Healthcare professionals experiences with EHR-system access - PowerPoint PPT Presentation

Healthcare ¡professionals’ ¡experiences ¡with ¡ EHR-­‑system ¡access ¡control ¡mechanisms ¡ Arild ¡FAXVAAG a, , ¡Trond ¡S ¡JOHANSEN a , ¡Vigdis ¡HEIMLY b , ¡Line ¡MELBY a ¡ and ¡Anders ¡ GRIMSMO a ¡ ¡ a ¡Norwegian ¡EHR ¡Research ¡Centre, ¡Faculty ¡of ¡Medicine, ¡University ¡of ¡Science ¡ and ¡Technology ¡(NTNU), ¡Trondheim, ¡Norway ¡ b ¡Department ¡of ¡Computer ¡and ¡InformaNon ¡Science, ¡Faculty ¡of ¡InformaNon ¡ Technology, ¡MathemaNcs ¡and ¡Electrical ¡Engineering, ¡NTNU, ¡Trondheim, ¡ Norway ¡

introducNon ¡

• clinical ¡work ¡depends ¡on ¡access ¡to ¡relevant ¡and ¡ updated ¡informaNon ¡about ¡the ¡paNent ¡ ¡ • clinical ¡work ¡brings ¡new ¡informaNon ¡about ¡the ¡ paNent, ¡to ¡be ¡stored ¡in ¡his/her ¡record ¡ ¡ • data ¡are ¡of ¡very ¡sensiNve ¡nature ¡ ¡ • data ¡must ¡be ¡made ¡available ¡to ¡those ¡providing ¡ care ¡while ¡at ¡the ¡same ¡Nme ¡kept ¡protected ¡ from ¡unauthorized ¡access ¡ ¡ ¡

privacy, ¡informaNon ¡security ¡and ¡ duty ¡of ¡secrecy ¡ • three ¡categories ¡of ¡subjects ¡(with ¡both ¡rights ¡and ¡duNes): ¡ ¡ – the ¡paNent, ¡healthcare ¡personnel ¡and ¡healthcare ¡insNtuNons ¡ • two ¡regulaNng ¡regimes: ¡ ¡ – healthcare ¡acts ¡and ¡regulaNons, ¡personal ¡data ¡protecNon ¡acts ¡ • ¡privacy ¡is ¡a ¡right ¡ – both ¡for ¡paNents ¡and ¡healthcare ¡professionals ¡ • healthcare ¡ins,tu,ons : ¡duty ¡to ¡soundness, ¡are ¡responsible ¡ for ¡the ¡systems, ¡shall ¡maintain ¡informaNon ¡security, ¡shall ¡ perform ¡informaNon ¡security ¡audits ¡ • healthcare ¡professionals : ¡duty ¡of ¡secrecy, ¡duty ¡of ¡loyalty ¡to ¡ employer ¡ • pa,ent : ¡gives ¡consent, ¡principle ¡of ¡voluntary ¡parNcipaNon, ¡ right ¡to ¡parNcipate ¡in ¡decision ¡processes ¡ ¡ ¡ ¡

duty ¡of ¡secrecy: ¡ • norm ¡for ¡healthcare ¡professionals ¡regulated ¡in ¡law ¡ – differs ¡from ¡duty ¡of ¡secrecy ¡outside ¡the ¡healthcare ¡domain ¡ ¡ • is ¡related ¡to ¡that ¡paNents ¡confess ¡themselves ¡to ¡ healthcare ¡professionals ¡ – this ¡gives ¡“ the ¡narrowest ¡possible ¡mandate” ¡ to ¡pass ¡this ¡ informaNon ¡to ¡others ¡ – and ¡this ¡means ¡that ¡the ¡paNent ¡must ¡ give ¡his ¡consent ¡if ¡ the ¡informaNon ¡is ¡to ¡be ¡used ¡outside ¡the ¡original ¡seZng ¡ • to ¡acts ¡and ¡regulaNons, ¡this ¡means ¡that: ¡ – relaying ¡personal ¡health ¡data ¡is ¡seen ¡as ¡excepNons ¡that ¡ must ¡be ¡regulated ¡in ¡law ¡ – this ¡has ¡brought ¡complexity ¡in ¡laws ¡and ¡regulaNons ¡

informaNon ¡security ¡ • is ¡about ¡the ¡duty ¡of ¡healthcare ¡insNtuNons ¡to ¡protect ¡ the ¡personal ¡health ¡data ¡they ¡have ¡collected ¡from ¡ the ¡paNents ¡ • about ¡maintaining ¡the ¡availability, ¡integrity ¡and ¡ confidenNality ¡of ¡the ¡data ¡ • and ¡about ¡maintaining ¡the ¡view ¡that ¡all ¡use ¡of ¡the ¡ informaNon ¡is ¡a ¡potenNal ¡threat ¡to ¡informaNon ¡ secrecy ¡ – access ¡control ¡mechanisms ¡are ¡mandatory ¡ – all ¡use ¡of ¡the ¡data ¡shall ¡be ¡logged ¡

an ¡EHR ¡system ¡is ¡also ¡a ¡tool ¡for ¡ clinicians ¡— ¡has ¡clinical ¡purposes ¡ from The Good Practice Guidelines for GP electronic patient records v4 (2010) http://www.rcgp.org.uk/pdf/Health_Informatics_Good_Practice_Guidelines_for_GP_electronic_patients.pdf

moNvaNon ¡for ¡the ¡study: ¡ • details ¡of ¡access ¡control ¡mechanisms ¡might ¡impact ¡the ¡ informaNon ¡seeking ¡behavior ¡of ¡healthcare ¡personnel ¡ ¡ • li]le ¡is ¡known ¡on ¡how ¡such ¡mechanisms ¡actually ¡influences ¡ clinical ¡work ¡ • access ¡control ¡mechanisms ¡might ¡make ¡access ¡to ¡relevant ¡ informaNon ¡more ¡cumbersome ¡and ¡Nme ¡consuming ¡ ¡ • different ¡methods ¡of ¡implemenNng ¡informaNon ¡security ¡ policies ¡might ¡have ¡different ¡impacts ¡on ¡the ¡users ¡of ¡the ¡ system ¡ ¡ • how ¡healthcare ¡professionals ¡perceive ¡the ¡use ¡of ¡access ¡ control ¡mechanisms ¡is ¡largely ¡not ¡known ¡ ¡

parNcipants ¡and ¡method ¡

• quesNonnaire ¡with ¡items ¡related ¡to ¡ ¡ – perceived ¡use ¡of ¡Nme ¡while ¡presenNng ¡the ¡user ¡ name ¡and ¡password ¡to ¡the ¡access ¡control ¡ component ¡of ¡the ¡EHR-­‑system ¡ – the ¡effects ¡of ¡the ¡automaNc ¡logoff ¡mechanism ¡ ¡ – the ¡impact ¡of ¡the ¡access ¡control ¡mechanisms ¡on ¡ how ¡the ¡respondents ¡work ¡with ¡the ¡paNent’s ¡EHR ¡ ¡

parNcipants ¡ • clinicians ¡at ¡nursing ¡homes: ¡ – 45 ¡municipaliNes ¡invited ¡(one ¡nursing ¡home ¡per ¡ municipality); ¡29 ¡decided ¡to ¡parNcipate; ¡paper ¡ quesNonnaire ¡distributed; ¡239 ¡of ¡590 ¡(41%) ¡of ¡the ¡ employees ¡parNcipated ¡ • hospitals: ¡ – 21 ¡hospitals ¡/ ¡two ¡departments ¡per ¡hospital ¡ • 1352 ¡employees ¡ • leader ¡of ¡department ¡contacted ¡and ¡asked ¡to ¡distribute ¡a ¡ questback-­‑based ¡quesNonnaire ¡to ¡candidate ¡respondents ¡ • 206 ¡quesNonnaires ¡(15%) ¡were ¡returned ¡

results ¡

• more ¡than ¡one ¡out ¡of ¡three ¡reported ¡that ¡the ¡login ¡ rouNnes ¡ojen ¡contributed ¡to ¡delays ¡in ¡their ¡work. ¡ ¡ • in ¡nursing ¡homes, ¡52% ¡reported ¡that ¡the ¡access ¡ control ¡mechanisms ¡had ¡them ¡relay ¡messages ¡about ¡ the ¡paNent ¡orally ¡rather ¡than ¡documenNng ¡in ¡the ¡ paNent’s ¡EHR. ¡ ¡ • Access ¡control ¡mechanisms ¡also ¡influenced ¡on ¡use ¡of ¡ the ¡EHR ¡system ¡for ¡reading ¡purposes. ¡ ¡

• 46% ¡of ¡the ¡respondents ¡from ¡the ¡nursing ¡homes ¡ reported ¡that ¡the ¡logon ¡procedure ¡contributed ¡to ¡ that ¡they ¡fail ¡to ¡look ¡up ¡in ¡the ¡paNent’s ¡EHR ¡in ¡ advance ¡of ¡providing ¡care ¡to ¡the ¡paNent. ¡ ¡ • many ¡reported ¡that ¡they ¡ojen ¡postponed ¡ documentaNon ¡work ¡unNl ¡they ¡could ¡find ¡the ¡Nme ¡to ¡ log ¡on ¡to ¡the ¡system. ¡ ¡ • Among ¡the ¡hospital ¡employees, ¡16% ¡reported ¡that ¡ documentaNon ¡work ¡always ¡or ¡ojen ¡was ¡done ¡in ¡the ¡ name ¡of ¡others ¡ ¡

aZtude ¡to, ¡and ¡personal ¡experiences ¡with ¡ using ¡access ¡control ¡mechanisms ¡ Hospitals (%) Municipalities (%) First ¡login ¡takes ¡too ¡much ¡Nme ¡ 17 ¡ 18 ¡ 2 ¡ 20 ¡ 18 ¡ 1 ¡ 20 ¡ 20 ¡ 0 ¡ Every ¡login ¡takes ¡too ¡much ¡Nme ¡ 15 ¡ 21 ¡ 2 ¡ 16 ¡ 47 ¡ 1 ¡ I ¡ojen ¡have ¡to ¡log ¡other ¡users ¡off ¡ 11 ¡ 38 ¡ 5 ¡ before ¡I ¡can ¡login ¡myself ¡ 11 ¡ 32 ¡ 1 ¡ I ¡rarely ¡fail ¡to ¡log ¡on ¡to ¡the ¡system ¡ 12 ¡ 27 ¡ 1 ¡ 21 ¡ 59 ¡ 2 ¡ AutomaNc ¡logoff ¡happens ¡too ¡ 22 ¡ 45 ¡ 4 ¡ quick ¡ 0% ¡ 50% ¡ 100% ¡ 0% ¡ 50% ¡ 100% ¡

effect ¡on ¡clinical ¡work ¡ Hospitals (%) Municipalities (%) 15 ¡ 45 ¡ 1 ¡ Work ¡is ¡delayed ¡ 13 ¡ 49 ¡ 1 ¡ Messages ¡are ¡mediated ¡through ¡oral ¡ 16 ¡ 30 ¡ 1 ¡ communicaNon ¡rather ¡than ¡via ¡the ¡EHR-­‑ 10 ¡ 53 ¡ 9 ¡ system ¡ Work ¡is ¡done ¡on ¡paper ¡rather ¡than ¡with ¡use ¡ 16 ¡ 49 ¡ 7 ¡ 13 ¡ 49 ¡ 11 ¡ of ¡the ¡EHR ¡system ¡ The ¡paNent's ¡EHR ¡is ¡not ¡checked ¡before ¡ 20 ¡ 24 ¡ 10 ¡ 15 ¡ 47 ¡ 12 ¡ providing ¡care ¡to ¡the ¡paNent ¡ DocumentaNon ¡work ¡is ¡postponed ¡unNl ¡the ¡ 10 ¡ 43 ¡ 28 ¡ 15 ¡ 17 ¡ 10 ¡ personnel ¡have ¡Nme ¡to ¡document ¡ DocumentaNon ¡work ¡is ¡done ¡in ¡the ¡name ¡ 5 ¡ 67 ¡ 11 ¡ 4 ¡ 81 ¡ 8 ¡ of ¡others ¡ 0% ¡ 50% ¡ 100% ¡ 0% ¡ 50% ¡ 100% ¡

interpretaNon ¡