Gwybodaeth am yr ymosodiad seiber

Yn ystod yr ymosodiad seiber, roedd ein systemau rhannu ffeiliau ac e-byst yn hygyrch, sy’n cynnwys ystod eang o wybodaeth a data. Mae’r data personol sydd fwyaf tebygol o fod yn hygyrch yn cynnwys enwau, cyfeiriadau, cyfeiriadau e-bost ac unrhyw ddata personol arall a anfonwyd atom drwy e-bost neu a ddelir ar y cofrestrau etholiadol.

Delir yr wybodaeth ganlynol gennym ac roedd yn hygyrch yn ystod yr ymosodiad seiber: 

• Enwau a chyfeiriadau unrhyw un ym Mhrydain Fawr a gofrestrodd i bleidleisio rhwng 2014 a 2022, enwau’r rheiny a gofrestrodd fel pleidleiswyr tramor yn ystod yr un cyfnod, ac enwau a chyfeiriadau unrhyw un a gofrestrodd yng Ngogledd Iwerddon yn 2018. Nid oedd manylion pleidleiswyr dienw yn hygyrch gan nad ydym yn dal y rhain.
• Unrhyw fanylion a ddarparwyd i ni drwy e-bost neu drwy ffurflenni ar ein gwefan, megis y ffurflen ‘cysylltu â ni ar-lein’.

Nid yw'r cofrestrau a gedwir gan y Comisiwn yn cynnwys dyddiadau geni, rhifau yswiriant gwladol, cyfeiriadau e-bost, gwybodaeth am eich dull pleidleisio dewisol (drwy’r post, drwy ddirprwy, neu’n bersonol) nac unrhyw wybodaeth bersonol arall.

Fodd bynnag, pan fydd pobl o dan 18 oed yn cofrestru i bleidleisio, mae’r diwrnod a’r mis y maent yn troi’n 18 wedi’u cynnwys ar y gofrestr. Gellid defnyddio’r wybodaeth hon i gyfrifo dyddiad geni rhywun sydd o dan 18 oed.

Nid yw'r wybodaeth am bobl o dan 16 oed sydd wedi’u cofrestru i bleidleisio yng Nghymru a’r Alban wedi’i chynnwys yn y cofrestrau a ddelir gan y Comisiwn.

Gwyddwn fod y data a ddelir gan y Comisiwn wedi bod yn hygyrch yn ystod yr ymosodiad seiber, ond nid ydym wedi gallu canfod p’un a wnaeth yr ymosodwyr ddarllen neu gopïo data personol oedd ar ein systemau.

Nid ydym yn gwybod sut gellir defnyddio’r data hwn, ond yn ôl ein hasesiad risg (a gynhaliwyd yn unol â fframwaith a argymhellir gan Swyddfa’r Comisiynydd Gwybodaeth), nid yw’r data personol a ddelir ar gofrestrau etholiadol, fel arfer enwau a chyfeiriadau, yn risg uchel i unigolion.

Mae gwybodaeth bellach ar gael yn ein Polisi Preifatrwydd, a gallwch gyflwyno ffurflen i gyrchu’r wybodaeth sydd gennym amdanoch.

Gwyddwn y gall clywed bod eich data wedi’i gyrchu o bosib beri pryder. Mae'n ddrwg gennym nad oedd amddiffyniadau digonol ar waith i atal yr ymosodiad seiber hwn ac ymddiheurwn i’r rheiny yr effeithiwyd arnynt.

Mae’r data sydd wedi’i gynnwys yn y cofrestrau etholiadol yn gyfyngedig, ac mae llawer ohono yn gyhoeddus yn barod. Yn ôl yr asesiad risg a ddefnyddiwyd gan Swyddfa’r Comisiynydd Gwybodaeth i asesu niwed toriadau diogelwch data, nid yw’r data personol a ddelir ar gofrestrau etholiadol, fel arfer enwau a chyfeiriadau, yn risg uchel i unigolion.  

Serch hynny, mae’n bosibl y gellir cyfuno’r data hwn gyda data arall sy’n gyhoeddus, megis yr hyn y mae unigolion yn dewis ei rannu eu hunain, i awgrymu patrymau ymddygiad neu i adnabod a phroffilio unigolion.

Nid ydym yn gwybod pwy sy’n gyfrifol am yr ymosodiad. Gwnaethom adrodd am y digwyddiad i’r Ganolfan Seiberddiogelwch Genedlaethol. 

Nid oes grwpiau nac unigolion wedi hawlio cyfrifoldeb am yr ymosodiad.

Daethom i wybod am yr ymosodiad drwy batrwm amheus o geisiadau mewngofnodi i’n systemau ym mis Hydref 2022. Arweiniodd hyn at ymchwiliad gychwynnol a nodi toriad posibl. Yn dilyn ymchwiliad trylwyr, cawsom wybod gan ein partneriaid diogelwch bod gweithredwyr gelyniaethus wedi cyrchu ein gweinyddwyr ym mis Awst 2021.

Gwnaethom gysylltu â’r Ganolfan Seiberddiogelwch Genedlaethol (sy’n rhan o Bencadlys Cyfathrebu y Llywodraeth (GCHQ))  a rhoesom wybod iddynt ein bod yn amau ein bod wedi bod yn ddioddefwr ymosodiad seiber llwyddiannus. Gwnaethom weithio gyda’r Ganolfan Seiberddiogelwch Genedlaethol er mwyn diogelu ein systemau ac ymchwilio ymhellach.  

Rhoesom wybod i Swyddfa'r Comisiynydd Gwybodaeth o fewn 72 awr o nodi’r toriad. 

Roedd nifer o gamau roedd rhaid i ni eu cymryd cyn i ni allu rhoi gwybod i’r cyhoedd am y digwyddiad. Roedd angen i ni gael gwared ar y gweithredwyr a’u mynediad i’n system. Roedd rhaid i ni asesu’r digwyddiad er mwyn deall pwy a allai gael eu heffeithio ac ymgynghori gyda’r Ganolfan Seiberddiogelwch Genedlaethol a Swyddfa’r Comisiynydd Gwybodaeth. Roedd angen i ni hefyd roi mesurau diogelwch ychwanegol ar waith er mwyn atal unrhyw ymosodiadau tebyg rhag ddigwydd yn y dyfodol.

Mae Swyddfa’r Comisiynydd Gwybodaeth wedi rhoi cerydd i’r Comisiwn ar ôl i’w hymchwiliad ganfod tor rheolau o reoliadau diogelu data cyffredinol y DU.

Canfu’r ymchwiliad nad oedd y Comisiwn yn 2021 wedi bodloni gofynion y gyfraith diogelu data i ddiogelu ein systemau a diogelu data personol y cyhoedd.  Nodwyd methiannau hefyd mewn perthynas â pholisïau rheoli cyfrineiriau, a'r diweddariadau patsio oedd ar waith ar adeg y digwyddiad. Patsio yw'r broses o gau gwendidau mewn systemau TG cyn y gall ymosodwyr eu hecsbloetio. Mae manylion llawn ymchwiliad a chanfyddiadau Swyddfa’r Comisiynydd Gwybodaeth i’w gweld ar ei gwefan.

Mae’r Comisiwn wedi gwneud gwelliannau sylweddol i’w system diogelwch TG ers i’r ymosodiad seiber ddod i’r amlwg. Nid yw Swyddfa’r Comisiynydd Gwybodaeth wedi gofyn i’r Comisiwn gymryd camau pellach i ddatrys y dor rheolau, nac ychwaith wedi rhoi unrhyw sancsiynau. Mae Swyddfa’r Comisiynydd Gwybodaeth wedi croesawu’r camau a gymerwyd gan y Comisiwn mewn perthynas â gwella diogelwch a gwydnwch.

Mae'r Comisiwn wedi cymryd camau sylweddol ers yr ymosodiad i wella diogelwch ei systemau. Mae hyn wedi cynnwys amrywiaeth o newidiadau fel rhan o gynllun moderneiddio technoleg, ehangu rheolaethau polisi cyfrineiriau ac ychwanegu cam dilysu aml-ffactor (mesur diogelwch ychwanegol y tu hwnt i enw defnyddiwr a chyfrinair a ddefnyddir i gadarnhau hunaniaeth defnyddiwr). Mae diogelwch ein systemau yn parhau i fod yn flaenoriaeth, a byddwn yn parhau i sicrhau bod gennym yr amddiffyniadau angenrheidiol yn eu lle i warchod rhag ymosodiadau yn y dyfodol.

Nid oes unrhyw arwydd bod yr wybodaeth a gyrchwyd yn ystod yr ymosodiad seiber hwn wedi’i gyhoeddi ar-lein. Serch hynny, mae’n bosibl bod peth wybodaeth wedi’i gwneud yn gyhoeddus. Mae nifer o gamau y gallwch eu cymryd i wirio a yw eich gwybodaeth bersonol ar gael yn gyhoeddus. 

Os nad ydych wedi optio allan o’r gofrestr etholiadol agored, bydd yr wybodaeth sydd gennym eisoes ar gael yn gyhoeddus drwy wefannau megis 192.com.   

Os ydych am wirio a yw eich cyfeiriad e-bost wedi’i beryglu, gallwch chwilio yn https://haveibeenpwned.com/ i weld a yw eich cyfeiriad e-bost wedi’i ryddhau drwy doriad diogelwch data sydd wedi’i adrodd.

Os ydych o’r farn eich bod wedi rhoi data ariannol i ni drwy e-bost, mae yna offer gwirio credyd ar-lein rhad ac am ddim gan gwmnïau ag enw da megis Experian, sy’n cynnwys monitro a diogelu yn erbyn dwyn hunaniaeth ar-lein.   

Mae gan y Ganolfan Seiberddiogelwch Genedlaethol gyngor i’ch helpu chi a’ch teulu ddeall mwy am ddiogelu eich data. 

I gael rhagor o wybodaeth, mae ein Polisi Preifatrwydd yn nodi’r mathau o wybodaeth bersonol rydym yn eu casglu, ein sail gyfreithiol dros brosesu data personol a sut i gysylltu â ni os oes gennych gwestiwn neu bryder. 

I weld pa wybodaeth yr ydym yn ei dal amdanoch, gallwch gyflwyno cais am fynediad at ddata gan y testun. Y ffordd hawsaf i wneud hyn yw drwy gyflwyno ffurflen, ond gallwch hefyd wneud cais am fynediad at ddata gan y testun drwy e-bost   neu dros y ffôn. 

Wrth gyflwyno cais, rhowch wybod i ni os ydych yn gofyn am chwiliad o ddata’r gofrestr etholiadol, neu holl systemau’r Comisiwn, a pha ddata personol yr ydych o bosib wedi’i gyflwyno i’r Comisiwn.   

Yn eich cais, rhowch eich enw fel y mae’n ymddangos ar y gofrestr etholiadol neu’ch cerdyn pleidleisio, a chyfeiriad e-bost, rhif ffôn neu gyfeiriad cartref dewisol  i ni ei ddefnyddio i gysylltu â chi ynglŷn â'r cais. Gallwn ofyn i chi roi gwybodaeth gymesur i gadarnhau pwy ydych chi, nodi eich data a phrosesu’r cais.   

Sylwer - os ydych yn ceisio gwybodaeth oedolyn arall neu blentyn dros 13 oed, bydd angen i chi ddangos bod gennych ganiatâd y person arall i gasglu ei ddata personol a/neu fod gennych awdurdod cyfreithiol i weithredu ar ei ran.

Os oeddech wedi’ch cofrestru i bleidleisio ym Mhrydain Fawr rhwng 2014 a 2022, neu yng Ngogledd Iwerddon yn 2018, mae’n bosibl y cyrchwyd eich cyfeiriad yn ystod yr ymosodiad seiber hwn. Nid oedd cyfeiriadau y rheiny a gofrestrodd fel pleidleiswyr tramor yn hygyrch, nac ychwaith manylion pobl a gofrestrodd yn ddienw sydd ddim yn cael eu dal gennym.

Nid oes unrhyw arwydd bod yr wybodaeth a gyrchwyd yn ystod yr ymosodiad seiber hwn wedi’i gyhoeddi ar-lein. Serch hynny, mae’n bosibl y gellir dod o hyd i unigolion os daw’r wybodaeth hon yn gyhoeddus. 

Sylwer - mae cyfeiriadau’r rheiny sydd ar y gofrestr agored eisoes ar gael yn gyhoeddus. Nid yw cyfeiriadau’r rheiny sydd wedi optio allan o’r gofrestr agored eisoes ar gael yn gyhoeddus, ond roddent yn hygyrch yn ystod yr ymosodiad seiber hwn. Os byddwch am wirio’ch statws cofrestru neu optio allan o’r gofrestr etholiadol agored, cysylltwch â thîm gwasanaethau etholiadol eich awdurdod lleol. Gallwch ddod o hyd i'w manylion cyswllt ar ein gwefan.

Gwyddwn y gall clywed bod eich data wedi’i gyrchu o bosib beri pryder. Mae'n ddrwg gennym nad oedd amddiffyniadau digonol ar waith i atal yr ymosodiad seiber hwn ac ymddiheurwn i’r rheiny yr effeithiwyd arnynt.

Na fydd, ni fydd hyn yn cael effaith ar eich sgôr credyd. 

Os oes gennych unrhyw bryderon ynglŷn â dwyn hunaniaeth, gallwch gysylltu ag Action Fraud, sef y ganolfan genedlaethol ar gyfer adrodd am dwyll a seiberdroseddu yng Nghymru, Lloegr a Gogledd Iwerddon, neu Police Scotland os ydych wedi'ch lleoli yn yr Alban.

Na fydd, nid oes gan hyn unrhyw effaith ar eich gallu i gymryd rhan yn y broses ddemocrataidd a ni fydd yn effeithio ar eich statws cofrestru presennol na’ch cymhwysedd. 

Mae’r cofrestrau a ddelir gennym yn gopïau a ddefnyddiwn at ddibenion ymchwil ac er mwyn galluogi gwiriadau caniatâd o ran rhoddwyr. Mae swyddogion cofrestru etholiadol unigol ar gyfer bob awdurdod lleol yn dal y fersiynau byw o’r cofrestrau etholiadol a ddefnyddir i anfon cardiau pleidleisio allan ac mewn gorsafoedd pleidleisio i wirio bod pleidleiswyr wedi’u cofrestru ac yn gymwys i bleidleisio. Nid yw’r cofrestrau a ddelir gan swyddogion cofrestru etholiadol wedi’i heffeithio gan yr ymosodiad seiber hwn. 

Na, ni fyddai’r data yn y toriad hwn yn ddigon i alluogi rhywun i’ch dynwared chi o dan y rheolau pleidleisio presennol.

Nid oes effaith wedi bod ar ddiogelwch etholiadau yn y DU. Nid yw’r data a gyrchwyd yn effeithio ar sut y mae pobl yn cofrestru, pleidleisio neu’n cymryd rhan mewn prosesau democrataidd. Nid oes ganddo effaith ar sut y caiff cofrestrau etholiadol eu rheoli neu sut y caiff etholiadau eu cynnal. Mae proses ddemocrataidd y DU wedi’i gwasgaru’n sylweddol ac mae agweddau allweddol ohoni yn parhau i fod yn seiliedig ar ddogfennaeth bapur a chyfrif. Mae hyn yn golygu y byddai’n anodd iawn i ddefnyddio ymosodiad seiber er mwyn dylanwadu ar y broses.

Nid ydym yn diwygio copïau o’r gofrestr etholiadol a ddelir gennym wrth gyflawni ein gwaith, ac rydym yn hyderus na addaswyd yr wybodaeth o fewn y ffeiliau yn ystod y digwyddiad.

Mae’r cofrestrau a ddelir gennym yn gopïau a ddefnyddiwn er mwyn gwiriadau caniatâd rhoddion ac at ddibenion ymchwil. Mae swyddogion cofrestru etholiadol unigol ar gyfer bob awdurdod lleol yn rheoli’r prosesau cofrestru ac yn dal y fersiynau byw o’r cofrestrau etholiadol a ddefnyddir i anfon cardiau pleidleisio allan ac mewn gorsafoedd pleidleisio i wirio bod pleidleiswyr wedi’u cofrestru ac yn gymwys i bleidleisio.

Mae dau fersiwn o’r gofrestr etholiadol. Mae’r fersiwn llawn yn cynnwys enw a chyfeiriad pawb sydd wedi’u cofrestru i bleidleisio, heblaw’r rheiny sydd wedi cofrestru i bleidleisio’n ddienw. Mae'r gofrestr agored yn ddetholiad o'r gofrestr etholiadol llawn. Mae’r fersiwn hwn ar gael i unrhyw un sydd am ei brynu, megis busnesau neu elusennau. Gallwch optio allan o’r gofrestr agored pan fyddwch yn cofrestru i bleidleisio. 

Os ydych eisoes wedi'ch cofrestru i bleidleisio ac am optio allan, gallwch wneud hynny ar unrhyw adeg, drwy gysylltu â'ch swyddog cofrestru etholiadol lleol . Mae’n rhaid i’r cais gynnwys eich enw llawn a’ch cyfeiriad, a bydd angen i chi gadarnhau eich bod am gael eich dileu o’r gofrestr agored/olygedig. Gallwch ddod o hyd i fanylion cyswllt eich swyddog cofrestru etholiadol lleol drwy nodi eich cod post ar ein gwefan. 

Rydym wedi cymryd camau i ddiogelu ein systemau yn erbyn ymosodiadau yn y dyfodol ac wedi gwella ein amddiffyniadau o amgylch data personol.

Rydym wedi cryfhau ein gofynion mewngofnodi i’n rhwydwaith, gwella’r system monitro a hysbysu am fygythiadau gweithredol ac adolygu a diweddaru ein polisïau wal dân.

Rydym wedi gweithio gydag arbenigwyr diogelwch allanol a’r Ganolfan Seiberddiogelwch Genedlaethol er mwyn ymchwilio a diogelu ein systemau.

Darllenwch yr wybodaeth sydd ar gael yn ein Hysbysiad i’r cyhoedd. 
Gallwch gyflwyno ffurflen os oes gennych gwestiynau, neu os ydych am:

• wneud Cais am Fynediad at Ddata gan y Testun
• gwneud cais i ddileu
• gwneud cais Rhyddid Gwybodaeth
• cyflwyno cwyn

Cyflwyno ffurflen

Byddem yn eich annog i gysylltu â ni gydag unrhyw bryderon neu gwestiynau. Os nad ydych yn hapus gyda sut rydym wedi trin eich cwestiynau neu’ch ceisiadau am fynediad at ddata gan y testun, gallwch gysylltu â Swyddfa'r Comisiynydd Gwybodaeth, sef yr awdurdod goruchwylio yn y DU ar gyfer diogelu data, drwy eu ffurflen ar-lein.