¿Puede copiar las fotos una aplicación que tenga permiso para acceder a ellas?

Lo que estás viendo es el permiso estático para obtener acceso de lectura/escritura al almacenamiento compartido ( /sdcard respectivamente /storage/emulated/0 ).

Desde Android 6 aproximadamente, este permiso estático que concedes al instalar la aplicación ya no es suficiente para acceder realmente a los archivos del almacenamiento compartido. En su lugar, la aplicación tiene que pedirte adicionalmente que accedas a esos archivos en tiempo de ejecución. Y esta vez puedes elegir denegar el acceso. Además, las aplicaciones suelen pedir este permiso cuando realmente lo necesitan. Esto significa que si el acceso al almacenamiento compartido sólo es necesario para una funcionalidad que nunca utilizas, no deberías ver este cuadro de diálogo de solicitud de permiso y, por lo tanto, la aplicación nunca obtiene acceso al almacenamiento compartido.

Pero si recibes esta solicitud de permiso y la permites, la aplicación tendrá acceso total a todos los archivos del almacenamiento compartido, incluidas tus fotos almacenadas. Una aplicación puede hacer lo que quiera con los archivos a los que tiene acceso, incluso enviarlos a un servidor en Internet.

Google también reconoció que el "permiso todo o nada" no era una buena decisión. A partir de Android 10/11 la forma de acceder al almacenamiento compartido de los dispositivos ha cambiado totalmente y ahora permite conceder/denegar el acceso a un nivel granular más fino.