Statutory guidance

Drafft: Cod Ymarfer ar gyfer Awdurdodau Cyhoeddus sy'n Rhannu Gwybodaeth â Gwasanaethau Dilysu Digidol

Published 21 October 2026

1. Trosolwg

1. Cyhoeddwyd y Cod ymarfer statudol hwn (y “Cod”) o dan adran 49 o Ddeddf Data (Defnydd a Mynediad) 2025 (y “Ddeddf Data”). Mae’r Cod yn rhoi arweiniad i awdurdodau cyhoeddus ar ddatgelu gwybodaeth o dan adran 45 o’r Ddeddf Data.

2. Mae adran 45 yn gymwys pan fo darparwr gwasanaeth dilysu digidol (“DVS”) cofrestredig yn gwneud cais am wybodaeth am unigolyn gan awdurdod cyhoeddus at ddiben darparu DVS i’r unigolyn, ar ei gais. Mae’n rhoi’r pŵer i awdurdodau cyhoeddus ddatgelu’r wybodaeth honno i’r darparwr hwnnw at y diben hwnnw.

3. Mae’r Cod yn nodi canllawiau i awdurdodau cyhoeddus eu dilyn wrth rannu gwybodaeth o dan adran 45 o’r Ddeddf Data. Mae hefyd yn cyfeirio awdurdodau cyhoeddus at rwymedigaethau cyfreithiol presennol y mae angen cydymffurfio â nhw wrth ddatgelu gwybodaeth o dan adran 45, ond nid yw’n honni ei fod yn ddatganiad o’r gyfraith.

4. Yng nghyd-destun y Cod hwn, rhoddir i “awdurdod cyhoeddus” yr ystyr a nodir yn adran 45(8) o’r Ddeddf Data. Diffinnir “DVS” yn adran 27 o’r Ddeddf honno. Diffinnir y Gofrestr DVS yn adran 32 o’r Ddeddf Data a chaiff ei disgrifio’n fanylach yn 4.1.1 o’r Cod hwn. Gellir cofrestru DVS ar y Gofrestr DVS p’un a yw wedi’i leoli yn y DU neu’n rhyngwladol.

5. Y gynulleidfa darged ar gyfer y Cod hwn yw awdurdodau cyhoeddus a all rannu gwybodaeth o dan adran 45. Rhaid i awdurdodau cyhoeddus o’r fath roi sylw i’r Cod hwn wrth ddatgelu gwybodaeth o dan adran 45 fel sy’n ofynnol o dan adran 49(3) o’r Ddeddf Data. Mae hyn yn cynnwys awdurdodau cyhoeddus yng Nghymru, Lloegr, yr Alban a Gogledd Iwerddon.

6. Pan fydd adran 45 yn cychwyn, ni fydd yn cychwyn mewn perthynas â Chyllid a Thollau (CThEF), Awdurdod Cyllid Cymru na Revenue Scotland. Bydd y pŵer rhannu gwybodaeth o dan adran 45 ar gyfer yr awdurdodau hyn yn cychwyn yn ddiweddarach, a chaiff y Cod ei ddiwygio os bydd angen i ystyried hyn.

7. Yn yr un modd, nid yw adrannau 46 i 48 o’r Ddeddf Data, sy’n cyfeirio at rannu data a dderbynnir gan CThEF, Awdurdod Cyllid Cymru a Revenue Scotland, mewn grym. Bydd y rhain yn cychwyn pan fydd y pŵer rhannu gwybodaeth ar gyfer yr awdurdodau hyn yn cychwyn, fel y disgrifir uchod.

8. Mae’r Llywodraeth wedi ymgynghori â Gweinidogion Cymru, Gweinidogion yr Alban ac Adran Gyllid Gogledd Iwerddon wrth baratoi’r Cod, fel sy’n ofynnol o dan adran 49(5)(b)-(d) o’r Ddeddf Data, a phersonau eraill y mae’r Ysgrifennydd Gwladol yn eu hystyried yn briodol.

9. Mae’r Cod hwn wedi’i ddatblygu i fod yn gyson â chod ymarfer rhannu data’r Comisiwn Gwybodaeth (“Cod Rhannu Data’r Comisiwn Gwybodaeth”), fel sy’n ofynnol o dan adran 49(2) o’r Ddeddf Data. At hynny, mae’r Llywodraeth wedi ymgynghori â’r Comisiwn Gwybodaeth wrth baratoi’r Cod, fel sy’n ofynnol o dan adran 49(5)(a) o’r Ddeddf Data.

10. Gall y Cod gael ei ddiwygio o bryd i’w gilydd, a bydd unrhyw fersiynau newydd yn cael eu cyflwyno gerbron y Senedd. Gan mai fersiwn gyntaf y Cod yw hon, mae’r Llywodraeth yn croesawu adborth gan randdeiliaid a fydd yn helpu i lywio fersiynau yn y dyfodol. Bydd unrhyw ddiwygiadau i’r Cod yn dilyn ymgynghoriad â’r un personau a restrir uchod yn unol ag adran 49(5) o’r Ddeddf Data.

11. Rhaid i awdurdodau cyhoeddus sy’n gweithredu yng Nghymru gydymffurfio ag unrhyw ddyletswyddau statudol sydd ganddynt i ddarparu gwasanaethau yn Gymraeg a sicrhau nad yw ceisiadau am wybodaeth yn Gymraeg yn cael eu trin yn llai ffafriol na cheisiadau am wybodaeth yn Saesneg, ac yn yr un modd nad yw gwybodaeth sy’n cael ei storio yn Gymraeg yn cael ei thrin yn llai ffafriol. Mae’r Pecyn Cymorth Technoleg Dwyieithog yn rhoi arweiniad ymarferol i helpu sefydliadau i ddylunio, caffael a darparu gwasanaethau digidol sy’n cynnig profiad o’r un ansawdd uchel i ddefnyddwyr yn Gymraeg a Saesneg, gyda darpariaeth ddwyieithog wedi’i hymgorffori o’r cychwyn cyntaf.

12. Dylai awdurdodau cyhoeddus Cymru hefyd ystyried Cytundeb Rhannu Gwybodaeth Bersonol Cymru. Bydd hyn yn cynnwys defnyddio’r templedi perthnasol fel sy’n briodol a dilyn egwyddorion y Cytundeb. Dylai awdurdodau cyhoeddus yr Alban ystyried Pecyn Cymorth Gwybodaeth yr Alban.

2. Esboniad o bwerau cyfreithiol

2.1 Amodau sy’n ofynnol i alluogi’r pŵer rhannu gwybodaeth

13. Mae Adran 45 o’r Ddeddf Data yn gymwys pan fo darparwr DVS cofrestredig yn gwneud cais am wybodaeth am unigolyn gan awdurdod cyhoeddus at ddiben darparu DVS i’r unigolyn, ar gais yr unigolyn hwnnw. Rhaid i’r cais gael ei wneud mewn perthynas â darparu DVS y mae’r darparwr DVS wedi’i gofrestru mewn perthynas ag ef. Mae hyn yn bwysig i’w nodi gan y gallai darparwr DVS cofrestredig ddarparu rhai gwasanaethau sydd wedi’u cofrestru a rhai nad ydynt wedi’u cofrestru.

14. Mae Adran 45(2) yn rhoi’r pŵer i awdurdodau cyhoeddus ddatgelu’r wybodaeth y gofynnwyd amdani yn gyfreithlon i’r DVS cofrestredig. Mae Adran 45 hefyd yn darparu bod yn rhaid bodloni rhai amodau er mwyn i’r awdurdodau cyhoeddus arfer y pŵer hwn. Mae’r adran ganlynol yn amlinellu’r amodau hyn fel y’u nodir yn adran 45 o’r Ddeddf Data.

15. Yn gyntaf, rhaid i’r awdurdod cyhoeddus fod wedi derbyn cais am wybodaeth am unigolyn gan ddarparwr DVS cofrestredig at ddiben darparu DVS i’r unigolyn hwnnw. Rhaid i awdurdodau cyhoeddus sicrhau bod y DVS wedi’i ardystio gan gorff asesu cydymffurfiaeth achrededig a’i fod wedi’i gofrestru ar y gofrestr DVS ar hyn o bryd. Mae canllawiau pellach ar hyn yn 4.1.1 a 4.1.2 o’r Cod hwn.

16. Yn ail, mae adran 45(1)(b) o’r Ddeddf Data yn nodi’n glir mai dim ond pan fo’r unigolyn y mae’r wybodaeth yn ymwneud ag ef wedi gwneud cais am ei wasanaeth(au) y gellir rhannu gwybodaeth â darparwr DVS cofrestredig o’r fath, a hynny at ddiben darparu’r DVS i’r unigolyn. Mae canllawiau pellach ar hyn yn 4.2.4 o’r Cod hwn.

17. Yn olaf, ni chaniateir i awdurdodau cyhoeddus rannu gwybodaeth o dan adran 45:

1. sydd wedi’i gwahardd gan unrhyw un o Rannau 1 i 7 neu Bennod 1 o Ran 9 o Ddeddf Pwerau Ymchwilio 2016; neu
2. a fyddai’n mynd yn groes i’r ddeddfwriaeth diogelu data (fel y nodir yn 3.2 o’r Cod hwn); neu
3. a gafwyd gan yr awdurdod heblaw mewn cysylltiad ag arfer ei swyddogaethau cyhoeddus.

18. Fel y noda adran 45(6) o’r Ddeddf Data yn glir, nid yw’r pŵer rhannu gwybodaeth o dan adran 45(2) yn diystyru pwerau presennol i ddatgelu gwybodaeth.

2.2 Ffioedd 

19. Mae adran 45(7) o’r Ddeddf Data yn caniatáu i awdurdod cyhoeddus godi ffioedd ar ddarparwyr DVS cofrestredig sy’n gwneud cais am wybodaeth o dan adran 45.

20. Gall awdurdodau cyhoeddus benderfynu ar lefel y ffioedd a’r strwythur codi ffioedd mewn perthynas â datgelu gwybodaeth o dan adran 45, ond dylai hyn fod yn gymesur ac yn deg ac yn unol ag egwyddorion cyfraith gyhoeddus. Rhaid i ffioedd fod yn niwtral o ran cost ac ni ddylid eu defnyddio i wneud elw. Er enghraifft, gall awdurdodau cyhoeddus ddewis gweithredu model cost fesul gwiriad, model talu ymlaen llaw, neu gyfuniad o’r modelau hyn.

21. Wrth bennu cynllun codi ffioedd, mae’n bwysig bod awdurdodau cyhoeddus yn gwneud hynny mewn modd tryloyw, wedi’i seilio ar dystiolaeth a heb driniaeth anghyfartal. Cynghorir awdurdodau cyhoeddus yn gryf i geisio cyngor arbenigol, megis gan eu timau ariannol neu fasnachol, wrth ddylunio’r cynllun hwn.

22. Wrth ystyried strwythur a lefel ffioedd, gall awdurdodau cyhoeddus ystyried y costau a gronnir am sefydlu, cynnal a gwella systemau, gan gynnwys prosesau gweinyddu a llywodraethu ar gyfer rhannu data yn ogystal â’r bensaernïaeth dechnegol.

23. Dylai awdurdodau cyhoeddus gydymffurfio â Chanllawiau Rheoli Arian Cyhoeddus Trysorlys EF neu ganllawiau cyfatebol a gaiff eu llunio gan lywodraethau datganoledig. Y canllawiau cyfatebol yn yr Alban yw’r Scottish Public Finance Manual. Y canllawiau cyfatebol yng Nghymru yw Rheoli Arian Cyhoeddus Cymru. Y canllawiau cyfatebol yng Ngogledd Iwerddon yw Managing Public Money NI. Mae pob set o ganllawiau yn tynnu sylw at yr angen i awdurdodau cyhoeddus weithredu’n dryloyw wrth gymhwyso ffioedd a thaliadau.

24. Argymhellir y dylid rhoi cytundebau contractiol ar waith rhwng yr awdurdod cyhoeddus a’r darparwr DVS cofrestredig cyn rhannu gwybodaeth. Dylai’r cytundeb hwn nodi strwythur a lefel y ffioedd.

3. Deddfwriaeth berthnasol

3.1 Trosolwg

25. Er mwyn datgelu gwybodaeth yn gyfreithlon i DVS cofrestredig o dan adran 45 o’r Ddeddf Data, rhaid i awdurdodau cyhoeddus gydymffurfio â deddfwriaeth berthnasol. Mae hyn yn cynnwys y ddeddfwriaeth diogelu data, Deddf Hawliau Dynol 1998 a Deddf Pwerau Ymchwilio 2016.

26. Mae’r adran ganlynol yn cyfeirio at rai o’r darpariaethau deddfwriaethol allweddol y mae angen i awdurdodau cyhoeddus gydymffurfio â nhw wrth ddatgelu gwybodaeth i DVS o dan adran 45. Fodd bynnag, rhaid i awdurdodau cyhoeddus fod yn ymwybodol o bob rhwymedigaeth ddeddfwriaethol a allai fod yn berthnasol iddynt neu’r set ddata benodol wrth rannu gwybodaeth o dan adran 45.

3.2 Deddfwriaeth Diogelu Data

3.2.1 Cyffredinol

27. Mae Deddf Diogelu Data 2018 a Rheoliad Cyffredinol y DU ar Ddiogelu Data (“GDPR y DU”) ac unrhyw reoliadau a wneir o dan y ddeddfwriaeth honno, yn ffurfio deddfwriaeth diogelu data’r DU (gweler y diffiniad yn adran 3(9) o’r Ddeddf Diogelu Data).

28. Mae’n ofynnol i awdurdodau cyhoeddus sy’n rhannu gwybodaeth o dan y pŵer yn adran 45 o’r Ddeddf Data gydymffurfio â’r ddeddfwriaeth diogelu data. Yn unol ag adran 45(4) o’r Ddeddf Data, nid yw’r pŵer rhannu gwybodaeth hwn yn awdurdodi datgelu gwybodaeth a fyddai’n groes i ddeddfwriaeth diogelu data gyfredol. Fodd bynnag, caiff pŵer adran 45 yn y Ddeddf Data ei ystyried wrth benderfynu a yw datgeliad yn mynd yn groes i’r ddeddfwriaeth diogelu data honno.

29. Mae’r Cod hwn yn cyd-fynd â Chod Rhannu data Swyddfa’r Comisiynydd Gwybodaeth, fel sy’n ofynnol o dan adran 49(2) o’r Ddeddf Data. Wrth weithredu canllawiau a nodir gan y Cod hwn, rhaid i awdurdodau cyhoeddus sicrhau bod y camau a gymerir yn cydymffurfio ag unrhyw ddeddfwriaeth a chanllawiau perthnasol. Os bydd awdurdod cyhoeddus yn ansicr neu os bydd ganddo bryderon ynghylch a ganiateir achos arfaethedig o rannu gwybodaeth, dylai geisio cyngor gan ei swyddog diogelu data a/neu berson cyfrifol arall sydd â chymwysterau addas.

30. Bydd awdurdod cyhoeddus yn prosesu data personol wrth rannu gwybodaeth o dan adran 45 (ac wrth baratoi i rannu data o’r fath) ac felly mae’r ddeddfwriaeth diogelu data yn gymwys. Diffinnir “data personol” yn y ddeddfwriaeth diogelu data.

31. At ddibenion y Cod hwn, bydd y term “rhannu gwybodaeth” yn cynnwys rhannu data personol ond gall hefyd ymestyn i wybodaeth yn ehangach gan ei fod yn ymwneud â darparu DVS, ac felly mae ganddo ystyr ehangach na’r term “rhannu data”. Nid yw deddfwriaeth diogelu data yn berthnasol i ddata nad ydynt yn bersonol.

32. Bydd awdurdodau cyhoeddus sy’n gwneud y penderfyniad i arfer y pŵer hwn yn “rheolyddion” mewn perthynas â phrosesu data personol wedi hynny o dan y pŵer yn adran 45 o’r Ddeddf Data a bydd angen iddynt gydymffurfio â’r gofynion perthnasol o dan y ddeddfwriaeth diogelu data (mae canllawiau i reolwyr wedi’u cyhoeddi gan y Comisiwn Gwybodaeth).^{[footnote 1]} Mae hyn yn cynnwys cydymffurfio â’r egwyddorion diogelu data yn Erthygl 5 o GDPR y DU (gweler 3.2.2 o’r Cod hwn).

33. Cyn rhannu unrhyw ddata personol o dan adran 45 o’r Ddeddf Data gyda DVS, rhaid i awdurdodau cyhoeddus nodi sail gyfreithiol ar gyfer prosesu data personol yn Erthygl 6(1) o GDPR y DU. Rhaid dogfennu’r sail gyfreithiol y dibynnir arni. Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar seiliau cyfreithiol.^{[footnote 2]}

34. Os bydd awdurdodau cyhoeddus yn rhannu data categori arbennig (gweler Erthygl 9 o GDPR y DU) gyda DVS cofrestredig, rhaid iddynt gael sail gyfreithiol o dan Erthygl 6(1) o GDPR y DU a rhaid iddynt fodloni un o’r amodau o dan Erthygl 9 o GDPR y DU a (lle bo’n berthnasol) Atodlen 1 i’r Ddeddf Diogelu Data. Mae’r Comisiwn Comisiynydd Gwybodaeth wedi cyhoeddi canllawiau ar seiliau cyfreithiol.^{[footnote 3]}

35. Yn ogystal, rhoddir amddiffyniad ychwanegol i ddata personol sy’n ymwneud ag euogfarnau troseddol a throseddau neu fesurau diogelwch cysylltiedig o dan Erthygl 10 o GDPR y DU, adran 11 o’r Ddeddf Diogelu Data, ac Atodlen 1 iddi. Rhaid i awdurdodau cyhoeddus gydymffurfio ag amodau ychwanegol os byddant yn prosesu’r data hyn. Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar ddata troseddau.^{[footnote 4]}

37. Yn unol ag adran 164A o’r Ddeddf Diogelu Data, rhaid i reolydd data ddilyn proses ar gyfer cwynion. Mae hyn yn cynnwys cydnabod y gŵyn o fewn 30 diwrnod, gan ddechrau ar y dyddiad y daw’r gŵyn i law. Rhaid i’r rheolydd data hefyd gymryd camau priodol i ymateb i’r gŵyn a hysbysu’r achwynydd am ganlyniad y gŵyn heb oedi gormodol.

3.2.2 Egwyddorion Diogelu Data

37. Mae Erthygl 5 o GDPR y DU yn nodi saith egwyddor mewn perthynas â phrosesu data personol:

1. Cyfreithlondeb, tegwch, a thryloywder

2. Cyfyngu ar ddiben

3. Lleihau data i’r eithaf

4. Cywirdeb

5. Cyfyngu ar storio

6. Cyfanrwydd a chyfrinachedd (diogelwch)

7. Atebolrwydd

38. Gall awdurdodau cyhoeddus ddod o hyd i wybodaeth am yr egwyddorion hyn ar wefan y Comisiwn Gwybodaeth,^{[footnote 5]} a gallant geisio cyngor gan eu swyddog diogelu data.

39. Mae gan reolyddion data gyfrifoldeb cyffredinol am gydymffurfio â’r egwyddorion hyn ac mae’n ofynnol iddynt sicrhau bod mesurau a chofnodion priodol ar waith i ddangos cydymffurfiaeth. Mae hyn yn cynnwys contractau rhwng rheolyddion a phroseswyr, dogfennaeth briodol a, lle y bo’n briodol, codau ymddygiad. Os yw’r broses o rannu gwybodaeth yn debygol o beri risgiau uchel i unigolion, yna mae angen asesiad effaith diogelu data (gweler 4.1.4 o’r Cod hwn).

3.3 Deddf Hawliau Dynol 1998

40. Rhaid i awdurdodau cyhoeddus sicrhau bod prosesau rhannu gwybodaeth yn cydymffurfio â Deddf Hawliau Dynol 1998. Mae Erthygl 8 o’r Confensiwn Ewropeaidd ar Hawliau Dynol, sy’n nodi bod gan bawb yr hawl i barch at eu bywyd preifat a theuluol, cartref a gohebiaeth, yn arbennig o berthnasol wrth rannu gwybodaeth bersonol. Rhaid i unrhyw ymyrraeth â’r hawl hon fod yn gyfreithlon, yn angenrheidiol ac yn gymesur â rhai nodau penodedig.

3.4 Deddf Cydraddoldeb 2010 a Deddf Cydnabod Rhywedd 2004

41. Rhaid i brosesau rhannu gwybodaeth o dan adran 45 gydymffurfio â Deddf Cydraddoldeb 2010 a Deddf Cydnabod Rhywedd 2004.

4. Y broses ar gyfer defnyddio’r pŵer rhannu gwybodaeth

42. Mae’r adran ganlynol o’r Cod yn tynnu sylw at ystyriaethau allweddol ac arferion gorau y dylai awdurdodau cyhoeddus eu hystyried ar gamau allweddol wrth weithredu a defnyddio’r pŵer rhannu gwybodaeth o dan adran 45 o’r Ddeddf Data.

4.1 Cam 1: Paratoi i rannu gwybodaeth

4.1.1 Beth yw’r Gofrestr DVS

43. Mae’r gofrestr DVS wedi’i sefydlu a chaiff ei chynnal gan yr Ysgrifennydd Gwladol o dan adran 32 o’r Ddeddf Data. Mae’n rhestr sydd ar gael i’r cyhoedd o bersonau sydd â thystysgrif ddilys gan gorff asesu cydymffurfiaeth achrededig sy’n ardystio bod y DVS a ddarperir ganddynt yn cael ei ddarparu yn unol â fersiwn berthnasol o fframwaith ymddiriedaeth DVS (a gyhoeddwyd yn unol ag adran 28 o’r Ddeddf Data) (“y fframwaith ymddiriedaeth”), ac sydd wedi’u cofrestru gan yr Ysgrifennydd Gwladol.

44. Mae’r fframwaith ymddiriedaeth yn set o reolau sydd â’r nod o sicrhau bod cynhyrchion hunaniaeth ddigidol yn ddiogel, yn saff ac yn ddibynadwy. Mae’n agnostig o ran technoleg, sy’n golygu nad yw’n gorfodi’r defnydd o bensaernïaeth dechnegol benodol ar gyfer DVS. Mae’r fframwaith ymddiriedaeth yn cwmpasu meysydd fel preifatrwydd, diogelu data, rheoli twyll, seiberddiogelwch a chynhwysiant. O dan adran 28 o’r Ddeddf Data, mae gan yr Ysgrifennydd Gwladol ddyletswydd i baratoi a chyhoeddi’r fframwaith ymddiriedaeth ac mae ganddo’r pŵer i’w ddiwygio a’i ailgyhoeddi. Mae Adran 31 yn gosod dyletswydd ar yr Ysgrifennydd Gwladol i’w adolygu o leiaf bob 12 mis.

45. Mae’r codau atodol yn rheolau ychwanegol a gaiff eu paratoi a’u cyhoeddi gan yr Ysgrifennydd Gwladol o dan adran 29 o’r Ddeddf Data sy’n ategu’r fframwaith ymddiriedaeth. Gall y rhain ddarparu rheolau penodol pellach wedi’u teilwra at achosion defnydd penodol, er enghraifft, y cod atodol ar gyfer gwiriadau hawl i weithio digidol. Mae’r gofrestr DVS hefyd yn cofnodi ‘nodiadau atodol’ yng nghofnodion y gofrestr i nodi a yw DVS wedi’i gofrestru fel un sy’n darparu gwasanaethau penodol yn unol â chod atodol (gweler adran 36 o’r Ddeddf Data).

46. Mae Adran 45(1)(a) o’r Ddeddf Data yn caniatáu i wybodaeth gael ei rhannu â darparwyr DVS cofrestredig yn unig. Cyn rhannu gwybodaeth â DVS, rhaid i awdurdodau cyhoeddus wirio bod y DVS wedi’i gofrestru yn y gofrestr DVS.

47. Gall darparwr DVS gofrestru fel darparwr gwasanaeth hunaniaeth, darparwr gwasanaeth priodoleddau, darparwr gwasanaeth deiliaid, darparwr gwasanaeth cydrannau neu ddarparwr gwasanaeth trefniadol, fel y’i diffinnir yn y fframwaith ymddiriedaeth. Gall gyflawni mwy nag un o’r rolau hyn. Er enghraifft, gall sefydliad fod yn ddarparwr gwasanaeth priodoleddau ac yn ddarparwr gwasanaeth hunaniaeth.

48. Mae’n bosibl i ddarparwr DVS gael rhai DVS sydd wedi’u cofrestru ar y gofrestr DVS, a gwasanaethau eraill nad ydynt wedi’u cofrestru ar y gofrestr DVS. Dim ond â gwasanaethau sydd wedi’u hardystio ac sydd wedi’u cofrestru ar y gofrestr DVS y dylai awdurdodau cyhoeddus rannu gwybodaeth o dan adran 45.

49. Yn unol ag adran 45, ni ddylai awdurdodau cyhoeddus rannu gwybodaeth â darparwyr DVS sydd â thystysgrif gan gorff asesu cydymffurfiaeth achrededig ond nad ydynt wedi’u cofrestru ar y gofrestr DVS.

4.1.2 Sut i wirio’r gofrestr DVS

50. Mae’r gofrestr DVS ar gael i’r cyhoedd ar GOV.UK. Rhaid i awdurdodau cyhoeddus wirio bod DVS wedi’i gofrestru ar y gofrestr DVS cyn ymrwymo i unrhyw gytundebau rhannu data neu gytundebau contractiol.

51. Rhaid i awdurdodau cyhoeddus hefyd wirio bod y DVS sy’n gwneud cais am y wybodaeth ar y gofrestr DVS yn union cyn rhannu’r wybodaeth. Mae angen i awdurdodau cyhoeddus ystyried y ffordd fwyaf priodol o wirio’r gofrestr DVS ar bob cam perthnasol. Gall hyn gynnwys defnyddio’r seilwaith ar ffurf y gall peiriant ei ddarllen o’r gofrestr DVS. Darperir canllawiau technegol ar hyn gan y Swyddfa ar gyfer Hunaniaethau a Phriodoleddau Digidol (“OfDIA”).

4.1.3 Ystyriaethau wrth baratoi i rannu gwybodaeth

52. Mae GDPR y DU yn ei gwneud yn ofynnol i awdurdodau cyhoeddus roi mesurau technegol a threfniadol priodol ar waith i weithredu mesurau diogelu data yn effeithiol a diogelu hawliau unigol. Gelwir hyn yn “diogelu data drwy ddylunio o’r cychwyn ac fel anghenraid”. Mae hyn yn golygu bod diogelu data wedi’i integreiddio mewn gweithgareddau prosesu ac arferion busnes, yn ystod y broses ddylunio ac yna drwy gydol cylch bywyd system, gwasanaeth, cynnyrch neu broses. Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar ddiogelu data drwy ddylunio o’r cychwyn ac fel anghenraid.^{[footnote 6]}

53. Mae diogelu data drwy ddylunio o’r cychwyn ac fel anghenraid yn dechrau cyn i unrhyw ddata personol gael eu rhannu. Wrth baratoi i rannu data neu ddechrau sefydlu prosesau a chanllawiau, dylai awdurdodau cyhoeddus ystyried beth yw’r gweithgaredd prosesu arfaethedig a’r risgiau a allai ddeillio o’r broses hon. Dylai awdurdodau cyhoeddus hefyd ystyried pa fesurau posibl sydd ar gael i sicrhau bod egwyddorion diogelu data yn cael eu gweithredu’n effeithiol a bod hawliau unigolion yn cael eu diogelu.

54. Mae’r canlynol yn amlinellu ystyriaethau allweddol i awdurdodau cyhoeddus cyn sefydlu prosesau i rannu gwybodaeth â DVS cofrestredig. Mae’r pwyntiau canlynol yn tynnu ar rwymedigaethau cyfreithiol presennol ac arferion gorau o ran rhannu data. Gall awdurdod cyhoeddus ddewis cynnwys rhywfaint o’r wybodaeth hon mewn Asesiad o’r Effaith ar Ddiogelu Data (“DPIA”) (gweler 4.1.4 o’r Cod hwn).

55. Asesu cyfyngiadau ar rannu data: Diben hyn yw sicrhau bod rhannu gwybodaeth yn angenrheidiol, gan ystyried egwyddorion cyfreithlondeb, tegwch a thryloywder, cywirdeb a lleihau data i’r eithaf. Dylai’r asesiad hwn gynnwys rhywfaint o’r canlynol:

• pa ddata personol sydd gan yr awdurdod cyhoeddus y gellid eu defnyddio’n briodol at ddibenion gwirio digidol;
• a yw’r data sydd gan yr awdurdod cyhoeddus yn mynd i’r afael yn gywir â’r ceisiadau a gyflwynir gan y DVS cofrestredig; ac
• a yw’r broses o rannu gwybodaeth yn bodloni diben bwriadedig darparu DVS.

56. Ystyriaethau technegol: Cyn unrhyw achos o rannu gwybodaeth, dylai awdurdodau cyhoeddus asesu’r mesurau technegol a diogelwch y mae angen eu rhoi ar waith i rannu gwybodaeth yn ddiogel. Mae hyn yn cynnwys:

1. a oes gan yr awdurdod cyhoeddus ddull diogel o sicrhau mai dim ond â gwasanaethau sydd ar y gofrestr DVS y byddant yn rhannu gwybodaeth;

2. a oes gan yr awdurdod cyhoeddus broses gadarn ar gyfer gwirio bod y DVS cofrestredig wedi derbyn cais gan yr unigolyn i ddarparu DVS;

3. a yw’r wybodaeth honno mewn cyflwr y gellir ei rhannu (h.y. a yw wedi’i digideiddio, a yw mewn fformat y gellir ei ddarllen gan beiriant, a yw wedi’i chyd-destunoli); a

4. sut mae’r wybodaeth honno wedi’i labelu.

Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar ddiogelwch data.^{[footnote 7]}

57. Wrth ystyried a ddylid rhannu gwybodaeth, rhaid i’r awdurdod cyhoeddus fod yn fodlon bod y darparwr DVS cofrestredig wedi’i awdurdodi i wneud y cais i ddarparu DVS i’r unigolyn penodol.

58. Er mwyn sicrhau eu bod yn rhyngweithio â’r unigolyn cywir, rhaid i ddarparwyr DVS cofrestredig ddilyn y methodolegau a ddisgrifir yng Nghanllawiau Arfer Da 44 a 45, neu yng nghanllawiau priodoleddau’r fframwaith ymddiriedaeth, yn dibynnu ar ba un sy’n berthnasol i’w gwasanaeth(au). Mae’r canllawiau hyn yn sail i’r fframwaith ymddiriedaeth ac yn disgrifio sut i gynnal prosesau dilysu, gwirio hunaniaeth, a rhwymo priodoleddau yn y drefn honno, gan neilltuo gwahanol lefelau ansawdd yn dibynnu ar ba mor drylwyr y cynhelir gwiriadau.

59. Dylai awdurdodau cyhoeddus ymgysylltu â’r darparwr DVS sy’n gwneud y cais ynghylch sut mae wedi gweithredu’r methodolegau hyn er mwyn penderfynu a yw’r lefel briodol o ddilysu, gwirio hunaniaeth, neu rwymo priodoleddau wedi digwydd fel y gallant fod yn siŵr bod y cais am ei wasanaeth(au) wedi’i wneud gan yr unigolyn cyn rhannu gwybodaeth.

60. Pan fo darparwr DVS wedi’i leoli dramor, rhaid i awdurdodau cyhoeddus sicrhau ei fod yn cydymffurfio â Phennod V o GDPR y DU ynghylch trosglwyddiadau tramor. Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar drosglwyddiadau tramor.^{[footnote 8]}

4.1.4 Asesiad o’r Effaith ar Ddiogelu Data (DPIA)

61. Cyn rhannu unrhyw wybodaeth â DVS cofrestredig o dan adran 45, rhaid i’r awdurdod cyhoeddus ystyried a oes angen DPIA. Mae DPIA yn rhan allweddol o rwymedigaethau atebolrwydd o dan GDPR y DU.

62. Mae angen DPIA bob amser pan fydd y gwaith prosesu’n debygol o arwain at risg uchel i hawliau a rhyddid unigolion. Mae hefyd yn arfer da cynnal DPIA ar gyfer pob gweithgaredd rhannu gwybodaeth arall sy’n cynnwys data personol, hyd yn oed os nad yw’n ofynnol yn gyfreithiol. Bydd hyn yn sicrhau bod mesurau technegol a threfniadol priodol ar waith i weithredu egwyddorion diogelu data yn effeithiol a diogelu hawliau unigol. Dylai awdurdodau cyhoeddus hefyd ddogfennu sut y gwnaethant ystyried a oedd angen DPIA a’r rhesymau pam roedd ei angen neu nad oedd ei angen. Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar Asesiadau o’r Effaith ar Ddiogelu Data.^{[footnote 9]}

63. Bydd cwblhau DPIA yn helpu i nodi risgiau posibl mewn perthynas â gweithredu unrhyw gynlluniau rhannu data newydd sy’n cynnwys data personol ac yn cynorthwyo’r broses o fabwysiadu dull diogelu data drwy ddylunio o’r cychwyn ac fel anghenraid. Gall DPIA gwmpasu un gweithrediad prosesu neu grŵp o weithrediadau prosesu tebyg a dylid ei adolygu’n rheolaidd. Fel y cyfeiriwyd ato uchod, gall DPIA fod yn lle defnyddiol i gofnodi ffactorau eraill a ystyrir fel rhan o benderfyniad i ddatgelu gwybodaeth o dan adran 45.

4.1.5 Gwerthuso data

64. Mae awdurdodau cyhoeddus yn cadw data mewn gwahanol fformatau. Wrth gynllunio i rannu gwybodaeth, argymhellir yn gryf y dylai awdurdodau cyhoeddus ystyried a yw fformat y data yn dilyn yr holl safonau perthnasol ac ystyried a fyddai’n well eu rhyddhau drwy API, fel llythyr cyflwyno, neu drwy ddulliau eraill. Mae’r safonau hyn wedi’u nodi yn y safonau agored ar gyfer data a thechnoleg y llywodraeth^{[footnote 10]} a’r safonau ar gyfer API.^{[footnote 11]}

4.2 Cam 2: Penderfynu beth i’w rannu a pham

4.2.1 Dibenion dilysu digidol

65. Gall darparwr DVS cofrestredig wneud cais am fynediad at wybodaeth am unigolyn o dan adran 45 lle mae angen y wybodaeth honno arno i ddarparu DVS i’r unigolyn ar ei gais.

66. Anogir awdurdodau cyhoeddus sy’n cael ceisiadau o’r fath i rannu gwybodaeth â’r DVS cofrestredig os oes modd. Ni ddylid gwrthod ceisiadau o dan Adran 45 oni fydd cyfiawnhad rhesymol dros wneud hynny, yn unol ag egwyddorion cyfraith gyhoeddus.

67. Os bydd awdurdod cyhoeddus yn ystyried gwrthod cais, argymhellir y dylai geisio cyngor cyfreithiol cyn gwneud penderfyniad. Os bydd awdurdod cyhoeddus yn penderfynu gwrthod cais, dylai roi esboniad dros y penderfyniad hwn.

68. At hynny, wrth ystyried rhannu gwybodaeth, dylai awdurdodau cyhoeddus ystyried y gellir gofyn i’r darparwr DVS dalu’r costau, gan gynnwys costau ymlaen llaw neu gostau arbenigedd technegol angenrheidiol. Felly, fel arfer, ni ddylai cost na diffyg adnoddau fod yn rhwystr i rannu gwybodaeth o dan adran 45.

69. Os yw’n berthnasol, gall awdurdodau cyhoeddus archwilio hyn, ac unrhyw ofynion eraill ar gyfer rhannu gwybodaeth, fel rhan o drafodaethau ynghylch sefydlu’r cytundeb rhannu data (gweler 4.2.4) a ddylai fod ar waith cyn rhannu unrhyw wybodaeth. Os bydd awdurdod cyhoeddus yn defnyddio’r pŵer rhannu gwybodaeth o dan y Ddeddf Data, dylai’r awdurdod cyhoeddus sicrhau bod gwybodaeth berthnasol ar gael i bob DVS cofrestredig. Ni ddylai awdurdodau cyhoeddus eithrio unrhyw ddarparwr DVS cofrestredig oni fydd sail fasnachol neu gyfreithiol benodol dros wneud hynny. Er enghraifft, os bydd awdurdod cyhoeddus yn creu API i alluogi gwybodaeth i gael ei rhannu â DVS cofrestredig ac yn codi ffi am fynediad, dylai’r awdurdod cyhoeddus ganiatáu mynediad cyfartal i bob DVS cofrestredig arall i’r API (am yr un ffioedd), oni fydd rhesymau cyfreithiol dros beidio â gwneud hynny.

70. Rhaid i awdurdodau cyhoeddus roi ystyriaeth i God Rhannu Data’r Comisiwn Gwybodaeth, sy’n nodi canllawiau i sefydliadau ar sut i gydymffurfio â deddfwriaeth diogelu data wrth rannu data personol. Mae’r canllaw hwn yn helaeth a dylai awdurdodau cyhoeddus ei ystyried yn ofalus wrth baratoi i rannu gwybodaeth â DVS o dan adran 45.

4.2.2 Lleihau data i’r eithaf

71. Rhaid i awdurdodau cyhoeddus sy’n datgelu data personol ddylunio a strwythuro prosesau rhannu gwybodaeth i osgoi datgelu mwy o wybodaeth nag sy’n gwbl ofynnol. Yn y ddeddfwriaeth diogelu data, cyfeirir at hyn fel egwyddor “lleihau data i’r eithaf” (“data minimisation”). Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar egwyddor lleihau data i’r eithaf.^{[footnote 12]}

72. Rhaid i awdurdodau cyhoeddus sicrhau bod data a rennir â DVS cofrestredig yn ddigonol, yn berthnasol, ac yn gyfyngedig i’r hyn sy’n angenrheidiol at y diben y mae’n cael ei ddatgelu ar ei gyfer.

73. Er enghraifft:

1. gallai hyn olygu dim ond caniatáu gwiriad ie/na yn erbyn pwynt data penodol fel dyddiad geni i brofi oedran.

2. a oes angen llythyr cyflwyno cyflawn ar DVS ar gyfer y gwasanaeth y mae’n ei ddarparu (e.e. gallai fod gan ddarparwr gwasanaeth priodoleddau ofynion gwahanol i ddarparwr gwasanaeth deiliaid)

74. Gallai awdurdodau cyhoeddus ddefnyddio cytundebau rhannu data i ddiffinio sut y dylai ceisiadau am wybodaeth gael eu strwythuro gan DVS. Bydd hyn yn helpu i sicrhau bod y data a ddatgelir yn gyfyngedig i’r hyn sy’n angenrheidiol o dan yr amgylchiadau.

4.2.3 Cywirdeb data

75. Rhaid i awdurdodau cyhoeddus sicrhau bod y data sydd ganddynt yn gywir, yn cael eu diweddaru pan fo angen, ac nad ydynt yn gamarweiniol. Gelwir hyn yn egwyddor “cywirdeb” data (gweler 3.2.2 o’r Cod hwn). Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar egwyddor cywirdeb data.^{[footnote 13]}

76. Wrth benderfynu rhannu gwybodaeth, rhaid i awdurdodau cyhoeddus ystyried, yn unol â’r egwyddor hon, sut y casglwyd y wybodaeth, at ba ddibenion, sut y cafodd ei chofnodi a beth mae’r wybodaeth honno’n ei gynrychioli. Ar ôl ystyried hynny, pan fydd y wybodaeth yn cael ei rhannu â’r DVS, dylid labelu data mewn ffordd sy’n glir ac yn gywir, gan ystyried y diben y gofynnir amdanynt.

77. Er enghraifft, mae hyn yn golygu, os bydd darparwr DVS yn gwneud cais am ddata i wirio rhyw gyfreithiol person, mai dim ond data sy’n cynnwys y briodwedd hon y mae’n rhaid i’r awdurdod cyhoeddus eu rhannu, yn hytrach na data a all gynnwys priodweddau eraill hefyd, fel rhywedd. Fel enghraifft bellach, os gofynnodd darparwr DVS am ddata i wirio rhyw adeg genedigaeth (lle ystyriwyd bod hyn yn angenrheidiol ac yn gymesur ar gyfer yr achos defnydd), ni ddylai awdurdodau cyhoeddus rannu data sy’n cofnodi rhyw neu rywedd cyfreithiol yn ehangach.

78. Efallai y bydd awdurdodau cyhoeddus am gyfeirio at y safonau, y canllawiau a’r sgema data sydd wedi’u cynnwys yn y fframwaith ymddiriedaeth.

4.2.4 Cytundebau rhannu data

79. Nid yw cytundeb rhannu data yn orfodol o dan y ddeddfwriaeth diogelu data ond mae’n arfer da ac yn fuddiol i bob parti sy’n ymwneud â rhannu.

80. Mae cytundeb rhannu data yn caniatáu i’r awdurdod cyhoeddus a’r darparwr DVS cofrestredig gytuno ar set o reolau cyffredin sy’n helpu’r ddwy ochr i fodloni gofynion y ddeddfwriaeth diogelu data. Gall awdurdodau cyhoeddus a darparwyr DVS cofrestredig ddefnyddio cytundebau rhannu data i sicrhau eglurder ynghylch rôl pob parti yn y broses rhannu data, gan fynd i’r afael â materion megis dibenion rhannu’r data, amlinellu beth sy’n digwydd i’r data ym mhob cam o’r broses rannu, (gan gynnwys pryd y bydd y cytundeb yn dod i ben) a gosod safonau ar gyfer y broses rannu.

81. Un budd penodol i gytundebau rhannu data yw cefnogi gweithgaredd ar raddfa fawr. Gall rhai darparwyr DVS wneud nifer mawr o geisiadau tebyg iawn, er enghraifft os ydynt yn darparu gwasanaeth i lawer o bobl sy’n ei ddefnyddio’n aml. Gall cytundeb rhannu data sefydlu’r fframwaith y bydd ceisiadau’n cael eu gwneud a’u hawdurdodi oddi tano, a’r dulliau technegol ar gyfer gweithredu hyn; sicrhau na fydd yn rhaid i’r awdurdod cyhoeddus wneud nifer mawr o benderfyniadau pwrpasol lle nad oes angen hyn.

82. Dylai awdurdodau cyhoeddus ddilyn Cod Rhannu Data’r Comisiwn Gwybodaeth wrth sefydlu cytundebau rhannu gwybodaeth â darparwyr DVS. Dylai awdurdodau cyhoeddus siarad â’u swyddogion diogelu data neu uwch-unigolion cyfrifol ynglŷn â pharatoi cytundeb rhannu data enghreifftiol y gallant ei ddefnyddio at y diben hwn. Ar eu pen eu hunain, nid yw memorandwm cyd-ddealltwriaeth (ac eithrio rhwng adrannau’r llywodraeth a rhai cyrff cyhoeddus eraill), rhestr o safonau, neu atodiad i gytundeb neu orchymyn prynu yn gyfystyr â chytundebau rhannu data annibynnol. Fodd bynnag, gallant gynnwys darpariaethau rhannu data a chyflawni rôl cytundeb rhannu data fel nad oes angen cytundeb ar wahân.

83. Mae’r Cod hwn yn argymell y dylai unrhyw gytundeb rhannu data gynnwys:

i. Pa ddata sy’n cael eu rhannu, at ba ddiben, a pham y maent yn angenrheidiol at y diben hwnnw.

ii. Unrhyw gyfyngiadau ar wneud defnydd pellach o ddata a’u trosglwyddo, a’r telerau ar gyfer rhannu data â thrydydd partïon, gan gynnwys partïon sy’n dibynnu arnynt (gweler 4.2.5 o’r Cod hwn).

iii. Y gofynion diogelwch a’r dull technegol ar gyfer trosglwyddo, prosesu a storio data. Os rhagwelir y caiff data eu rhannu ar raddfa fawr, dylai’r cytundeb hefyd gynnwys y wybodaeth i’w chyfnewid yn rhaglennol i alluogi hyn.

iv. Beth yw’r sail gyfreithiol ar gyfer rhannu data er mwyn bodloni’r gofynion ar gyfer prosesu, ac yn ogystal, lle y caiff data categori arbennig a/neu ddata troseddau eu rhannu, yr amodau perthnasol ar gyfer prosesu’r data hynny.

v. Pa drefniadau llywodraethu sydd ar waith; gan gynnwys y broses ar gyfer cadw a dileu eitemau data a rennir.

vi. Sut y bydd cais yr unigolyn sy’n sail i rannu’r data yn cael ei gofnodi gan y DVS a’i ddangos i’r awdurdod. 

vii. Gweithdrefnau ar gyfer cydymffurfio â hawliau gwybodaeth.

viii. Telerau ar gyfer delio â therfynu’r trefniant rhannu data, gan gynnwys beth fydd yn digwydd i unrhyw ddata a rennir sydd wedi’u storio gan y DVS, a beth fyddai’n digwydd pe bai’r DVS yn cael ei dynnu oddi ar y gofrestr DVS.

ix. Prosesau ar gyfer ymdrin â thor diogelwch data posibl.

84. Dylai awdurdodau cyhoeddus adolygu cytundebau rhannu data yn rheolaidd a sicrhau eu bod yn cael eu cadw’n gyfredol.

4.2.5 Rhannu gwybodaeth â thrydydd partïon

85. Canlyniad terfynol y pŵer rhannu gwybodaeth o dan adran 45 o’r Ddeddf Data yw bod unigolyn yn gallu defnyddio DVS cofrestredig i gael mynediad at gynnyrch neu wasanaeth sy’n gwneud cais am wiriad hunaniaeth neu gymhwysedd. Er enghraifft, agor cyfrif banc neu brynu cynnyrch sydd â chyfyngiad oedran.

86. Ar y sail honno, mae angen i DVS cofrestredig allu rhannu’r wybodaeth berthnasol a gaiff gan awdurdodau cyhoeddus â sefydliadau trydydd parti sy’n cynnig y gwasanaethau hyn. Mewn rhai achosion, bydd y trydydd parti yn sefydliad ar wahân. Mewn achosion eraill, mae’n bosibl mai’r un sefydliad fydd y darparwr DVS cofrestredig, ac felly ni fydd angen trosglwyddo gwybodaeth.

4.3 Cam 3: Rhannu’r wybodaeth

4.3.1 Datrysiad technegol

87. Mae’r ddeddfwriaeth diogelu data yn rhagnodi diogelu data drwy ddylunio o’r cychwyn ac fel anghenraid, sy’n golygu ei bod yn ofynnol rhoi mesurau technegol, sefydliadol a diogelwch priodol ar waith er mwyn gallu gweithredu egwyddorion diogelu data yn effeithiol.

88. Rhaid i awdurdodau cyhoeddus sicrhau bod datrysiad technolegol cadarn a diogel priodol ar waith i rannu’r wybodaeth o dan adran 45 o’r Ddeddf Data. Dylai’r datrysiad technegol hwn gydymffurfio ag arferion gorau ar gyfer rhannu gwybodaeth, gan gynnwys yr hyn a nodir yn y Cod hwn ond heb fod yn gyfyngedig i hynny.

89. Rhaid i awdurdodau cyhoeddus hefyd sicrhau bod digon o adnoddau a gallu technegol yn eu sefydliad i reoli, cynnal a gwella datrysiad technegol o’r fath. Gallai hyn gynnwys codi ffi am DVS i dalu cost gweithredu, gwella a chynnal a chadw’r systemau hyn (gweler adran 2.2 o’r Cod hwn).

90. Dylai fod gan awdurdodau cyhoeddus brosesau ar waith i sicrhau bod y prosesau a’r cytundebau a nodir yng Nghamau 1 a 2 o’r Cod hwn yn cael eu hadolygu’n gyson.

4.3.2 Gwybodaeth preifatrwydd

91. Wrth arfer y pŵer rhannu gwybodaeth yn adran 45 o’r Ddeddf Data, rhaid i awdurdodau cyhoeddus sicrhau bod gwybodaeth breifatrwydd briodol ar gael i’r cyhoedd yn unol ag egwyddorion tegwch a thryloywder o dan y ddeddfwriaeth diogelu data. Gallai hyn gynnwys hysbysiad preifatrwydd. Mae’r Comisiwn Gwybodaeth wedi cyhoeddi canllawiau ar ba wybodaeth breifatrwydd y dylid ei darparu.^{[footnote 14]}

92. Pan fydd awdurdod cyhoeddus yn dewis arfer y pŵer rhannu gwybodaeth yn adran 45 o’r Ddeddf Data, rhaid diweddaru hysbysiad preifatrwydd yr awdurdod cyhoeddus i adlewyrchu hyn, gan gynnwys yr amgylchiadau pan ganiateir i ddata personol gael eu rhannu.

1. IC Guidance: a guide to controllers and processors ↩

2. IC Guidance: a guide to lawful basis ↩

3. IC Guidance: special category data ↩

4. IC Guidance: criminal offence data ↩

5. IC Guidance: a guide to data protection principles ↩

6. IC guidance: data protection by design and default ↩

7. IC guidance: guide to data security ↩

8. IC guidance: guide to international transfers ↩

9. IC Guidance: data protection impact assessments ↩

10. Safonau agored ar gyfer data a thechnoleg y llywodraeth – i’w cael ar GOV.UK ↩

11. Safonau technegol a data API – i’w cael ar GOV.UK ↩

12. IC Guidance: data minimisation principle ↩

13. IC Guidance: data accuracy principle ↩

14. IC Guidance: the right to be informed ↩