article 380 : Champ d’application matériel Les dispositions du présent Livre s’appliquent notamment à : 1. toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation de données à caractère personnel par une personne physique, par l’État, les collectivités locales, les personnes morales de droit public ou de droit privé ; 2. tout traitement automatisé en tout ou en partie, ainsi que tout traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier, à l’exception des traitements visés à l’alinéa 2 ; 3. tout traitement de données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales ou la sûreté et les intérêts essentiels de l’État, sous réserve des dérogations définies par des dispositions spécifiques fixées par d’autres textes de loi en vigueur. Toute collecte, traitement, transmission, stockage, et usage de données à caractère personnel restent toutefois soumis aux dispositions nationales, communautaires, régionales et internationales applicables en matières commerciale, civile et pénale.Source, read on 2026-09-02
Les exclusions — ce que le texte ne couvre pas
Article 382Article 382 : Exclusions Les dispositions du présent Livre ne s’appliquent pas aux traitements de données utilisées par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques lorsque ces données ne sont pas destinées à une communication à des tiers ou à la diffusion. Les dispositions du présent Livre ne peuvent restreindre : 1. des modes de production d'informations disponibles en vertu d'une loi pour une partie dans quelque procédure judiciaire que ce soit ; 2. le pouvoir des cours et tribunaux judiciaires de contraindre un témoin à témoigner ou de contraindre à la production de preuves.Source, read on 2026-09-02
Le champ d'application territorial
Article 381Article 381 : Champ d’application territorial Les dispositions du présent Livre s'appliquent au traitement des données à caractère personnel effectué dans le cadre des activités d'un responsable du traitement ou d'un sous-traitant sur le territoire de la République du Bénin, que le traitement ait lieu ou non en République du Bénin. Les dispositions du présent Livre s'appliquent au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de la République du Bénin par un responsable du traitement ou un sous-traitant qui n'est pas établi en République du Bénin, lorsque les activités de traitement sont liées : 1. à l'offre de biens ou de services à ces personnes concernées en République du Bénin, qu'un paiement soit exigé ou non desdites personnes ; ou 2. au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de la République du Bénin ; 3. le traitement est mis en œuvre sur le territoire d’un État membre de la CEDEAO. Les dispositions du présent Livre s'appliquent au traitement de données à caractère personnel par un responsable du traitement qui n'est pas établi en République du Bénin mais dans un lieu où le droit de la République du Bénin s'applique en vertu du droit international public.Source, read on 2026-09-02

bases légales, dont l'existence ou non de l'intérêt légitime

Les bases légales admises
Article 389Article 389 : Principe du consentement et de légitimité Le traitement des données à caractère personnel est considéré comme légitime si la personne concernée donne son consentement. Toutefois, il peut être dérogé à cette exigence du consentement lorsque le traitement est nécessaire : 1. au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; 2. à l'exécution d’une mission d’intérêt public ou relevant de l'exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ; 3. à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande ; 4. à la sauvegarde de l’intérêt ou des droits fondamentaux ou à l’intimité de la vie privée physique concernée. Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n'est pas fondé sur le consentement de la personne concernée, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres : 1. de l'existence éventuelle d'un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ; 2. du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement ; 3. de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l’article 395 et si ce n’est pas le cas ; 4. des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ; 5. de l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.Source, read on 2026-09-02

formalités préalables — régime, pièces, délai, silence, récépissé

Le régime de formalité préalable — déclaration, autorisation, ou aucun
Article 405Article 405 : Obligation de déclaration Les traitements automatisés ou non automatisés exécutés par des organismes publics ou privés et comportant des données à caractère personnel doivent, préalablement à leur mise en œuvre, faire l’objet d’une déclaration préalable auprès de l'Autorité ou être inscrits dans un registre tenu par la personne désignée à cet effet par le responsable du traitement. En dehors des cas prévus par les dispositions du présent Livre, tous les traitements de données à caractère personnel font l’objet d’une obligation de déclaration auprès de l'Autorité.Source, read on 2026-09-02
Les traitements soumis à autorisation préalable
Article 407Article 407 : Types de traitements à mettre en œuvre après autorisation L'Autorité détermine les catégories de traitements qui présentent des risques particuliers au regard des libertés et droits fondamentaux des personnes concernées et qui requièrent une autorisation de l'Autorité. De telles autorisations sont accordées après réception de la demande d’autorisation du responsable du traitement ou son représentant, qui, en cas de doute, doit consulter l'Autorité. Sont mis en œuvre après autorisation préalable de l’Autorité : 1. les traitements de données visées aux articles 394 et 397 du présent code ; 2. les traitements portant sur un numéro national d’identification ou tout autre identifiant de la même nature ; 3. les traitements des données à caractère personnel comportant des données biométriques; 4. les traitements des données à caractère personnel ayant un motif d’intérêt public, notamment à des fins historiques, statistiques ou scientifiques ; 5. les traitements des données à caractère personnel ayant pour objet une interconnexion de fichiers ; 6. le transfert de données à caractère personnel envisagé à destination d'un État tiers ; 7. les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire ; 8. les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes. La demande d’autorisation est présentée par le responsable du traitement ou son représentant. L’autorisation n’exonère pas de la responsabilité à l’égard des tiers. Pour l'application du présent article, les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires et peuvent être autorisés par une décision unique de la commission. Dans ce cas, le responsable de chaque traitement adresse à l'Autorité un engagement de conformité de celui-ci à la description figurant dans l'autorisation.Source, read on 2026-09-02
L'exonération de l'obligation de déclaration
Article 408Article 408 : Exemptions L'Autorité peut exempter certaines catégories de traitements de l’obligation de déclaration lorsque : 1. compte tenu des données traitées, il n'y a manifestement pas de risque d'atteinte aux droits et libertés individuelles des personnes concernées et que sont précisées les finalités du traitement, les catégories de données traitées, les catégories de personnes concernées, les catégories de destinataires et la durée de conservation des données ; 2. le responsable du traitement désigne un délégué à la protection des données à caractère personnel pour garantir que les traitements ne soient pas susceptibles de porter atteinte aux droits et libertés des personnes concernées. Le correspondant est chargé notamment : - d'assurer, d'une manière indépendante, l'application interne des dispositions du présent Livre ; - de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées aux articles 415 et 416 du présent code. Le bénéfice de la simplification ou de l'exonération de l'obligation de déclaration ne dispense le responsable du traitement de données à caractère personnel d'aucune des autres obligations découlant du présent code. Le traitement exécuté par les autorités publiques ne peut pas bénéficier de l'exonération de déclaration établie par l’alinéa 1er.Source, read on 2026-09-02
Les pièces exigées au dépôt
Article 409Article 409 : Formalités de demandes d’avis, de déclaration et d’autorisation Les demandes d’avis, de déclaration et d’autorisation doivent au moins contenir : 1. l'identité, l'adresse complète ou la dénomination sociale du responsable du traitement ou, si celui-ci n'est pas établi sur le territoire de la République du Bénin, les coordonnées de son représentant dûment mandaté ; 2. la ou les finalités du traitement ainsi que la description générale de ses fonctions ; 3. les interconnexions envisagées ou toutes autres formes de mise en relation avec d'autres traitements ; 4. les données à caractère personnel traitées, leur origine et les catégories de personnes concernées par le traitement ; 5. la période au-delà de laquelle les données ne peuvent plus, le cas échéant, être gardées, utilisées ou diffusées ; 6. le ou les services chargés de mettre en œuvre le traitement ainsi que les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ; 7. les destinataires ou catégories de destinataires habilités à recevoir communication des données; 8. la fonction de la personne ou le service auprès duquel s'exerce le droit d'accès ; 9. les dispositions prises pour assurer la sécurité des traitements et des données dont les garanties qui doivent entourer la communication aux tiers ; 10. l'indication du recours à un sous-traitant ; 11. les transferts de données à caractère personnel envisagés à destination d’un État tiers, sous réserve de réciprocité ; 12. l’engagement que les traitements sont conformes aux dispositions du présent Livre. L'Autorité peut définir d'autres informations devant être contenues dans les demandes d’avis, de déclaration et d’autorisation.Source, read on 2026-09-02
L'interconnexion de fichiers : son régime
Article 393Article 393 : Interconnexion des fichiers comportant des données à caractère personnel L’interconnexion des fichiers visée à l’article 405 du présent code doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements. Elle ne peut pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées ni être assortie de mesures de sécurité appropriées et doit en outre tenir compte du principe de pertinence des données faisant l’objet de l’interconnexion.Source, read on 2026-09-02
Le délai d'instruction, et ce que vaut le silence de l'autorité
Article 412Article 412 : Délai L'Autorité doit se prononcer dans un délai de soixante (60) jours à compter de la réception de la demande d’avis, de déclaration ou d’autorisation. Toutefois, ce délai peut être prorogé une fois, de trente (30) jours sur décision motivée de l'Autorité. Si l’avis, la déclaration ou l’autorisation demandé à l'Autorité n’est pas rendu dans le délai prévu, la réponse est réputée favorable.Source, read on 2026-09-02
Le récépissé — sa forme, et ce qu’il prouve
Article 413Article 413 : Voie de demande d’avis, de déclaration ou d’autorisation La demande d’avis, de déclaration ou d’autorisation peut être adressée à l'Autorité par voie électronique ou par voie postale ou par tout autre moyen contre remise d’un accusé de réception par l'Autorité.Source, read on 2026-09-02

obligations — registre, DPO, violations, AIPD, sous-traitance

Le registre des traitements : exigé ou non, et par qui
Article 435Article 435 : Registre des activités de traitement Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes : 1. le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ; 2. les finalités du traitement ; 3. une description des catégories de personnes concernées et des catégories de données à caractère personnel ; 4. les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ; 5. le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale ; 6. les délais prévus pour l'effacement des différentes catégories de données ; 7. une description générale des mesures de sécurité techniques et organisationnelles. Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant : 1. le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ; 2. les catégories de traitements effectués pour le compte de chaque responsable du traitement ; 3. le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts, les documents attestant de l'existence de garanties appropriées ; 4. une description générale des mesures de sécurité techniques et organisationnelles. Les registres visés aux alinéas 1 et 2 se présentent sous une forme écrite y compris la forme électronique. Le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant mettent le registre à la disposition de l'Autorité sur demande. Les obligations visées aux alinéas 1 et 2 ne s'appliquent pas aux petites et moyennes entreprises sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et les libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 394, alinéa premier, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions.Source, read on 2026-09-02
Le délégué à la protection : exigé, recommandé, ou absent du texte
Article 430Article 430 : Désignation du délégué à la protection des données Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque : 1. le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle ; 2. les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ; ou 3. les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 394 et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 395. Un groupe d'entreprises peut désigner un seul délégué à la protection des données à condition qu'un délégué à la protection des données soit facilement joignable à partir de chaque lieu d'établissement. Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille. Dans les cas autres que ceux visés à l’alinéa 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner un délégué à la protection des données. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants. Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 432. Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service. Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l'Autorité.Source, read on 2026-09-02
La notification des violations — destinataire et délai
Article 427Article 427 : Responsabilités Le responsable du traitement doit notifier, sans délai, à l'Autorité et à la personne concernée toute rupture de la sécurité ayant affecté les données à caractère personnel de la personne concernée. Le sous-traitant doit avertir, sans délai, le responsable du traitement de toute rupture de la sécurité ayant affecté les données à caractère personnel qu'il traite pour le compte et au nom du responsable du traitement. La notification visée à l’alinéa 1er doit, à tout le moins : 1. décrire la nature de la rupture de sécurité ayant affecté des données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la rupture et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ; 2. communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ; 3. décrire les conséquences probables de la rupture de sécurité ; 4. décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la rupture de sécurité, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. La communication à la personne concernée visée à l’alinéa 1er n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie : 1. le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite rupture, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement ; 2. le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé à l’alinéa 1er n'est plus susceptible de se matérialiser ; 3. elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.Source, read on 2026-09-02
L'analyse d'impact : les cas où elle est exigée
Article 428Article 428 : Analyse d’impact Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. Lorsqu'il effectue une analyse d'impact relative à la protection des données, le responsable du traitement demande conseil au délégué à la protection des données, si un tel délégué a été désigné. L'analyse d'impact relative à la protection des données visée à l’alinéa 1er est, en particulier, requise dans les cas suivants : 1. l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire ; 2. le traitement à grande échelle de catégories particulières de données visées à l'article 394, alinéa premier, ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 395 ; ou 3. la surveillance systématique à grande échelle d'une zone accessible au public. L'Autorité établit et publie une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise conformément à l’alinéa 1er. L'Autorité peut aussi établir et publier une liste des types d'opérations de traitement pour lesquelles aucune analyse d'impact relative à la protection des données n'est requise. L'analyse contient au moins : 1. une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement ; 2. une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ; 3. une évaluation des risques pour les droits et libertés des personnes concernées conformément à l’alinéa 1 ; et 4. les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect des dispositions du présent Livre, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées. Le cas échéant, le responsable du traitement demande l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu, sans préjudice de la protection des intérêts généraux ou commerciaux ou de la sécurité des opérations de traitement. Si nécessaire, le responsable du traitement procède à un examen afin d'évaluer si le traitement est effectué conformément à l'analyse d'impact relative à la protection des données, au moins quand il se produit une modification du risque présenté par les opérations de traitement.Source, read on 2026-09-02
La sous-traitance : ce que le contrat doit porter
Article 386Article 386 : Sous-traitant Toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considérée comme un sous-traitant au sens du présent Livre. Lorsque le traitement est confié à un sous-traitant, le responsable du traitement ou, le cas échéant, son représentant en République du Bénin, doit : 1. choisir un sous-traitant apportant des garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements, notamment pour assurer la mise en œuvre des mesures de sécurité et de confidentialité, de manière à ce que le traitement réponde aux exigences du présent Livre et garantisse la protection des droits des personnes concernées ; 2. veiller au respect des mesures du point i. ci-dessus, notamment par la stipulation de mentions spécifiques dans les contrats passés avec des sous-traitants ; 3. fixer dans le contrat, la responsabilité du sous-traitant à l'égard du responsable du traitement et les obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données ; 4. convenir avec le sous-traitant que celui-ci n'agit que sur la seule instruction du responsable du traitement et est tenu par les mêmes obligations que celles auxquelles le responsable du traitement est tenu ; 5. consigner par écrit ou sur un support électronique les éléments du contrat visés dans le présent article. Toute personne agissant sous l'autorité du responsable du traitement ou celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf en cas d'une obligation imposée par ou en vertu d'une loi, d’un décret ou d’une ordonnance.Source, read on 2026-09-02
La confidentialité : qui peut traiter les données
Article 425Article 425 : Les obligations de confidentialité Le traitement des données à caractère personnel est confidentiel. Il est effectué exclusivement par des personnes qui agissent sous l’autorité du responsable du traitement et seulement sur ses instructions, sauf en vertu d’obligations légales contraires.Source, read on 2026-09-02
Les obligations de sécurité
Article 426Article 426 : Les obligations de sécurité Afin de garantir la sécurité des données à caractère personnel, le responsable du traitement et/ou son sous-traitant doivent mettre en œuvre les mesures techniques et d'organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, l'interception notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite. Ces mesures doivent assurer, compte tenu de l'état de l'art et des coûts liés à leur mise en œuvre, un niveau de sécurité approprié tenant compte, d'une part, de l'état de la technique en la matière et des frais qu'entraîne l'application de ces mesures et, d'autre part, de la nature des données à protéger et des risques potentiels. Il incombe également au responsable du traitement, son représentant ainsi qu'au sous-traitant de veiller au respect de ces mesures de sécurité. Ces mesures peuvent notamment comprendre : 1. la pseudonymisation et le chiffrement des données à caractère personnel ; 2. des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; 3. des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ; 4. une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. Le choix du sous-traitant et les modalités du contrat liant celui-ci avec le responsable du traitement sont soumis aux dispositions du présent Livre. Aux fins de la conservation des preuves, les éléments du contrat ou de l'acte juridique relatifs à la protection des données et les exigences portant sur les mesures visées à l’alinéa précédent du présent article sont consignés par écrit ou sous une autre forme équivalente mais garantissant la pérennité et l'inaltérabilité du document.Source, read on 2026-09-02
La protection dès la conception et par défaut
Article 424Article 424 : Protection des données dès la conception et la protection des données par défaut Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravite varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, tels que la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent Livre et de protéger les droits de la personne concernée. Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Ces mesures s'appliquent à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne physique concernée.Source, read on 2026-09-02
La durée de conservation : qui la fixe
Article 433Article 433 : Les obligations de conservation Les données à caractère personnel ne doivent pas être conservées au-delà de la période requise pour les fins en vue desquelles elles ont été recueillies et traitées. Au-delà de cette période requise, les données ne peuvent faire l’objet d’une conservation qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherches en vertu des dispositions légales. Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives sont dispensés des formalités préalables à la mise en œuvre des traitements prévus par les dispositions du présent Livre. Il peut être procédé à un traitement ayant des finalités autres que celles mentionnées à l’alinéa 2 : 1. soit avec l’accord exprès de la personne concernée ; 2. soit avec l’autorisation de l'Autorité.Source, read on 2026-09-02
La pérennité : l’exploitabilité dans le temps
Article 434Article 434 : Les obligations de pérennité Le responsable du traitement est tenu de prendre toute mesure utile pour assurer que les données à caractère personnel traitées pourront être exploitées quel que soit le support technique utilisé. Il doit particulièrement s’assurer que l’évolution de la technologie ne sera pas un obstacle à cette exploitation.Source, read on 2026-09-02

droits et délais

Le droit à l'information
Article 415Article 415 : Obligation d’information – Collecte des données auprès de la personne dont les données font l’objet d’un traitement Le responsable du traitement ou son représentant doit fournir à la personne dont les données font l’objet d’un traitement, au plus tard, lors de la collecte et quels que soient les moyens et supports employés, au moins les informations suivantes : 1. son identité et l’adresse de sa résidence habituelle ou de l’établissement principal et, le cas échéant, les coordonnées de son représentant ; 2. le cas échéant, les coordonnées du délégué à la protection des données ; 3. la ou les finalités déterminées du traitement auquel les données sont destinées lorsque le traitement est fondé sur des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ; 4. les catégories de données concernées ; 5. le ou les destinataires auxquels les données sont susceptibles d’être communiquées ; 6. le fait de pouvoir demander à ne plus figurer sur le fichier ; 7. l'existence d'un droit de s'opposer, sur demande et gratuitement, au traitement de données à caractère personnel la concernant envisagé à des fins de prospection notamment commerciale, caritative ou politique ; 8. le caractère obligatoire ou non de la réponse, le caractère réglementaire ou contractuel ainsi que les conséquences éventuelles d'un défaut de réponse ; 9. l’existence d’un droit d’accès aux données la concernant et de rectification ou l’effacement de ces données ; 10. lorsque le traitement est fondé sur l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ; 11. le droit d’introduire une réclamation auprès de l'Autorité ; 12. la durée de conservation des données ; 13. l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 401 et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée ; 14. l’éventualité de tout transfert de données à destination d’Etats tiers.Source, read on 2026-09-02
Le droit d'accès
Article 437Article 437 : Droit d’accès Toute personne physique dont les données à caractère personnel font l’objet d’un traitement peut demander au responsable de ce traitement : 1. les informations permettant de connaître et de contester le traitement de ses données à caractère personnel ; 2. la confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de traitement, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les catégories de destinataires auxquels les données sont communiquées ; 3. la communication sous forme intelligible des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ; 4. le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d’un État tiers ; 5. lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ; 6. l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement ; 7. le droit d'introduire une réclamation auprès d'une Autorité de contrôle ; 8. lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ; 9. l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 401, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. A cette fin, la personne concernée adresse une demande datée et signée au responsable du traitement par voie postale ou électronique, ou son représentant. Une copie des renseignements lui est communiquée sans délai et au plus tard dans les soixante (60) jours de la réception de la demande. Le paiement des frais pour toute copie supplémentaire demandée par la personne concernée devra être fixé par note de service de la structure responsable du traitement sur la base des coûts administratifs conséquents. Toutefois, l'Autorité saisie contradictoirement par le responsable du fichier peut lui accorder : 1. des délais de réponse ; 2. l’autorisation de ne pas tenir compte de certaines demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique. Lorsqu’il y a lieu de craindre la dissimulation ou la disparition des informations mentionnées au premier alinéa du présent article, et même avant l’exercice d’un recours juridictionnel, il peut être demandé au juge compétent que soient ordonnées toutes mesures de nature à éviter cette dissimulation ou cette disparition. Lorsque les données relatives à la santé de la personne concernée sont traitées aux fins de recherches médico-scientifiques, qu'il est manifeste qu'il n'existe aucun risque qu'il soit porté atteinte à la vie privée de cette personne et que les données ne sont pas utilisées pour prendre des mesures à l'égard d'une personne concernée individuelle, la communication peut, pour autant qu'elle soit susceptible de nuire gravement auxdites recherches, être différée au plus tard jusqu'à l'achèvement des recherches. Dans ce cas, la personne concernée doit avoir préalablement donné son autorisation écrite au responsable du traitement que les données à caractère personnel la concernant peuvent être traitées à des fins médico-scientifiques et la communication de ces données peut dès lors être différée.Source, read on 2026-09-02
Le droit d'opposition
Article 440Article 440 : Droit d’opposition Toute personne physique a le droit de s'opposer, à tout moment, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Elle a le droit, d’une part, d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection notamment commerciale, caritative ou politique et, d’autre part, de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation. Ce droit doit être explicitement proposé à la personne concernée d'une façon intelligible et doit pouvoir être clairement distingué d'autres informations. Lorsqu'il est fait droit à une opposition conformément à cet article, le responsable du traitement n'utilise ni ne traite plus les données à caractère personnel concernées. Lorsque les données à caractère personnel sont collectées à des fins de prospection notamment commerciale, caritative ou politique, la personne concernée peut s'opposer, gratuitement et sans aucune justification, au traitement projeté de données à caractère personnel la concernant. Pour exercer son droit d’opposition, l'intéressé adresse une demande datée et signée, par voie postale ou électronique, au responsable du traitement ou son représentant. Le responsable du traitement doit communiquer dans les trente (30) jours qui suivent la réception de la demande prévue à l’alinéa précédent, quelle suite il a donnée à la demande de la personne concernée. Lorsque des données à caractère personnel sont collectées par écrit, que ce soit sur un support papier, support électronique ou tout autre support équivalent, auprès de la personne concernée, le responsable du traitement demande, à celle-ci, sur le document grâce auquel il collecte ses données, si elle souhaite exercer le droit d'opposition. Lorsque les données à caractère personnel sont collectées auprès de la personne concernée, autrement que par écrit, le responsable du traitement demande à celle-ci si elle souhaite exercer le droit d'opposition, soit sur un document qu'il lui communique à cette fin au plus tard soixante (60) jours après la collecte des données à caractère personnel, soit par tout moyen technique qui permet de conserver la preuve que la personne concernée a eu la possibilité d'exercer son droit. En cas de contestation, la charge de la preuve incombe au responsable de traitement auprès duquel est exercé le droit d’accès sauf lorsqu’il est établi que les données contestées ont été communiquées par l’intéressé ou avec son accord.Source, read on 2026-09-02
Le droit de rectification et de suppression
Article 441Article 441: Droit de rectification et de suppression Toute personne physique peut exiger du responsable du traitement que soient, selon les cas, et dans les meilleurs délais, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, non pertinentes ou dont la collecte, l'utilisation, la communication ou la conservation est interdite. Pour exercer son droit de rectification ou de suppression, l'intéressé adresse une demande, par voie postale ou par voie électronique, datée et signée au responsable du traitement, ou son représentant. Dans les quarante-cinq (45) jours qui suivent la réception de la demande prévue à l’alinéa précédent, le responsable du traitement communique les rectifications ou effacements des données effectués à la personne concernée elle-même ainsi qu'aux personnes à qui les données inexactes, incomplètes, équivoques, périmées, non pertinentes ou dont la collecte, l'utilisation, la communication ou la conservation est interdite, ont été communiquées. Quand le responsable du traitement n’a pas connaissance des destinataires de la communication et que la notification à ces destinataires ne parait pas possible ou implique des efforts disproportionnés, il le leur notifie dans le délai imparti. En cas de non-respect du délai prévu à l’alinéa précédent, une plainte peut être adressée à l'Autorité par l’auteur de la demande. Si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par l'Autorité. Les ayants droit d’un "de cujus" justifiant de leur identité peuvent, si des éléments portés à leur connaissance leur laissent présumer que les données à caractère personnel la concernant faisant l’objet d’un traitement n’ont pas été actualisées, exiger du responsable de ce traitement qu’il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence. Lorsque les ayants droit en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent.Source, read on 2026-09-02
La décision automatisée : ce qu'elle ne peut pas fonder
Article 401Article 401 : Fondement d’une décision de justice – Aspects de la personnalité d’une personne physique Aucune décision de justice impliquant une appréciation sur le comportement d’une personne physique ne peut avoir pour fondement un traitement automatisé, y compris le profilage, des données à caractère personnel destiné à évaluer certains aspects de sa personnalité. Aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité. L'interdiction visée aux alinéas précédents ne s'applique pas lorsque la décision est prise dans le cadre d'un contrat ou est fondée sur une disposition prévue par ou en vertu des dispositions du présent Livre, d’un décret ou d’une ordonnance. Ce contrat ou cette disposition doivent contenir des mesures appropriées, garantissant la sauvegarde des intérêts légitimes de l'intéressé. Il devra au moins être permis à celui-ci de faire valoir utilement son point de vue.Source, read on 2026-09-02
Le droit à la portabilité des données
Article 438Article 438 : Droit à la portabilité des données Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu'elles ont fournies a un responsable du traitement, dans un format structuré, couramment utilise et lisible par machine, et ont le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle, lorsque : 1. le traitement est fonde sur le consentement ou sur un contrat ; et 2. le traitement est effectué à l'aide de procédés automatisés. Lorsque la personne concernée exerce son droit à la portabilité des données en application de l’alinéa premier, elle a le droit d'obtenir que les données à caractère personnel soient transmises directement d'un responsable du traitement a un autre, lorsque cela est techniquement possible. Ce droit ne s'applique pas au traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Le droit vise à l’alinéa premier ne porte pas atteinte aux droits et libertés de tiers.Source, read on 2026-09-02
Le délai de réponse imposé au responsable de traitement
Article 420Article 420 : Fourniture des informations par le responsable du traitement Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 437 et 443, dans les meilleurs délais et en tout état de cause dans un délai de trente (30) jours à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de soixante (60) jours, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai de trente (30) jours à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai de trente (30) jours à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès de l'Autorité et de former un recours juridictionnel.Source, read on 2026-09-02

données sensibles et transferts

Les données sensibles : définition et régime
Article 394Article 394 : Données sensibles Le traitement de données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, la religion ou les croyances, l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. L'interdiction de traiter des données à caractère personnel visées à l’alinéa 1 du présent article ne s'applique pas dans les cas suivants : 1. le traitement des données à caractère personnel porte sur des données manifestement rendues publiques par la personne concernée ; 2. la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit en vigueur en République du Bénin prévoit que l’interdiction visée à l’alinéa 1 ne peut pas être levée par la personne concernée. Le consentement peut être retiré à tout moment sans frais par la personne concernée ; 3. le traitement des données à caractère personnel est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ; 4. le traitement des données à caractère personnel s’avère nécessaire pour un motif d’intérêt public; 5. le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou est effectué par une Autorité publique ou est assigné par une Autorité publique au responsable du traitement ou à un tiers, auquel les données sont communiquées ; 6. le traitement est effectué en exécution de lois relatives à la statistique publique ; 7. le traitement est nécessaire aux fins de médecine préventive ou la médecine du travail, de diagnostics médicaux, de l'administration de soins ou de traitements soit à la personne concernée, soit à un parent, ou de la gestion de services de santé agissant dans l'intérêt de la personne concernée et le traitement est effectué sous la surveillance d'un professionnel des soins de santé ; 8. le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique, tel que la protection contre les menaces transfrontalières graves pesant sur la santé, aux fins de garantir des normées élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux sur la base du droit en vigueur, qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel ; 9. le traitement est nécessaire à la réalisation d'une finalité fixée par ou en vertu des dispositions du présent Livre, en vue de l'application de la sécurité sociale ; 10. le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée pendant la période précontractuelle; 11. le traitement est nécessaire au respect d’une obligation légale ou réglementaire à laquelle le responsable du traitement est soumis ; 12. le traitement est nécessaire afin d'exécuter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail ; 13. le traitement est effectué par des associations dotées de la personnalité juridique ou par des établissements d'utilité publique qui ont pour objet social principal la défense et la promotion des droits de l'homme et des libertés fondamentales, en vue de la réalisation de cet objet, à condition que ce traitement soit autorisé par l'Autorité et que les données ne soient pas communiquées à des tiers sans le consentement écrit des personnes concernées, que ce soit sur un support papier, support électronique ou tout autre support équivalent ; 14. le traitement est effectué dans le cadre des activités légitimes et moyennant les garanties appropriées d'une fondation, d’une association ou de tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse, mutualiste ou syndicale. Toutefois, le traitement doit se rapporter exclusivement aux membres ou anciens membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à ses objectifs et à sa finalité, et que les données ne soient pas communiquées à un tiers extérieur sans le consentement des personnes concernées ; 15. le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l’article 396. Les données à caractère personnel visées à l’alinéa 1 peuvent faire l'objet d'un traitement aux fins prévues à l’alinéa 2, point viii, si ces données sont traitées par un professionnel de la santé soumis à une obligation de secret professionnel conformément au droit en République du Bénin ou aux règles arrêtées par les organismes nationaux compétents, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret conformément au droit du Bénin ou aux règles arrêtées par les organismes nationaux compétents.Source, read on 2026-09-02
Les transferts hors du territoire : conditions
Article 391Article 391 : Transfert de données à caractère personnel vers un État tiers ou une organisation internationale - Règles générales Le transfert de données à caractère personnel faisant l'objet d’un transfert vers un État tiers ou une organisation internationale ne peut avoir lieu que lorsque l’Autorité constate que l’État ou l’Organisation International en question assure un niveau de protection équivalent à celui mis en place par les dispositions du présent Livre. Le caractère équivalent et suffisant du niveau de protection s'apprécie au regard de toutes les circonstances relatives à un transfert de données ou à une catégorie de transferts de données. Afin de déterminer ce caractère équivalent et suffisant, il est notamment tenu compte de : 1. l'état de droit, le respect des droits de l'homme et des libertés fondamentales, la législation pertinente, tant générale que sectorielle, notamment dans le domaine de la sécurité publique, de la défense, de la sécurité nationale et du droit pénal ainsi que l'accès des autorités publiques aux données à caractère personnel, de même que la mise en œuvre de ladite législation, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l'organisation internationale en question, la jurisprudence, ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées ; 2. l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d'assurer le respect des règles en matière de protection des données et de les faire appliquer, y compris par des pouvoirs appropriés d'application desdites règles, d'assister et de conseiller les personnes concernées dans l'exercice de leurs droits et de coopérer avec les autorités de contrôle des États membres de la Communauté économique des États de l’Afrique de l’Ouest ; et 3. les engagements internationaux pris par le pays tiers ou l'organisation internationale en question, ou d'autres obligations découlant de conventions ou d'instruments juridiquement contraignants ainsi que de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel. Avant tout transfert effectif de données à caractère personnel vers un État tiers ou une organisation internationale, le responsable du traitement doit préalablement obtenir l’autorisation de l'Autorité. Les transferts de données à caractère personnel vers des États tiers ou une organisation internationale font l’objet d’un contrôle régulier de l'Autorité au regard de leur finalité.Source, read on 2026-09-02
La prospection directe : son régime
Article 400Article 400 : Interdiction de prospection directe Il est interdit de procéder à la prospection directe au sens de l’article 332 du présent code.Source, read on 2026-09-02

autorité — existence effective, pas seulement prévue par la loi

L'autorité : sa création par le texte
Article 462Article 462 : Constitution L'Autorité de protection des données à caractère personnel en abrégé « APDP », ci-après désignée Autorité, veille à l’application des dispositions du présent Livre et au respect de la vie privée en général sur le territoire de la République du Bénin.Source, read on 2026-09-02
La composition de l'autorité et la durée du mandat
Article 464Article 464 : Composition L'Autorité est composée de onze (11) membres ainsi qu'il suit : 1. trois (03) députés désignés par l’Assemblée nationale en tenant compte de sa configuration politique ; 2. un (01) membre du Conseil Economique et Social élu par ses pairs ; 3. deux (02) personnes qualifiées pour leur connaissance des applications informatiques ayant un diplôme sanctionnant au moins quatre (04) années d’études universitaires et totalisant au moins dix (10) années d’expérience, désignées par l’Assemblée nationale sur une liste de cinq (05) personnes retenues par le Bureau de l'Assemblée nationale, après appel à candidatures ; 4. une (01) personnalité désignée par le Président de la République ; 5. trois (03) magistrats dont deux (02) de la Cour suprême et un (01) de la juridiction des comptes de même degré ayant au moins quinze (15) années d’expérience professionnelle, élus par leurs pairs ; 6. un (01) avocat ayant au moins quinze (15) années d’expérience, élu par ses pairs. L'Autorité est dirigée par un Bureau de trois (03) membres. L'Autorité élit en son sein un Président, un vice-Président et un Secrétaire.Source, read on 2026-09-02
Le recours contre les décisions de l'autorité
Article 482Article 482 : Recours Les décisions de l'Autorité sont susceptibles de recours devant la juridiction administrative compétente.Source, read on 2026-09-02

Billing

The CFA franc catalogue applies: the parity with the euro is fixed by treaty and does not move.

← All jurisdictions