[논문 리뷰] Do Hospital Data Breaches Reduce Patient Care Quality?

Sung Jai Choi, M. Eric Johnson|arXiv (Cornell University)|2019. 04. 03.

Medical Malpractice and Liability Issues참고 문헌 11인용 수 3

한 줄 요약

이 연구는 2011~2015년 미국 메디케어 데이터를 분석하여 병원 데이터 유출이 환자 치료 품질에 부정적인 영향을 미치는지 조사한다. 차등-차등 회귀 모델을 사용한 결과, 유출 이후 30일 내 심근경색 사망률이 0.338~0.446%p 상승하는 것으로 나타났으며, 이는 사망률 감소에 따른 연간 진전을 상쇄하는 수준이었고, 보안 대응 조치가 임상 결과에 부작용을 초래할 수 있음을 시사한다.

ABSTRACT

Objective: To estimate the relationship between a hospital data breach and hospital quality outcome Materials and Methods: Hospital data breaches reported to the U.S. Department of Health and Human Services breach portal and the Privacy Rights Clearinghouse database were merged with the Medicare Hospital Compare data to assemble a panel of non-federal acutecare inpatient hospitals for years 2011 to 2015. The study panel included 2,619 hospitals. Changes in 30-day AMI mortality rate following a hospital data breach were estimated using a multivariate regression model based on a difference-in-differences approach. Results: A data breach was associated with a 0.338[95% CI, 0.101-0.576] percentage point increase in the 30-day AMI mortality rate in the year following the breach and a 0.446[95% CI, 0.164-0.729] percentage point increase two years after the breach. For comparison, the median 30-day AMI mortality rate has been decreasing about 0.4 percentage points annually since 2011 due to progress in care. The magnitude of the breach impact on hospitals' AMI mortality rates was comparable to a year's worth historical progress in reducing AMI mortality rates. Conclusion: Hospital data breaches significantly increased the 30-day mortality rate for AMI. Data breaches may disrupt the processes of care that rely on health information technology. Financial costs to repair a breach may also divert resources away from patient care. Thus breached hospitals should carefully focus investments in security procedures, processes, and health information technology that jointly lead to better data security and improved patient outcomes.

연구 동기 및 목표

• 병원 데이터 유출이 환자 치료 품질, 특히 사망률 결과에 영향을 미치는지 평가하기.
• 유출 이후 보안 업그레이드가 임상 워크플로우와 환자 안전에 부정적인 부작용을 미치는지 검토하기.
• 유출에 대한 재정적·운영적 대응이 환자 치료 지원 활동에서 자원을 이탈시킬 수 있는지 평가하기.
• 유출이 치료 품질에 미치는 영향이 시간이 지남에 따라 지속되는지, 특히 체계적 IT 변화 이후에도 그러한지 확인하기.
• 환자 안전 지표나 기타 혼동 요인들이 관찰된 유출과 사망률 간 관계를 설명하는 데 기여하는지 조사하기.

제안 방법

• 2011~2015년 동안 비연방 정부 소속의 응급의료 병원 2,619개소에 대해 HHS와 개인정보권청소에서 제공한 병원 데이터 유출 보고서를 메디케어 병원 비교 데이터와 융합하였다.
• 차등-차등 회귀 모델을 적용하여, 유출 이전과 이후의 30일 내 심근경색 사망률 변화를 분석하고, 유출 병원과 비유출 병원을 비교하였다.
• 환자 케이스 믹스 및 구조적 요인을 포함한 병원 고유의 특성과 시간에 따라 변하지 않는 특성을 제어하기 위해 다변량 고정효과 모델을 사용하였다.
• 기본적인 치료 품질 문제를 제어하기 위해 환자 안전 지표(PSI-4, PSI-6, PSI-12, PSI-15, PSI-90 복합지표)를 강건성 검증으로 활용하였다.
• 안정성 검증을 위해 안전 지표가 확보된 서브셋에 대해 모델을 추정하고 전체 기준 모델과 결과를 비교하였다.
• 병원 비교 데이터의 36개월 이동평균 계산 방식을 고려하여, 이는 단기 변동성을 완화하고 영향을 연장시킬 수 있음을 반영하였다.

실험 결과

연구 질문

• RQ1 병원 데이터 유출이 이후 연도 동안 30일 내 심근경색 사망률에 유의미한 증가를 초래하는가?
• RQ2 유출 이후 보안 업그레이드 및 IT 변화가 임상 워크플로우와 환자 결과에 얼마나 심각한 부정적 영향을 미치는가?
• RQ3 유출이 사망률에 미치는 영향의 크기가 전국적으로 관찰된 연간 심근경색 결과 개선 폭(약 0.4%p/년)과 비교해 어떻게 되는가?
• RQ4 관찰된 치료 품질 저하가 병원 품질의 사전 차이 또는 환자 안전 문제로 인한 혼동 요인에 기인한 것인가?
• RQ5 유출이 환자 결과에 미치는 영향이 첫 해를 넘어서 지속되는가? 만약 그렇다면, 왜 최대 3년까지 지속되는 것처럼 보일 수 있는가?

주요 결과

• 병원 데이터 유출은 첫 해에 30일 내 심근경색 사망률이 0.338%p 상승하는 데 연관되었다(95% 신뢰구간: 0.101–0.576).
• 두 번째 해에 사망률 영향은 0.446%p로 증가하였으며(95% 신뢰구간: 0.164–0.729), 이는 지속적인 부정적 영향을 시사한다.
• 유출로 인한 사망률 증가 폭은 전국적으로 관찰된 연간 30일 내 심근경렬 사망률 감소 폭(약 0.4%p/년)과 유사한 수준이었다.
• 높은 사망률 수준은 유출 후 최대 3년까지 지속되었으며, 이는 병원 비교 데이터의 36개월 이동평균 방식으로 인해 단기 변동성이 완화되고 영향이 연장된 것으로 보인다.
• 환자 안전 지표(PSI-4, PSI-6, PSI-12, PSI-15, PSI-90)를 활용한 강건성 검증 결과 핵심 발견에 변화가 없었으며, 이는 결과가 치료 품질 요인의 혼동에 의해 유도된 것이 아님을 시사한다.
• 이러한 발견은 보안 대응 활동(예: 새로운 보안 프로토콜, 헬스 IT 업그레이드)이 임상 워크플로우를 방해하고, 시스템 사용성을 떨어뜨리며, 간접적으로 의료 오류를 증가시켜 환자 결과에 악영향을 미칠 수 있음을 암시한다.