Una precisazione: a meno che il suo scopo non sia cambiato negli ultimi anni, ma ne dubito, popularity-contest non serve agli sviluppatori di Debian per decidere cosa installare di default nella prossima release di Debian, ma serve a loro per decidere quali pacchetti includere nel file ISO, il quale file ha una dimensione massima prefissata, per cui non si può includere tutto. Il fatto poi che un pacchetto sia incluso non significa assolutamente che sia installato di default. Resta sempre l'utente a scegliere cosa installare, scegliendo fra quello che trova incluso nel file ISO. Il resto potrà comunque installarlo in seguito prendendolo via internet. Sul tema sicurezza, per quanto ricordo da quando mi ero interessato alla questione, direi che è più sicuro di una normale navigazione sul sito di Debian. Le informazioni che spedisce sono anonime e non legate in alcun modo al computer in uso, cosa che invece non è vera quando si naviga con un normale browser senza la modalità in incognito. Personalmente io, quando installo una nuova Debian, decido di partecipare o meno alla raccolta dati di popularity-contest in base al fatto che sia un'installazione "seria" o solo un test usa e getta. Per le installazioni serie partecipo, mentre per i test usa e getta no, per non inquinare le statistiche.