4A_174/2018

4A_174/2018

Arrêt du 22 août 2018

Ire Cour de droit civil

Composition
Mmes les Juges fédérales
Kiss, Présidente, Klett et Hohl.
Greffier : M. Piaget.

Participants à la procédure
X.________ SA, représentée
par Me Daniel Tunik et Me Lorenzo Frei,
recourante,

contre

A.________,
représenté par Me Laurent Strawson,
intimé.

Objet
Protection des données; communication transfrontière; motifs justificatifs,

recours contre l'arrêt de la Cour de justice du canton de Genève, Chambre civile, du 2 février 2018 (C/18134/2015, ACJC/156/2018).

Faits :

A.

A.a. A.________ (ci-après : l'employé) a travaillé (en dernier lieu) comme directeur adjoint rattaché à l'Unité clientèle privée pour X.________ SA (ci-après : la banque) du 1er juillet 1998 au 30 juin 2014, jour de son licenciement. Un audit de la banque a révélé que, dans le cadre de son activité, il a eu connaissance, en sa qualité de Relationship manager, d'une donation fictive intervenue en lien avec trois comptes appartenant à des ayants droit économiques américains.

A.b. En 2008, les autorités américaines se sont intéressées aux établissements bancaires suisses, suspectant certains d'entre eux d'avoir aidé des clients américains à éluder l'impôt américain.
En 2010, les autorités américaines (soit le Ministère de la justice des Etats-Unis, U.S. Department of Justice [DoJ]) ont ouvert des enquêtes contre onze banques suisses qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec ces clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux Etats-Unis.
Les autorités américaines ont ensuite demandé aux banques concernées de leur transmettre un certain nombre de documents complémentaires (en particulier sur les employés s'étant rendus aux Etats-Unis pour communiquer avec des clients américains) si elles voulaient éviter une inculpation.
Le 4 avril 2012, le Conseil fédéral a autorisé les banques concernées à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision valait autorisation, au sens de l'art. 271 CP, à procéder sur le territoire suisse pour le compte d'un Etat étranger à des actes relevant des pouvoirs publics. Il appartenait toutefois toujours aux banques d'apprécier le risque que leur responsabilité civile soit engagée.
Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre prévu par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue.

A.c. Le 14 février 2013, les autorités suisses et américaines ont signé un accord visant à faciliter la mise en oeuvre par les établissements financiers suisses de la loi fiscale américaine ( Foreign Account Tax Compliance Act [FATCA]). Le Conseil fédéral a ensuite soumis au Parlement fédéral un projet de loi fédérale sur les mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis. Le 19 juin 2013, le Parlement suisse a refusé d'entrer en matière sur ce projet, considérant qu'il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur.
Le 3 juillet 2013, le Conseil fédéral a mis sur pied une nouvelle procédure d'autorisation individuelle au sens de l'art. 271 CP (autorisation modèle).

A.d. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entre les banques suisses et les Etats-Unis. Trois documents servent à concrétiser cet accord: la déclaration commune ( Joint Statement) du Conseil fédéral (Département fédéral des finances) et du DoJ, le programme volontaire américain ( Program for Swiss banks), ainsi que l'autorisation modèle du Conseil fédéral du 3 juillet 2013.
En vertu du Joint Statement, le DoJ entend fournir aux banques suisses non impliquées dans une procédure pénale (autorisée par le DoJ) un moyen adapté pour clarifier leur situation ( status) en lien avec l'ensemble des enquêtes menées par le DoJ (complètement d'office selon l'art. 105 al. 2 LTF). Le Conseil fédéral (dans le texte: " Switzerland "), de son côté, manifeste son intention d'attirer l'attention des banques suisses sur les dispositions du programme américain et de les encourager à envisager une participation. Il relève que le droit suisse en vigueur permettra aux banques suisses une participation effective selon les termes fixés dans le programme.
Le programme volontaire ( Program for Swiss banks) classe les banques suisses en quatre catégories: la première catégorie, exclue du programme, s'adresse aux banques faisant l'objet d'une enquête pénale du DoJ; la deuxième catégorie, destinée aux banques qui estiment avoir violé le droit fiscal américain, permet à celles-ci de se mettre à l'abri d'une poursuite pénale en échange de leur participation, en concluant un Non-Prosecution Agreement (NPA); les catégories 3 et 4 visent les banques qui estiment ne pas avoir violé le droit fiscal américain.
Selon le programme volontaire américain, les banques appartenant à la catégorie 2 doivent communiquer au DoJ le nom et la fonction des personnes ayant " structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les Etats-Unis " et le nom et la fonction de " toute personne, dont le gestionnaire de la relation client, le conseiller à la clientèle et gestionnaire d'actifs, ayant été en relation avec un Closed US Related Account ".

A.e. Le 30 août 2013, la FINMA a rappelé aux banques qu'il appartenait à chacune d'elles d'évaluer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté.
Le 26 décembre 2013, X.________ SA a décidé de participer au programme et elle s'est annoncée comme banque de catégorie 2 auprès du DoJ.
Par décision du 24 janvier 2014, le Département fédéral des finances (DFF) a autorisé la banque à coopérer avec les autorités américaines.
Par courrier du 6 mai 2015 remis en mains propres alors qu'il était déjà libéré de son obligation de travailler, la banque a informé son ex-employé qu'elle avait l'intention de communiquer aux autorités américaines son nom, ainsi que des informations le concernant, qui étaient résumées sur une fiche d'information jointe au courrier. Il ressortait de ce document que l'audit interne effectué par la banque avait révélé que l'employé avait admis avoir eu connaissance, en sa qualité de Relationship manager, d'une donation fictive faite par un client américain de la banque.
Par courrier du 22 mai 2015, l'employé s'est opposé à la transmission des données contenues dans la fiche d'information, tout en soulignant qu'il ne disposait d'aucun élément qui lui aurait permis de savoir que la transaction litigieuse était fictive.

A.f. Le 31 décembre 2015, la banque a conclu un accord de non-poursuite ( Non-Prosecution Agreement [NPA]) avec le DoJ ( Tax Division) contre le versement d'une amende de USD 99'809'000.-.
Dans cet accord, qui reprend les obligations du programme américain, la banque s'engage en outre à continuer à collaborer et à fournir des données aux autorités américaines pendant une période de quatre ans, à compter de la date de l'exécution complète de l'accord ( " ...from the date this Agreement is fully executed "). Le DoJ se réserve le droit d'engager des poursuites pénales contre la banque en cas de violation des termes de l'accord. Si une telle violation est constatée, le DoJ s'engage toutefois à le communiquer à la banque, par une notification écrite, avant d'entamer une quelconque procédure. La banque peut alors, dans le délai de trente jours, expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier. Ces explications doivent être prises en considération par le DoJ pour déterminer l'opportunité d'engager une procédure contre la banque (arrêt entrepris p. 13 et complètement d'office selon l'art. 105 al. 2 LTF).

B.

B.a. Sur requête de l'employé, le Président du Tribunal de première instance de Genève, statuant le 4 août 2015 sur mesures provisionnelles, a confirmé les mesures superprovisionnelles rendues le 24 juin 2015 faisant interdiction à la banque de transmettre l'identité de l'employé, de la communiquer ou de la porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, ainsi que de transmettre ou de communiquer toute donnée, information ou document comportant le nom et/ou des données ou informations le concernant et/ou pouvant l'identifier, sous la menace de la peine prévue à l'art. 292 CP.

B.b. Le 1er septembre 2015, l'employé a ouvert action devant le Tribunal de première instance de Genève, concluant à ce que la décision rendue le 4 août 2015 soit intégralement confirmée et à ce que les interdictions soient prononcées sous la menace de la peine de l'art. 292 CP.
La banque défenderesse s'est opposée à la demande, tout en admettant que le nom du demandeur était " probablement déjà connu " par les autorités américaines du fait de la participation de l'un des ayants droit économiques à la précédente procédure (volontaire) de régularisation ( Voluntary disclosure).
Par jugement du 30 mai 2017, le Tribunal de première instance a fait interdiction à la banque de transmettre, de communiquer ou de porter à la connaissance des autorités américaines, dans le cadre du programme du DoJ visant au règlement du différend fiscal entre les banques suisses et les Etats-Unis, de quelque manière que ce soit et sur quelque support que ce soit, toutes données, informations ou documents contenant le nom et/ou les données ou les informations relatives au demandeur et/ou permettant de l'identifier, et il a prononcé l'interdiction sous la menace de la peine prévue par l'art. 292 CP.

B.c. Par arrêt du 2 février 2018, la Chambre civile de la Cour de justice du canton de Genève, sur appel de la défenderesse, a confirmé le jugement entrepris.

C.

La banque défenderesse exerce un recours en matière civile contre l'arrêt cantonal du 2 février 2018. Elle conclut, principalement, à son annulation et à ce que le demandeur soit débouté de toutes ses conclusions. La recourante invoque en particulier la violation de l'art. 6 LPD et de l'art. 8 CC.
L'intimé conclut au rejet du recours et à la confirmation de l'arrêt attaqué.

Considérant en droit :

1.

Le Tribunal fédéral examine d'office et librement sa compétence, respectivement la recevabilité des recours qui lui sont soumis (ATF 134 III 115 consid. 1, 235 consid. 1, 379 consid. 1).

1.1. Le litige concerne principalement l'application de la loi fédérale sur la protection des données (LPD; RS 235.1). Il s'agit en l'occurrence d'une action civile menée, sur la base de l'art. 6 LPD, par une personne physique contre une banque; la cause divise deux personnes privées et il s'agit donc d'une contestation civile (art. 72 LTF). En refusant la communication de ses données aux autorités américaines, le demandeur, ex-employé de la banque, vise avant tout à éviter un interrogatoire, voire une inculpation pénale aux Etats-Unis, de sorte qu'il ne poursuit pas un but économique. Partant, la contestation porte sur un droit de nature non pécuniaire (ATF 142 III 145 consid. 6.1 et 6.2 p. 150 s.) et le recours en matière civile est donc ouvert sans restriction quant à la valeur litigieuse (cf. art. 74 al. 1 LTF a contrario).

1.2. Pour le reste, le recours vise un arrêt qui met fin à la procédure et doit être qualifié de décision finale (art. 90 LTF). Il est interjeté par la partie qui a succombé dans ses conclusions prises devant l'autorité précédente et qui a donc qualité pour recourir (art. 76 al. 1 LTF), et il est dirigé contre une décision rendue par un tribunal supérieur statuant sur recours (art. 75 al. 1 et 2 LTF), si bien que le recours en matière civile est en principe recevable puisqu'il a été déposé dans le délai (art. 45 al. 1, 48 al. 1 et 100 LTF) et la forme (art. 42 LTF) prévus par la loi.

1.3. Le recours en matière civile peut être interjeté pour violation du droit, tel qu'il est délimité par les art. 95 et 96 LTF. Il peut donc également être formé pour violation d'un droit constitutionnel (art. 95 let. a LTF; ATF 136 I 241 consid. 2.1 p. 247; 136 II 304 consid. 2.4 p. 313). Il n'examine toutefois la violation d'un droit constitutionnel que si le grief a été invoqué et motivé de façon détaillée (art. 106 al. 2 LTF; ATF 135 III 397 consid. 1.4 in fine).
Le Tribunal fédéral n'est pas lié par l'argumentation des parties (ATF 138 II 331 consid. 1.3 p. 336) et apprécie librement la portée juridique des faits; il s'en tient cependant d'ordinaire aux questions juridiques que la partie recourante soulève dans la motivation de son recours (art. 42 al. 2 LTF; ATF 137 III 580 consid. 1.3 p. 584).

1.4. Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF). Il ne peut s'en écarter que si les faits ont été établis de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire (ATF 136 II 304 consid. 2.4 p. 314; 135 III 127 consid. 1.5 p. 130) - ou en violation du droit au sens de l'art. 95 LTF (art. 105 al. 2 LTF). Encore faut-il que la correction du vice soit susceptible d'influer sur le sort de la cause (art. 97 al. 1 LTF).
La critique de l'état de fait retenu est soumise au principe strict de l'allégation énoncé par l'art. 106 al. 2 LTF (ATF 140 III 264 consid. 2.3 p. 266 et les références). La partie qui entend attaquer les faits constatés par l'autorité précédente doit expliquer clairement et de manière circonstanciée en quoi ces conditions seraient réalisées (ATF 140 III 16 consid. 1.3.1 p. 18 et les références).

2.

La cour cantonale retient que les Etats-Unis n'offrent pas un niveau de protection des données adéquat au sens de l'art. 6 al. 1 LPD. Elle relève que la conclusion d'un nouvel accord ( Privacy Shield) entre la Suisse et les Etats-Unis n'est d'aucune aide pour la défenderesse puisque les autorités et administrations publiques américaines ne sont pas concernées par cet accord. L'autorité cantonale indique que cette conclusion la dispense de trancher le grief de violation de l'art. 13 LPD. Elle examine ensuite si la défenderesse peut se prévaloir d'un motif justificatif - en l'occurrence l'intérêt public prépondérant prévu à l'art. 6 al. 2 let. d, première alternative, LPD (seul motif examiné par les juges précédents). Elle rappelle que l'intérêt public à ce que les banques suisses participent au programme volontaire américain existe de manière générale, mais qu'il ne prévaut pas automatiquement et nécessairement sur l'intérêt privé qu'un tiers peut avoir, dans un cas concret, à empêcher la communication de ses données personnelles aux autorités américaines.
Procédant à une pesée des intérêts in concreto, la cour cantonale considère que la défenderesse n'a pas établi la prépondérance de l'intérêt public (à transmettre les données) sur l'intérêt privé du demandeur (à refuser leur communication). Dans ce cadre, l'autorité précédente retient deux éléments principaux :
Premièrement, la banque n'a apporté aucun élément qui permettrait d'établir que le DoJ considère que les informations qui lui ont été remises seraient incomplètes et que la non-communication des données litigieuses pourrait concrètement mettre en péril l'accord NPA et/ou entraîner une inculpation de la banque (existence d'un risque de dénonciation et/ou d'inculpation). A cet égard, il n'est d'ailleurs pas établi que la défenderesse aurait fait l'objet de relances spécifiques ou de pressions de la part du DoJ.
Deuxièmement, il n'a pas été retenu qu'une annulation de l'accord NPA aurait (risque subséquent) des répercussions sur l'ensemble de la place financière suisse ou qu'elle raviverait le conflit fiscal opposant les banques suisses aux autorités américaines.
Enfin, la cour cantonale ajoute que l'intérêt privé du demandeur à refuser la communication de ses données est " important et prépondérant " dans la mesure où, en cas de transmission des données aux Etats-Unis, il est susceptible de devoir faire face à des poursuites pénales s'il se rend dans ce pays.

3.

La recourante (banque défenderesse) soutient que la cour cantonale a violé l'art. 6 al. 2 let. d première alternative LPD en retenant que la transmission des données litigieuses n'était pas indispensable à la sauvegarde d'un intérêt public prépondérant.

3.1. Selon l'art. 6 al. 1 LPD, aucune donnée personnelle (cf. art. 3 LPD) ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat.
L'art. 6 al. 2 LPD contient une liste exhaustive de motifs (alternatifs) permettant la communication à l'étranger des données, en dépit de l'absence de législation assurant un niveau de protection adéquat (arrêt 4A_390/2017 du 23 novembre 2017 consid. 4.1 et l'arrêt cité).

3.2. Selon l'art. 6 al. 2 let. d première alternative LPD (seul motif examiné par la cour précédente), des données personnelles peuvent être communiquées à l'étranger uniquement si la communication est, en l'espèce, indispensable notamment à la sauvegarde d'un intérêt public prépondérant.
Cette disposition pose trois conditions: (1) un intérêt public, (2) un intérêt public qui soit prépondérant et (3) une communication qui soit indispensable à la sauvegarde de celui-ci. Dans un arrêt récent en rapport avec le programme américain, le Tribunal fédéral a déjà précisé ce qu'il y a lieu d'entendre par là.

3.2.1. Il existe un intérêt public si la préservation de la stabilité juridique et économique de la place financière suisse est en jeu. L'intérêt de la banque à sa survie ne suffit en soi pas, dès lors qu'il s'agit d'un intérêt privé, et non d'un intérêt public (arrêt 4A_390/2017 déjà cité consid. 4.2.1).

3.2.2. L'intérêt public doit être prépondérant par rapport à l'intérêt privé du tiers à ce que ses données personnelles ne soient pas communiquées aux autorités américaines.
Le juge doit procéder à une pesée des intérêts (art. 4 CC) in concreto, en tenant compte de toutes les circonstances du cas particulier à la date du jugement (cf. arrêt 4A_390/2017 déjà cité consid. 4.2.2).

3.2.3. La communication des données doit être indispensable à la sauvegarde de l'intérêt public prépondérant. Elle est indispensable ( unerlässlich) si elle est absolument nécessaire ( unbedingt notwendig) en ce sens que, sans la livraison de ces données, le litige fiscal avec les Etats-Unis s'intensifierait à nouveau, que la place financière suisse dans son ensemble en serait affectée et que cela porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable (arrêt 4A_390/2017 déjà cité consid. 4.2.3 et les arrêts cités).
En signant le Joint Statement, le Conseil fédéral a garanti au DoJ que le droit suisse en vigueur permet la participation effective des banques au programme américain. Autrement dit, vu le Joint Statement conclu par le Conseil fédéral, il doit être admis que, matériellement, le droit suisse autorise la participation effective des banques suisses et donc la communication des données de tiers (employés, gestionnaires) conformément aux conditions posées par le programme américain.
Il ne s'agit toutefois pas d'admettre de manière abstraite que toutes les banques doivent communiquer les données concernant des tiers, même en l'absence de toute menace d'une atteinte à l'intérêt public de la Suisse. Il faut bien plutôt examiner si la modification de la situation de fait doit être prise en considération sous l'angle matériel et si elle conduit à admettre ou nier le caractère indispensable de la communication des données. La LPD vise en effet à protéger la personnalité et les droits fondamentaux des personnes qui font l'objet d'un traitement de données. Au centre de ses préoccupations figure donc la protection de la personnalité de l'intéressé (employé, gestionnaire). Ne pas tenir compte par principe des modifications de la situation et admettre systématiquement la communication des données aurait pour conséquence de laisser la personnalité sans protection, alors même que dans le cas particulier, la communication n'est plus indispensable à la sauvegarde de l'intérêt public (arrêt 4A_390/2017 déjà cité consid. 4.2.3 et l'arrêt cité).
Il appartient à la banque de démontrer que, à la date du jugement, la non-communication des données litigieuses aurait pour conséquence nécessaire une nouvelle escalade du litige fiscal avec les USA et, de ce fait, constituerait une menace pour la place financière suisse et la réputation de la Suisse en tant que partenaire de négociation fiable (arrêt 4A_390/2017 déjà cité consid. 4.2.3).

3.3. Même si elle laisse entendre que son raisonnement trouve appui sur l'absence d'intérêt public prépondérant (deuxième condition, cf. supra consid. 3.2.2), la cour cantonale a en réalité examiné la troisième condition, celle du caractère indispensable de la communication en l'état de la situation au moment du jugement (cf. supra consid. 3.2.3), retenant à cet égard deux éléments principaux :
Premièrement, la banque n'a apporté aucun élément qui permettrait d'établir que le DoJ considère que les informations qui lui ont été remises seraient incomplètes et qu'il existerait un risque concret de dénonciation de l'accord NPA et/ou d'inculpation de la banque. A cet égard, il n'est d'ailleurs pas établi que la défenderesse aurait fait l'objet de relances spécifiques ou de pressions de la part du DoJ.
Deuxièmement, il n'a pas été retenu qu'une annulation de l'accord NPA aurait (risque subséquent) des répercussions sur l'ensemble de la place financière suisse ou qu'elle raviverait le conflit fiscal opposant les banques suisses aux autorités américaines.

3.3.1. En l'occurrence, la banque reproche à la cour précédente d'avoir abusé de son pouvoir d'appréciation (cf. art. 4 CC) et, partant, violé l'art. 6 al. 2 let. d première alternative LPD, au motif qu'elle aurait omis de prendre en compte des circonstances pertinentes - pourtant mentionnées dans l'arrêt attaqué - dans la pesée des intérêts qu'elle a entreprise.
S'agissant plus spécifiquement de l'existence du risque de dénonciation et/ou d'inculpation, la recourante, bien qu'évoquant un abus du pouvoir d'appréciation, s'attaque en réalité au constat effectué par les juges précédents selon lequel elle n'aurait fourni aucun élément permettant d'établir l'existence d'un tel risque. La recevabilité de sa critique, qui doit être examinée sous l'angle de l'arbitraire dans l'appréciation des preuves (art. 9 Cst.), peut ici rester ouverte, ce dernier moyen étant, comme on va le voir, infondé.

3.3.1.1. Dans une première critique, la recourante soutient que la cour cantonale n'a pas tenu compte du fait que les autorités américaines ont affiché un intérêt marqué pour la situation du demandeur : elles ont considéré celle-ci comme " problématique " et, ayant connaissance de la procédure menée en Suisse, elles ont laissé entendre qu'elles attendaient son résultat, ce que démontrerait - selon la banque - la réalité du risque de dénonciation de l'accord NPA.
Ces éléments ne suffisent toutefois pas à démontrer que l'autorité cantonale aurait sombré dans l'arbitraire. S'il en ressort que les autorités américaines surveillent l'exécution du NPA, aucun de ces éléments ne permet d'anticiper le suivi qui sera ensuite donné par le DoJ. En particulier, rien ne permet d'affirmer que celui-ci risquerait, en l'état, de dénoncer l'accord plutôt que de (simplement) prendre acte des décisions rendues par les autorités judiciaires suisses.
L'importance des données litigieuses pour le DoJ est d'ailleurs relativisée par la banque qui - tout en relevant que la procédure menée en Suisse a éveillé l'intérêt des autorités américaines - a elle-même observé qu'une version caviardée de la note d'information (visant l'intimé) avait déjà été remise au DoJ et que cette communication n'avait alors été suivie d'aucune réaction, le DoJ ne sollicitant pas d'emblée d'autres renseignements (cf. arrêt entrepris p. 14). A cela s'ajoute que si l'on en croit les allégations de la banque, il est probable que toutes ces données ont déjà été remises aux autorités américaines au cours de la procédure de Voluntary disclosure. On ne voit donc pas ce qui aurait empêché le DoJ d'en prendre connaissance, le cas échéant, en sollicitant leur transmission au sein de l'administration américaine.

3.3.1.2. Le deuxième argument de la banque selon lequel la cour cantonale aurait omis de tenir compte de la " situation particulière " de l'employé, qui occupait un poste élevé en son sein (cf. acte de recours p. 12 s.), appelle les mêmes commentaires. Cette seule affirmation ne permet pas d'établir le risque d'une dénonciation de l'accord et, partant, de démontrer que les juges précédents auraient apprécié les preuves de manière arbitraire.

3.3.1.3. Troisièmement, la recourante reproche à l'autorité cantonale d'avoir omis de tenir compte du fait que, selon l'accord NPA, la banque est tenue de collaborer pendant quatre ans avec les autorités américaines.
L'engagement auquel la banque fait référence ne lui est toutefois ici d'aucune utilité. Il demeure qu'il est établi que la non-communication des données relatives au demandeur n'est, en l'état, pas de nature à remettre en cause l'accord conclu et/ou à entraîner une inculpation de la banque.
En conclusion, on ne saurait donc reprocher à la cour cantonale d'avoir jugé que la défenderesse avait échoué à fournir la preuve (au degré de la certitude) de l'existence du risque de dénonciation et/ou d'inculpation.

3.3.2. Cela étant, et a fortiori, la recourante ne parvient pas à démontrer que la cour cantonale aurait violé le droit en jugeant que la livraison des données n'était pas nécessaire en l'état pour éviter une (nouvelle) intensification du litige fiscal avec les USA (risque subséquent) qui affecterait la place financière suisse et porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable.
La livraison de ces données par la banque dans le cadre du programme américain ne peut, en l'état actuel, être considérée comme indispensable au sens de l'art. 6 al. 2 let. d première alternative LPD.

3.4. Dans une critique distincte, la recourante tente d'infléchir le résultat auquel est parvenu la cour cantonale en revenant sur le degré de la preuve. En rapport avec l'existence du risque de dénonciation et/ou d'inculpation, elle estime que la preuve mise à sa charge est impossible à apporter ou qu'elle ne peut pas être raisonnablement exigée d'elle. Invoquant l'état de nécessité, elle considère que la cour cantonale aurait dû renoncer à l'exigence de la certitude et se satisfaire d'une vraisemblance prépondérante. Dans cette dernière perspective (impliquant un degré de preuve réduit), elle considère avoir apporté la preuve qui lui incombait.
L'argumentation ne convainc pas. On ne voit en effet pas en quoi cette preuve (que la banque n'est pas parvenue à fournir) serait, de par la nature même du fait à établir, objectivement impossible à apporter ou pourquoi elle ne pourrait pas être raisonnablement exigée de la banque (cf. ATF 133 III 153 consid. 3.3). Il résulte à cet égard de l'arrêt cantonal que, si les autorités américaines devaient estimer que le NPA a été violé, elles se sont engagées dans cet accord à interpeller par écrit la banque, avant toute poursuite judiciaire; la banque a alors la possibilité, dans le délai de trente jours, d'expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier (cf. supra let. A.f). Cela étant, au plus tard au moment de cette interpellation, la banque a (objectivement) la possibilité d'apporter la preuve (au degré de la certitude).
Le grief est infondé et, l'existence d'un risque de dénonciation et/ou d'inculpation n'ayant pas été démontrée, il est superflu d'examiner les autres critiques de la banque visant la prétendue intensification du litige fiscal avec les Etats-Unis (risque subséquent).

4.

La recourante fait également état d'une violation de son droit d'être entendue (art. 29 al. 2 Cst., art. 53 CPC) au motif que les magistrats cantonaux auraient omis d'examiner la seconde alternative de l'art. 6 al. 2 let. d LPD (qui autorise la banque à la communication des données notamment si celle-ci est indispensable à la défense de ses droits en justice), qu'elle avait pourtant invoquée devant les instances cantonales (acte de recours p. 5). La recourante qualifie d'indispensable la communication d'informations déterminées lorsque celles-ci sont " particulièrement importantes aux yeux du DoJ " et que le refus de les communiquer risquerait de remettre en cause l'accord NPA.

4.1. En l'occurrence, si la recourante invoque la violation de son droit d'être entendue (qui entraîne en principe l'annulation de la décision attaquée), elle ajoute d'emblée qu'il n'y a pas lieu de renvoyer la cause aux autorités précédentes, puisque l'état de fait dressé par l'autorité précédente permet au Tribunal fédéral de statuer directement sur le grief tiré de l'application de l'art. 6 al. 2 let. d seconde alternative LPD.
Force est de constater que l'intention première de la recourante consiste à obtenir l'application de la seconde alternative de l'art. 6 al. 2 let. d LPD et qu'elle se contente de dénoncer une violation de son droit d'être entendue pour que cette seconde alternative soit effectivement examinée par le Tribunal fédéral. La question de la violation du droit d'être entendu, dont la recevabilité est par ailleurs douteuse, peut donc rester ouverte.
Quant à l'argumentation fournie par la recourante pour démontrer la violation de l'art. 6 al. 2 let. d seconde alternative LPD, elle ne convainc pas. En effet, même si l'on admettait, comme elle le suggère, que la procédure menée devant le DoJ représentait, pour la banque, " la défense d'un droit en justice" et que l'on examinait la condition du caractère indispensable de la communication selon le sens qu'elle attribue elle-même à cette notion, le moyen se révélerait de toute façon infondé.
Pour faire valoir sa critique, la recourante s'appuie sur une version des faits qui diverge des constatations cantonales, pourtant seules déterminantes (cf. art. 105 al. 1 LTF). En l'absence de tout grief motivé conformément aux exigences strictes posées par les art. 97 al. 1 et 106 al. 2 LTF, il n'y a pas lieu de s'écarter de l'état de fait figurant dans l'arrêt attaqué. Comme on l'a vu plus haut, il est établi que la banque défenderesse n'a fourni aucun élément susceptible de prouver l'existence d'un risque de dénonciation et/ou d'inculpation (cf. supra consid. 3.3). Dans ces conditions, on ne voit pas en quoi la communication des données relatives au demandeur serait, en l'état, indispensable pour la défense des droits de la banque devant le DoJ, en ce sens qu'elle permettrait (selon le sens que la banque attribue elle-même à cette notion) d'éviter que l'autorité américaine remette en cause l'accord NPA conclu avec la banque. Celle-ci relève d'ailleurs elle-même que le DoJ n'a pas réagi (notamment en sollicitant d'emblée des renseignements supplémentaires) lorsqu'il a reçu, à l'époque, la version caviardée de la note litigieuse. A cela s'ajoute (comme pour le grief précédent) que la banque reconnaît qu'il est probable que ces données ont déjà été transmises aux autorités américaines au cours de la procédure de Voluntary disclosureet, le cas échéant, on ne voit pas ce qui aurait empêché le DoJ d'en prendre connaissance en sollicitant si nécessaire leur transmission au sein de l'administration américaine.
Le grief invoqué par la recourante est infondé.
Il est donc superflu d'examiner si la communication des données litigieuses devrait être aussi interdite en application d'autres dispositions de la loi fédérale sur la protection des données (art. 4, 5 et 13 LPD).

5.

Il résulte des considérations qui précèdent que le recours en matière civile doit être rejeté dans la mesure où il est recevable.
Les frais judiciaires et les dépens sont mis à la charge de la recourante, qui succombe (art. 66 al. 1 et 68 al. 1 et 2 LTF).

Par ces motifs, le Tribunal fédéral prononce :

1.

Le recours est rejeté dans la mesure où il est recevable.

2.

Les frais judiciaires, arrêtés à 1'000 fr., sont mis à la charge de la recourante.

3.

La recourante versera à l'intimé une indemnité de 2'500 fr. à titre de dépens.

4.

Le présent arrêt est communiqué aux parties et à la Cour de justice du canton de Genève, Chambre civile.

Lausanne, le 22 août 2018

Au nom de la Ire Cour de droit civil
du Tribunal fédéral suisse

La Présidente : Kiss

Le Greffier : Piaget