Les deux algorithmes (surtout celui d'ASCOM) sont libres de licences40 en Suisse et dans la plupart des pays occidentaux, à part aux Etats-Unis, où une compagnie, RSA DSI, a breveté l'algorithme RSA, interdisant l'utilisation sans paiement de licence, et l'exportation à cause de la loi sur les munitions (ITAR) et dans certains pays restrictifs sur les moyens de chiffrement (en particulier la France, où tout procédé de chiffrement ou d'authentification doit faire l'objet d'une autorisation, et la Russie, où des lois restrictives ont été récemment adoptées).
Par sa nature, permettant d'assurer une certaine protection de la sphère privée et simultanément autorisant l'authentification de personnes, ce logiciel a créé beaucoup de controverses.
Le logiciel lui même est disponible sans licence sous forme source pour UNIX ainsi que d'autres plateformes (comme MacOS, MS-DOS, AmigaOS, etc.).
Notons que plusieurs versions existent, notamment la 2.3a et la 2.6ui. Cette dernière est la version recommandée (i pour international, donc le code RSA n'a pas été illégalement exporté des Etats-Unis, mais écrit sur territoire étranger, afin de contourner les lois ridicules d'exportation US - lois qui ont été assouplies depuis).
Les versions de PGP antérieures à la 2.6 enfreignent donc les lois US protégeant les droits d'auteurs de la firme RSA DATA SECURITY INTERNATIONAL, l'exploitant des brevets RSA. Pour cette raison de droits d'auteurs, les fichiers produits par la version 2.6 ne sont plus compatibles avec la version 2.3. Cela rend cette dernière moins intéressante et pousse les utilisateurs à mettre à jour leurs logiciels et donc à renoncer à des versions exploitant peut-être illégalement certains algorithmes [31].
Quant aux rumeurs ayant prétendu que les dernières versions ne sont pas aussi sûres que les précédentes, elles ont été démenties par l'auteur. Les sources sont là pour le vérifier. De plus, l'archive PGP est en général signée.