Existe SDK dentro do aplicativo que coleta localização e repassa para anunciante. O desenvolvedor não ativou nada: a configuração já veio ligada de fábrica. A Electronic Frontier Foundation mapeou o problema e avisou que muita gente que publica aplicativo não faz ideia de que o código de terceiro embutido faz isso.
O caso concreto: alguém instala um SDK de análise para entender como as pessoas navegam. Por padrão, ele coleta coordenadas de GPS mesmo quando o aplicativo não precisa de localização para funcionar. Ninguém abriu as configurações avançadas, porque o manual diz apenas que ele coleta dados de uso e desempenho. O aplicativo começa a enviar localização precisa para servidores de publicidade, e a descoberta chega por reclamação de usuário ou por uma atualização barrada na loja.
A conta cai em quem não decidiu nada: o desenvolvedor arca com remover o SDK, refazer o aplicativo e administrar o estrago de reputação. O fornecedor do SDK sai ileso.
A prática que resta a quem publica aplicativo é chata e anterior ao código: exigir do fornecedor a documentação completa do que o componente coleta e uma declaração de que o padrão não recolhe nada além do essencial. Se a resposta for vaga, procurar outro. Supor que um serviço não guarda dado é como o problema começa.
O ponto não é demonizar SDK. É que padrão inseguro empurra a responsabilidade para quem nem sabe que a tem. A pessoa acha que publicou um aplicativo de previsão do tempo. No fim, está vendendo histórico de localização.
Revisar cada SDK que entra é trabalho maçante. Continua sendo mais barato que o processo que vem depois.