C/15103/2015

ACJC/294/2017

du 10.03.2017 sur JTPI/5627/2016 ( OO ) , CONFIRME

Descripteurs : PROTECTION DES DONNÉES ; BANQUE ; TRANSMISSION À L'ÉTAT REQUÉRANT ; DROIT PÉNAL FISCAL

Normes : LPD.6.1 LPD.6.2.01 LPD.13

En faitEn droitPar ces motifs RÉPUBLIQUE ET CANTON DE GENÈVE POUVOIR JUDICIAIRE C/15103/2015 ACJC/294/2017 ARRÊT DE LA COUR DE JUSTICE Chambre civile du VENDREDI 10 MARS 2017

Entre A.______ SA, sise _____, appelante d'un jugement rendu par la 5ème Chambre du Tribunal de première instance de ce canton le 2 mai 2016, comparant par Me Daniel Tunik, avocat, route de Chêne 30, 1211 Genève 17, en l'étude duquel elle fait élection de domicile, et B.____, sise ______, intimée, comparant par Me Baptiste Janin, avocat, quai Gustave-Ador 2, Case postale 6414, 1211 Genève 6, en l'étude duquel elle fait élection de domicile.

EN FAIT

1. a. Par jugement du 2 mai 2016, notifié à A.______ SA (ci-après : A.______ SA ou la banque) le surlendemain, le Tribunal de première instance a interdit à cette dernière de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, sous quelque forme et de quelque manière que ce soit et sur quelque support que ce soit, toutes données, informations ou documents relatifs à B.______ et/ou pouvant l'identifier (chiffre 1 du dispositif), prononcé cette interdiction sous la menace de la peine prévue à l'art. 292 CP (ch. 2), arrêté les frais judiciaires à 10'000 fr., mis à la charge de A.______ SA et compensés partiellement avec l'avance fournie (ch. 3), condamné A.______ SA à verser à B.______ la somme de 10'000 fr. à titre de dépens (ch. 4) et débouté les parties de toutes autres conclusions (ch. 5).
2. Par acte déposé au greffe de la Cour de justice le 3 juin 2016, A.______ SA appelle de ce jugement, dont elle sollicite l'annulation. Cela fait, elle conclut au déboutement de B.______ de toutes ses conclusions, sous suite de frais et dépens.

L'appelante produit un extrait Internet du site de l'Internal Revenue Service américain (ci-après : IRS) imprimé le 2 juin 2016 (pièce 46), un formulaire d'enregistrement auprès de l'IRS vierge non daté (pièce 47), une ordonnance de production caviardée de l'Administration fédérale des contributions (pièce 48) et une décision caviardée du Préteur de la juridiction de Mendrisio-Sud du 21 décembre 2015 (pièce 49).

c. B.______ conclut, principalement, à l'irrecevabilité de l'appel. Subsidiairement, elle conclut au déboutement de A.______ SA de toutes ses conclusions et à la confirmation du jugement entrepris, sous suite de frais et dépens.

Elle produit un courrier de son avocat à A.______ SA du 20 janvier 2016 (pièce 103), trois communiqués de presse du Department of Justice américain (ci-après : DoJ) des 27 et 29 janvier et 4 février 2016 (pièce 104, 105 et 108), une annonce Bloomberg du 3 février 2016 (pièce 106), un article de l'AGEFI du 4 février 2016 (pièce 107), un article du New York Law Journal du 23 mars 2016 (pièce 109) et un arrêt caviardé du Tribunal administratif fédéral du 25 août 2016 (pièce 110).

d. Dans leurs réplique et duplique, les parties ont persisté dans leurs conclusions.

A.______ SA a produit une pièce nouvelle, soit une décision du Département fédéral des finances du 15 janvier 2016 (pièce non numérotée). B.______ conclut à l'irrecevabilité de cette pièce nouvelle.

B. Les faits pertinents suivants résultent de la procédure :

a. A.______ SA est une société anonyme de droit suisse qui exploite une banque à , ville où elle a son siège. b. B. est une société anonyme avec siège à , active dans la gestion de fortune. Elle est enregistrée auprès des autorités américaines et possède un numéro GIIN (Global Intermediary Identification Number) aux Etats-Unis. B. a dispensé des conseils de gestion à un de ses clients qui disposait d'un compte ouvert dans les livres de A.______ SA, compte en règle du point de vue fiscal américain et clôturé en _______ 2009.

c. Un différend fiscal de grande envergure oppose notoirement depuis plusieurs années les autorités américaines et divers établissements bancaires suisses, auxquels il est reproché d'avoir favorisé l'évasion fiscale de contribuables américains.

d. Le 14 février 2013, les autorités suisses et américaines ont signé un accord, entré en vigueur le 2 juin 2014, visant à faciliter la mise en œuvre par les établissements financiers suisses de la loi fiscale américaine (Foreign Account Tax Compliance Act, ci-après : FATCA).

Cet accord exige des établissements financiers étrangers qu'ils s'enregistrent auprès de l'IRS et qu'ils concluent un contrat avec celle-ci (FFI Agreement) afin que les renseignements sur les comptes des personnes soumises à l'impôt aux Etats-Unis lui soient transmis, soit directement par l'établissement financier avec le consentement du titulaire du compte, soit, en l'absence d'un tel consentement, par l'intermédiaire d'une procédure d'assistance administrative spécialement réglementée reposant sur des demandes groupées.

e. En mai 2013, le Conseil fédéral a soumis pour adoption au parlement suisse un projet de loi fédérale sur des mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis ("lex USA"). Ce projet prévoyait notamment que les banques qui souhaitaient régulariser leurs relations avec les autorités américaines pouvaient le faire directement avec ces dernières, dans un cadre prédéfini (Message du 29 mai 2013, FF 2013 3463).

En juin 2013, le Conseil national a refusé d'entrer en matière sur cette loi, estimant qu'il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur.

f. Le 20 juin 2013, le Préposé fédéral à la protection des données et à la transparence (ci-après : le PFPDT) a émis une note à l'attention des banques récapitulant les principes de la Loi sur la protection des données (ci-après : LPD) à observer en cas de transmission de données personnelles d'employés et de tiers aux autorités américaines. Il a notamment relevé les éléments suivants :

"1. Principe de la proportionnalité : en vertu de ce principe, seules peuvent être traitées (terme englobant la transmission) les données nécessaires à l’atteinte d’un but précis (art. 4 al. 2 LPD). Le PFPDT estime que cette définition s’applique aux personnes ayant organisé, suivi ou surveillé des relations d'affaires concernant des personnes américaines.

2. Principe de la transparence : conformément à l'art. 4 al. 2 et 4 LPD, les banques informent au préalable les personnes concernées sur l'étendue et la nature des documents à livrer, de même que sur la période concernée. Ce devoir d'information vaut à l'égard des collaborateurs anciens et actuels, comme à l'égard des tiers. Sont des tiers également les personnes juridiques, telles que les autres banques.

3. Droit d'accès : les banques doivent accorder aux personnes concernées un délai suffisant pour que, conformément à l'art. 8 LPD, celles-ci puissent avoir accès à tous les documents les concernant.

4. Motifs justificatifs : si une personne concernée s'oppose à ce que la banque transmette des documents contenant son nom, la banque doit peser les intérêts en présence dans le cas concret. Elle doit alors, en vertu de l'art. 13 LPD, faire valoir des motifs justificatifs pour pouvoir procéder à la transmission et doit, par ailleurs, remplir les conditions de l'art. 6 LPD pour pouvoir transmettre les données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat.

5. Prétentions : si, après avoir pesé les intérêts en présence, la banque décide de transmettre des données contre la volonté de la personne concernée, cette dernière peut intenter une action en protection de la personnalité auprès d'un tribunal civil conformément à l'art. 15 LPD".

g. Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler le différend fiscal et a donné aux banques la possibilité de demander une autorisation individuelle au sens de l’art. 271 CP.

Il a publié une décision modèle, ainsi qu'une note explicative à l'attention des banques qui participeraient au programme volontaire du DoJ et feraient une demande d'autorisation au sens de l'art. 271 CP.

La décision modèle précise notamment :

"La collecte et la transmission de renseignements aux autorités américaines du fait des relations d'affaires de la banque qui a requis l'autorisation avec des personnes assujetties à l'impôt aux Etats-Unis et en lien avec une possible violation du droit américain ne constituent pas des atteintes excessives à la souveraineté de la Suisse. En outre, l'intérêt de la banque à coopérer avec les autorités américaines est important. En fin de compte, la collecte et la transmission des renseignements vise à éviter une plainte du DoJ à l'encontre de la banque. Pour celle-ci, le dépôt d'une plainte aurait des conséquences majeures sur ses relations économiques avec les Etats-Unis. La banque risque de ne plus pouvoir effectuer des transactions en dollars américains. Les problèmes opérationnels et financiers qui résulteraient d'une telle situation pourraient nuire considérablement à la banque, voire menacer son existence.

L'autorisation prévue à l'article 271 ch. 1 CP exclut uniquement une punissabilité en vertu de cette disposition. Elle ne dispense cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. L'autorisation ne permet donc aux banques de coopérer avec les autorités américaines que dans le cadre de la législation suisse.

Lors de la pesée des intérêts, il y a lieu de tenir compte des droits de la personnalité des actuels et anciens membres du personnel de la banque, ainsi que des tiers potentiellement concernés en prévoyant une obligation d'informer et un droit d'obtenir des renseignements."

h. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entres les banques suisses et les Etats-Unis.

La solution trouvée se compose de trois éléments, la déclaration commune (Joint Statement) signée entre le Conseil fédéral et le DoJ, le programme volontaire américain auquel les banques peuvent participer dans un délai donné et l'autorisation modèle du Conseil fédéral du 3 juillet 2013 régissant la coopération des banques avec les autorités américaines.

Le Joint Statement a notamment la teneur suivante :

"1. The DoJ has been and continues to be engaged in law enforcement action against individuals and entities that use foreign bank accounts to evade U.S. taxes and reporting requirements, and individuals and entities that facilitate the evasion of U.S. taxes and reporting requirements. In announcing today the Program for Swiss banks the DoJ intends to provide a path for Swiss Banks that are not currently the target of a criminal investigation authorized by the DoJ, Tax Division, to obtain resolution concerning their status in connection with the Department's overall investigations, and to assist the DoJ in its law enforcement efforts. The Program does not apply to individuals and is not available to any Swiss bank as to which the Tax Division has authorized a formal criminal investigation concerning its operations.

2. Switzerland welcomes the efforts of the DoJ to provide the Program and intends to draw the attention of the Swiss Banks to the terms of the Program and encourages them to consider participating therein. Switzerland notes that the Swiss Parliament by Declaration of 19 June 2013 stated its expectation that the Swiss Federal Council will take all measures within existing legal framework to put Swiss banks in a position to cooperate with the DoJ. Switzerland represents that applicable Swiss law will permit effective participation by the Swiss Banks on the terms set out in the Program.

[…]

5. Noting the importance attached by both sides to providing a high level of personal data and privacy protection for all individuals as provided in their laws, the signatories understand that, if personal data are provided, they should only be used for purposes of law enforcement (which may include regulatory action) in the United States or as otherwise permitted by U.S. law. Personal data should only be retained for so long as necessary for these purposes."

Soit dans la traduction proposée par le Conseil fédéral :

"1. Le Département de la justice américain s’est toujours engagé et poursuit son engagement à faire respecter le droit à l’égard des personnes physiques et morales qui utilisent des comptes bancaires à l’étranger pour se soustraire aux impôts et aux obligations de déclaration prévus par le droit américain, ou à l’égard des personnes physiques et morales qui facilitent l’évasion des impôts et le contournement des obligations prévus par le droit américain. Par le biais de son programme destiné aux banques suisses, le Département de la justice américain entend permettre aux banques suisses qui ne sont pas visées par une enquête pénale autorisée par le Département de la justice, Division Fiscalité, de régulariser leur situation dans le cadre des enquêtes du Département de la justice et de se joindre aux efforts de celui-ci pour faire respecter le droit. Le programme proposé ne s'adresse pas aux personnes physiques ni aux banques suisses dont les activités font l'objet d'une enquête pénale formelle autorisée par la Division Fiscalité.

2. La Suisse salue les efforts consentis par le Département de la justice américain pour offrir le programme. Elle a l’intention d’attirer l'attention des banques suisses sur les dispositions de ce dernier et de les encourager à envisager une participation. La Suisse note que son Parlement a déclaré le 19 juin 2013 qu'il s'attendait à ce que le Conseil fédéral suisse prenne toutes les mesures dans le cadre du droit en vigueur pour permettre aux banques suisses de coopérer avec le Département de la justice américain. La Suisse fait valoir que le droit suisse en vigueur permettra aux banques suisses une participation effective selon les termes fixés dans le programme.

[…]

5. Compte tenu de l'importance accordée par chaque partie à la protection des données personnelles et de la vie privée des personnes telle que requise par leurs lois respectives, les signataires entendent, en cas d'échange de données personnelles, n'utiliser ces données que dans le cadre de procédures visant le respect du droit (qui peuvent comprendre des actions réglementaires) engagées aux Etats-Unis ou autorisées par le droit américain. Les données personnelles ne peuvent être conservées qu’aussi longtemps que nécessaire pour ces buts."

i. Le programme volontaire américain classe les banques suisses dans quatre catégories. Les banques qui font l'objet d'une enquête pénale du DoJ sont formellement exclues dudit programme (catégorie 1). Les autres banques qui estiment avoir violé le droit fiscal américain peuvent se mettre à l'abri de poursuites pénales en échange de leur participation, en concluant un accord de non-poursuite ("Non-Prosecution Agreement" ou "NPA"), qui devait être demandé jusqu'au 31 décembre 2013 (catégorie 2). Celles qui, au contraire, estiment ne pas avoir violé le droit fiscal américain ou qui ont une activité purement locale, peuvent solliciter une Non-Target Letter (catégories 3 et 4).

Le programme prévoit une coopération complète des banques en matière de communication d'informations.

Avant la signature d'un NPA, la banque doit notamment communiquer aux autorités américaines les noms et fonctions des personnes qui ont structuré, opéré ou supervisé des opérations financières transfrontières avec les Etats-Unis entre le 1er août 2008 et le 31 décembre 2014 (chapitre II, lettre D chiffre 1 let. b).

A la signature de l'accord, pour tous les comptes ayant un lien avec les Etats-Unis clôturés pendant la période précitée, la banque doit notamment transmettre le nom et la fonction de tout gestionnaire de la relation client, conseiller à la clientèle, gestionnaire d'actifs, conseiller financier, trustee, fiduciaire, agent, avocat, comptable, et autre individu ou entité agissant de façon similaire et étant en lien avec ledit compte à la connaissance de la banque durant la période applicable (chapitre II, let. D ch. 2, let. b).

L'accord prévoit que la banque doit conserver toutes ses archives relatives à ses activités transfrontalières avec les Etats-Unis pendant 10 ans à compter de la date d'échéance de l'accord (chapitre II let. F ch. 1).

La let. J du chapitre II de ce Programme précise que, s'il constate qu'une information transmise par une banque est fausse, incomplète ou source d'erreur, le DoJ peut refuser de conclure un accord de non poursuite. Si celui-ci a déjà été conclu, il peut intenter une action judiciaire, notamment pénale.

Il est de plus prévu, au chapitre V let. B, que les informations personnelles transmises par les banques seront utilisées uniquement dans le but de faire appliquer le droit américain, ce qui peut inclure des actions fondées sur des mesures de réglementation, ou dans un but autorisé par le droit américain ("for purpose of law enforcement [which may include regulatory action] in the United States or as otherwise permitted by US law").

Enfin, la Suisse doit encourager les banques suisses à participer au programme. Si la Suisse n'est pas capable d'assurer cet engagement ou cesse ses encouragements, ou s'il existe des obstacles juridiques empêchant une participation effective par les banques suisses au programme, le DoJ peut y mettre fin (chapitre V let. C).

j. Le 30 août 2013, la FINMA a adressé un courrier aux banques suisses dans lequel elle indiquait notamment qu'il appartenait à toutes les banques de mesurer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au Programme américain et d'en tenir compte dans leur processus de décision qui devrait être documenté.

Elle a ajouté que les banques participant au Programme américain étaient tenues de respecter le droit suisse et notamment les réglementations relatives à la protection des secrets d'affaires et bancaire en vigueur, ainsi que la législation sur la protection des données.

k. En février 2014, C., procureur général adjoint au sein du DoJ, a témoigné devant la sous-commission permanente d'enquête du Sénat américain, en charge de la sécurité intérieure et des affaires gouvernementales. Il a notamment déclaré : "The DoJ is committed to global enforcement against financial institutions that engage in or facilitate cross-border tax evasion. We also continue to track down and hold accountable individuals who sought to evade their tax and reporting obligation […] and the individual bankers, accountants, lawyers and other professionals who facilitated these crimes have also been and continue to be subject to investigation and prosecution. First, the program expressly excludes the 14 banks (category 1 banks). Second, the Program expressly excludes all individuals. No Swiss banker or professional advisor is offered any or of protection or immunity. We're going to get - number one - a lot of information from these banks that will help us prosecute their employees and theirs officers. Secondly, we're going to get a lot of penalties from them - a lot of money, which this is all about. Third, we're going to get information that will help us do treaty requests in a better way because there's the proverbial wall that the Swiss keeps putting up. […]". Soit en traduction libre : "Le DoJ s'est engagé à une répression globale des institutions financières qui s'engagent dans l'évasion fiscale internationale ou la facilitent. Nous continuons à poursuivre et à faire rendre des comptes aux individus qui cherchent à échapper à la taxation et à l'obligation de déclarer […] et les banquiers, les comptables, les avocats et les autres professionnels qui facilitent ces crimes ont été soumis à des enquêtes et à des poursuites et continueront de l'être. En premier lieu, le Programme exclut expressément quatorze banques de catégorie 1. En second lieu, le Programme exclut expressément les individus. Aucun banquier suisse ou conseiller ne se voit offrir de protection ou d'immunité. Nous allons obtenir - primo - beaucoup d'informations de ces banques qui nous aideront à poursuivre les employés et les cadres. Secundo, nous allons obtenir de grosses amendes de ces gens - donc beaucoup d'argent, puisque c'est cela qui importe. Tertio, nous allons obtenir des informations qui nous permettront de faire des requêtes d'entraide de manière plus efficiente parce que les Suisses ne cessent de faire obstruction. […]" l. Par courrier du ______ 2013, A. SA s'est annoncée auprès des autorités américaines en tant que banque de la catégorie 2. Puis, afin de pouvoir participer au Programme américain, elle a présenté une requête d'autorisation au sens de l'article 271 ch. 1 CP auprès du Département fédéral des finances le ______ 2014 (ci-après : le DFF).

m. Par décision du ______ 2014, le DFF l'a autorisée à coopérer avec les autorités américaines compétentes dans le cadre de la législation suisse. Cette autorisation, initialement limitée à une durée d'une année, a été prolongée jusqu'au ______ 2016 par décision du DFF du _______ 2015.

Selon le DFF, l'autorisation prévue à l'article 271 ch. 1 CP exclut uniquement une punissabilité en vertu de cette disposition, mais ne dispense pas du respect des autres dispositions du droit suisse, notamment la prise en compte des dispositions sur la protection des données.

Il est également précisé que l'autorisation s'applique aux renseignements sur les relations d'affaires impliquant une personne américaine au sens de l'article 2 paragraphe 1 chiffre 26 de l'accord du 14 février 2013 entre la Suisse et les Etats-Unis sur leur coopération visant à faciliter la mise en œuvre du "Foreign Account Tax Compliance Act".

Il est en outre indiqué que les données personnelles de tiers ne peuvent être communiquées que si les personnes concernées ont été informées, au moins vingt jours avant la date prévue pour la transmission aux autorités américaines, de l'étendue et de la nature desdites données ainsi que de la période à laquelle ces données remontent. En cas de communication des données contre la volonté de la personne concernée, la banque signale à cette personne son droit d'intenter action selon l'article 15 LPD et ne transmet les données concernant cette personne qu'au plus tôt dix jours après l'exécution de la notification si aucune plainte relative à une interdiction de divulguer les données n'a été déposée ou après l'entrée en force du rejet de la plainte.

n. Le 4 décembre 2014, A.______ SA a informé B.______ de sa participation au Programme américain en tant qu'établissement de catégorie 2. Elle lui a en outre indiqué que, dans ce contexte, elle était tenue de fournir au DoJ certaines informations sur des comptes présentant un "indice d'américanité", ouverts en ses livres au/après le 1er août 2008 et clôturé depuis et sur lesquels B.______ avait bénéficié d'une procuration de gestion et qu'elle envisageait dès lors de communiquer le nom de B.. Un seul compte était mentionné en annexe. o. Par courrier du 12 décembre 2014, B. a informé A.______ SA de son opposition de principe à la transmission des données la concernant, au motif que le compte donnant lieu à la transmission projetée par la banque était conforme du point de vue fiscal américain. Elle a également sollicité de pouvoir prendre connaissance des informations que la banque souhaitait communiquer au DoJ.

p. Le 17 décembre 2014, B.______ a pu consulter les données que A.______ SA envisageait de transférer.

q. Par courrier du 18 décembre 2014, B.______ a réitéré son opposition auprès de A.______ SA.

r. Par courrier du 30 janvier 2015, A.______ SA a pris acte de l'opposition formée par B.______ mais elle a confirmé son intention de procéder à la transmission des données, notamment sa raison sociale et son rôle. Elle a justifié sa position par l'existence d'intérêts publics et privés.

s. Par courrier du 6 février 2015, B.______ a contesté l'analyse de la banque et répété son opposition totale à la transmission des données.

t. Par acte déposé au greffe du Tribunal de première instance le 11 février 2015, B.______ a requis, sur mesures superprovisionnelles et provisionnelles, qu'il soit fait interdiction à A.______ SA de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, sous quelque forme et de quelque manière que ce soit, toutes données, informations ou documents relatifs à B.______ (organe, actionnaire, employé y compris) et/ou pouvant l'identifier, sous menace de la peine prévue à l'article 292 CP.

u. Par ordonnance du même jour, le Tribunal admis la requête de mesures superprovisionnelles et réservé le sort des frais.

v. Par ordonnance du 19 juin 2015 (OTPI/368/15), le Tribunal a admis les conclusions de B.______ sur mesures provisionnelles et lui a fixé un délai de 30 jours dès notification de ladite ordonnance pour faire valoir son droit en justice.

C. a. B.______ a déposé action au Tribunal le 22 juillet 2015, concluant à ce qu'il soit fait interdiction à A.______ SA - sous menace de la peine prévue à l'art. 292 CP, ainsi que d'une amende de 5'000 fr. -, de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, sous quelque forme et de quelque manière que ce soit, toutes données, informations ou documents relatifs à B.______ (organe, actionnaire, employé y compris) et/ou pouvant l'identifier, sous suite de frais et dépens.

Selon B., l'application de la LPD, soit notamment les art. 4, 6 et 12 de cette loi, interdisait l'envoi des données aux autorités américaines par la banque, ainsi que diverses normes pénales. b. A. SA - représentée par Me Daniel TUNIK et Me Michael FISCHER, selon la procuration produite - s'est opposée à la demande, soutenant que les conditions des normes pénales visées n'étaient pas réalisées, que, s'agissant de la LPD, ni B., ni ses organes ne couraient le risque d'une poursuite pénale aux Etats-Unis, qu'il existait un intérêt public prépondérant à collaborer avec les autorités américaines, au vu des mesures à disposition du DoJ, que la communication servait à exercer un droit en justice et que l'intérêt privé de la banque l'emportait sur celui de B..

c. Le 8 février 2016, le Tribunal a procédé à l'interrogatoire des parties. Celles-ci ont plaidé et persisté dans leurs conclusions.

d. Entre-temps, le ______ 2015, A.______ SA a conclu un Non Prosecution Agreement avec le DoJ, par lequel elle a notamment accepté de s'acquitter d'une amende d'un montant de XXXX USD, payable dans les sept jours à compter de l'entrée en force de l'accord.

Ce NPA spécifie qu'il protège uniquement A.______ SA et ne prévoit aucune immunité pour les autres entités ou individus. Il réserve en outre le droit des autorités américaines de communiquer les informations et documents reçus de la banque à d'autres autorités gouvernementales des Etats-Unis. Les obligations de la banque perdurent pour une période de quatre ans à compter de la conclusion du contrat. Si les autorités américaines devaient estimer que le NPA était violé, elles se sont engagées à interpeller par écrit la banque, avant toute poursuite judiciaire.

D. a. Dans le jugement entrepris, le Tribunal a retenu que la communication des données de B.______ aux Etats-Unis, soit dans un Etat n'assurant pas un niveau de protection adéquat, constituait une violation de l'art. 6 LPD et, partant, une atteinte à sa personnalité, sauf si A.______ SA démontrait la réalisation des conditions de l'une des exceptions prévues à l'art. 6 al. 2 LPD. En l'occurrence, il n'existait pas de garanties suffisantes permettant d'assurer un niveau de protection adéquat à l'étranger, au sens de l'art. 6 al. 2 let. a LPD. Le DoJ n'était pas une entité de justice et aucun procès n'était en cours, de sorte que la communication n'était pas autorisée en lien avec l'exercice d'un droit en justice de la banque (art. 6 al. 2 let. d seconde hypothèse). Il existait certes un intérêt public (art. 6 al. 2 let. d première hypothèse LPD) à ce que les accords conclus avec A.______ SA, mais aussi les autres banques suisses, soient respectés, afin de mettre fin au conflit fiscal entre les deux Etats. Cet intérêt public n'apparaissait cependant pas prépondérant par rapport à l'intérêt de B.. La banque ne démontrait pas que la transmission des données concernant B. était indispensable pour sauvegarder la place financière suisse, ni quel risque de poursuite judiciaire elle courrait concrètement, les autorités américaines ne l'ayant pas relancée à ce sujet. L'art. 13 LPD n'entrait pas en considération, dès lors qu'il ne s'appliquait qu'au traitement et à la collecte de données.

b. Dans son appel, la banque - désormais assistée de Me Daniel TUNIK et de Me Lorenzo FREI, qui n'ont pas produit de procuration attestant des pouvoirs du second - reproche au Tribunal une constatation inexacte des faits, dès lors qu'il n'avait pas été retenu que les données concernant B.______ avaient, selon toute vraisemblance, déjà été transmises aux Etats-Unis, en raison de l'enregistrement de B.______ dans ce pays et de la renonciation du client au bénéfice du secret bancaire. Aucun risque de confidentialité ou de réputation n'existait, les données pouvant de toute manière être obtenues par la voie de l'entraide. Le risque d'être retenu et interrogé sur sol américaine était conjectural, dès lors que le compte était déclaré au fisc et que le nom de personnes physiques ne serait pas transmis. A l'inverse, l'intérêt de la banque était concret, puisque le NPA pouvait être remis en cause en cas de non-collaboration. En l'occurrence, le DoJ avait demandé à la banque de faire le point sur les procédures en cours. L'obligation de collaborer s'étendait aussi aux comptes fiscalement conformes, pour peu que ceux-ci présentent un indice d'américanité, ce qui était le cas ici. La protection accordée à un gérant externe était moindre que celle d'un employé de banque. L'art. 6 al. 2 let. d LPD avait été violé, dès lors qu'un intérêt public existait et que la communication d'informations servait à exercer un droit en justice. L'art. 13 LPD était applicable, contrairement à ce qu'avait retenu le Tribunal.

c. B.______ estime l'appel irrecevable, car il n'existe aucune procuration valable pour les représentants de la banque. Subsidiairement, elle s'oppose à l'appel. La banque n'était plus au bénéfice d'une autorisation du Conseil fédéral au sens de l'art. 271 CP depuis le 1er juillet 2016. Il était injuste que les données la concernant fussent transmises, alors qu'elle n'avait précisément commis aucune infraction fiscale. Pour cette même raison, une demande d'entraide était douteuse. La révélation du nom d'une personne morale impliquait la révélation du nom de ses organes, puisque les informations étaient publiées sur Internet.

EN DROIT

1. 1.1 L'appel est recevable contre les décisions finales de première instance (art. 308 al. 1 let. a CPC), dans les causes non patrimoniales ou dont la valeur litigieuse est supérieure à 10'000 fr. (art. 308 al. 2 CPC). Les affaires portant sur la protection de la personnalité sont de nature non patrimoniale, sauf si la demande porte exclusivement sur des dommages-intérêts (ATF 142 III 145 consid. 6; 127 III 481 consid. 1; 110 II 411 consid. 1; arrêt du Tribunal fédéral 5A_328/2008 du 26 novembre 2008 consid. 1; Jeandin, in Bohnet et al. [éd.], CPC, Code de procédure civile, 2011, n° 12 ad art. 308 CPC et les réf. citées). Tel n'est pas le cas en l'espèce, de sorte que la voie de l'appel est ouverte. 1.2 L'intimée se prévaut du défaut de procuration concernant le second avocat représentant l'appelante, soit Me Lorenzo FREI. Selon la jurisprudence, l'art. 221 CPC est applicable par analogie à l'art. 311 CPC (ATF 138 III 213 consid. 2.3). La doctrine en déduit qu'une procuration justifiant des pouvoirs du représentant doit être jointe à l'appel, pour peu qu'elle ne figure pas déjà dans le dossier de première instance (Hungerbühler/Bucher, in Schweizerische Zivilprozessordnung [ZPO], Brunner/Gasser/Schwander [éd.], Zurich 2011, n. 14 ad art. 311 CPC) En l'occurrence, l'intimée ne conteste pas que Me Daniel TUNIK dispose des pouvoirs de représenter l'appelante, sur la foi de la procuration produite en première instance. Par conséquent, il s'avère d'emblée inutile d'interpeller l'appelante afin d'obtenir une procuration concernant Me Lorenzo FREI (art. 132 al. 1 CPC par analogie), puisque la seule signature de Me Daniel TUNIK valide le dépôt de l'acte d'appel au regard des réquisits légaux. Le moyen, chicanier, doit être rejeté. 1.3 Interjeté dans le délai utile et suivant la forme prescrite par la loi (art. 130, 131, et 311 al. 1 CPC), l'appel est par conséquent recevable. 1.4 La Cour revoit la cause avec un plein pouvoir d'examen (art. 310 CPC).
2. Les parties ont produit des pièces nouvelles. 2.1 Selon l'art. 317 al. 1 CPC, les faits et les moyens de preuve nouveaux ne sont pris en considération en appel que s'ils sont invoqués ou produits sans retard (let. a) et s'ils ne pouvaient pas être invoqués ou produits devant la première instance bien que la partie qui s'en prévaut ait fait preuve de diligence (let. b). Les faits notoires ne doivent être ni allégués ni prouvés. Constituent notamment des tels faits les inscriptions au Registre du commerce, accessibles au public par internet (art. 151 CPC; arrêt du Tribunal fédéral 4A_645/2011 du 27 janvier 2012 consid. 3.4.2). La Cour a déjà eu l'occasion de préciser (ACJC/699/2014 du 20 mai 2014 consid. 3.1 et ACJC/444/2015 du 24 avril 2015 consid. 2.1) que sont toutefois admis, pour autant qu'ils soient produits dans le délai de recours, les précédents et avis de droit visant uniquement à renforcer et à développer le point de vue d'une partie (cf. arrêts du Tribunal fédéral 4A_170/2015 du 28 octobre 2015 consid. 1, 4A_86/2013 du 1er juillet 2013 consid. 1.2.3; 6B_638/2012 du 10 décembre 2012 consid. 2; 4A_332/2010 du 22 février 2011 consid. 3; cf. déjà, sous l'ancienne OJ, ATF 126 I 95 consid. 4b; 108 II 69 consid. 1). 2.2 En l'espèce, s'agissant des pièces nouvelles produites par l'appelante, les pièces 46 et 47 concernent des documents librement accessibles sur Internet et les pièces 48 et 49 des précédents censés étayer son argumentation juridique. Ils sont donc recevables. S'agissant de la décision du DFF, non numérotée, elle a été produite à l'appui de la réplique, alors qu'elle est antérieure au prononcé de première instance. Cette pièce est partant irrecevable. La pièce 103 produite par l'intimée, soit un courrier daté du 20 janvier 2016, est irrecevable, car elle aurait pu être produite devant le premier juge en faisant preuve de la diligence requise. Les pièces 104 à 110 constituent des articles de journaux, des communiqués de presse et un précédent judiciaire, tous tendant à étayer l'argumentation juridique de l'intimée. Ils sont partant recevables.
3. 3.1 En vertu de l'art. 6 al. 1 LPD, aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat. La communication de données dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat entraîne de par la loi une grave menace de la personnalité, comme une présomption irréfragable (Maurer-Lambrou/Steiner, in Basler Kommentar, Datenschutzgesetz Öffentlichkeits-gesetz, 3e éd., Bâle 2014, n. 11 ad art. 6 LPD; Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, Berne 2014, n. 706b ad art. 6 LPD; Epiney/Fasnacht, in Datenschutzrecht, Grundlagen und öffentliches Recht, Belser/Epiney/Waldmann [éd.]., Berne 2011, § 10 n. 10; Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Zurich 2008, n. 27 ad art. 6 LPD). Selon la liste publiée par le Préposé fédéral à la protection des données et à la transparence, les Etats-Unis ne disposent pas d'une législation assurant un niveau de protection adéquat des données au sens de l'art. 6 al. 1 LPD (art. 7 OLDP; http://www.edoeb.admin.ch/datenschutz/00626/00753/index.html, version mise à jour au 12 janvier 2017). Dans un arrêt du 6 octobre 2015, la Cour de justice européenne a eu l'occasion de relever que la législation américaine consacre la primauté des "exigences relatives à la sécurité nationale, [à] l'intérêt public et [au] respect des lois des Etats-Unis" sur les principes de la sphère de sécurité, si bien que les règles de protection prévues peuvent à ce titre être écartées, sans limitation. Le régime américain de la sphère de sécurité rend ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, sans qu'il n'existe de règles à caractère étatique destinées à limiter ces éventuelles ingérences ni de protection juridique efficace contre celles-ci (arrêt de la CJUE dans l'affaire C/362/2014 du 6 octobre 2015 consid. 86 s.). 3.2 En l'espèce, il est acquis et non contesté que les informations que l'appelante entend transférer aux autorités américaines constituent des données personnelles au sens de la LPD et que leur transfert relève d'une "communication" au sens de cette même loi. Il n'est pas non plus contesté que la législation américaine n'offre pas un niveau de protection des données adéquat au sens des dispositions et principes rappelés ci-dessus; en particulier, l'utilisation des données à d'autres fins que la conclusion et l'exécution de l'accord entre la banque et le DoJ ne peut donc être écartée. Dès lors, la transmission transfrontière de données vers ce pays porterait gravement atteinte à la personnalité de l'intimée et est, en principe, illicite à moins d'être rendue possible par l'un des motifs justificatifs prévus à l'art. 6 al. 2 LPD.
4. L'appelante reproche au Tribunal de n'avoir pas correctement apprécié les intérêts privé et public en présence, et en particulier d'avoir nié l'existence d'un intérêt public prépondérant autorisant la transmission des données. 4.1 L'art. 6 al. 2 let. d LPD prévoit que la communication est autorisée lorsqu'elle est indispensable à la sauvegarde d'un intérêt public prépondérant. Par intérêt public, on entend l'intérêt de la Suisse, qui comprend l'image du pays à l'étranger, notamment du fait de sa coopération avec d'autres Etats ou des organismes internationaux, par exemple en matière de lutte contre le terrorisme ou le blanchiment d'argent (Meier, Protection des données, Berne 2014, n. 1368). On entend également les cas où les intérêts d'Etats étrangers ont un effet réflexe sur la Suisse et par là coïncident indirectement avec l'intérêt public de la Suisse, notamment lorsqu'il s'agit de protéger une certaine branche de l'économie ou certains consommateurs en Suisse de sanctions explicites ou implicites de la part d'Etats étrangers, auxquelles ils seraient directement ou indirectement exposés en cas de coopération défaillante (Rosenthal/Jöhri, op. cit., n. 60 ad art. 6 LPD). En exigeant que l'intérêt public soit prépondérant, l'art. 6 al. 2 let. d LPD implique une pesée entre les intérêts privés des personnes concernées et l'intérêt public retenu (Meier, op. cit., n. 1370; Epiney/Fasnacht, op. cit., § 10 n. 23; Rosenthal/Jöhri, op. cit., n. 62 ad art. 6 LPD). L'existence de l'intérêt public prépondérant doit être évaluée dans chaque cas concret, en fonction de l'ensemble des circonstances en présence, notamment les garanties offertes par l'Etat de destination. L'intérêt public ne permet pas de justifier la communication de données de manière générale ou permanente pour une catégorie de cas. Il faut en particulier tenir compte de l'intérêt de la personne concernée à ce que ses données ne soient pas communiquées vers un Etat sans protection des données adéquate (évaluation notamment du risque de détournement de finalité ou de publication des données; Walter, Communication de données personnelles à l'étranger, in La révision de la Loi sur la protection des données, Epiney/Hobi [éd.], Zürich 2009., p. 132; cf. ég. Maurer-Lambrou/ Steiner, op. cit., n. 32 ad art. 6 LPD; Epiney/ Fasnacht, op. cit., § 10 n. 23; Meier, op. cit., n. 1372; Rosenthal/Jöhri, op. cit., n. 62 ad art. 6 LPD). La dérogation fondée sur l'intérêt public doit être interprétée restrictivement, de sorte à ne pas encourager des communications transfrontalières dans des conditions qui ne répondent pas à celles prévues par les traités d'entraide (Meier, op. cit., n. 1374). Dans un arrêt récent en lien avec le Programme américain, le Tribunal fédéral a relevé que, pour être autorisée, la communication des données doit être "indispensable". La communication est indispensable au sens de cette jurisprudence notamment lorsqu'il faut admettre que, sans la livraison de celles-ci, le litige fiscal avec les Etats-Unis s'intensifierait, que la place financière suisse devrait en supporter les conséquences et que la réputation de la Suisse serait atteinte en tant que partenaire de négociation fiable (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.3.4). En outre, l'intérêt de la banque à sa survie n'est pas suffisant pour admettre l'application de l'art. 6 al. 2 let. d LPD, dès lors qu'il s'agit d'un intérêt privé et non d'un intérêt public (arrêt du Tribunal fédéral 4A_83/2016 consid. 3.4.3). Pour savoir si l'intérêt public à la stabilité juridique et économique de la place financière suisse prévaut, dans un cas particulier, sur l'intérêt privé à empêcher une atteinte imminente à sa personnalité, il est donc nécessaire de procéder à une pesée des intérêts in concreto (cf. arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.3.4), sans perdre de vue que la charge de la preuve du fait justificatif de l'intérêt public prépondérant incombe à la banque qui entend transmettre aux États-Unis les données d'une personne, contre la volonté de celle-ci (art. 8 CC). 4.2.1 En l'espèce, si le Tribunal a retenu à juste titre qu'il existe un intérêt public général à ce que le conflit fiscal avec les Etats-Unis ne connaisse pas une nouvelle escalade, cela ne signifie pas encore que, dans le cas concret, un intérêt public existe qui justifie la transmission des données. Certes, la possibilité demeure que le DoJ considère la collaboration de la banque insuffisante, mais cette possibilité reste hypothétique, plus d'une année après la signature de l'accord et le paiement de l'amende de près de XXXXX fr. L'appelante n'a apporté aucun élément qui permettrait d'établir que la non-communication du nom d'un gérant externe, responsable d'un seul compte bancaire, conforme fiscalement, serait de nature à remettre en cause l'accord qu'elle a conclu. Le simple fait que le DoJ puisse se renseigner sur les procédures en cours, sans que l'appelante ne démontre que tel serait le cas concernant la présente procédure, ne signifie pas encore que l'attitude de la banque serait perçue comme non-coopérante. Aucune notification n'a été envoyée par le fisc américain qui irait dans ce sens. Une inculpation de la banque est en l'état exclue, bien qu'elle demeure, théoriquement, possible. La banque ne prétend à ce titre pas qu'elle aurait une importance systémique. Il semble, au contraire, qu'elle confonde son intérêt privé à ne pas avoir maille à partir avec les autorités américaines et l'intérêt public, donc général, au maintien de la place financière suisse. A fortiori, il apparaîtrait particulièrement injuste que les données d'un tiers gérant qui a respecté le droit soient, contre son gré, communiquées en lien avec des agissements propres à la banque dépositaire que cette dernière a spontanément décidé de dénoncer au fisc américain. Ainsi que l'a retenu le Tribunal, en l'absence d'un intérêt public prépondérant démontré par la banque - qui supportait le fardeau de la preuve -, le motif justificatif correspondant et prévu à l'art. 6 al. 2 let. d première hypothèse LPD n'est pas donné. 4.2.2 Pour le surplus, la Cour retient que l'intimée a un intérêt privé marqué à ce que ses données ne soient pas transmises aux Etat-Unis. A cet égard, l'argument de l'appelante selon lequel l'intimée n'aurait pas d'intérêt privé à faire valoir pour s'opposer à la transmission des données dans la mesure où le compte qu'elle a géré était en règle du point de vue fiscal doit être rejeté. En effet, la question de la conformité fiscale des avoirs sur lesquels se fonde une transmission de données vers les Etats-Unis n'a jamais été considérée, dans la jurisprudence, comme un élément déterminant s'agissant de la pesée des intérêts à opérer entre l'intérêt privé de la personne concernée et l'intérêt public à la communication. Au contraire, il a toujours été considéré comme notoire que l'association d'une personne physique ou morale au programme américain et à la lutte de cet Etat contre la fraude fiscale pouvait entraîner la possibilité d'interrogatoires et/ou de poursuites pénales contre les personnes concernées. En outre, le risque d'atteinte à sa réputation et au principe de confidentialité dont se prévaut l'intimée est particulièrement élevé dans une juridiction comme les Etats-Unis qui ne fournit pas de protection adéquate au traitement des données. La transmission limitée à la raison sociale de la personne morale ne permet d'ailleurs pas de conclure que l'identité des organes de l'intimée ne sera pas connue des autorités américaines, de sorte que l'intimée ne pourrait se prévaloir d'un intérêt privé, comme tente de le soutenir l'appelante. En effet, le Registre du commerce suisse est publié sur Internet et toute autorité ou tiers peut y accéder librement (art. 12 al. 1 ORC). Le fait que l'intimée soit inscrite auprès des autorités américaines et possède un numéro GIIN ne permet pas non plus de retenir qu'elle n'a plus d'intérêt privé à s'opposer à la transmission des données litigieuses. En effet, rien n'indique qu'elle serait de toute façon tenue de le faire du fait de cette inscription, dont on ignore ce qu'elle engendre comme obligations. La pesée des intérêts que l'appelante dit avoir effectuée à l'interne est sans pertinence, car elle ne saurait lier la Cour de céans. La signature par le client d'une autorisation de levée du secret bancaire ne permet pas non plus de nier l'existence d'un intérêt privé de l'intimée. En effet, les données dont la transmission est litigieuse sont celles de l'intimée et non celles du client précité. La prétendue possible obtention par les autorités américaines des données litigieuses par une demande d'entraide future relève de la spéculation et ne saurait conduire à l'admission d'absence d'intérêt privé de l'intimée à s'opposer à la transmission. En dernier lieu, il ne ressort ni de la jurisprudence, ni de la doctrine, qu'un tiers gérant devrait être traité d'une manière moins favorable qu'un employé au regard de la LPD. En conclusion, c'est à bon droit que le Tribunal, après avoir procédé à une pesée des intérêts en présence, a retenu qu'il n'existait pas d'intérêt public prépondérant de l'appelante à celui privé de l'intimée pour justifier la transmission des données litigieuses.
5. L'appelante reproche ensuite au Tribunal d'avoir violé l'art. 6 al. 2 let. d seconde hypothèse LPD. La communication des données était nécessaire pour défendre ses droits en justice. 5.1 L'art. 6 al. 2 LPD prévoit qu'en dépit de l'absence d'une législation assurant un niveau de protection adéquat à l'étranger, la communication de données personnelles est autorisée notamment lorsqu'elle est, en l'espèce, indispensable à la constatation, l'exercice ou la défense d'un droit en justice. La notion d'instance judiciaire au sens de cette disposition doit être comprise de manière large incluant toute instance ayant le pouvoir de rendre des décisions. Les prétentions concernées peuvent être non seulement de nature civile, mais également de nature pénale, publique ou administrative, notamment fiscale (Maurer-Lambrou/Steiner, op. cit., n. 33 ad art. 6 LPD; Epiney/Fasnacht, op. cit., § 10 n. 24; Walter, op. cit., p. 132; Rosenthal/Jöhri, op. cit., n. 64 ad art. 6 LPD). La question de savoir si le DoJ est une instance judiciaire au sens de l'art. 6 al. 2 let. d LPD a été laissée indécise par la jurisprudence genevoise récente (ACJC/1730/2016 du 21 décembre 2016 consid. 3.2; CAPH/140/2016 du 9 août 2016 consid. 3.2.3). Les tribunaux zurichois ont nié que le DoJ était une instance judiciaire, le Tribunal fédéral n'ayant pas tranché cette question faute de grief sur ce point (voir arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.2). Pour que leur communication soit autorisée, les données doivent cependant être en lien étroit avec la procédure prévue ou engagée et elles ne doivent en aucun cas être utilisées à d'autres fins que la procédure prévue ou engagée contre le transférant. Si des doutes existent à ce sujet, le transfert des données d'autrui, sans consentement de celui-ci, ne doit pas avoir lieu (ACJC/1175/2016 du 9 septembre 2016 consid. 3.1; arrêt de l'Obergericht du canton de Zurich LB150052-O/U du 8 février 2016 consid. 4.4.2.3; ACJC/1529/2015 du 11 décembre 2015 consid. 6.1 et les références doctrinales citées (cas concernant une banque de catégorie 1 selon le Programme américain); CAPH/204/2015 du 11 décembre 2015 consid. 2.2.2). 5.2 En l'espèce, l'appelante se borne à affirmer que le DoJ serait une autorité judiciaire au sens de l'art. 6 al. 2 let. d seconde hypothèse LPD. Renvoyant à son écriture de première instance, elle n'expose nullement en quoi l'appréciation du premier Juge serait erronée, lorsqu'il a retenu que le DoJ ne pouvait pas être une autorité judiciaire puisqu'il ne produisait pas de jurisprudence et que l'appelante n'était pas en procès devant lui. Insuffisamment motivé, son grief doit être écarté. Ainsi, la décision du Tribunal est correcte d'autant plus que, même s'il fallait admettre que le DoJ est une autorité judiciaire, les conditions posées par l'art. 6 al. 2 let. d LPD ne seraient pas réalisées puisque l'utilisation qui serait faite des données transmises dépasserait le cadre strict de la défense des droits de l'appelante en justice. En effet, ainsi que le soutient l'intimée et conformément à la jurisprudence constante, il n'est nullement établi que les documents que l'appelante entend transmettre aux États-Unis ne seront utilisés que dans le cadre des échanges intervenant avec le DoJ lors de l'exécution de l'accord de non poursuite. Au contraire, il est notoire que les Etats-Unis entendent poursuivre toutes les personnes impliquées dans les activités ayant facilité la fraude ou l'évasion de l'impôt américain. A cet égard, les autorités américaines ont constamment affirmé qu'elles déploieraient tous les efforts pour identifier et poursuivre les personnes impliquées, notamment au moyen des informations obtenues par le biais des banques suisses. Le Programme américain prévoit d'ailleurs expressément que les informations obtenues par le biais des banques seront utilisées en vue de faire appliquer le droit américain, lequel autorise, au nom de la sécurité nationale, de l'intérêt public et du respect des lois des Etats-Unis, des actions fondées sur des mesures de règlement, ainsi que des ingérences par les autorités publiques dans les droits fondamentaux des personnes. Du reste, la conclusion du NPA et l'absence de relance de la part du DoJ sur les données concernant l'intimée démontrent que ces données ne sont pas collectées dans le but de défendre les droits de l'appelante dans une procédure actuelle, son cas étant considéré comme réglé par le fisc américain. Dans ces conditions, il existe un risque non négligeable, de par le système légal américain, que les données que l'appelante entend transférer aux Etats-Unis soient également utilisées à d'autres fins que celles de protéger ses intérêts juridiques, indépendamment de la question de savoir si le DoJ est ou non une autorité judiciaire, point qui peut rester indécis. L'appelante ne peut donc se prévaloir de la nécessité de défendre ses droits en justice pour justifier la communication transfrontière des données litigieuses. Ce moyen sera par conséquent rejeté.
6. L'appelante reproche enfin au Tribunal de ne pas avoir appliqué l'art. 13 LPD. 6.1 À teneur de l'art. 13 al. 1 LPD, une atteinte à la personnalité est illicite à moins d'être justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi. Une communication transfrontière vers un Etat qui ne possède pas un niveau de protection adéquat constitue un traitement illicite, à moins que l'un des motifs justificatifs prévu par l'art. 6 al. 2 LPD ne soit réalisé. D'autres motifs justificatifs, tels que ceux prévus à l'art. 13 LPD, ne peuvent pas être invoqués (ACJC/1169/2016 du 9 septembre 2016 consid. 3.1.2 et les références citées). Le catalogue des motifs justificatifs prévus à l'art. 6 al. 2 LPD est exhaustif (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.4.3). 6.2 En l'occurrence, il est établi que la communication devrait avoir lieu vers un Etat, soit les Etats-Unis, qui ne dispose pas d'un niveau de protection adéquat, de sorte que les motifs justificatifs prévu à l'art. 13 LPD ne sauraient entrer en considération, seules ceux prévus par la liste exhaustive de l'art. 6 al. 2 LPD étant pertinents.
7. Les frais judiciaires d'appel seront mis à la charge de l'appelante, qui succombe (art. 106 al. 1 CPC). Ils seront arrêtés à 7'000 fr. (art. 18 et 35 RTFMC - E 1 05.10) et entièrement compensés avec l'avance fournie du même montant qui reste acquise à l'Etat (art. 111 al. 1 CPC). L'appelante sera condamnée à payer à l'intimée la somme de 8'000 fr. à titre de dépens d'appel (art. 86 et 90 RTFMC).

PAR CES MOTIFS, La Chambre civile : A la forme : Déclare recevable l'appel interjeté par A.______ SA contre le jugement JTPI/5627/2016 rendu le 2 mai 2016 par le Tribunal de première instance dans la cause C/15103/2015-5. Au fond : Confirme le jugement entrepris. Déboute les parties de toutes autres conclusions. Sur les frais : Arrête les frais d'appel à 7'000 fr., les met à la charge de A.______ SA et les compense avec l'avance fournie par elle, qui reste acquise à l'Etat. Condamne A.______ SA à payer à B.______ la somme de 8'000 fr. à titre de dépens d'appel. Siégeant : Monsieur Cédric-Laurent MICHEL, président; Madame Pauline ERARD, Madame Paola CAMPOMAGNANI, juges; Madame Camille LESTEVEN, greffière.

Le président : Cédric-Laurent MICHEL

La greffière : Camille LESTEVEN

Indication des voies de recours : Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile. Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.