Healthcare professionals experiences with EHR-system access - - PowerPoint PPT Presentation

Healthcare ¡professionals’ ¡experiences ¡with ¡ EHR-­‑system ¡access ¡control ¡mechanisms ¡

Arild ¡FAXVAAGa,, ¡Trond ¡S ¡JOHANSENa, ¡Vigdis ¡HEIMLYb, ¡Line ¡MELBYa ¡and ¡Anders ¡ GRIMSMOa ¡ ¡

a ¡Norwegian ¡EHR ¡Research ¡Centre, ¡Faculty ¡of ¡Medicine, ¡University ¡of ¡Science ¡

and ¡Technology ¡(NTNU), ¡Trondheim, ¡Norway ¡

b ¡Department ¡of ¡Computer ¡and ¡InformaNon ¡Science, ¡Faculty ¡of ¡InformaNon ¡

Technology, ¡MathemaNcs ¡and ¡Electrical ¡Engineering, ¡NTNU, ¡Trondheim, ¡ Norway ¡

introducNon ¡

• clinical ¡work ¡depends ¡on ¡access ¡to ¡relevant ¡and ¡

updated ¡informaNon ¡about ¡the ¡paNent ¡ ¡

• clinical ¡work ¡brings ¡new ¡informaNon ¡about ¡the ¡

paNent, ¡to ¡be ¡stored ¡in ¡his/her ¡record ¡ ¡

• data ¡are ¡of ¡very ¡sensiNve ¡nature ¡ ¡
• data ¡must ¡be ¡made ¡available ¡to ¡those ¡providing ¡

care ¡while ¡at ¡the ¡same ¡Nme ¡kept ¡protected ¡ from ¡unauthorized ¡access ¡ ¡ ¡

privacy, ¡informaNon ¡security ¡and ¡ duty ¡of ¡secrecy ¡

• three ¡categories ¡of ¡subjects ¡(with ¡both ¡rights ¡and ¡duNes): ¡ ¡

– the ¡paNent, ¡healthcare ¡personnel ¡and ¡healthcare ¡insNtuNons ¡

• two ¡regulaNng ¡regimes: ¡ ¡

– healthcare ¡acts ¡and ¡regulaNons, ¡personal ¡data ¡protecNon ¡acts ¡

• ¡privacy ¡is ¡a ¡right ¡

– both ¡for ¡paNents ¡and ¡healthcare ¡professionals ¡

• healthcare ¡ins,tu,ons: ¡duty ¡to ¡soundness, ¡are ¡responsible ¡

for ¡the ¡systems, ¡shall ¡maintain ¡informaNon ¡security, ¡shall ¡ perform ¡informaNon ¡security ¡audits ¡

• healthcare ¡professionals: ¡duty ¡of ¡secrecy, ¡duty ¡of ¡loyalty ¡to ¡

employer ¡

• pa,ent: ¡gives ¡consent, ¡principle ¡of ¡voluntary ¡parNcipaNon, ¡

right ¡to ¡parNcipate ¡in ¡decision ¡processes ¡ ¡ ¡ ¡

duty ¡of ¡secrecy: ¡

• norm ¡for ¡healthcare ¡professionals ¡regulated ¡in ¡law ¡

– differs ¡from ¡duty ¡of ¡secrecy ¡outside ¡the ¡healthcare ¡domain ¡ ¡

• is ¡related ¡to ¡that ¡paNents ¡confess ¡themselves ¡to ¡

healthcare ¡professionals ¡

– this ¡gives ¡“the ¡narrowest ¡possible ¡mandate” ¡to ¡pass ¡this ¡ informaNon ¡to ¡others ¡ – and ¡this ¡means ¡that ¡the ¡paNent ¡must ¡give ¡his ¡consent ¡if ¡ the ¡informaNon ¡is ¡to ¡be ¡used ¡outside ¡the ¡original ¡seZng ¡

• to ¡acts ¡and ¡regulaNons, ¡this ¡means ¡that: ¡

– relaying ¡personal ¡health ¡data ¡is ¡seen ¡as ¡excepNons ¡that ¡ must ¡be ¡regulated ¡in ¡law ¡ – this ¡has ¡brought ¡complexity ¡in ¡laws ¡and ¡regulaNons ¡

informaNon ¡security ¡

• is ¡about ¡the ¡duty ¡of ¡healthcare ¡insNtuNons ¡to ¡protect

¡ the ¡personal ¡health ¡data ¡they ¡have ¡collected ¡from ¡ the ¡paNents ¡

• about ¡maintaining ¡the ¡availability, ¡integrity ¡and ¡

confidenNality ¡of ¡the ¡data ¡

• and ¡about ¡maintaining ¡the ¡view ¡that ¡all ¡use ¡of ¡the ¡

informaNon ¡is ¡a ¡potenNal ¡threat ¡to ¡informaNon ¡ secrecy ¡

– access ¡control ¡mechanisms ¡are ¡mandatory ¡ – all ¡use ¡of ¡the ¡data ¡shall ¡be ¡logged ¡

an ¡EHR ¡system ¡is ¡also ¡a ¡tool ¡for ¡ clinicians ¡— ¡has ¡clinical ¡purposes ¡

from The Good Practice Guidelines for GP electronic patient records v4 (2010) http://www.rcgp.org.uk/pdf/Health_Informatics_Good_Practice_Guidelines_for_GP_electronic_patients.pdf

moNvaNon ¡for ¡the ¡study: ¡

• details ¡of ¡access ¡control ¡mechanisms ¡might ¡impact ¡the ¡

informaNon ¡seeking ¡behavior ¡of ¡healthcare ¡personnel ¡ ¡

• li]le ¡is ¡known ¡on ¡how ¡such ¡mechanisms ¡actually ¡influences ¡

clinical ¡work ¡

• access ¡control ¡mechanisms ¡might ¡make ¡access ¡to ¡relevant ¡

informaNon ¡more ¡cumbersome ¡and ¡Nme ¡consuming ¡ ¡

• different ¡methods ¡of ¡implemenNng ¡informaNon ¡security ¡

policies ¡might ¡have ¡different ¡impacts ¡on ¡the ¡users ¡of ¡the ¡ system ¡ ¡

• how ¡healthcare ¡professionals ¡perceive ¡the ¡use ¡of ¡access ¡

control ¡mechanisms ¡is ¡largely ¡not ¡known ¡ ¡

parNcipants ¡and ¡method ¡

• quesNonnaire ¡with ¡items ¡related ¡to ¡ ¡

– perceived ¡use ¡of ¡Nme ¡while ¡presenNng ¡the ¡user ¡ name ¡and ¡password ¡to ¡the ¡access ¡control ¡ component ¡of ¡the ¡EHR-­‑system ¡ – the ¡effects ¡of ¡the ¡automaNc ¡logoff ¡mechanism ¡ ¡ – the ¡impact ¡of ¡the ¡access ¡control ¡mechanisms ¡on ¡ how ¡the ¡respondents ¡work ¡with ¡the ¡paNent’s ¡EHR ¡ ¡

parNcipants ¡

• clinicians ¡at ¡nursing ¡homes: ¡

– 45 ¡municipaliNes ¡invited ¡(one ¡nursing ¡home ¡per ¡ municipality); ¡29 ¡decided ¡to ¡parNcipate; ¡paper ¡ quesNonnaire ¡distributed; ¡239 ¡of ¡590 ¡(41%) ¡of ¡the ¡ employees ¡parNcipated ¡

• hospitals: ¡

– 21 ¡hospitals ¡/ ¡two ¡departments ¡per ¡hospital ¡

• 1352 ¡employees ¡
• leader ¡of ¡department ¡contacted ¡and ¡asked ¡to ¡distribute ¡a ¡

questback-­‑based ¡quesNonnaire ¡to ¡candidate ¡respondents ¡

• 206 ¡quesNonnaires ¡(15%) ¡were ¡returned ¡

results ¡

• more ¡than ¡one ¡out ¡of ¡three ¡reported ¡that ¡the ¡login ¡

rouNnes ¡ojen ¡contributed ¡to ¡delays ¡in ¡their ¡work. ¡ ¡

• in ¡nursing ¡homes, ¡52% ¡reported ¡that ¡the ¡access ¡

control ¡mechanisms ¡had ¡them ¡relay ¡messages ¡about ¡ the ¡paNent ¡orally ¡rather ¡than ¡documenNng ¡in ¡the ¡ paNent’s ¡EHR. ¡ ¡

• Access ¡control ¡mechanisms ¡also ¡influenced ¡on ¡use ¡of ¡

the ¡EHR ¡system ¡for ¡reading ¡purposes. ¡ ¡

• 46% ¡of ¡the ¡respondents ¡from ¡the ¡nursing ¡homes ¡

reported ¡that ¡the ¡logon ¡procedure ¡contributed ¡to ¡ that ¡they ¡fail ¡to ¡look ¡up ¡in ¡the ¡paNent’s ¡EHR ¡in ¡ advance ¡of ¡providing ¡care ¡to ¡the ¡paNent. ¡ ¡

• many ¡reported ¡that ¡they ¡ojen ¡postponed ¡

documentaNon ¡work ¡unNl ¡they ¡could ¡find ¡the ¡Nme ¡to ¡ log ¡on ¡to ¡the ¡system. ¡ ¡

• Among ¡the ¡hospital ¡employees, ¡16% ¡reported ¡that ¡

documentaNon ¡work ¡always ¡or ¡ojen ¡was ¡done ¡in ¡the ¡ name ¡of ¡others ¡ ¡

22 ¡ 12 ¡ 11 ¡ 15 ¡ 17 ¡ 45 ¡ 27 ¡ 38 ¡ 21 ¡ 18 ¡ 4 ¡ 1 ¡ 5 ¡ 2 ¡ 2 ¡ 0% ¡ 50% ¡ 100% ¡ AutomaNc ¡logoff ¡happens ¡too ¡ quick ¡ I ¡rarely ¡fail ¡to ¡log ¡on ¡to ¡the ¡system ¡ I ¡ojen ¡have ¡to ¡log ¡other ¡users ¡off ¡ before ¡I ¡can ¡login ¡myself ¡ Every ¡login ¡takes ¡too ¡much ¡Nme ¡ First ¡login ¡takes ¡too ¡much ¡Nme ¡ 21 ¡ 11 ¡ 16 ¡ 20 ¡ 20 ¡ 59 ¡ 32 ¡ 47 ¡ 20 ¡ 18 ¡ 2 ¡ 1 ¡ 1 ¡ 0 ¡ 1 ¡ 0% ¡ 50% ¡ 100% ¡

Hospitals (%) Municipalities (%)

aZtude ¡to, ¡and ¡personal ¡experiences ¡with ¡ using ¡access ¡control ¡mechanisms ¡

4 ¡ 15 ¡ 20 ¡ 16 ¡ 16 ¡ 15 ¡ 81 ¡ 17 ¡ 24 ¡ 49 ¡ 30 ¡ 45 ¡ 8 ¡ 10 ¡ 10 ¡ 7 ¡ 1 ¡ 1 ¡ 0% ¡ 50% ¡ 100% ¡ 5 ¡ 10 ¡ 15 ¡ 13 ¡ 10 ¡ 13 ¡ 67 ¡ 43 ¡ 47 ¡ 49 ¡ 53 ¡ 49 ¡ 11 ¡ 28 ¡ 12 ¡ 11 ¡ 9 ¡ 1 ¡ 0% ¡ 50% ¡ 100% ¡ DocumentaNon ¡work ¡is ¡done ¡in ¡the ¡name ¡

• f ¡others ¡

DocumentaNon ¡work ¡is ¡postponed ¡unNl ¡the ¡ personnel ¡have ¡Nme ¡to ¡document ¡ The ¡paNent's ¡EHR ¡is ¡not ¡checked ¡before ¡ providing ¡care ¡to ¡the ¡paNent ¡ Work ¡is ¡done ¡on ¡paper ¡rather ¡than ¡with ¡use ¡

• f ¡the ¡EHR ¡system ¡

Messages ¡are ¡mediated ¡through ¡oral ¡ communicaNon ¡rather ¡than ¡via ¡the ¡EHR-­‑ system ¡ Work ¡is ¡delayed ¡

Hospitals (%) Municipalities (%)

effect ¡on ¡clinical ¡work ¡

interpretaNon ¡

• today’s ¡implementaNons ¡of ¡

access ¡control ¡mechanism ¡are ¡ perceived ¡to ¡have ¡a ¡negaNve ¡ impact ¡on ¡clinical ¡work ¡

• clinicians ¡postpone ¡

documentaNon ¡work ¡ ¡

• access ¡control ¡mechanisms ¡

also ¡alter ¡their ¡pracNce ¡of ¡ reading ¡what ¡others ¡have ¡ documented ¡ ¡ ¡

relaNon ¡to ¡the ¡seZng ¡of ¡the ¡work ¡

role ¡of ¡Nme ¡constraints ¡

• much ¡of ¡the ¡work ¡is ¡done ¡away ¡from ¡a ¡workstaNon ¡
• paNents ¡have ¡condiNons ¡that ¡require ¡conNnuous ¡

a]enNon ¡and ¡care ¡

• spending ¡Nme ¡taking ¡care ¡of ¡the ¡paNent ¡must ¡be ¡

prioriNzed ¡

• from ¡the ¡perspecNve ¡of ¡clinicians, ¡maneuvering ¡

through ¡an ¡access ¡control ¡mechanism ¡takes ¡Nme ¡and ¡ therefore ¡is ¡perceived ¡as ¡having ¡a ¡cost ¡

• some ¡of ¡the ¡reported ¡pracNces ¡might ¡be ¡interpreted ¡

as ¡workarounds, ¡developed ¡to ¡accommodate ¡their ¡ use ¡of ¡the ¡EHR-­‑system ¡with ¡other ¡clinical ¡tasks ¡ ¡

paNent ¡safety ¡issues ¡

• delayed ¡updates ¡of ¡the ¡paNent’s ¡EHR, ¡and ¡

preferring ¡to ¡share ¡paNent ¡informaNon ¡ through ¡oral ¡communicaNon ¡makes ¡the ¡ informaNon ¡in ¡the ¡EHR ¡less ¡reliable ¡ ¡

• not ¡checking ¡the ¡paNent’s ¡EHR ¡before ¡

providing ¡care ¡to ¡the ¡paNent ¡is ¡a ¡potenNally ¡ dangerous ¡pracNce ¡ ¡

implicaNons ¡

• need ¡for ¡monitoring ¡of ¡unintended ¡consequences ¡
• need ¡to ¡improve ¡access ¡control ¡mechanisms ¡

– are ¡there ¡usability ¡issues? ¡

• the ¡value ¡of ¡access ¡control ¡mechanisms ¡that ¡take ¡

into ¡account ¡that ¡healthcare ¡insNtuNons ¡have ¡zones ¡ with ¡restricted ¡physical ¡access ¡should ¡be ¡explored ¡— ¡ i.e. ¡that ¡clinicians ¡in ¡close ¡proximity ¡of ¡the ¡paNent ¡ should ¡have ¡a ¡somewhat ¡easier ¡access ¡to ¡the ¡ paNents’ ¡data ¡

• effect ¡of ¡equipping ¡clinicians ¡with ¡a ¡personal ¡

compuNng ¡device ¡(e.g. ¡a ¡iPad) ¡should ¡be ¡explored ¡

acknowledgements: ¡

• Informants, ¡parNcipants ¡in ¡the ¡advisory ¡board, ¡

coauthors, ¡Trond ¡Henning, ¡Arne ¡Grimsmo ¡ ¡ study ¡conducted ¡as ¡part ¡of ¡“EPJ-­‑monitor”, ¡a ¡survey ¡of ¡ HIS ¡system ¡implementaNon ¡of ¡use ¡in ¡Norway ¡ funding: ¡The ¡Norwegian ¡Directorate ¡of ¡Health ¡ ¡ contact ¡info: ¡arild.faxvaag@ntnu.no ¡