Cualquier aplicación con permiso ACCESS_FINE_LOCATION
puede activar el GPS, a menos que hayas desactivado explícitamente la localización GPS en la configuración de tu dispositivo. Para buscar posibles candidatos, puedes utilizar un Verificador de permisos . Hay por ejemplo Explorador de permisos que te permite examinar las aplicaciones instaladas por permisos, para que puedas limitar tu vigilancia a los candidatos relevantes.
Explorador de permisos: categorías, aplicaciones con permiso; LBE (fuente: Google Play; haga clic en las imágenes para ampliarlas)
Si tu dispositivo está rooteado, también hay otros medios. Yo, por ejemplo, uso LBE para proteger mi intimidad. En cuanto a la ubicación, puedo restringir por aplicación si una aplicación puede acceder a ella siempre, nunca o si quiero que se me pregunte cuando lo intente. Este último método debería descubrir al culpable, e incluso en caso de que te hayas perdido el evento, siempre puedes consultar los registros de LBE (accesibles desde dentro de la aplicación).