Bil Senedd Cymru (Aelodau ac Etholiadau): asesiad o'r effaith ar ddiogelu data

Mae Comisiwn Ffiniau a Democratiaeth Leol Cymru (LDBCW) yn gorff annibynnol a noddir gan Lywodraeth Cymru. Ymhlith ei swyddogaethau allweddol presennol, mae cyhoeddi rhaglen waith sy'n cadw'r trefniadau etholiadol ar gyfer y 22 o brif gynghorau yng Nghymru dan arolwg. O dan y ddeddfwriaeth bresennol, mae’n ofynnol cynnal adolygiadau o’r trefniadau etholiadol ar gyfer prif gynghorau Cymru o leiaf unwaith bob 10 mlynedd.

Byddai Bil arfaethedig Llywodraeth Cymru sy’n ymwneud â Diwygio’r Senedd yn rhoi swyddogaethau i Gomisiwn Ffiniau a Democratiaeth Leol Cymru (LDBCW) presennol i gynnal adolygiadau o ffiniau’r Senedd yn yr un modd a fydd yn pennu etholaethau’r Senedd ar gyfer etholiad y Senedd yn 2026 a thu hwnt (i nodi, bwriedir i’r ddeddfwriaeth hefyd ailenwi’r corff i adlewyrchu ei gyfrifoldebau newydd). Bydd y ddeddfwriaeth yn nodi’r rheolau a’r gweithdrefnau y bydd angen i’r LDBCW (wedi'i ailenwi) eu dilyn i gynnal adolygiadau o ffiniau’r Senedd.

Fel rhan o’r darpariaethau hynny, bwriedir y bydd yn ofynnol i’r LDBCW (wedi’i ailenwi) gynnig etholaethau o fewn ystod amrywiol o gwota etholiadol – wedi’i gyfrifo drwy gyfeirio at nifer yr etholwyr llywodraeth leol yng Nghymru ar ddyddiad yr adolygiad (fel y’i rhannwyd gan nifer etholaethau’r Senedd). Felly, bydd hyn yn ei gwneud yn ofynnol i’r LDBCW (wedi’i ailenwi) adolygu data cofrestr etholiadol, i sicrhau bod eu hetholaethau newydd arfaethedig o fewn yr ystod amrywiaeth honno. Mae’r gofrestr etholiadol sydd i’w defnyddio i fod yn gofrestrau etholiadol llywodraeth leol (o ystyried mai’r rheini a fyddai â hawl i bleidleisio yn etholiadau’r Senedd fyddai’r rheini a fyddai â’r hawl i bleidleisio fel etholwyr mewn etholiad llywodraeth leol yng Nghymru - o ganlyniad i’r ddarpariaeth a wneir yn adran 12 o Ddeddf Llywodraeth Cymru 2006).

Gallai’r LDBCW (wedi’i ailenwi) ymgymryd â’r gwaith hwn naill ai drwy adolygu cofrestrau etholiadol llawn, sy’n cynnwys manylion fel enwau, cyfeiriadau a rhifau etholiadol (mae gan y LDBCW eisoes fynediad at y cofrestrau etholiadol llywodraeth leol llawn oherwydd ei gyfrifoldebau presennol ar gyfer adolygiadau etholiadol llywodraeth leol - y sail gyfreithiol ar gyfer hyn yw Rheoliadau Cynrychiolaeth y Bobl (Cymru a Lloegr) 2001 – yn benodol rheoliad 101(2) a (3), sy'n ei gwneud yn ofynnol i bob swyddog cofrestru yng Nghymru gyflenwi copïau o gofrestrau i Gomisiwn Ffiniau a Democratiaeth Leol Cymru, yn rhad ac am ddim ac wrth eu cyhoeddi). Neu, fel arall, gallai’r LDBCW (wedi’i ailenwi) ymgymryd â’r gwaith hwn drwy ofyn am fersiwn wedi’i olygu o’r cofrestrau etholiadol gan Swyddogion Cofrestru Etholiadol, sef yr arfer a ddefnyddir gan y LDBCW fel rhan o’i gyfrifoldebau presennol. Gan fod hwn yn opsiwn, nid yw’r cynigion felly’n ei gwneud yn ofynnol i’r LDBCW (wedi’i ailenwi) brosesu data personol at ddibenion cynnig etholaethau o fewn ystod amrywiol o gwota etholiadol, gan y gallent wneud y gwaith hwn heb brosesu data personol h.y. drwy ofyn am fersiynau wedi’u golygu o gofrestrau etholiadol (sydd, fel y nodir uchod, yn arfer cyfredol).

Mae trafodaethau gydag ysgrifenyddiaeth y LDBCW yn awgrymu y byddant yn parhau â’r arfer uchod o ofyn am fersiynau wedi’u golygu o gofrestrau etholiadol fel rhan o’u gwaith adolygiadau o ffiniau yn y Senedd, felly nid yw’r cynigion yn mynnu bod data personol yn cael ei brosesu. Fodd bynnag, os bydd hyn yn newid a bod y LDBCW yn penderfynu defnyddio’r cofrestrau etholiadol llawn (sy’n bosibilrwydd gan na fydd y ddeddfwriaeth yn datgan bod rhaid i’r LDBCW (wedi’i ailenwi) ddefnyddio fersiynau wedi’u golygu o’r cofrestrau, (neu, i’r gwrthwyneb, rhaid defnyddio cofrestrau llawn), a fyddai’n benderfyniad gan y LDBCW, a fyddai wedyn yn ofynnol i sicrhau bod unrhyw brosesu data personol yn cael ei wneud yn unol â GDPR y DU.

Gan ei fod yn cynnwys trefn statudol debyg, efallai y byddai hefyd yn ddefnyddiol cyfeirio at y trefniadau presennol ar gyfer adolygiadau o ffiniau Senedd y DU 2023 a gynhelir yng Nghymru gan Gomisiwn Ffiniau Cymru (BCW), sy’n rhannu’r un ysgrifenyddiaeth â’r LDBCW. Mae’r ddeddfwriaeth sy’n ymwneud â rheolau a gweithdrefnau adolygiadau o ffiniau Senedd y DU hefyd yn cynnwys gofyniad i'r BCW gynnig etholaethau o fewn amrywiad cwota etholiadol, sydd felly’n golygu adolygu data’r gofrestr etholiadol. Fel y nodir yn nodyn preifatrwydd y BCW, pan fyddant yn cael data ar y gofrestr etholiadol, maent yn gofyn yn benodol nad yw’n cynnwys unrhyw wybodaeth bersonol, ac os byddant yn cael manylion personol gan awdurdodau lleol, byddent yn cael eu dileu ar unwaith.

I grynhoi felly, nid yw’r cynigion yn ei gwneud yn ofynnol i’r LDBCW (wedi’i ailenwi) brosesu data personol at ddibenion cynnig etholaethau o fewn ystod amrywiol o gwota etholiadol.

Bydd y darpariaethau hefyd yn cynnwys gofyniad ar y LDBCW (wedi’i ailenwi) i ymgynghori ar ei gynigion, lle bydd pobl yn cael eu gwahodd i roi sylwadau ar gynigion y LDBCW. Ystyrir bod y gofyniad i ymgynghori yn angenrheidiol er mwyn i safbwyntiau pobl gael eu hystyried fel rhan o’r broses adolygiadau o ffiniau. Mae’n arfer safonol ar gyfer adolygiadau o ffiniau sy’n cael eu cynnal ledled y DU.

Ni fydd y ddeddfwriaeth yn ei gwneud yn ofynnol i’r LDBCW brosesu data personol fel rhan o’r gofyniad hwn i ymgynghori (y LDBCW (wedi’i ailenwi) fydd yn penderfynu ar y prosesau penodol dan sylw). Fodd bynnag, wrth ystyried effaith bosibl y ddeddfwriaeth yn ymarferol, mae’n anodd rhagweld ymgynghoriad nad yw’n golygu prosesu rhywfaint o ddata personol.

Er enghraifft, mae’n debygol y bydd y LDBCW (wedi’i ailenwi) eisiau deall barn leol am gynigion yn gywir er mwyn cynyddu’r tebygolrwydd y bydd yr argymhellion terfynol yn gyffredinol dderbyniol i’r rhan fwyaf o’r rheini sy’n byw yn yr etholaethau arfaethedig, felly gallai data lleoliad fod yn ddefnyddiol i’r LDBCW ymgymryd â’i waith. Rhagwelir y gallai unigolion hefyd wirfoddoli data personol wrth ymateb i’r ymgynghoriadau, a gallai hyn gynnwys data fel enwau, cyfeiriadau, rhifau ffôn a chyfeiriadau e-bost. Mae hyn yn golygu y bydd y LDBCW (wedi’i ailenwi) yn prosesu data personol wrth gyflawni ei rwymedigaeth i ymgynghori (er nad yw’r ddeddfwriaeth yn datgan bod rhaid casglu data personol).

Fel rhan o’r broses ymgynghori, cynigir hefyd y bydd yn ofynnol i’r LDBCW (wedi’i ailenwi) gynnal gwrandawiadau cyhoeddus – a’i bwrpas fydd galluogi cyflwyno sylwadau am ei gynigion. Felly, gall hyn arwain at brosesu data personol yn rhinwedd ceisiadau i fod yn bresennol, a sylwadau llafar a wneir, mewn gwrandawiadau o’r fath.

Bydd y ddeddfwriaeth hefyd yn ei gwneud yn ofynnol i’r LDBCW (wedi’i ailenwi) gyhoeddi ymatebion i ymgynghoriadau a sylwadau a wneir mewn gwrandawiadau cyhoeddus. Ystyrir bod hyn yn angenrheidiol er mwyn sicrhau’r tryloywder a’r hygrededd gorau posibl ar gyfer yr adolygiad, gan y bydd cynigion y LDBCW (wedi’i ailenwi) yn cael eu gweithredu’n awtomatig (drwy is-ddeddfwriaeth a wneir gan Weinidogion Cymru) heb unrhyw un o weithdrefnau’r Senedd. Felly, ystyrir ei bod yn bwysig bod pobl yn gallu gweld y sylwadau a gafwyd a oedd yn sail i gynigion y LDBCW.

Disgwylir i'r LDBCW (wedi’i ailenwi) gyhoeddi'r ymatebion gyda'r holl wybodaeth bersonol wedi'i golygu, gyda phrosesau priodol ar waith i sicrhau bod unrhyw wybodaeth a gyhoeddir yn ddienw. Mae hyn yn adlewyrchu’r arferion presennol a gynhaliwyd gan y LDBCW, sy’n cyhoeddi crynodeb o’r ymatebion i’r ymgynghoriad fel rhan o adolygiadau cymunedol ac etholiadol. Ar gyfer y cyntaf, mae darpar ymatebwyr yn cael gwybod y bydd y LDBCW yn cyhoeddi’r holl sylwadau a gafwyd yn llawn, gyda gwybodaeth bersonol wedi’i golygu gan aelodau o’r cyhoedd (ond bod yr enwau’n cael eu cyhoeddi ochr yn ochr â sylwadau a gyflwynir yn swyddogol). Mae dogfen ganllaw’r LDBCW ar gyfer adolygiadau etholiadol yn datgan:

Mae crynodeb o bob sylw mae’r Comisiwn yn ei gael yn cael ei gyhoeddi mewn atodiad yn Adroddiadau Cynigion Drafft a Chynigion Terfynol y Comisiwn. Mae gan y Comisiwn bolisi na fydd aelodau o’r cyhoedd yn cael eu henwi yn y crynodebau o sylwadau a gyhoeddir yn yr adroddiadau. Bydd y Comisiwn yn priodoli lleoliad ei breswylfa i’r crynodeb o’r gynrychiolaeth.

Efallai y bydd hefyd yn ddefnyddiol cyfeirio eto at y trefniadau presennol ar gyfer adolygiadau o ffiniau Senedd y DU yn 2023 a gynhaliwyd yng Nghymru gan y BCW. Mae’r ddeddfwriaeth sy’n ymwneud â rheolau a gweithdrefnau’r adolygiad hwnnw hefyd yn cynnwys gofyniad i’r BCW ymgynghori ynghylch ei gynigion, a chyhoeddi sylwadau.

BCW polisi diogelu data a phreifatrwydd
BCW yn cyhoeddi fersiynau wedi’u golygu o’r sylwadau a wnaed.

Ydy (ond fel y nodir uchod, ni fydd deddfwriaeth Diwygio’r Senedd yn ei gwneud yn ofynnol i'r LDBCW gasglu data personol fel rhan o drefniadau ymgynghori, ond mae’n debygol y bydd effaith y ddeddfwriaeth ar waith yn golygu y bydd y LDBCW (wedi’i ailenwi) yn prosesu data personol wrth gyflawni ei rwymedigaeth i ymgynghori).

Ticiwch yr eitemau data personol a fydd yn cael eu prosesu (nid yw’r rhestr hon yn gynhwysfawr):

(I nodi, mae’r isod yn adlewyrchu’r hyn rydym yn credu sy’n rhesymol i ddisgwyl y gallai’r LDBCW (wedi’i ailenwi) fod yn prosesu fel rhan o’r broses ymgynghori).

Personol

• Enw
• Enw cyfeiriad
• Cyfeiriad y busnes
• Cod Post
• Cyfeiriad e-bost
• Rhifau ffôn
• Dyddiad geni

Categori arbennig

(I nodi, ni fydd y LDBCW yn mynnu nac yn gofyn am unrhyw un o’r isod, ond fel y nodir yn hysbysiad preifatrwydd y BCW , gellir gwirfoddoli data ar ymlyniadau gwleidyddol neu grefydd, er enghraifft, mewn ymatebion i’r ymgynghoriad ac yn ystod y broses o fod yn bresennol mewn gwrandawiadau cyhoeddus a chyflwyno sylwadau ynddynt.

Cynigir y bydd y Bil yn caniatáu i sylwadau gael eu cyflwyno’n benodol gan bob plaid wleidyddol sydd wedi’i chofrestru o dan Ran 2 o Ddeddf Pleidiau Gwleidyddol, Etholiadau a Refferenda 2000 ac sydd naill ai ag o leiaf un Aelod o’r Senedd neu wedi cael o leiaf 10% o’r pleidleisiau a gafodd eu bwrw yn yr etholiad cyffredinol diweddaraf.

Gellid dadlau’n ehangach hefyd y gallai ymatebwyr wirfoddoli unrhyw un o’r isod (ar wahân i ddata biometrig) fel rhan o’u hymatebion ysgrifenedig neu mewn gwrandawiadau cyhoeddus oherwydd bod sylwadau hefyd i’w caniatáu mewn gwrandawiadau o’r fath gan unrhyw berson arall y mae’r cadeirydd yn ystyried bod ganddo fuddiant yn unrhyw un o’r cynigion y mae’r gwrandawiad yn ymwneud â nhw).

• Safbwyntiau gwleidyddol
• Credoau crefyddol / athronyddol

Os prosesir data personol categori arbennig, a yw’r data’n cael ei gasglu’n orfodol (hy heb i wrthrychau’r data gael opsiwn i beidio â’i ddarparu)?

Nac ydy

A oes unrhyw rai o’r gwrthrychau'r data y bydd eu data personol yn cael ei brosesu yn perthyn i’r categorïau canlynol?

• Plant (dan 12 oed)
• Cleifion
• Ceiswyr lloches
• Gweithwyr Llywodraeth Cymru

Bydd yr ymgynghoriad yn agored i bawb, felly ni allwn ddiystyru’n bendant unrhyw un o’r isod sy’n ymateb i’r ymgynghoriad ac unrhyw ddata personol am wirfoddoli.

Rhowch syniad o raddfa’r prosesu (ee Cymru gyfan; grŵp wedi’i dargedu)

Manylion Cymru Gyfan - fel yr amlinellir uchod, bydd yr ymgynghoriad yn agored i bawb.

Ar gyfer y data personol sy’n cael ei brosesu, nodwch:

Pwy yw’r rheolydd data?

Comisiwn Ffiniau a Democratiaeth Leol Cymru (wedi’i ailenwi).

Unrhyw broseswyr data?

Ni fydd y Bil yn gwneud unrhyw ddarpariaeth o ran hyn ond disgwylir, o ystyried y bydd y data personol yn cael ei storio ar seilwaith TG y LDBCW, y bydd hefyd yn cael ei rannu â phroseswyr data’r LDBCW sy’n darparu gwasanaethau e-bost, rheoli dogfennau a storio. (Mae hyn yn adlewyrchu’r hyn sydd wedi’i gynnwys yn hysbysiad preifatrwydd y Comisiwn Ffiniau i Gymru – sy’n rhannu Ysgrifenyddiaeth â’r LDBCW).

A fydd y data’n cael ei rannu?

Gweler uchod. Ni ragwelir y bydd y LDBCW yn rhannu data personol â sefydliadau eraill. (Mae hyn eto’n adlewyrchu’r hyn sydd wedi’i gynnwys yn hysbysiad preifatrwydd y Comisiwn Ffiniau i Gymru).

Beth yw'r sail statudol dros brosesu’r data?

DS – Nid yw GDPR ei hun yn darparu sail gyfreithiol statudol ar gyfer prosesu data personol.

Bydd y Bil arfaethedig sy’n ymwneud â Diwygio’r Senedd yn darparu sail ar gyfer prosesau adolygiadau o ffiniau’r Senedd a fydd yn cynnwys gofyniad i ymgynghori ar ei gynigion ac i’r ymgynghoriad hwnnw gynnwys gwrandawiadau cyhoeddus.

Y ‘sail gyfreithlon’ dros brosesu data personol gan y LDBCW yw’r sail ‘tasgau cyhoeddus’, hynny yw, ‘mae’r prosesu’n angenrheidiol ar gyfer cyflawni tasg a gyflawnir wrth arfer awdurdod swyddogol sydd gan y rheolydd’, yn unol ag Erthygl 6(1)(e) o GDPR y DU.  Mae Adran 8 o Ddeddf Diogelu Data 2018 yn ategu Erthygl 6(1) o GDPR y DU drwy ddarparu rhestr fwy penodol o enghreifftiau o ‘dasgau cyhoeddus’. Ar gyfer y LDBCW, mae’n debygol y bydd eu gweithgareddau prosesu yn dod o dan yr enghraifft yn adran 8(c) o Ddeddf 2018 sy’n nodi ‘mae prosesu data personol yn angenrheidiol ar gyfer....(c) arfer swyddogaeth a roddir i berson drwy ddeddfiad rheol gyfreithiol’.

Pan fydd y LDBCW yn prosesu ‘data categori arbennig’, mae angen sail ychwanegol o dan Erthygl 9 o GDPR y DU.  Ar gyfer y LDBCW, mae hyn yn debygol o fod yn Erthygl 9(2)(g) o GDPR y DU (yr amod ‘budd sylweddol i’r cyhoedd’). Unwaith eto mae hyn yn cael ei ategu gan Ddeddf 2018. Wrth ddibynnu ar ofyniad ‘budd sylweddol i’r cyhoedd’ yn Erthygl 9(2)(g) GDPR y DU, mae Adran 10 yn darparu bod rhaid bodloni un o’r ‘amodau’ yn Rhan 2 o Atodlen 1 Deddf Diogelu Data 2018 hefyd. Ar gyfer y LDBCW, mae hyn yn debygol o fod yn Baragraff 6(2)(a) o Ran 2 o Atodlen 1, sy’n nodi bod y prosesu’n angenrheidiol ar gyfer ‘arfer swyddogaeth a roddir i berson gan ddeddfiad’.

A yw Gwasanaethau Cyfreithiol wedi cadarnhau bod y sail a amlinellir uchod yn rhoi’r porth statudol angenrheidiol ar gyfer prosesu (gan gynnwys unrhyw rannu arfaethedig)?

Ydy

A fydd y cynnig yn golygu prosesu data personol newydd neu sydd wedi newid yn sylweddol am bob unigolyn?

Bydd. Bydd y gwaith o brosesu data personol gan y LDBCW at ddibenion adolygiadau o ffiniau’r Senedd yn newydd, ond dylid nodi bod y prosesu dan sylw yn debyg i’r trefniadau ymgynghori presennol ar gyfer adolygiadau etholiadol llywodraeth leol.

A fydd y data personol yn cael ei gyfuno, ei gysylltu neu ei gyfateb â data o ffynonellau eraill?

Na fydd

A fydd y data personol yn cael ei ddefnyddio i wneud penderfyniadau awtomatig?

Na fydd

A fydd y data personol yn arwain at fonitro gwrthrychau’r data yn systematig?

Na fydd

A yw’r cynnig yn golygu polisïau/arferion newydd neu ddiwygiedig ar gyfer casglu, cadw neu rannu data personol?

Nac ydy

Oes gennych chi bolisi cadw clir a pha bethau ymarferol sydd yn eu lle i sicrhau bod eich Polisi Cadw yn cael ei ddefnyddio?

Oes. Ar gyfer unrhyw ddata personol sy’n cael ei gasglu at ddibenion adolygiadau o ffiniau’r Senedd, rydym yn disgwyl i’r LDBCW ddilyn yr un polisïau cadw ag sy’n wir ar hyn o bryd ar gyfer unrhyw ddata personol sy’n cael ei gasglu ar gyfer adolygiadau etholiadol llywodraeth leol.

A fydd y cynnig yn golygu cyflwyno technolegau sy’n tarfu ar breifatrwydd?

Na fydd

A fydd y cynnig yn golygu prosesau newydd neu ddiwygiedig ar gyfer rheoli neu ddilysu hunaniaeth?

Na fydd

A fydd y cynnig yn golygu bodd modd adnabod unigolion a oedd yn arfer bod yn ddienw?

Na fydd

A oes angen Asesiad o’r Effaith ar Ddiogelu Data (DPIA) ar gyfer y cynnig hwn?

Nac oes. Nid yw’r cynnig yn bodloni’r meini prawf ar gyfer Asesiad llawn o’r Effaith ar Breifatrwydd Data.

A ddarparwyd cyngor ar gydymffurfio â’r Rheoliad Cyffredinol ar Ddiogelu Data (GDPR)?

Naddo

A yw’r cynnig yn golygu bod angen drafftio Hysbysiad Preifatrwydd?

Nac ydy

A yw’r cynnig yn golygu bod angen ymgynghori â Swyddfa’r Comisiynydd Gwybodaeth o dan Erthygl 36(4) GDPR?

Nac ydy

A yw’r cynnig yn golygu bod angen contract rhwng Llywodraeth Cymru fel rheolydd data a phrosesydd trydydd parti?

Nac ydy

Does the proposal require a data sharing agreement to be drafted?

Nac ydy