Le Bénin marque ainsi son entrée parmi les Etats africains membres de cette convention qui constitue l'instrument africain de référence pour l'élaboration d'une part, de loi nationale relative à la cybersécurité, la lutte contre la cybercriminalité et la protection des données à caractère personnel et, d'autre part, l'élaboration de politique nationale et de stratégie nationale de lutte contre la cybercriminalité.

Cette Convention prévoit également un cadre de coopération entre les Etats membres de l'Union Africaine en matière de lutte contre la cybercriminalité, la cybersécurité et la protection des données à caractère personnel.

Par cette ratification, le Gouvernement marque clairement sa ferme volonté de doter le Bénin d'instruments d’action et d’un cadre institutionnel pour assurer la sécurité du cyberespace béninois et la protection des données à caractère personnel en République du Bénin. 

Cette convention précise entre autre que la « donnée à caractère personnel » y est entendue comme toute information relative à une personne physique identifiée ou identifiable directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments, propres à son identité physique, physiologique, mentale, économique, culturelle et sociale. De même, les « Données sensibles » s’y entendent de toutes les données à caractère personnel relatives aux opinions ou activités religieuses, philosophiques, politiques, syndicales, à la vie sexuelle ou raciale, à la santé, aux mesures d'ordre social, aux poursuites, aux sanctions pénales ou administratives.

Aux termes de son Article 10 – 4, les actions suivantes sont mises en œuvre après autorisation de l'autorité nationale de protection des données, les traitements des données à caractère personnel :

• sur des données génétiques et sur la recherche dans le domaine de la santé ;
• sur des données relatives aux infractions, condamnations ou mesures de sûreté;
• ayant pour objet une interconnexion de fichiers et les traitements portant sur un numéro national d'identification ou tout autre identifiant de la même nature;
• comportant des données biométriques;
• d'intérêt public notamment à des fins historiques, statistiques ou scientifiques.

La Convention fixe aussi les grandes lignes du statut, de la composition et de l’organisation des autorités nationales de protection des données à caractère personnel. L'autorité nationale de protection doit être une autorité administrative indépendante chargée de veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente Convention. De plus, la qualité de membre d'une autorité nationale de protection est incompatible avec la qualité de membre du Gouvernement, l'exercice des fonctions de dirigeants d'entreprise, la détention de participation dans les entreprises du secteur des technologies de l'information et de la communication.

La Convention fixe aussi les obligations relatives aux conditions de traitements de données à caractère personnel et en son article 13, les principes fondamentaux régissant le traitement des données à caractère personnel que sont :

• Le principe de consentement et de légitimité du traitement des données à caractère personnel ;
• Le principe de la légitimité et de légalité du traitement des données à caractère personnel ;
• Le principe de finalité, de la pertinence, de conservation des données â caractère personnel traitées ;
• Le principe d'exactitude des données à caractère personnel ;
• Le principe de transparence des données à caractère personnel ;
• Le principe de confidentialité et de sécurité des traitements de données à caractère personnel.

Les articles 18 et 19 fixe les droits d’opposition et de rectification et suppression. De fait comme de droit, toute personne physique a le droit de s'opposer, pour des motifs légitimes, au traitement des données à caractère personnel la concernant. De même, toute personne physique peut exiger du responsable d'un traitement que soient, selon des cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation sont interdites.