Egwyddorion GDPR

Ein hymrwymiad

Mae preifatrwydd data yn fater sy’n cael ei gymryd o ddifri ym Mhrifysgol Wrecsam. Rydym ni wedi ymrwymo i gydymffurfio gyda ddeddfwriaeth diogelu data a thrin data personol yn gywir a phriodol.  

Rydym ni’n gweithio’n barhaus i ddiweddaru ein polisïau a’n prosesau i sicrhau bod gennym ni’r fframwaith priodol i gefnogi hawliau unigolion. 

Beth sydd angen i mi ei wybod

Meddyliwch am sut rydych chi’n rheoli gwybodaeth bersonol, os gwelwch yn dda. Am ragor o wybodaeth ynghylch gwybodaeth bersonol a’r Rheoliadau Diogelu Data Cyffredinol (GDPR), edrychwch ar ein hadran polisïau neu edrychwch ar wefan Swyddfa’r Comisiynydd Gwybodaeth: https://ico.org.uk/ 

Os ydych chi’n aelod o staff, cewch weld y mewnrwyd llywodraethu gwybodaeth (LINK) am gymorth a chefnogaeth o ran sut mae GDPR yn effeithio arnoch chi a’r hyn y mae angen i chi ei wybod (noder: bydd angen i chi fewngofnodi i’ch cyfrif Prifysgol i weld hyn). Hefyd mae angen i chi sicrhau eich bod chi wedi cwblhau’r cwrs e-ddysgu am GDPR.   

Deddfwriaeth Diogelu Data

Daeth y Rheoliadau Diogelu Data Cyffredinol newydd (GDPR) a Deddf Diogelu Data 2018 yn gyfraith ar 25 Mai 2018, gyda’r nod o ddiogelu data personol unigolion. Mae deddfwriaeth diogelu data yn nodi’r rheolau a’r safonau ar gyfer trin a defnyddio (‘prosesu’) gwybodaeth (‘data personol’) am unigolion byw y gellir eu hadnabod (‘gwrthrych data’) gan sefydliadau (‘rheolyddion data’). Mae wedi’i seilio ar egwyddorion, hawliau ac ymrwymiadau atebolrwydd. 

Mae harmoneiddio a chryfhau rheolau diogelu data yn rhan fawr o uchelgais yr Undeb Ewropeaidd i ymestyn yr economi ddigidol, gan wneud gwell defnydd o wasanaethau arloesol megis data mawr a chyfrifiadura cwmwl. Yn ddealladwy, mae angen i’r Deyrnas Unedig fod mewn sefyllfa i fod yn rhan o’r datblygiad economaidd hwn. 

Tanlinellir pwysigrwydd y ddeddfwriaeth newydd hon gan gynnydd sylweddol yn uchafswm y gosb ariannol am dorri’r rheolau, o £500,000 i oddeutu £17 miliwn i awdurdodau cyhoeddus neu 4% o drosiant y sefydliad.

Mae’r newidiadau a ddaeth yn sgîl GDPR yn ei gwneud yn ofynnol i ni fod yn fwy cydwybodol ynghylch y ffordd rydym ni’n prosesu data personol, gan roi hawliau unigolion wrth graidd yr hyn rydym ni’n ei wneud, a bod yn fwy tryloyw ynghylch sut rydym ni’n defnyddio’r data personol hwnnw.

Egwyddorion

Mae’n rhaid i reolyddion data sy’n prosesu data personol ddilyn – a medru dangos eu bod yn dilyn – yr egwyddorion diogelu data. 

Mae chwech egwyddor dan y rheoliadau GDPR. Rhaid prosesu data personol yn unol â’r egwyddorion hyn, fel bod y data:

1. Yn cael ei brosesu’n deg, yn gyfreithlon ac yn dryloyw – a dim ond os oes ‘sail gyfreithiol’ ddilys ar gyfer gwneud hynny. 
2. Yn cael ei brosesu ar gyfer dibenion penodol a chyfreithlon. 
3. Yn ddigonol, perthnasol a chyfyngedig.
4. Yn gywir (ac yn cael ei gywiro os yw’n anghywir).
5. Ddim yn cael ei gadw am hirach nag sy’n angenrheidiol.
6. Yn cael ei brosesu’n ddiogel – er mwyn cadw cyfrinachedd, uniondeb ac argaeledd data personol. 

Torri Rheolau Data Personol

Mae un o’r ymrwymiadau atebolrwydd pwysicaf yn ymwneud â thorri rheolau data personol – hynny yw, bod y data personol a gedwir gan y Brifysgol yn cael ei golli, ei ddwyn, ei ddatgelu’n ddiarwybod i gorff allanol neu ei gyhoeddi’n ddamweiniol. Rhai enghreifftiau nodweddiadol o hyn yw:

• Anfon neges e-bost neu lythyr yn cynnwys data personol i’r derbynnydd anghywir. 
• Datgelu cyfeiriadau e-bost personol yn ddamweiniol (e.e. trwy ddefnyddio cc yn hytrach na bcc wrth anfon neges e-bost).
• Cyhoeddi’n ddiarwybod gofnodion y Brifysgol sy’n cynnwys data personol, neu fanylion mewngofnodi sy’n caniatáu mynediad at ddata personol ar y rhyngrwyd. 
• Colli gliniadur neu ddyfais bersonol arall heb system ddiogelu/atal mynediad sy’n storio cofnodion y Brifysgol yn cynnwys data personol. 
• Gwefan, cyfrif e-bost neu yriant y Brifysgol yn cael ei hacio, gyda data personol yn cael ei ddwyn neu ei ‘gloi’ gan yr haciwr. 

Gall torri rheolau data personol ddeillio o ddigwyddiadau diogeledd Technoleg Gwybodaeth, ond nid yw’r holl ddigwyddiadau diogeledd TG yn torri’r rheolau data personol, ac i’r gwrthwyneb. Mae’n rhaid hysbysu Swyddfa’r Comisiynydd Gwybodaeth am rai mathau o dorri rheolau data personol a’r gwrthrychau data a effeithwyd mewn cyfnod amser byr, felly mae eu hadnabod a hysbysu amdanynt yn fewnol yn hanfodol bwysig. Mae gan y Brifysgol broses benodol i ymdrin â thorri rheolau diogelu data mewn achosion lle bu (neu lle yr amheuir y gellid bod wedi) torri’r rheolau diogelu data. 

Mae’n ddyletswydd ar holl aelodau staff y Brifysgol i hysbysu am unrhyw achosion o’r fath yn ddioed. Hefyd, os yw myfyrwyr neu’r cyhoedd yn dod yn ymwybodol o dorri’r rheolau diogelu data gan y Brifysgol, yna byddem yn eich cynghori i’n hysbysu am hynny fel y medrwn ni ymchwilio a gweithredu. 

Cewch fanylion ynghylch sut rydym ni’n ymdrin â thorri rheolau data personol, yn cynnwys sut i’n hysbysu am hyn, yn yma. 

Hysbysiadau Preifatrwydd

Dan y rheoliadau GDPR mae’n rhaid i’r holl sefydliadau sy’n prosesu data personol hysbysu unigolion am y prosesu mewn modd cryno, tryloyw a dealladwy. Mae angen ysgrifennu hyn mewn iaith glir a sicrhau ei fod yn hygyrch.   

Mae gan y Brifysgol nifer o hysbysiadau preifatrwydd i hysbysu gwrthrychau data ynghylch sut rydym ni’n prosesu eu gwybodaeth bersonol. Cewch ddolenni i’r rhain yn yma.

Hawliau

Rhoir hawliau amrywiol i wrthrychau data dan y rheoliadau GDPR, y gellir eu gweithredu am ddim:

• Yr hawl i gael eu hysbysu sut mae eu data personol yn cael ei ddefnyddio – yn arferol cyflawnir yr hawl hwn trwy ddarparu ‘hysbysiadau preifatrwydd’ fel y disgrifir uchod. 
• Yr hawl i weld eu data personol – yn arferol mae gweld data personol yn y modd yma yn cael ei adnabod fel gwneud cais gwrthrych data. 
• Yr hawl i gywiro unrhyw ddata personol anghywir. 
• Yr hawl i ddileu eu data personol lle bo’n briodol – hefyd yn cael ei adnabod fel yr hawl i gael eu hanghofio. 
• Yr hawl i gyfyngu ar brosesu eu data personol nes ei fod yn cael ei ddilysu neu ei gywiro. 
• Yr hawl i dderbyn copïau o’u data personol mewn fformat a ddefnyddir yn gyffredin ac sy’n ddarllenadwy gan beiriannau – yn cael ei adnabod fel yr hawl i gludadwyedd data. 
• Yr hawl i wrthwynebu prosesu (yn cynnwys proffilio) eu data personol sy’n digwydd dan seiliau cyfreithiol penodol; ar gyfer marchnata uniongyrchol; a phrosesu eu data at ddibenion ymchwil lle nad yw’r ymchwil er budd y cyhoedd. 
• Yr hawl i beidio â bod yn ddarostyngedig i benderfyniad arwyddocaol wedi’i seilio’n unig ar wneud penderfyniadau awtomatig gan ddefnyddio eu data personol. 

Yn arferol mae angen anfon ymateb i gais ynghylch hawliau cyn pen mis. Fodd bynnag, mae amodau’n berthnasol i bron y cyfan o’r hawliau hyn mewn gwahanol ffyrdd, ac mae nifer o eithriadau penodol yn y GDPR a Deddf Diogelu Data 2018 (er enghraifft, efallai na fydd bron y cyfan o’r hawliau’n berthnasol os yw’r data personol yn cael ei brosesu yng nghyd-destun ymchwil academaidd yn unig). Mae’r hawliau hyn yn adeiladu ar ac yn cryfhau’r hawliau a roddwyd i wrthrychau data’n flaenorol dan Ddeddf Diogelu Data 1998. 

Cwynion

Mae Prifysgol Wrecsam wedi ymrwymo i ddiogelu data personol a’i drin yn unol â deddfwriaeth diogelu data’r DU, gan gynnwys Deddf Data (Defnydd a Mynediad) 2025 a’r Rheoliad Cyffredinol ar Ddiogelu Data (GDPR y DU).

Os nad ydych chi’n credu ein bod wedi trin eich data personol yn briodol, gallwch ddefnyddio’r ffurflen hon i fynegi pryder ynghylch diogelu data neu gyflwyno cwyn ffurfiol. Gall hyn gynnwys pryderon ynghylch sut mae eich data personol wedi cael ei gasglu, ei ddefnyddio, ei rannu, ei storio neu ei brosesu mewn ffordd arall gan y Brifysgol.

Ein nod yw cydnabod cwynion yn syth a darparu ymateb o fewn amserlen resymol. Mewn rhai achosion, mae’n bosib y byddwn yn cysylltu â chi os oes angen gwybodaeth bellach er mwyn ein helpu i ymchwilio i’ch pryderon.

Os ydych yn parhau i fod yn anfodlon gyda’n hymateb, mae gennych yr hawl i godi eich pryder gyda Swyddfa’r Comisiynydd Gwybodaeth (ICO), awdurdod annibynnol y DU sy’n gyfrifol am gynnal hawliau gwybodaeth.

O dan adran 164A y Ddeddf Diogelu Data 2018 (wedi’i mewnosod gan y Ddeddf Data (Defnydd a Mynediad 2025), mae gennych hawl i gwyno wrthym os ydych chi’n credu ein bod wedi torri GDPR y DU neu Ran 3 o’r Ddeddf Diogelu Data 2018 wrth drin data personol.