La question est en fait de savoir si "third-party" concerne les données ou les requêtes.

Je penche pour les requêtes parce que:
- il y a un sens à étudier les accès en fonction des requêtes de tiers: on ne maîtrise pas ces requêtes et a priori on n'en connait pas grand-chose ou en tous cas on a intérêt à en apprendre plus
- inversement il n'y aurait que peu d'intérêt à étudier les accès à des données tierces dont l'origine serait dans l'entreprise: autant étudier les requêtes directement et dans ce cas il n'y a alors plus aucune différence avec des requêtes sur des données internes

Donc je crois que l'ambiguïté grammaticale peut être levée par l'analyse technique: une étude fait sens, l'autre n'a pas d'intérêt pratique