Dabei erscheint die Ausweitung der geheimdienstlichen Befugnisse besorgniserregend. Durch die Gesetzesänderung haben Polizeien und der Inlandsgeheimdienst kontinuierlichen Zugang zu Metadaten. Dabei ist keine Erlaubnis durch den Provider notwendig und kein Richtervorbehalt festgeschrieben.
Vor Kurzem hat die europäische Digital Rights Organisation EDRi Statistiken zur Kommunikationsüberwachung veröffentlicht. Diese belegen eine enorme Steigerung geheimdienstlicher Datenanfragen, schon vor der Reform. Laut der polnischen Stiftung Panoptykon sank zwar die Zahl der Anträge für Telekommunikation von 2014 zu 2015 leicht, die Anfragen zu Internetdaten hingegen vervierfachten sich.
Die Statistiken umfassen Anfragehäufigkeiten zu Abrechnungen, Nutzerdaten, Ortsbestimmungen und „sonstigen“ Anfragen der letzten fünf Jahre und wurden in einerÜbersicht zusammengefasst. Zu den analysierten polizeilichen und geheimdienstlichen Behörden zählen Polizei (Policja), Grenzschutz (Straż Graniczna) , Inlandsgeheimdienst (Agencja Bezpieczeństwa Wewnętrznego), Zentrale Antikorruptionsbehörde (Centralne Biuro Antikorupcyjne), Militärpolizei (Żandarmeria Wojskowa), Finanzbehörden, Militärischer Abschirmdienst (Służba Kontrwywiadu Wojskowego) und Zollamt (Izba Celna), wobei die vier Erstgenannten über 98% der Anfragen stellten.
Datenanfragen schon bei minderschweren Straftaten – keine richterliche Kontrolle
Laut EDRi sind die Geheimdienste am Häufigsten an Abrechnungs- und Benutzerinformationen interessiert. Forschungen zufolge wurden Daten nicht nur im Rahmen schwerer Kriminalität oder Terrorismusverdacht angefordert, sondern auch im Zusammenhang mit minderschweren Straftaten. Die polnischen Geheimdienste sind darüber hinaus nicht verpflichtet, vollständige Informationen über die Art und Gründe der Überwachung zu veröffentlichen.Das polnische Recht schreibt allgemein keine Kontrolle geheimdienstlicher Aktivitäten vor. Das widerspricht den Urteilen des Europäischen Gerichtshofs (EuGH, Urteil C-293/12 vom 8.4.2014PDF) und des polnischen Verfassungsgericht (30.7.2014). Letzeres hatte entschieden, dass die Befugnisse von Polizei und Geheimdiensten bei Abhöraktivitäten zu weit gingen. Alleine 2014 gab es zwei Millionen behördliche Anfragen nach Telekommunikationsdaten.
Laut dem neuen Gesetz sind die datenverarbeitenden Behörden verpflichtet alle sechs Monate einen Bericht über ihre Tätigkeiten zu veröffentlichen. Diese nachträgliche Kontrolle widerspricht dem Vorschlag des EuGH. Dieser hatte bei entsprechenden Praktiken für die vorherige Einholung der Zustimmung einer richterlichen Instanz plädiert. Ausgenommen von dem Bericht sind ausserdem Erfassungen von Benutzerdaten, welche 40 Prozent der Anfragen ausmachen.