>Кстати где гарантии, что метаданные не сливаются в популярных дистрибутивах Linuх?

Гарантий нет.

Но вряд ли тот, кто решил доработать под себя софт, просмотрел исходники в поисках нужного места для правки и неожиданно обнаружил что-то странное, будет об этом молчать - ничем не скован.

В случае с закрытыми исходниками работник, имеющий к ним доступ, если и может кому-то сказать, то только своему боссу. А там дальше уже всё зависит от интересов бизнеса: может быть это какой-то уволившийся сотрудник закладку оставил и тогда начнут аудит всего его кода, может быть это сделано по указке менеджеров и тогда всё оставят как есть, а может быть просто кто-нибудь в иерархии людей, принимающих решения, будет очень сильно занят и этот вопрос так и останется погребённым под кипой подобных вопросов где-то высоких кабинетах за длинными коридорами.

Но на самом деле проверить, сливается что-то или нет, гораздо проще. Нужно настроить пустую систему без фаервола, подключить её к интернету и послушать сетевой трафик. Дальше можно разбираться предметно. По крайней мере IP-адреса и доменные имена в исходном коде найти будет проще, чем в двоичном, если их специально не обфусцировали.

В случае с Windows достоверно известно, что что-то сливается. Что-то из этого можно отключить всякими галочками и ключами реестра, а что-то не отключается в принципе. Microsoft от ответов витиевато уклоняется или просто игнорирует вопросы. Исходников нет.

В случае с дистрибутивами Linux дело попроще. Обычно самопроизвольную сетевую активность удаётся довольно просто идентифицировать и её легитимность не вызывает сомнений.

Пожалуй, самое интересное и вопиющее исключение из этого правила - это браузер Chromium, который даже будучи свободным вариантом проприетарного браузера Chrome, остаётся привязанным к сервисам Google и сливает в него как минимум поисковые запросы, а при однократном входе в любой сервис Google, ваши запросы оказываются однозначно привязанными к вашей учётной записи в Google. Кроме этого у Google каким-то чудесным образом оказываются ваши пароли от всех посещённых вами сайтов, а заботливый Google безо всякого стыда, совершенно не пытаясь скрыть факта сбора паролей, присылает вам письмо с рекомендацией поменять слабые, уязвимые и утёкшие в сеть пароли.