| HN Mirror

Disclaimer: not a lawyer, just did some law courses in a couple of countries, including France.

From the law 2004-575 [1], section 1, article 30:

> I. - L'utilisation des moyens de cryptologie est libre.

> II. - La fourniture, le transfert depuis ou vers un Etat membre de la Communauté européenne, l'importation et l'exportation des moyens de cryptologie assurant exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont libres.

> III. - La fourniture, le transfert depuis un Etat membre de la Communauté européenne ou l'importation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont soumis à une déclaration préalable auprès du Premier ministre, sauf dans les cas prévus au b du présent III. Le fournisseur ou la personne procédant au transfert ou à l'importation tiennent à la disposition du Premier ministre une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le code source des logiciels utilisés. Un décret en Conseil d'Etat fixe :

> a) Les conditions dans lesquelles sont souscrites ces déclarations, les conditions et les délais dans lesquels le Premier ministre peut demander communication des caractéristiques du moyen, ainsi que la nature de ces caractéristiques ;

> b) Les catégories de moyens dont les caractéristiques techniques ou les conditions d'utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l'Etat, leur fourniture, leur transfert depuis un Etat membre de la Communauté européenne ou leur importation peuvent être dispensés de toute formalité préalable.

> IV. - Le transfert vers un Etat membre de la Communauté européenne et l'exportation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont soumis à autorisation du Premier ministre, sauf dans les cas prévus au b du présent IV. Un décret en Conseil d'Etat fixe :

> a) Les conditions dans lesquelles sont souscrites les demandes d'autorisation ainsi que les délais dans lesquels le Premier ministre statue sur ces demandes ;

> b) Les catégories de moyens dont les caractéristiques techniques ou les conditions d'utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l'Etat, leur transfert vers un Etat membre de la Communauté européenne ou leur exportation peuvent être soit soumis au régime déclaratif et aux obligations d'information prévus au III, soit dispensés de toute formalité préalable.

Basically, any cryptography exported/imported that is not about authentication or integrity control, or a set of other exceptions, needs to be approved from the Prime Minister's office.

The exceptions and formalities are defined in the relevant decree [2] and it's annex defining the full list of exceptions [3] (Ctrl/Cmd+F "ANNEXE 1"). The procedure to ask for authorisation is to send a special type of letter a month before going into production, and if you don't hear back within a month (the directorate has a month to ask for more information), all is good. They can request the source code, and forbid use if they decide it's against the nations interests. The list of exceptions is quite exhaustive, e.g. it includes cryptography aboard single board computers for personal use, banking, TV encryption, etc.

Interestingly, there's this part:

> Equipements spécialement conçus et limités pour assurer la protection de logiciels ou de données informatiques contre la copie ou l’utilisation illicite et dont la capacité cryptographique n’est pas accessible à l’utilisateur.

So, if I'm reading this correctly, if Telegram was end to end encrypted, they wouldn't have had to declare to the PM.

How the declaration

1 - https://www.legifrance.gouv.fr/codes/section_lc/JORFTEXT0000...

2 - https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000000646995

3 - https://www.legifrance.gouv.fr/download/pdf?id=y0_q3mVjGocOR...