¡Sí! Aplicaciones del sistema con nivel de protección firma (el APK del Sistema debe estar firmado con la misma clave utilizada para firmar el ROM/Firmware), pueden leer/escribir/ejecutar/eliminar todos los datos almacenados en /data/data u otras carpetas en el dispositivo.

Tenga en cuenta que las aplicaciones de terceros (aplicaciones personalizadas por el fabricante) encontradas en system/priv-app con nivel de protección firmaOSystema (Obsoleto en Android 6.0). pueden no ser capaces de hacer esto a menos que tengan nivel de protección firma lo que significa firmado con la misma clave que el ROM/Firmware.

Ejemplos: He visto algunos fabricantes chinos con soluciones de clonación de datos incorporadas que pueden hacer una copia de seguridad de todo el APK y sus datos en otro teléfono, y en mi opinión, esto es un riesgo de seguridad que no debería existir en los dispositivos android.

EDICIÓN 1: Como mencioné antes, echemos un vistazo a un APK de Android que es capaz de copiar otras carpetas de datos de APKs, se llama Amiclone "com.gionee.dataghost" del fabricante chino de smartphones Gionee (que por cierto, enfrentó la bancarrota y liquidación en 2018)

• Tenemos la siguiente información, de la versión 2.1.0w_pub build 20100022

  • Permisos:

    android.permission.ACCESS_COARSE_LOCATION
    android.permission.ACCESS_MTK_MMHW
    android.permission.ACCESS_NETWORK_STATE
    android.permission.ACCESS_SUPERUSER
    android.permission.ACCESS_WIFI_STATE            
    android.permission.BLUETOOTH
    android.permission.BLUETOOTH_ADMIN
    android.permission.CHANGE_NETWORK_STATE
    android.permission.CHANGE_WIFI_STATE
    android.permission.GET_TASKS
    android.permission.INSTALL_PACKAGES
    android.permission.INTERNET
    android.permission.KILL_BACKGROUND_PROCESSES
    android.permission.MANAGE_DOCUMENTS
    android.permission.MODIFY_PHONE_STATE
    android.permission.MOUNT_FORMAT_FILESYSTEMS
    android.permission.MOUNT_UNMOUNT_FILESYSTEMS
    android.permission.READ_CALENDAR
    android.permission.READ_CALL_LOG
    android.permission.READ_CONTACTS
    android.permission.READ_EXTERNAL_STORAGE
    android.permission.READ_LOGS
    android.permission.READ_PHONE_STATE
    android.permission.READ_SMS
    android.permission.RECEIVE_BOOT_COMPLETED
    android.permission.RECORD_AUDIO
    android.permission.UPDATE_APP_OPS_STATS
    android.permission.WAKE_LOCK
    android.permission.WRITE_CALENDAR
    android.permission.WRITE_CALL_LOG
    android.permission.WRITE_CONTACTS
    android.permission.WRITE_EXTERNAL_STORAGE
    android.permission.WRITE_MEDIA_STORAGE
    android.permission.WRITE_SECURE_SETTINGS
    android.permission.WRITE_SETTINGS
    android.permission.WRITE_SMS
    com.gionee.youju.statistics.permission.READ_PROVIDER
    com.gionee.youju.statistics.permission.WRITE_PROVIDER

  • Firma:

    Número de firmantes: 1
    Certificado del firmante #1 DN: EMAILADDRESS=gionee@gionee.com, CN=Gionee, OU=Gionee, O=Gionee, L=ShenZhen, ST=GuangDong, C=CN
    Resumen SHA-256 del certificado del firmante #1: c2d992c8a4cda2eed55f69357d6759937878e9a0f0b629524e88aa81ed65f802
    Resumen SHA-1 del certificado del firmante #1: 1bb8b4f46eafc2a06a46ba68fd8de543a5c65cbd
    Resumen MD5 del certificado del firmante #1: b49792a5687b641492e10a29152f7454
    Algoritmo de clave del firmante #1: RSA
    Tamaño de la clave del firmante #1 (bits): 2048
    Resumen SHA-256 de la clave pública del firmante #1: 858b75200e11e0e62f6377b0b56beb728085823bddc31669d8348ee28b651815
    Resumen SHA-1 de la clave pública del firmante #1: c780dfb20637a7cedcaf78298ec1bfcb7b069da1
    Resumen MD5 de la clave pública del firmante #1: ceb817433cbe5a6a3c42cc7a562617ab

Además, este APK tiene un binario busybox incorporado, y es capaz de volcar todos los datos de usuario desde las carpetas /data/data mientras se transfieren aplicaciones desde un dispositivo Gionee a otro.

Conclusión:

Sí, un APK del sistema puede copiar otras aplicaciones y sus datos, pero no se trata únicamente de la firma como @Irfan ha señalado en su comentario, hay permisos de diferentes niveles (algunos de ellos requieren protección a nivel de firma) etc... Pero, como las respuestas de los entusiastas de Android son generalmente para usuarios finales, no es necesario proporcionar todos los detalles para responder a una pregunta.