Strategic Implications of Mobile Messaging Protocols

These incidents align with a broader hybrid warfare strategy. They are not isolated cases but rather part of coordinated efforts involving espionage, sabotage, and infiltration. Stolen electronic equipment—laptops, USB drives, mobile phones, SSDs, even SD cards from drones—offers unauthorized access to military or state-level classified networks.

Malicious USB devices often serve as physical backdoors into critical infrastructures. Similarly, unidentified drone flyovers over sensitive sites suggest advanced surveillance and tactical scanning operations.

As General Philippe Susnjara (DRSD) emphasizes, these threats combine physical theft, cyberattacks, and strategic deception. Their cumulative effect directly undermines sovereignty and national defense. Computerworld Source

Technical Definition of SMS

The Short Message Service (SMS) operates over standardized telecom signaling channels and does not rely on internet connectivity. Thanks to ETSI’s TS 123 040 specification, SMS is robust in degraded environments and can maintain delivery even when IP services fail. SMS messages are transmitted via operator infrastructure, making traceability, auditability, and compliance verifiable under forensic standards.

In many nations, including those aligned with NATO and EU regulations, SMS remains a key component of national alert systems and critical infrastructure communications.

Functional Architecture of RCS

Rich Communication Services (RCS) extend traditional messaging through IP-based protocols such as SIP, MSRP, and HTTP. Governed by the GSMA Universal Profile, RCS supports typing indicators, group chats, file sharing, and read receipts. However, encryption is not universally enforced, and RCS relies heavily on cloud-hosted infrastructures that vary by OEM or service provider.

The integration of RCS in iOS 18 marks a technological shift. However, the lack of standardized encryption and metadata handling makes RCS less suitable for judicial contexts or regulated environments.

While native RCS relies on cloud negotiation and remote key handling, certain offline encryption systems — such as DataShielder — offer a local and user-controlled alternative.

Structured SMS vs RCS Comparison

While RCS delivers a more modern user experience, it lacks critical infrastructure-grade reliability and sovereignty safeguards. This makes hybrid deployment architectures essential for institutions, governments, and critical communication frameworks.

Certain sovereign-ready technologies — such as DataShielder — enable pre-encryption of messages (AES-256) under the user’s exclusive control, turning even SMS into a resilient and offline-secure alternative.

RCS Adoption Momentum vs Sovereignty Concerns

The market momentum behind RCS is undeniable — especially in enterprise contexts. However, this rapid growth contrasts sharply with the protocol’s unresolved sovereignty and encryption concerns.

Adoption metrics underscore this trend:

• RCS traffic in the United States alone is estimated at over 1 billion messages per day — reflecting mass usage in default messaging apps. [Reddit Community Discussion]
• In Q1 2025, Bandwidth Inc. reported a +66% increase in enterprise RCS usage — driven by marketing and customer engagement deployments. [Bandwidth Press Release]
• Juniper Research forecasts over 50 billion RCS business messages in 2025 — a 50% increase year-over-year. [Juniper Research, Nov. 2024]

Yet, these figures coexist with critical architectural gaps:

• RCS still lacks standardized, mandatory end-to-end encryption (E2EE).
• Metadata remains exposed to cloud-based IMS systems — often operated by U.S. providers.
• The protocol’s compliance with sovereignty frameworks (e.g. Schrems II, GDPR, eIDAS) is widely questioned.

As enterprise adoption grows, so does the risk of scaling insecure-by-design infrastructure. This paradox reinforces the need for sovereign-grade encryption overlays.

Solutions like DataShielder offer a strategic response — enabling pre-encrypted communication that neutralizes cloud dependency. With AES-256 encryption handled locally and transmitted over any medium (RCS, SMS, email, QR), such technologies transform vulnerable protocols into sovereign-compatible channels.

Judicial Traceability and Forensic Auditability

SMS remains the benchmark for legal admissibility. According to ETSI TS 123 040, SMS logs are standardized and operator-controlled, offering verifiable chain of custody. In contrast, RCS relies on variable server-side infrastructures. The 2024 Pinpoint Labs report on iOS 18 forensics shows that RCS lacks consistent extraction methods, making its probative value questionable.

In high-stakes contexts—diplomatic, military, intelligence—this difference is decisive. Some sovereign-grade tools like DataShielder complement SMS’s forensic strength by enabling pre-encrypted, traceable exchanges that preserve legal value without relying on external infrastructures.

Disaster Resilience and Emergency Protocols

SMS can operate in low-bandwidth, damaged infrastructure zones. It requires no IP stack and can transit through 2G/3G fallback networks. In contrast, RCS needs stable IP routing and DNS resolution. During natural disasters, blackouts, or hostile intrusions, SMS proves its utility.

European civil defense protocols still rely on SMS for population alerts. In Andorra, France, and Germany, national crisis systems integrate SMS as the final fallback.

Global Standardization and Geopolitical Adoption

As of late 2024, the AF2M report indicates that 48% of mobile devices in France support RCS, with the threshold expected to reach 50% by 2025. However, RCS adoption remains geopolitically fragmented across the globe, shaped by infrastructure control and sovereignty concerns.

Some national strategies reflect varying degrees of alignment with U.S.-controlled cloud ecosystems:

• France: RCS is deployed via Orange and the Google Jibe platform — raising sovereignty concerns due to foreign dependency.
• USA: RCS implementation is carrier-based but remains fragmented across networks and standards.
• China: Operates a domestic RCS infrastructure with partial sovereignty over data flows.
• Russia: Explicitly avoids RCS, citing national security risks tied to extraterritorial exposure.

This global disparity illustrates that RCS is far from a universal standard. Each country’s trust perimeter reflects different interpretations of lawful control, metadata exposure, and encryption assurance.

Use Cases and Sovereign Doctrines

Sovereign-grade deployments require:

• Offline, device-resident encryption (non-cloud-based)
• Metadata control with operator-level traceability
• Resistance to remote subpoenas and extraterritorial backdoors

Some implementations — like DataShielder NFC HSM, PassCypher, and EviCypher Webmail — fulfill these requirements by operating without servers, accounts, or persistent identifiers.

Sovereign states and institutional actors are increasingly exploring contactless encryption models for 5G and post-quantum resilience — as exemplified in “5Ghoul: 5G-NR Vulnerabilities & Contactless Encryption” — to mitigate cloud-dependency risks in RCS-based systems.

Sovereign Communication Doctrine Sheet

RGPD/RCS Annex (Opt-in, Opt-out, ePrivacy)

RCS messaging must comply with:

• GDPR Article 6 & 7 (consent, legal basis)
• ePrivacy Directive (electronic communications)
• CNIL guidance (explicit opt-in for message tracing)

Yet most RCS apps use default sync, metadata logging, and consent-by-design violations.

SMS Decommissioning by 2030

Several telecom operators have announced plans to gradually phase out SMS between 2028 and 2032. However, legal, emergency, and defense communication systems continue to rely heavily on its simplicity, traceability, and infrastructure independence.

This transitional context demands robust fallback architectures that preserve functionality while enhancing confidentiality.

This transition model reinforces the urgency of adopting sovereign fallback layers before 2030.

• Retain SMS for all critical, regulated systems (justice, health, civil protection, defense)
• Integrate encrypted SMS workflows using offline tools
• Adopt sovereign-grade solutions like DataShielder to secure SMS, enable encrypted QR-based fallback, and extend SMS utility beyond 2030

Feature Phone and Satellite Compatibility

In many critical contexts — remote regions, disaster zones, or low-infrastructure countries — legacy GSM feature phones remain the only operational means of communication. These devices support SMS but not RCS, reinforcing the continued relevance of SMS as a baseline protocol.

Satellite communication systems — such as Iridium, Thuraya, Starlink Direct-to-Cell, or Snapdragon Satellite — also rely on SMS for command and control functions in offline or high-latency environments. Many of these systems now integrate with Android phones, either natively or via attachable satellite modules.

Use cases include:

• Humanitarian operations in disconnected territories
• Military deployments where infrastructure is destroyed
• Remote intelligence gathering and alerting

In these scenarios, SMS remains irreplaceable. However, plain-text SMS lacks confidentiality and is vulnerable to interception — unless enhanced by sovereign encryption layers.

Offline tools like DataShielder NFC HSM or DataShielder HSM PGP extend the viability of SMS-based communication by enabling AES-256 encryption before transmission — compatible with NFC-enabled Android devices, QR workflows, and USB keyboard emulation, including in hybrid satellite contexts.

Global Sovereign Usage of SMS vs RCS

Across the world, SMS and MMS remain foundational protocols for sovereign communication—especially where legal traceability, infrastructure independence, or low-bandwidth resilience are critical requirements.

The table below highlights how and why SMS is still mandated or preferred in various countries, despite the growing presence of RCS.

This comparative landscape reinforces the strategic role of SMS vs RCS as a core layer in national communications.
In jurisdictions where legal resilience, forensic auditability, and infrastructure control are prioritized, SMS remains not only relevant—but essential.

SMS vs RCS: National Positions and Strategic Defiance

While RCS promises a richer user experience, many sovereign states continue to adopt deliberate resistance to its implementation. In practice, they favor the proven resilience, infrastructure independence, and legal auditability of SMS — especially in critical communications.

For instance:

• Russia: Strategic rejection of RCS. Instead, it favors domestic SMS infrastructure with encrypted fallback, deliberately avoiding any foreign cloud exposure.
• China: Maintains a self-contained messaging ecosystem. Rather than adopting RCS, it relies on proprietary, state-controlled protocols.
• Ukraine: In wartime conditions, operations depend exclusively on SMS as the only viable fallback. Given current constraints, RCS remains operationally infeasible.
• Germany: The Federal Cybersecurity Agency (BSI) recommends preserving SMS for its resilience. Consequently, RCS is deemed non-essential to sovereign messaging policy.
• France: SMS is maintained as the legal and administrative standard, particularly for national alerts and digital traceability across ministries.
• India: Due to regulatory mandates, SMS remains mandatory for financial institutions, Aadhaar authentication, and e-government services.
• Nigeria: SMS continues to serve as the exclusive channel for electoral communication and national identity services.
• Kenya: With no formal roadmap for RCS deployment, national financial systems such as M-PESA still rely entirely on SMS infrastructure.

SMS vs RCS: Posture Viability Through 2030 and Beyond

Therefore, strategic reliance on SMS remains viable well into the next decade — provided that the following conditions are met:

1. Maintenance of GSM/UMTS/4G fallback layers within national infrastructure
2. Deployment of hybrid messaging tools ensuring encryption and local control (e.g., DataShielder NFC HSM, EviCrypt NFC HSM)
3. Policy pressure on OEMs to retain native SMS stacks alongside IP-based protocols
4. Persistent demand for forensic-ready, low-bandwidth, and legally admissible messaging channels

In contexts where sovereignty, legal traceability, and infrastructure resilience are non-negotiable, SMS is not legacy — it is indispensable.

Strategic SMS vs RCS Scorecard

Assessing mobile messaging through a sovereign lens goes far beyond feature sets or UI enhancements. Instead, it requires evaluating how protocols align with state priorities—such as infrastructure autonomy, encryption sovereignty, disaster resilience, forensic traceability, legal auditability, human rights compliance, and cross-network interoperability under duress.

Methodology: Data compiled from GSMA publications, Google Jibe APIs, ITU databases, national telecom regulators (ARCEP, FCC, TRAI), technical communities (XDA, 9to5Google), and Freemindtronic’s sovereign messaging field research.

Strategic SMS vs RCS Sovereignty Scorecard (2025–2030)

Assessing mobile messaging through a sovereign lens goes far beyond feature sets or UI enhancements. Instead, it requires evaluating how protocols align with state priorities—such as infrastructure autonomy, encryption sovereignty, disaster resilience, forensic traceability, legal auditability, human rights compliance, and cross-network interoperability under duress.

Methodology: Data compiled from GSMA publications, Google Jibe APIs, ITU databases, national telecom regulators (ARCEP, FCC, TRAI), technical communities (XDA, 9to5Google), and Freemindtronic’s sovereign messaging field research.

This sovereign scorecard provides a pragmatic decision matrix for CISOs, policy architects, telecom regulators, and national resilience planners. It illustrates how each country calibrates its trust architecture—not just based on innovation but on sovereignty, legal enforceability, and infrastructure survivability.

Human Rights and Constitutional Constraints

Why Messaging Protocols Must Align with Human Rights

Beyond infrastructure and sovereignty, messaging protocols must also comply with fundamental rights. Communications privacy is protected under multiple international instruments—notably:

International Legal Frameworks Protecting Privacy

• Article 17 of the International Covenant on Civil and Political Rights (ICCPR): Protects individuals from arbitrary or unlawful interference with their communications.
• Article 8 of the European Convention on Human Rights (ECHR): Guarantees the right to respect for private and family life, home, and correspondence.

☁️ Centralized Architecture of RCS: A Compliance Problem

However, the technical structure of RCS raises structural compliance concerns. Unlike SMS—which operates on sovereign telecom infrastructure—RCS often relies on centralized cloud services subject to foreign jurisdiction. Notably, under the U.S. CLOUD Act, service providers may be legally compelled to disclose user data—even when hosted outside U.S. territory.

The Extraterritorial Reach of U.S. Law

This mechanism reflects a broader concern: the extraterritorial reach of U.S. law. Domestic legislation like the CLOUD Act can impose legal obligations on service providers operating in Europe and elsewhere—even when handling data of non-U.S. nationals stored locally. This legal extension through cloud infrastructure challenges European principles of data sovereignty and may conflict with the General Data Protection Regulation (GDPR) as well as international human rights standards.

Where RCS Fails to Ensure Constitutional-Grade Confidentiality

As a result, RCS cannot currently guarantee constitutional-grade confidentiality under European and international law—especially in contexts involving:

• Attorney-client privilege
• Health and justice sector communications
• Journalistic source protection
• Military or diplomatic exchanges

These limitations reinforce the legal and ethical preference for SMS or encrypted sovereign messaging tools when communications integrity is non-negotiable.

SMS vs RCS: 2025–2030 Strategic Timeline

To better anticipate geopolitical, regulatory, and technological shifts, this timeline outlines the projected evolution of SMS and RCS between 2025 and 2030—highlighting milestones that could reshape sovereign communications strategy across Europe and beyond.

Applied Sovereign Encryption: DataShielder as a Tactical Layer

In the ongoing debate around SMS vs RCS Strategic Comparison Guide, a crucial aspect often overlooked is user-controlled encryption. Most messaging platforms today — including RCS — rely on third-party infrastructure (cloud, servers, telecom IMS cores), creating multiple attack surfaces and exposure risks, whether through legal surveillance or zero-day exploits.

This is where DataShielder, a dual-use, patented encryption technology, becomes a sovereign alternative.

Local Encryption Before Sending

Unlike native protocols, where encryption keys may be stored or negotiated via external servers (e.g. Google Jibe), DataShielder NFC HSM and DataShielder HSM PGP allow:

• Generating and storing AES-256 encryption keys entirely offline
• Encrypting messages locally before using any transport channel
• Transmitting encrypted content through SMS, RCS, email, printed QR codes, or even physical documents

No cloud, no account, no data exfiltration: the user retains full control of the keys.

Compatible with Any Communication Channel

• RCS: Adds a sovereign E2EE layer even when native encryption is unavailable
• SMS: Secures a legacy protocol with modern cryptographic protection
• Offline or Crisis Mode: Operates without signal or internet using NFC-powered key exchange
• Resilient fallback: In case of DNS poisoning, legal interception, or cyberattack

This makes DataShielder not just a tool, but a cyber-resilience doctrine.

Outcome: Privacy by Design

By embedding a user-held encryption layer, DataShielder turns SMS and RCS — both vulnerable by design — into channels of sovereign digital communication. It aligns with national doctrines that prioritize data sovereignty, encryption autonomy, and legal independence.

Strategic and Legal Glossary

• Fallback — A secondary communication method activated when the primary channel (e.g., RCS or IP-based messaging) is unavailable. Crucial during cyberattacks, infrastructure failure, or surveillance events.
• Chain of custody — A documented trail ensuring the integrity and authenticity of encrypted digital evidence from sender to recipient. Required for forensic admissibility in legal proceedings.
• E2EE (End-to-End Encryption) — A security mechanism that ensures only the sender and recipient can read the message. Prevents access by telecom operators, cloud providers, and unauthorized third parties.
• Cloud Act — A U.S. federal law compelling cloud service providers to hand over data upon request, even if stored outside U.S. borders. Raises critical concerns for sovereignty and constitutional-grade privacy compliance.
• GDPR — The EU General Data Protection Regulation, which mandates strict data protection, user consent, and localization rules. Often cited in legal analysis of SMS vs RCS in cross-border messaging.
• ePrivacy — A proposed EU regulation complementing GDPR, specifically focused on the confidentiality of electronic communications (SMS, RCS, email, etc.). Still pending final implementation.
• RCS Universal Profile — The standardized protocol stack developed by GSMA to unify RCS features like typing indicators, file sharing, and encryption across networks and devices.
• Forensic admissibility — The legal qualification of digital communications (including SMS and RCS) to be used in court. Relies on timestamp accuracy, traceability, and unaltered content.

Technical Appendices and Scientific Sources

• GSMA RCS Universal Profile: https://www.gsma.com/futurenetworks/rcs/universal-profile/
• ETSI TS 123 040 SMS Spec: https://www.etsi.org/deliver/etsi_ts/123000_123099/123040/16.00.00_60/ts_123040v160000p.pdf
• Pinpoint Labs iOS 18 RCS Forensic Challenges: https://pinpointlabs.com/ios-18-rcs-messaging-challenges-for-mobile-collections/
• Vonage RCS vs SMS: https://www.vonage.ca/fr/resources/articles/rcs-vs-sms/
• J2S Telecom – RCS and Business Messaging: https://www.j2stelecom.com/rcs-vs-sms-quelles-differences-pour-votre-communication/
• Why Encrypt Your SMS – Freemindtronic Research (2023)
• 5Ghoul: 5G NR Vulnerabilities and Contactless Encryption – Freemindtronic (2023)
• Communication Security Vulnerabilities 2023 – Analysis and Timeline

(*) Sources used to build the “SMS vs RCS Global Strategic Adoption Map”

• GSMA Mobile Industry Reports – https://www.gsma.com/mobileeconomy/
  RCS/SMS global adoption, operator landscape
• Google Jibe RCS Compatibility Map – https://www.androidcentral.com/googles-rcs-rollout-continues-here-are-all-supported-countries
  Official RCS support per country via Google
• ITU ICT Statistics DataHub – https://www.itu.int/en/ITU-D/Statistics/
  Country-level ICT indicators and coverage
• ARCEP – France – https://www.arcep.fr/cartes-et-donnees/numeriques-et-mobiles.html
  National telecom data and mobile stats
• FCC – USA – https://www.fcc.gov/general/text-messaging-sms-and-mms
  SMS/MMS regulations and market information
• TRAI – India – https://www.trai.gov.in/release-publication/reports/statistical-reports
  Adoption rates and telecom trends in India
• Android Authority – RCS Coverage – https://www.androidauthority.com/tag/rcs/
  RCS device compatibility and updates
• XDA Developers – RCS Articles – https://www.xda-developers.com/tag/rcs/
  Technical details and rollout tracking
• 9to5Google – RCS News – https://9to5google.com/guides/rcs/
  Android ecosystem insights on RCS integration

L’e-mail professionnel comme donnée personnelle : portée, régime hybride et implication de l’arrêt du 18 juin 2025 de la Cour de cassation

Cass. soc., 18 juin 2025, n° 23-19.022  Texte intégral disponible sur courdecassation.fr

Faits, contexte et portée immédiate

Un ancien salarié sollicite l’accès à ses données personnelles, incluant ses e-mails professionnels, dans le cadre d’un droit reconnu par l’article 15 du RGPD. L’employeur refuse en invoquant la finalité strictement professionnelle de ces courriels. La chambre sociale de la Cour de cassation rappelle alors qu’un contenu professionnel n’échappe pas par nature au champ du RGPD, dès lors qu’il permet d’identifier une personne physique. Elle impose à l’employeur de transmettre ces données, sauf justification expresse fondée sur un droit supérieur.

Cadre juridique activé par l’arrêt

La motivation de la Haute juridiction s’appuie sur une convergence entre :

• Le RGPD (art. 4, 5, 15) : toute information rattachable à une personne identifiable est une donnée personnelle. Cela inclut les messages, signatures, objets, adresses, métadonnées.
• La CJUE (affaire Nowak, C-434/16) : un écrit professionnel analysant des performances ou contenant une analyse personnelle constitue bien une donnée personnelle.
• La CEDH (art. 6) : garantir un procès équitable impose l’accès aux preuves utiles détenues par l’autre partie, y compris issues de moyens professionnels.

Le régime des données mixtes : quand le numérique brouille les frontières

Longtemps considérés comme de simples outils de travail, les emails professionnels données personnelles relèvent en réalité de régimes hybrides mêlant vie privée, création intellectuelle et subordination juridique. L’arrêt ouvre aussi la voie à une analyse plus fine : celle de la nature “mixte” de certaines communications professionnelles. Un salarié qui rédige un message dans l’exercice de ses fonctions le fait :

• pour l’entreprise, dans le cadre de la subordination,
• mais avec sa personnalité, son expertise, son ton, voire une forme d’originalité dans l’expression.

Il s’agit dès lors d’un contenu potentiellement hybride, au croisement :

• des droits du salarié sur ses données personnelles,
• de ses droits d’auteur éventuels, selon le régime du Code de la propriété intellectuelle.

Questions clés en droit du travail numérique

• L’e-mail professionnel, lorsqu’il est original dans sa forme, peut-il être qualifié d’œuvre de l’esprit ?
• En l’absence de clause de cession dans le contrat de travail, le salarié conserve-t-il ses droits moraux (nom, intégrité) ?
• L’exploitation par l’employeur de la messagerie transfère-t-elle implicitement les droits patrimoniaux ?
• Le salarié peut-il exiger une copie de ses productions intellectuelles, non seulement en tant que données personnelles mais aussi comme œuvre ?

Ces interrogations ne relèvent pas de la pure spéculation. Elles appellent une vigilance contractuelle accrue et une harmonisation entre droit du travail, RGPD et droit d’auteur.

Conséquences pratiques : nouvelles obligations des employeurs

1. Documenter les traitements de messagerie dans le registre RGPD interne (art. 30).
2. Encadrer contractuellement la propriété intellectuelle des contenus produits sur le poste de travail.
3. Prévoir des protocoles d’extraction et de remise des e-mails aux salariés en cas de départ ou de litige.
4. Éviter toute pratique systématique de verrouillage des boîtes mail post-rupture sans instruction juridique circonstanciée.

Comparaison européenne et diffusion du standard

Les données professionnelles ne sont pas exclues du RGPD. La jurisprudence convergente des États membres confirme que le traitement lié à une activité salariée reste encadré par le droit des personnes.

Recommandations opérationnelles à intégrer

Pour les DPO :

• Mettre en place un processus sécurisé d’extraction et de transfert des courriels, fondé sur le principe de minimisation.
• Anticiper l’accès différencié aux messageries selon les scénarios (départ, arrêt maladie, contentieux…).

Pour les RH / directions juridiques :

• Actualiser les clauses de propriété intellectuelle dans les contrats de travail.
• Rédiger une politique claire d’usage de la messagerie, incluant les droits d’accès post-contrat.

Pour les salariés :

• Conserver une trace de leurs demandes (avec accusé de réception),
• Argumenter à double niveau : droit d’accès au titre du RGPD et, le cas échéant, respect de leurs droits d’auteur sur des contenus originaux.

La preuve électronique et la recevabilité des courriels en justice

Un courriel professionnel, obtenu par le salarié grâce à son droit d’accès au sens de l’article 15 RGPD, peut constituer un mode de preuve recevable en justice, y compris contre l’employeur. Cette recevabilité est conditionnée par les exigences de loyauté et de proportionnalité, principes dégagés par la jurisprudence depuis l’arrêt de principe Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942). Le juge apprécie la régularité de la preuve au regard :

• de son origine (extraction par le salarié dans le respect de ses droits ou obtention légale via le RGPD),
• de sa loyauté (absence de stratagème, absence d’atteinte excessive à la vie privée ou aux droits d’autrui),
• et de sa pertinence (utilité dans le débat judiciaire).

L’article 9 du Code de procédure civile permet au juge d’ordonner toute mesure d’instruction utile, notamment la production forcée d’un courriel conservé par l’entreprise, si celui-ci est inaccessible au salarié.

Typologie des courriels concernés par le droit d’accès

Dans la pratique, les courriels pouvant faire l’objet d’une demande d’accès par le salarié sont variés. Voici un tableau synthétique utile à la qualification des situations :

Grille d’analyse DPO : traitement d’une demande d’accès à la messagerie

Le traitement d’une demande d’accès à des emails professionnels données personnelles impose une méthodologie rigoureuse pour garantir la conformité et la protection des tiers. Pour les professionnels chargés de la conformité, voici un schéma opérationnel pour sécuriser la procédure :

Typologie des courriels concernés par le droit d’accès

Grille d’analyse pour le traitement d’une demande d’accès par le DPO

Tableau comparatif international (UE / hors UE)

Risques juridiques pour l’employeur en cas de refus injustifié du droit d’accès

L’accès du salarié à ses courriels peut affecter la preuve de sa contribution à une invention brevetée. Cela concerne particulièrement :

• la preuve d’antériorité,
• la copropriété,
• la prime d’invention.

Global Stakes: Hybrid Warfare and Digital Sabotage

These incidents align with a broader hybrid warfare strategy. They are not isolated cases but rather part of coordinated efforts involving espionage, sabotage, and infiltration. Stolen electronic equipment—laptops, USB drives, mobile phones, SSDs, even SD cards from drones—offers unauthorized access to military or state-level classified networks.

Malicious USB devices often serve as physical backdoors into critical infrastructures. Similarly, unidentified drone flyovers over sensitive sites suggest advanced surveillance and tactical scanning operations.

As General Philippe Susnjara (DRSD) emphasizes, these threats combine physical theft, cyberattacks, and strategic deception. Their cumulative effect directly undermines sovereignty and national defense. Computerworld Source

Global Inventory of Military Equipment Thefts & Data-Security Breaches (2022–2025)

Global Stakes: Hybrid Warfare and Digital Sabotage

These incidents align with a broader hybrid warfare strategy. They are not isolated cases but rather part of coordinated efforts involving espionage, sabotage, and infiltration. Stolen electronic equipment—laptops, USB drives, mobile phones, SSDs, even SD cards from drones—offers unauthorized access to military or state-level classified networks.

Malicious USB devices often serve as physical backdoors into critical infrastructures. Similarly, unidentified drone flyovers over sensitive sites suggest advanced surveillance and tactical scanning operations.

As General Philippe Susnjara (DRSD) emphasizes, these threats combine physical theft, cyberattacks, and strategic deception. Their cumulative effect directly undermines sovereignty and national defense. Computerworld Source

Inside the Global Shadow War Over Military Devices

A troubling series of incidents—from military bases to defense exhibitions—has led to ministerial alerts. Sébastien Lecornu warns of a sharp increase in thefts affecting both civilian and military personnel. The DRSD highlights that devices often contain strategic data, and their loss could compromise France’s sovereignty.

🇩🇪 Germany

Surveillance drone sightings over sensitive sites and theft of equipment abroad (NATO Paris seminar) point toward sabotage and cross-border vulnerabilities.

🇺🇸 United States

Still coping with fallout from earlier breaches, like the theft of a contractor laptop holding data on over 207,000 reservists. The case remains a benchmark example of digital fallout from physical theft.

🇬🇧 United Kingdom

Supply-chain attacks demonstrate that not only direct military assets are targeted. Contractors handling sensitive information now represent a serious point of failure.

🇨🇦 Canada

Legislators’ phones and tablets were compromised as part of a state-sponsored campaign of intimidation and influence. These acts blur the lines between cyberespionage and political destabilization.

🇺🇦 Ukraine

Live conflict context accelerates hybrid operations. Stolen devices are weaponized instantly for signal intelligence (SIGINT). Groups like GRU’s Sandworm exploit battlefield-captured phones.

🇬🇲 Gambia

Theft of laptops from SIS headquarters represents one of Africa’s rare public breaches. It reveals structural weaknesses in intelligence security protocols.

Multi-region

Drone surveillance and memory card recovery expand the perimeter of military espionage to aerial and autonomous platforms. This represents a shift from physical theft to integrated hybrid reconnaissance.

From Devices to Doctrine: Rethinking Cyber-Physical Defense

Military electronics are now frontline assets. A stolen laptop, drone SD card, or USB key can become the gateway to classified systems. These devices must be treated as intelligence vectors, not just hardware.

The intersection of cyber and physical security demands smarter defense doctrines. Military infrastructure must now integrate AI-enhanced anomaly detection, offline compartmentalization, and self-erasing mechanisms.

Resilience is not just about preventing breaches. It’s about ensuring data can’t be exploited even if devices fall into enemy hands.

Resources & Further Reading

• French Ministry of Armed Forces
• OpexNews (France)
• CSIS Cyber Tracker
• GovInfoSecurity (USA)
• Computerworld – Hybrid Warfare
• 60 Minutes – Drone Data Harvesting
• Askanigambia – SIS Breach

Final Signal: Securing Tomorrow’s Frontlines Today

This global mapping of military device thefts reveals more than just negligence—it signals a shift in modern conflict. Where data flows, power follows. And where equipment travels, so do vulnerabilities.

To protect sovereignty, nations must harden not just systems, but mindsets. Every stolen smartphone, every breached USB, is a reminder: defense begins with awareness, and ends with action.

1. Anàlisi estratègica de la Llei andorrana de doble ús: reforma del Codi de Duana 2025

El Consell General d’Andorra va aprovar la Llei 10/2025 el 13 de maig de 2025, publicada posteriorment al BOPA núm. 68 del 4 de juny de 2025. Aquesta llei suposa un punt d’inflexió clau en l’evolució del dret duaner andorrà, ja que busca l’alineació de la legislació nacional amb el Codi Duaner de la Unió Europea, segons estableix el Reglament (UE) núm. 952/2013 de 9 d’octubre de 2013 (EUR-Lex – CELEX:32013R0952).

En substitució de la Llei 17/2020, aquesta reforma introdueix una arquitectura moderna per a la regulació duanera. Consta de 296 articles repartits en nou títols. Concretament, facilita els tràmits duaners, impulsa la digitalització de les operacions i, sobretot, estableix un marc jurídic sòlid per al control dels fluxos sensibles, especialment pel que fa als béns de doble ús.

Per a més informació oficial, els textos són consultables aquí:

• Text complet de la llei: https://bopadocuments.blob.core.windows.net/bopa-documents/037068/pdf/CGL_2025_05_29_14_35_29.pdf
• Publicació legal al BOPA: https://www.bopa.ad/Documents/Detall?doc=GR_2025_06_11_13_27_27

Així, aquesta nova legislació posiciona Andorra en una lògica de compliment reforçat i integració reguladora progressiva amb la Unió Europea.

2. Elements estructurants del nou Codi de Duana andorrà

Abans d’abordar les disposicions específiques de la Llei andorrana de doble ús, és útil revisar els punts estructurants del nou Codi de Duana, que reforcen l’eficiència i la transparència del sistema duaner andorrà.

2.1 Ampliació del perímetre duaner

• El territori duaner andorrà inclou ara l’espai aeri i les aigües interiors, a més de les fronteres terrestres.
• Aquesta ampliació pretén controlar de manera més estricta els fluxos de mercaderies a través de tots els modes de transport, especialment l’aeri i el multimodal.

2.2 Precisió terminològica essencial

El Codi redefineix conceptes clau per millorar la seguretat jurídica:

2.3 Digitalització dels procediments

• L’ús de sistemes electrònics esdevé obligatori per a totes les operacions.
• Això inclou les declaracions d’importació/exportació, les sol·licituds d’autorització i les sol·licituds de reemborsament.
• Aquesta mesura té per objectiu reduir els terminis de tramitació i reforçar la traçabilitat.

3. Sistema andorrà de drets, garanties i autoritzacions: cap a un control eficaç

Continuem l’anàlisi de la Llei andorrana de doble ús examinant ara l’estructura financera i procedimental que regula els fluxos duaners. Aquest pilar normatiu, lluny de ser secundari, assegura la seguretat dels ingressos públics i aporta previsibilitat i fiabilitat als operadors econòmics.

Aquesta part del nou Codi estableix un triplet coherent: gestió del deute duaner, implementació de garanties i disseny d’autoritzacions administratives. Aquests elements asseguren una governança rigorosa dels fluxos comercials de risc, especialment els relacionats amb tecnologies sensibles.

3.1 Regulació dels deutes duaners i garanties

La Llei 10/2025 introdueix un mecanisme coherent de càlcul, pagament i reemborsament dels drets de duana. A més, estableix normes precises sobre el deute duaner i exigeix, en determinats casos, garanties financeres dels operadors.

3.2 Règims econòmics duaners: fluïdesa amb condicions

• Es clarifiquen els procediments de trànsit, dipòsit duaner, perfeccionament actiu i passiu.
• El codi preveu una racionalització dels règims particulars, millorant la competitivitat de les empreses andorranes amb projecció internacional.

Aquesta estructuració pretén establir una logística més fluïda tot mantenint un alt nivell de supervisió.

3.3 Gestió de les autoritzacions duaneres: un gir normatiu

La nova llei estableix un sistema estructurat per a les sol·licituds, tramitació i emissió d’autoritzacions duaneres, fonamental per garantir la seguretat jurídica dels operadors econòmics.

L’administració duanera pot atorgar autoritzacions generals o específiques segons el tipus d’operació i el nivell de risc associat.

Un registre digital centralitzat recull totes les autoritzacions emeses, assegurant-ne la traçabilitat i verificabilitat.

El codi imposa un termini màxim de resposta per evitar bloquejos administratius.

4. Regulació específica de la Llei andorrana de doble ús

Ara entrem al nucli del dispositiu legal relatiu als béns de doble ús, un aspecte sensible de la Llei 10/2025.

4.1 Article 267.3.f: marc jurídic essencial

Text de referència: Reglament (UE) 2021/821

Aquesta disposició va entrar en vigor immediatament després de la publicació de la llei, el 5 de juny de 2025, segons la seva disposició final.

4.2 Decret d’aplicació 207/2025: modalitats pràctiques

El Decret 207/2025, publicat el 12 de juny de 2025, especifica els tràmits associats a l’autorització. Text oficial: BOPA Andorra – GR_2025_06_11_13_27_27

Aquest text preveu que:

• Tota exportació de béns inclosos a l’annex I del Reglament (UE) 2021/821 requereix autorització duanera;
• S’estableix una excepció per a les destinacions dins de la Unió Europea;
• Es poden atorgar autoritzacions de llarga durada (fins a 12 mesos) per a fluxos regulars;
• És obligatori declarar l’usuari final per garantir la traçabilitat dels usos finals.

4.3 Freemindtronic: un exemple de conformitat proactiva

Abans fins i tot de l’entrada en vigor de la Llei andorrana de doble ús, Freemindtronic ja havia iniciat, des de 2021, una acció exemplar. Avançant-se a les obligacions reguladores, l’empresa va estructurar els seus fluxos comercials sensibles dins un marc ètic i jurídic rigorós.

Freemindtronic va proposar una Carta Ètica, acompanyada d’una documentació formalitzada des de 2022, per regular l’ús i exportació de les seves tecnologies criptogràfiques sensibles.

Mesures concretes:

• Implementació d’un dispositiu d’informació regular a les autoritats andorranes;
• Llicència d’exportació especial obtinguda el 2022 per a Eurosatory a través de COGES Events sota l’empara del GICAT, validada pel General Charles Beaudouin (LinkedIn);
• Reconeixement implícit per part de l’ANSSI de la conformitat dels mòduls criptogràfics, en absència d’oposició en el termini previst pel Decret francès núm. 2007-663 del 2 de maig de 2007.

4.4 Documentació de conformitat internacional: model francès i procediment ANSSI

Per garantir una conformitat jurídica total en l’exportació de tecnologies sensibles, Freemindtronic també s’ha recolzat en els requisits francesos pel que fa al control dels mitjans de criptologia.

Els expedients s’han d’enviar a:

• Per correu electrònic: controle [at] ssi.gouv.fr
• O per correu postal: ANSSI, Bureau des contrôles réglementaires, 51 boulevard de la Tour-Maubourg, 75700 Paris 07 SP

El formulari principal, Annexe I, és disponible aquí: formulari PDF.

Aquest document inclou:

• Identificació completa del sol·licitant;
• Descripció tècnica dels productes;
• Modalitats d’exportació previstes;
• Compromisos de conformitat amb la legislació de la UE i nacional.

Gràcies a aquest rigor, Freemindtronic ha pogut exportar legalment els mòduls DataShielder NFC HSM Defense, amb la validació del seu soci exclusiu AMG Pro.

5. Cooperació andorrana i recursos pedagògics: una obertura estratègica

Mentre l’aplicació de la Llei andorrana sobre els béns de doble ús tot just comenca, els actors públics i privats poden tenir un paper estratègic en la difusió de bones pràctiques. Aquesta dinàmica representa una gran oportunitat per estructurar un ecosistema virtuós d’acompanyament normatiu i de sensibilització dels operadors econòmics.

En particular, Andorra disposa d’un potencial de co-construcció entre institucions i empreses innovadores, amb respecte a les seves prerrogatives respectives. En aquest context, esdevé pertinent desenvolupar eines d’ajuda per a la comprensió de la regulació i oferir informació clara i estructurada als professionals implicats.

5.1 Absència de guies institucionals: un buit a omplir

La regulació andorrana sobre els béns de doble ús, tot i estar publicada al BOPA, pateix actualment una manca de documentació aplicada. Encara no s’han publicat punts d’informació especialitzats, tutorials administratius o guies de conformitat per part de les institucions públiques.

5.2 Contribució de Freemindtronic: contingut pedagògic, guia pràctica i sensibilització

Basant-se en la seva experiència reguladora, Freemindtronic ha iniciat la redacció d’una guia pràctica de conformitat, co-marcable amb entitats com la Duana Andorrana (enllaç oficial).

Aquesta iniciativa té per objectiu:

• Explicar de manera entenedora els procediments de sol·licitud d’autorització;
• Proposar models tipus de documents conformes al Decret 207/2025;
• Difondre les obligacions essencials per a l’exportació de béns sensibles.

5.3 Eines digitals disponibles

Paral·lelament, Freemindtronic ha publicat diversos recursos accessibles en línia sobre la regulació internacional dels productes de doble ús, en particular:

• ITAR & Dual Use Encryption
• EU Dual Use Encryption Regulation
• Acord de llicència de tecnologia de doble ús

Aquests recursos es presenten com a complements informatius fiables als textos oficials i contribueixen a la implementació de la Llei andorrana sobre els béns de doble ús.

Alineació del règim andorrà amb la normativa internacional

El règim andorrà de control de les exportacions de doble ús  forma part d’un marc regulador global, on cada jurisdicció imposa estàndards específics per a la regulació i el seguiment dels fluxos comercials sensibles. A causa del seu acord duaner amb la Unió Europea, Andorra es beneficia de peculiaritats que influeixen en el seu enfocament de les exportacions i les exempcions aplicables.

No obstant això, la normativa vigent a les grans potències econòmiques – la Unió Europea, els Estats Units, el Regne Unit, Suïssa, els països de la Commonwealth – influeix en les obligacions dels exportadors andorrans. Aquesta dinàmica es reflecteix en:

• L’adopció d’estàndards internacionals com els estàndards de Wassenaar i el Reglament de la UE 2021/821.
• Harmonització gradual dels procediments d’exportació a mercats estratègics.
• Restriccions a determinades categories de mercaderies segons destinacions i controls extraterritorials.

Per tal de comparar aquestes regulacions i avaluar el seu impacte en el comerç intracomunitari, a la taula següent es presenta un resum de la normativa internacional, les seves dates d’entrada en vigor i les seves implicacions per a Andorra.

Marc normatiu de les principals jurisdiccions

Efecte extraterritorial i singularitat andorrana

L’  efecte extraterritorial  de la normativa nord-americana (AEOI) i europea (Reglament UE 2021/821) afecta la gestió de les exportacions d’Andorra. No obstant això, gràcies a l’Acord Duaner de 1990, Andorra es beneficia d’una unió duanera parcial amb la UE, que permet la lliure circulació de  productes industrials (capítols 25 a 97 de l’aranzel duaner) un  cop introduïts a la cadena europea, sense tràmits addicionals.

Així, una anàlisi en profunditat suggereix que és possible exportar productes de doble ús d’Andorra a la Unió Europea sense autorització prèvia, subjecte a les condicions següents:

• Compliment de les normes europees.
• Identificació mitjançant un número EORI.
• No hi ha restriccions específiques enumerades a l’annex IV del Reglament Europeu.

Aquesta peculiaritat normativa diferencia Andorra dels Estats membres de la UE, que han d’aplicar estrictes règims de control de les exportacions. No obstant això,  encara cal una major vigilància, especialment pel que fa als desenvolupaments legislatius internacionals que podrien reforçar els requisits duaners.

6. Alineació del règim andorrà amb les regulacions internacionals

La promulgació de la Llei andorrana sobre els béns de doble ús (Llei 10/2025) marca una evolució significativa dins de l’arquitectura normativa del país, en establir les primeres bases per a un control d’exportació reglamentat. Aquesta secció analitza l’abast material, els actors institucionals implicats i els efectes concrets per als operadors econòmics, en un context d’integració progressiva al marc europeu.

6.1 Lliure circulació dins de la UE

El Reglament (UE) 2021/821 permet, en general, la lliure circulació dels béns de doble ús dins del mercat interior de la UE, excepte per a productes especialment sensibles inclosos a l’Annex IV. Això implica que, un cop un bé forma part de l’àmbit de la UE, la seva reexportació cap a un altre Estat membre no requereix autorització addicional, llevat de casos particulars.

6.2 Andorra i la Unió Duanera Parcial

L’Acord del 1990 estableix una unió duanera parcial entre el Principat d’Andorra i la Unió Europea, que cobreix els capítols 25 a 97 del Tarifa Duaner Comuna. Aquest acord permet la lliure circulació de mercaderies, suprimint barreres aranzelàries per als productes concernits.

Segons les anàlisis del CEPS, els productes prèviament importats a Andorra des d’un Estat tercer i que disposin d’un número EORI poden circular lliurement per la UE sense formalitats addicionals, excepte els productes del tabac, que resten sotmesos a regulacions específiques.

6.3 Implicacions per als béns de doble ús

Una conclusió a verificar és si, sobre la base de l’acord duaner i el reglament europeu, esdevé possible exportar béns de doble ús des d’Andorra cap a la UE sense autorització prèvia andorrana, sota certes condicions:

• Conformitat amb les regulacions europees;
• Identificació clara mitjançant número EORI;
• Absència de restricció específica (Annex IV del Reglament (UE) 2021/821).

Si aquestes condicions es compleixen, representaria una singularitat notable en relació amb les regulacions dels Estats membres de la UE.

6.4. Beneficis directes per als industrials andorrans del sector dual i defensa

La reforma duanera impulsada per la Llei 10/2025 i el seu decret d’aplicació proporciona als industrials andorrans condicions operatives estratègiques en un entorn altament regulat a escala internacional..

En aquest sentit, diversos dispositius criptogràfics “fabricats a Andorra” de la gamma DataShielder NFC HSM o PGP HSM, malgrat estar classificats dins de la categoria 5, part 2 del Reglament (UE) 2021/821, no estan inclosos a l’Annex IV i per tant es beneficien plenament de l’exempció europea contemplada per aquesta nova normativa andorrana:

• DataShielder NFC HSM Master
• DataShielder NFC HSM Lite
• DataShielder NFC HSM Auth
• DataShielder NFC HSM Starter Kit
• DataShielder NFC HSM M-Auth
• DataShielder PGP HSM – Data Encryption

Impactes concrets:

• Acceleració dels terminis de comercialització a la UE, suprimint una etapa d’autorització local sovint llarga i incerta;
• Avantatge competitiu sobre els exportadors de la UE, que encara han de sol·licitar autoritzacions intraeuropees per als mateixos béns;
• Simplificació dels tràmits duaners a través de la integració del règim EORI, valoritzable en tots els Estats membres;
• Reforç de l’atractiu territorial per a implantacions industrials sobiranes, a la proximitat immediata del mercat europeu.

8. Enfocament comparatiu i prospectiu: cap a una doctrina andorrana del doble ús

La reforma del Codi de Duana mitjançant la Llei 10/2025, del 13 de maig, juntament amb el Reglament d’execució sobre l’exportació de béns de doble ús (Decret 207/2025), ofereix una oportunitat inèdita per al Principat d’Andorra de construir una doctrina pròpia en matèria de control estratègic, alineada però diferenciada dels règims europeus (UE), francès, espanyol i suís.

Comparacions doctrinals i marcs jurídics

França: el règim francès es fonamenta en el Codi de la defensa, l’ordre del 8 de juliol de 2015 per a les AIMG i l’ordre del 2 de juny de 2014 per a les LEMG, combinats amb decisions puntuals de suspensió de derogacions. Distingix rigorosament entre materials classificats (cat. ML) i béns de doble ús (cat. DU), i imposa procediments complexos i centralitzats, incloses les importacions temporals de materials amb finalitats d’exhibició.

Espanya: sota l’empara del Reial decret 679/2014, Espanya també aplica el Reglament (UE) 2021/821, amb una interpretació administrativa sovint conservadora. La classificació en matèria de criptologia o de components electrònics és sistemàtica, i l’exportació cap a països tercers (fora de la UE) està subjecta a un seguiment reforçat.

Suïssa: tot i no ser membre de la UE, Suïssa adopta una política d’equivalència basada en la Güterkontrollverordnung (GKV) i l’Ordenança sobre el material de guerra (OMG). L’autoritat SECO supervisa un règim fluid però rigorós, amb èmfasi en la transparència comercial i la conformitat extraterritorial.

Unió Europea: el Reglament (UE) 2021/821 (versió consolidada) estableix una base harmonitzada fonamentada en les llistes de control, els criteris de seguretat internacional i l’anàlisi de risc per país.

Reptes específics per a Andorra: cap a una doctrina nacional del doble ús

La Carta Ètica entre Freemindtronic i el Govern d’Andorra prefigura aquesta doctrina, integrant els principis de transparència, no proliferació, desenvolupament sostenible i sobirania jurídica. Constitueix una base rellevant per estendre la regulació a segments tecnològics emergents, com ara sistemes d’autenticació distribuïda, mitjans criptològics d’ús ciberdefensiu, o tecnologies fonamentades en ADN digital.

Perspectives d’evolució reguladora

La UE preveu ampliar l’àmbit d’aplicació del règim de doble ús a tecnologies crítiques com la intel·ligència artificial, la ciberseguretat i la cadena de blocs, en el marc de l’estratègia de seguretat econòmica europea (Comunicació COM(2023) 249 final). Andorra haurà d’anticipar aquests moviments per mantenir l’equivalència reguladora.

Reptes futurs i sobirania tecnològica andorrana

La dinàmica actual impulsa el país a estructurar una capacitat nacional de doctrina, supervisió i innovació reguladora sobre el doble ús, incloent:

• IA i sistemes autònoms amb possibles usos militars o cibernètics;
• Ciberseguretat avançada fora de xarxa amb arquitectura de confiança de maquinari (DataShielder NFC HSM);
• Sobirania de les cadenes de valor i reducció de dependències extraterritorials (núvol, components, certificacions);
• Normes d’exportació sobiranes integrant anàlisi del risc ètic i geopolític.

Glossari d’acrònims i termes especialitzats

• AIMG : Autorització d’importació de material de guerra (França)
• LEMG : Llicència d’exportació de material de guerra (França)
• DU : Béns de doble ús (amb finalitat civil i militar)
• Codi de Duana : Codi duaner d’Andorra
• Reglament (UE) 2021/821 : Règim europeu de control dels béns de doble ús
• EAR / ITAR : Normatives d’exportació nord-americanes amb abast extraterritorial
• SECO : Autoritat suïssa encarregada del control d’exportacions (via GKV i OMG)
• GKV : Ordenança suïssa sobre el control de béns (Güterkontrollverordnung)
• OMG : Ordenança suïssa sobre el material de guerra
• TARIC : Tarifa duanera integrada de la Unió Europea
• EORI : Número d’identificació duaner europeu requerit per a importació/exportació
• PDU : Plataforma francesa de declaració d’exportacions de béns de doble ús
• COM(2023) 249 final : Comunicació de la Comissió Europea sobre l’estratègia de seguretat econòmica
• Carta ètica DU : Acord entre el Govern d’Andorra i Freemindtronic per a la regulació sobirana de tecnologies duals concebudes, desenvolupades i fabricades a Andorra