POUVOIR JUDICIAIRE
C/19512/2012 ACJC/618/2014
ARRÊT
DE LA COUR DE JUSTICE
Chambre civile
du vendredi 23 mai 2014
Entre
A______, sise ______, appelante d'un jugement rendu par la 7ème Chambre du Tribunal de première instance de ce canton le 24 octobre 2013, comparant par Me Shelby du Pasquier et Me Daniel Tunik, avocats, 30, route de Chêne, 1211 Genève 17, en l'Étude desquels elle fait élection de domicile aux fins des présentes,
et
B______, domiciliée ______, intimée, comparant par Me Douglas Hornung, avocat, 22, rue du Général Dufour, case postale 5539, 1211 Genève 11, en l'Étude duquel elle fait élection de domicile aux fins des présentes,
EN FAIT
A. Par jugement du 24 octobre 2013, notifié aux parties le 28 octobre suivant, le Tribunal de première instance (ci-après : le Tribunal) a ordonné à A______ (ci-après : A______) de remettre à B______, sur un support papier ou sur un support électronique, une copie des documents qui avaient été transmis aux autorités américaines et qui contenaient des données de B______, soit des informations qui l'identifiaient ou qui permettaient de l'identifier (nom, prénom, adresse email, numéro de téléphone, fonction, description de l'activité, etc.) (ch. 1 du dispositif).
Le Tribunal a en outre dit que les données des clients, des autres employés et ex-employés de A______ ainsi que des tiers figurant dans ces documents pourraient être caviardés (ch. 2).
Il a en sus ordonné à A______ d'indiquer à B______ à quelles dates et à quelles autorités américaines les documents avaient été transmis (ch. 3).
Le premier juge a arrêté les frais judiciaires à 10'000 fr. (ch. 4), puis les a mis à la charge de A______ (ch. 6), laquelle, après compensation desdits frais avec l'avance fournie par B______ (ch. 5), a été condamnée à verser à l'Etat de Genève 8'000 fr. (ch. 7) et à rembourser à son adverse partie 2'000 fr. (ch. 8). A______ a aussi été condamnée à verser 10'000 fr. à B______ au titre de dépens (ch. 9).
Le Tribunal a enfin débouté les parties de toutes autres conclusions (ch. 10).
B. a. Par acte déposé au greffe de la Cour de justice le 27 novembre 2013, A______ appelle du jugement précité et sollicite son annulation. Elle conclut, avec suite de frais, principalement, au déboutement de B______ de toutes ses conclusions et, subsidiairement, au renvoi de la cause au premier juge pour instruction et nouvelle décision dans le sens des considérants.
b. B______ conclut, avec suite de frais, au rejet de l'appel et à la confirmation du jugement querellé.
Elle produit une chronologie des faits relative au contentieux entre les autorités américaines et les banques suisses depuis le mois de juin 2007, une note du Préposé fédéral à la protection des données et à la transparence (ci-après : PFPDT) du 20 juin 2013, une décision du Bezirkgericht du canton de Zurich du 14 octobre 2013, un article du Tages Anzeiger du 30 octobre 2013 et un arrêt de la Cour de justice du 13 décembre 2013.
c. A______ n'a pas fait usage de son droit de répliquer.
d. Le 3 mars 2014, les parties ont été informées que la cause était gardée à juger.
e. Le 7 mars 2014, B______ a encore transmis à la Cour une décision de l'Obergericht du canton de Zurich du 28 février 2014 ainsi qu'une lettre explicative à ce sujet.
C. a. A______ est un établissement bancaire sis à Genève, au sein duquel B______ a été employée du 1er mars 2006 au 30 juin 2007. Elle a notamment été chargée de développer la clientèle américaine.
La réglementation interne de la banque concernant le secret bancaire et la protection des données interdisait en particulier aux employés d'emporter des documents confidentiels chez eux.
b. En 2008, les autorités américaines ont ouvert une enquête contre C______, suspectée d'avoir aidé des clients américains à éluder l'impôt américain, et elles ont requis à ce sujet l'entraide administrative auprès des autorités suisses.
A la fin de l'année 2008, insatisfaite de la procédure d'entraide, les autorités américaines ont exigé la transmission immédiate de données relatives aux clients américains.
Le 18 février 2009, un accord a été conclu entre les autorités américaines et C______, par lequel celle-ci reconnaissait avoir violé le droit américain et s'engageait notamment à livrer certaines données concernant des clients. Le même jour, sur ordre de l'Autorité fédérale de surveillance des marché financiers (FINMA), la banque a transmis, par l'intermédiaire de ladite autorité, 285 dossiers de 255 clients aux autorités américaines, étant précisé qu'elle devait caviarder autant que possible les données concernant des tiers non impliqués.
Le Tribunal administratif fédéral, dans un arrêt du 5 janvier 2010 (arrêt ______), a considéré un tel mode de transmission comme contraire à la convention de double imposition conclue entre la Suisse et le Etats-Unis.
Statuant le 15 juillet 2011 sur recours (ATF ______), le Tribunal fédéral a confirmé la décision de la FINMA, considérant que celle-ci était fondée, d'entente avec le Conseil fédéral, à ordonner un tel mode de communication de données sur la base de la clause générale de police, en vue de la sauvegarde d'un bien juridique fondamental, à savoir le bon fonctionnement du système économique.
c. En 2010, les autorités américaines ont ouvert des enquêtes contre onze autres banques suisses, dont A______, qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec lesdits clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux Etats-Unis.
A______ et les autres banques ont transmis les documents requis aux autorités américaines, directement ou par la voie de l'entraide, après avoir, sur requête de la FINMA, caviardé les informations permettant l'identification d'un client et remplacé les données de ses employés, de ses ex-employés et des tiers par des codes.
d. Le 9 décembre 2011, les autorités américaines ont demandé aux banques visées de leur transmettre un certain nombre de documents complémentaires si elles voulaient éviter une inculpation.
Il s'agissait en particulier, selon les explications de A______, de documents identifiant leurs employés s'étant rendus aux Etats-Unis pour communiquer avec des clients américains ou pour démarcher de nouveaux clients américains, de documents décrivant le processus décisionnel de sollicitation de clients américains avec le nom des cadres impliqués, ainsi que de documents concernant les réunions, les formations, les séminaires et les programmes auxquels avaient participé les employés de la banque en relation avec le respect des obligations américaines de régulation.
Le 18 janvier 2012, le Conseil fédéral a décidé que, provisoirement, seules devaient être transmises aux autorités américaines, dans le cadre de l'entraide, des données codées concernant les employés, dans la mesure où l'immunité de ces derniers n'était pas garantie.
e. Au début du mois de février 2012, les autorités américaines ont procédé à l'inculpation de la banque D______.
f. Mi-mars 2012, craignant une telle issue à leur sujet, plusieurs banques ont demandé au Conseil fédéral d'autoriser la communication des informations exigées, comprenant le nom des employés et des tiers.
Le 4 avril 2012, le Conseil fédéral a autorisé les banques concernées, si la défense de leurs intérêts l'exigeait, à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision indiquait valoir autorisation au sens de l'art. 271 CP à procéder sur le territoire suisse pour le compte d'un Etat étranger à des actes relevant des pouvoirs publics. L'appréciation de la responsabilité civile des banques demeurait cependant du ressort de ces dernières.
Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre des possibilités offertes par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue.
g. Parallèlement à quatre autres banques, A______, sans en avertir les employés concernés, a transmis aux autorités américaines, le 13 avril 2012, un certain nombre de documents comportant notamment les noms, prénoms, adresses mails et numéros de téléphone d'employés et d'ex-employés, seules les données permettant d'identifier des clients étant restées anonymisées.
h. Le 11 juillet 2012, B______, ayant eu connaissance de qui précède par la presse, a demandé à A______ si elle était concernée, et cette dernière l'a alors informée que son nom figurait dans une partie des documents transmis. Elle lui a proposé un rendez-vous pour les consulter.
Le 24 juillet 2012, B______ s'est rendue dans les locaux de A______ pour prendre connaissance desdits documents.
Le 20 août 2012, B______ s'est plainte auprès de A______ de la transmission de données la concernant. Elle a requis des informations au sujet des conséquences d'une telle transmission ainsi que d'éventuels autres envois effectués ou planifiés, dont elle avait entendu parler.
i. Le 17 août 2012, le PFPDT a ouvert une procédure d'éclaircissement au sens de l'art. 29 de la loi sur la protection des données du 19 juin 1992 (LPD; RS 235.1), afin de vérifier si les principes de ladite loi avaient été respectés dans le cadre de la transmission de données par les banques suisses aux autorités américaines. Il a invité les banques à ne pas transmettre dans l'intervalle de nouvelles données en dehors d'une procédure d'entraide administrative ou judiciaire.
A______ s'est engagée dans ce sens.
Le 4 septembre 2012, le PFPDT a exhorté les banques à adopter une attitude transparente vis-à-vis de leurs employés. Elles étaient tenues de les informer avant toute transmission de documents aux autorités américaines contenant leur nom et de leur communiquer la catégorie de documents et la période concernées. Les banques devaient en outre garantir à leurs employés un délai raisonnable pour consulter les documents et faire valoir leurs droits. Elles restaient au demeurant civilement responsables de la transmission de telles données.
Le 6 septembre 2012, les banques se sont engagées à respecter ce procédé.
j. A la même date, B______ a requis de A______ une copie, sous forme informatique, des documents transmis aux autorités américaines la concernant, ainsi que de la lettre d'accompagnement et de divers autres éléments (documents fixant les critères de sélection des employés concernés, la demande américaine, l'autorisation du Conseil fédéral du 4 avril 2012, les procès-verbaux du Conseil d'administration approuvant la transmission des données, …).
Le 13 septembre 2012, A______ s'y est opposée. Elle a expliqué qu'elle avait transmis uniquement les documents exigés des autorités américaines et que les noms des actuels ou anciens organes, employés et tiers, à l'exception de ceux des clients, y apparaissaient, dans la mesure où le consentement desdites personnes n'étaient pas requis par la législation applicable. Les documents en cause ne pouvaient pas être transmis à B______ car ils étaient internes et confidentiels, ils comportaient de nombreux autres noms ainsi que des secrets d'affaire, et la précitée n'était de sucroît plus une employée de A______ depuis 2007.
Le 19 septembre 2012, B______ a persisté à requérir une copie des documents transmis, considérant que la consultation qu'elle avait pu effectuer n'était pas suffisante et que la banque ne lui avait à cette occasion pas tout montré. Elle suspectait en outre cette dernière d'avoir procédé à des envois de documents supplémentaires au mois d'août 2012.
k. Le 15 octobre 2012, le PFPDT a adressé des recommandations à plusieurs banques, parmi lesquelles A______.
k.a Selon les recommandations faites à la précitée, en ce qui concernait les transmissions de données déjà exécutées, la banque accordait aux personnes concernées (collaborateurs actuels et anciens, ainsi que tiers externes) le droit d'accès à ces données selon l'art. 8 LPD (ch. 1 des recommandations).
Le PFPDT a relevé que la banque avait pour pratique de ne remettre aucune copie des documents transmis aux autorités américaines, contrairement à la règle prévue par l'art. 8 al. 5 LPD. Cela relevait cependant des modalités du droit à l'information selon l'art 1 de l'ordonnance relative à la LPD du 14 juin 1993 (OLPD; RS 235.11). Conformément à l'al. 3 de cette disposition, d'entente avec le détenteur des documents ou sur proposition de celui-ci, la personne concernée pouvait consulter les données sur place. La banque faisait valoir que des copies des documents ne pouvaient être remises au vu de leur sensibilité liée au secret bancaire et à celui de la clientèle, ainsi que de ses propres règles de sécurité. Le PFPDT a adhéré à cette argumentation, dans la mesure où l'art. 8 LPD visait avant tout l'accès de la personne concernée à toutes les informations et documents la touchant. Les autres principes légaux applicables comme le secret bancaire s'opposaient parallèlement à la remise de copies, laquelle, en outre, était en principe exclue par le contrat des collaborateurs ainsi que les directives internes de la banque, interdisant aux employés d'emporter des documents de la banque chez eux.
k.b En ce qui concernait la transmission future de données aux autorités américaines, les recommandations du PFPDT prévoyaient l'information préalable des personnes concernées, conformément à l'art 4 al. 2 et 4 LPD, au sujet de l'étendue et du genre de documents qui devraient être transmis, ainsi que de la période à laquelle ils avaient trait (ch. 2.1).
La banque devait préalablement accorder un délai suffisant aux personnes concernées pour leur permettre d'exercer leur droit à l'information selon l'art. 8 LPD (ch. 2.2).
Si l'une d'elles s'opposait à la transmission des données comportant son nom, la banque devait procéder à une pesée des intérêts, et, dans le cas où elle souhaitait néanmoins procéder à la transmission sans anonymisation, elle était tenue d'en informer la personne concernée et de la renseigner au sujet de ses droits (ch. 2.3).
k.c La banque ne s'est pas opposée aux recommandations du PFPDT, qui ont été publiées le 13 novembre 2012.
l. Le 20 juin 2013, le PFPDT a émis une note à l'attention des banques suisses sur la transmission des données personnelles aux autorités américaines, rappelant en substance les principes figurant dans ses recommandations à A______ du 15 octobre 2012.
m. Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler leur différend fiscal, et il a donné la possibilité aux banques de demander une autorisation individuelle au sens de l'art. 271 CP.
Il a notamment précisé, dans ce cadre, qu'une telle autorisation excluait uniquement une punissabilité en vertu de cette disposition. Elle ne dispensait cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. Elle autorisait ainsi la coopération avec les autorités américaines uniquement dans le cadre de la législation suisse.
D. a. Par acte du 14 décembre 2012, agissant au bénéfice d'une autorisation de procéder du 5 décembre 2012, B______ a saisi le Tribunal d'une requête contre A______.
Elle y a conclu à ce qu'il soit ordonné à la banque, avec suite de frais, de lui remettre, sous forme informatisée et dans les cinq jours ouvrables, copie des documents suivants : (a) l'intégralité de tous les documents, fichiers, profils et autres, la concernant, tels qu'ils avaient été communiqués aux autorités américaines; (b) la date de cette communication et la lettre d'accompagnement; (c) tous documents fixant les critères de sélection la désignant comme devant faire partie des heureux employés ou ex-employés des documents ainsi communiqués; (d) l'autorisation du Conseil fédéral du 4 avril 2012 et la recommandation de la FINMA du 14 avril 2012, ainsi que toutes correspondances, notes (à l'exception des notes purement personnelles), résumés, synthèses, entretiens téléphoniques échangés entre A______ et les autorités fédérales qui avaient permis d'obtenir l'accord du 4 avril 2012 et/ou la recommandation de la FINMA du 14 avril 2012; (e) la demande américaine de fournir les informations, fichiers et données communiqués, ainsi que tous échanges de correspondances, mails, notes (à l'exception des notes purement personnelles), résumés, synthèses, entretiens téléphoniques concernant cette demande, qu'ils soient postérieurs ou antérieurs à la demande américaine; (f) les extraits de tous les procès-verbaux du conseil d'administration de A______ traitant de la question de – ou approuvant – la transmission de données personnelles et confidentielles, aux Etats-Unis, des employés ou des ex-employés; (g) pour l'avenir, tous échanges de correspondances, mails, résumés, synthèses, notes, notes d'entretiens téléphoniques que A______ aurait avec les autorités suisses ou américaines relatifs, directement ou indirectement, aux correspondances que B______ avait envoyées à A______ les 30 mai, 20 et 26 juin et 4 juillet 2012 ou à sa requête.
La précitée a également conclu à ce que le Tribunal de première instance ordonne, nonobstant appel ou recours, la publication de l'intégralité du jugement, au frais de A______, sans son nom ni son adresse, dans quatre journaux suisses, soit deux journaux suisses romands et deux journaux suisses allemands (en traduction allemande), et dans quatre journaux américains (en traduction anglaise), à son choix et aux frais de la banque, sous la menace des sanctions prévues à l'article 292 CP.
b. A______ a conclu au rejet de la requête, avec suite de frais.
c. Durant les débats, B______ a renoncé à ses conclusions figurant ci-dessus sous lettres c à g.
Les parties ont au surplus été entendues par le Tribunal.
B______ a expliqué que les données qu'elle avait consultées dans les locaux de la banque le 24 juillet 2012, seule sans avocat, comprenaient neuf documents, soit cinq rapports de visite et quatre emails. Elle ignorait ce qui avait été envoyé exactement aux autorités américaines et les neufs documents consultés ne lui semblaient pas correspondre à son activité de 18 mois, notamment eu égard au fait qu'elle avait envoyé plus que quatre emails à des clients américains. Voyageant à titre privé et professionnel, elle souhaitait avoir une copie des documents transmis afin de faire valoir ses droits si elle était arrêtée. Elle entendait également les faire valoir vis-à-vis de la banque.
B______ était d'accord que les noms des clients et des collaborateurs mentionnés sur les documents soient anonymisés.
d. Le 10 juillet 2013, les parties ont plaidé.
B______ a réduit ses conclusions à la production d'une copie des documents transmis aux autorités américaines, sous forme informatique et caviardée, s'agissant des noms des clients ou des tiers, ainsi qu'à la communication de la date de la transmission et de la manière dont les données avaient été transmises, avec suite de frais. Elle a renoncé à requérir la publication du jugement.
A______ a persisté dans ses conclusions.
La cause a ensuite été gardée à juger.
E. a. Dans le jugement querellé, le Tribunal a considéré que les documents dont une copie était demandée par B______ contenaient des données personnelles de cette dernière et que, dans la mesure où ils avaient fait l'objet d'une communication aux autorités américaines et où la requête de l'ex-employée n'était pas abusive, un droit d'accès auxdits documents devait lui être assuré.
Il a retenu que les motifs de refus ou de restriction d'un tel droit invoqués par A______ étaient infondés.
Tout d'abord, la banque ne pouvait pas invoquer le secret bancaire, les données permettant d'identifier les clients ayant été caviardées, ni le secret commercial, celui-ci ne protégeant que le secret que son maître a confié à une personne qui est tenue, en vertu de la loi ou d'un contrat, de ne pas rendre accessible à un tiers.
Ensuite, la banque n'était pas fondée à invoquer l'intérêt prépondérant d'un tiers, n'étant pas démontré que les données de tiers figurant dans les documents en cause ne pourraient pas être protégées par le caviardage de leur nom et des informations permettant de les identifier.
Enfin, A______ ne pouvait pas se prévaloir de ses propres intérêts, dès lors qu'elle avait déjà accepté de communiquer les documents en cause aux autorités américaines à titre volontaire.
Ainsi, en définitive, la seule restriction exigible était l'anonymisation par la banque des données concernant des tiers, nécessité qui n'était pas disputée.
Au surplus, l'opposition de A______ à la règle selon laquelle l'accès aux données devait être donné sous la forme d'une copie des documents en cause n'était pas fondée. Aucune circonstance particulière ne justifiait en effet une dérogation à ce principe. En particulier ne constituaient pas une telle circonstance le volume de travail que l'anonymisation des documents en cause impliquait, justifiant au plus une participation – non requise par la banque – de l'ex-employée aux frais correspondants, ni le secret bancaire, ni un intérêt prépondérant de la banque. Celle-ci ne pouvait pas invoquer le risque que les documents soient mis en circulation dans la mesure où elle les avait déjà remis aux autorités américaines sans obtenir un engagement de confidentialité de celles-ci, lesquelles n'étaient pas non plus soumises à une législation assurant un niveau de protection adéquat des données personnelles.
Le risque de diffusion des documents en cause était en outre limité par les obligations de B______ liées à son statut d'ex-employée, l'exposant à des poursuites dans l'hypothèse d'une telle diffusion hors procédure judiciaire.
Une copie des documents était au reste nécessaire à B______ pour lui permettre d'évaluer les chances de succès d'une action en protection de la personnalité contre la banque et, le cas échéant, de l'introduire devant les tribunaux compétents.
Pour les mêmes raisons, la banque ne pouvait pas faire valoir que le processus de consultation mis en place accordait aux employés un accès plus large aux documents les concernant. Il ne lui appartenait en outre pas de décider du moyen de consultation le plus approprié.
Enfin, le Tribunal a considéré que B______ n'avait pas renoncé à son droit de recevoir une copie écrite des documents en cause en se soumettant au règlement interne de la banque, interdisant notamment aux employés d'emmener des documents confidentiels chez eux, dès lors qu'elle ne pouvait savoir, à ce moment-là, que des données la concernant seraient transmises aux autorités américaines.
EN DROIT
Déposé au surplus en temps utile et selon la forme prescrite (art. 130, 131 et 311 CPC), il est recevable.
Il en va de même de la réponse de l'intimée (art. 312 al. 2 CPC).
1.2 L'instance d'appel revoit la cause en fait et en droit avec un plein pouvoir d'examen (art. 310 CPC) et la procédure simplifiée est applicable (art. 15 al. 4 LPD).
En vertu de la présomption de l'art. 150 al. 1 CPC, il est admissible, dans le cadre de la maxime des débats, de considérer comme non contestés les faits retenus dans la décision attaquée s'ils ne sont pas critiqués par l'appelant (Tappy, Les voies de droit du nouveau Code de procédure civile, JdT 2010 III 115, p. 137; Reetz/Theiler, Kommentar zur Schweizerischen Zivilprozessordnung, 2ème éd., 2013, n. 38 ad art. 311 CPC).
La présente cause oppose certes un employeur à son ex-employée, mais elle concerne exclusivement l'accès aux données personnelles de cette dernière (art. 8 et 15 al. 4 LPD; art. 243 al. 2 let. d CPC) et les parties sont domiciliées à Genève. La Chambre de céans est dès lors compétente pour connaître du présent litige aussi bien à raison de la matière (art. 9 LaCC et 120 al. 1 let. a LOJ) que du lieu (art. 20 let. d CPC).
Ces faits et moyens de preuve nouveaux peuvent être invoqués ou produits, dans l'hypothèse la plus favorable – soit lorsque la procédure est soumise aux maximes inquisitoire illimitée et d'office – au plus tard jusqu'aux délibérations (art. 317 al. 1 let. a cum 229 al. 3 CPC par analogie; Jeandin, Code de procédure civile commenté, Bâle, 2011, N. 5 ad art. 296 CPC et N. 7 ad art. 317 CPC; Tappy, Code de procédure civile commenté, Bâle, 2011, N. 27 ad art. 229 CPC; Tappy, op. cit., p. 139; Hohl, Procédure civile, tome II, 2ème édition, 2010, N. 2099).
3.2 En l'espèce, l'intimée produit avec sa réponse à l'appel une chronologie concernant le contentieux fiscal entre les banques suisses et les autorités américaines (pièce 9), couvrant des faits essentiellement antérieurs à la fin des débats de première instance. Dans la mesure où l'intimée n'explique pas en quoi elle aurait été empêchée de produire ce document par-devant le premier juge, il est irrecevable.
La note du PFPDT du 20 juin 2013 (pièce 10), relative à une communication notoire à laquelle le premier juge s'est par ailleurs déjà référé, et les autres documents produits par l'intimée avec sa réponse (pièce 11 à 13), tous postérieurs à la fin des débats de première instance, sont recevables.
En revanche, la lettre du 6 mars 2014 ainsi que la décision de justice du 28 février 2014 y annexée, transmises à la Cour après la mise en délibération de la cause, sont irrecevables.
4.1 L'employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail; la LPD est en outre applicable (art. 328b CO).
Selon la LPD, les "données personnelles" consistent en toutes informations se rapportant à une personne identifiée ou identifiable (art. 3 let. a LPD) et le "traitement" en toute opération relative à des données personnelles – quels que soient les moyens et procédés utilisés – notamment la collecte, la conservation, l'exploitation, la modification, la communication, l'archivage ou la destruction de données (art. 3 let. e LPD). La communication consiste dans le fait de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant (art. 3 let. f LPD) Le maître du fichier désigne l'organe fédéral ou la personne privée qui décide du but et du contenu du fichier, correspondant à l'ensemble des données personnelles dont la structure permet de rechercher les données par personne concernée (art. 3 let. g et i LPD).
Toute personne peut demander au maître d'un fichier si des données la concernant sont traitées (art. 8 al. 1 LPD). Ce dernier doit lui communiquer (a) toutes données la concernant qui sont contenues dans le fichier, y compris les informations disponibles sur l'origine des données ainsi que (b) le but et éventuellement la base juridique du traitement, les catégories de données personnelles traitées, de participants au fichier et de destinataires des données (art. 8 al. 2 LPD).
Le droit d'accès est l'institution-clef de la protection des données. Sans ce droit d'accès, la personne concernée ne serait pas en mesure de faire valoir effectivement ses prétentions en matière de protection des données. Les renseignements fournis doivent être exacts et complets. L'octroi de renseignements partiels n'est admissible que si la loi le prévoit ou si la personne concernée a expressément déclaré s'en contenter (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 460).
Nul ne peut renoncer par avance à son droit d'accès (art. 8 al. 6 LPD).
4.2 En l'espèce, il n'est pas contesté que l'appelante a transmis, en tous les cas le 13 avril 2012, des documents aux autorités américaines comportant le nom de l'intimée et d'autres éléments comme son adresse ou son numéro de téléphone permettant de l'identifier (ci-après : les documents).
Il est ainsi établi que des données personnelles de l'intimée ont été traitées par l'appelante et que cette dernière est un maître du fichier au sens de l'art. 8 al. 1 LPD. L'intimée a ainsi un droit d'accès aux documents.
Le premier juge a ordonné à l'appelante de remettre à l'intimée une copie des documents transmis aux autorités américaines comportant des informations l'identifiant, en autorisant, ce qui n'était pas litigieux, le caviardage des noms des clients, des (ex-)collaborateurs et des tiers y figurant.
4.3 L'appelante s'oppose à un tel droit d'accès aux données personnelles en faisant valoir ses propres intérêts.
4.3.1 Le maître du fichier peut refuser ou restreindre la communication des renseignements demandés, voire en différer l'octroi, (a) si une loi au sens formel le prévoit ou (b) si les intérêts prépondérants d'un tiers l'exigent (art. 9 al. 1 LPD).
Un maître de fichier privé peut en outre refuser ou restreindre la communication des renseignements demandés ou en différer l'octroi, dans la mesure où ses intérêts prépondérants l'exigent et à condition qu'il ne communique pas les données personnelles à un tiers (art. 9 al. 4 LPD).
Les motifs de restrictions sont énumérés de manière exhaustive par l'art. 9 LPD au vu de la nature strictement personnelle du droit d'accès. Cette disposition doit être interprétée limitativement; en d'autres termes, le droit d'accès ne doit être restreint que si cela est vraiment indispensable (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 462).
L'intérêt du tiers ou du maître du fichier ne doit pas simplement paraître digne de protection, mais il doit l'emporter sur l'intérêt du requérant (Meier, Protection des données, 2011, N. 1142).
Les intérêts de tiers sont touchés lorsque l'accès aux données donne à la personne intéressée des informations sur de tierces personnes. Afin d'éviter une violation du secret de fonction ou du secret professionnel, il suffit toutefois souvent de cacher le nom des tiers et les informations permettant de les identifier. Si le caviardage n'est matériellement pas possible ou s'il ne permet pas de protéger le tiers, lequel reste identifiable, le maître du fichier doit procéder à une pesée des intérêts (Meier, op. cit., 2011, N. 1142 et 1148 à 1150; Gramigna/Maurer-Lambrou, Basler Kommentar, Datenschutzgesetz, 2006, 2ème éd., N. 21 ad art. 9 LPD).
L'art. 9 al. 4 LPD concerne avant tout le secteur privé. Ainsi, un grand magasin peut refuser l'accès au registre des clients suspectés de vol. Un maître de fichier qui craint que le requérant ne s'adonne à l'espionnage économique peut également s'opposer à l'accès (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 463).
Certains auteurs sont d'avis que le maître du fichier est privé de faire valoir son intérêt propre seulement lorsqu'il a communiqué des données de la personne concernée sur une base volontaire, ce qui exclut le cas où il y a procédé sur injonction de l'autorité. Admettre le contraire consacrerait une solution disproportionnée, en ce sens qu'elle exclurait que le maître, auparavant contraint de communiquer des données, puisse faire valoir ses intérêts, alors que l'y autoriser permettrait de procéder à une pesée desdits intérêts avec ceux de la personne concernée, accrus par la communication – non volontaire – à des tiers (Monnier, Le droit d'accès aux données personnelles traitées par un média, 1999, pp. 210 à 212; Piotet et Rapp, La nouvelle loi fédérale sur la protection des données, Cedidac 1994, pp. 234 ss; contra : Walter et Page, ibidem; Dubach, Kommentar zum schweizerischen Datenschutzgesetz, 1995, N. 32 ad art. 9 LPD (renseignements donnés à la police)).
4.3.2 En l'espèce, l'appelante ne fait, à raison, plus valoir, devant la Cour, l'intérêt de ses clients ou celui de ses collaborateurs, anciens ou actuels, voire celui d'autres tiers, pour fonder son opposition à la remise d'une copie des documents (art. 9 al. 1 let. b LPD). Un tel moyen aurait dû en effet être d'emblée rejeté, dès lors que les documents, lors de leur transmission aux autorités américaines, ne comportaient pas d'informations permettant d'identifier les clients, et que l'appelante a été autorisée par le premier juge à anonymiser les éléments permettant d'identifier ses (ex-)collaborateurs et les tiers. L'appelante n'allègue en outre pas qu'une telle anonymisation serait matériellement impossible ou en tout état de cause insuffisante pour protéger les intérêts des tiers en cause.
L'appelante ne peut pas non plus se prévaloir d'une quelconque base légale formelle (art. 9 al. 1 let. a LPD).
4.3.3 La banque invoque en revanche son intérêt supérieur "de ne pas voir des documents de nature organisationnelle, commerciale ou opérationnelle circuler à l'extérieur de l'établissement auprès de collaborateurs, d'ex-collaborateurs ou de tiers, quelle qu'en soit la forme (…)" (art. 9 al. 4 LPD).
Or, la communication antérieure des documents aux autorités américaines exclut précisément la possibilité pour l'appelante de se prévaloir de son propre intérêt supérieur, qui n'a plus d'objet, selon une interprétation littérale de l'art. 9 al. 4 LPD.
L'avis contraire de la banque – fondé sur une interprétation de la disposition précitée selon laquelle il doit être tenu compte uniquement d'une telle communication à titre volontaire et sur le fait qu'elle n'aurait précisément pas agi volontairement – doit être rejeté au double motif suivant.
En premier lieu, la banque n'a certes pas communiqué les documents en cause aux autorités américaines à bien plaire, mais pour éviter de possibles poursuites judiciaires aux Etats-Unis; elle a, au surplus, agi au bénéfice de l'autorisation du Conseil fédéral du 4 avril 2012 et conformément aux recommandations de la FINMA du 11 avril suivant. L'appelante ne démontre cependant pas avoir été soumise à une obligation légale, résultant du droit suisse ou américain, de communiquer les documents, de surcroît sous une forme non anonymisée en ce qui concernait l'intimée. Il apparaît au contraire qu'elle a donné suite aux requêtes des autorités américaines avant tout dans le but de sauvegarder ses propres intérêts, soit pour éviter les conséquences préjudiciables résultant d'éventuelles poursuites judiciaires et se donner la possibilité de négocier.
En deuxième lieu, il est vrai que l'interprétation faite par l'appelante de l'art. 9 al. 4 LPD peut s'appuyer sur une partie de la doctrine, considérant qu'une communication antérieure de données personnelles sur une base obligatoire ne doit pas interdire au maître du fichier d'opposer son intérêt propre à l'accès aux mêmes données.
La Cour n'adhérera toutefois pas en l'espèce à une interprétation élargie de l'art. 9 al. 4 LPD, compte tenu de l'importance du droit d'accès consacré à l'art. 8 LPD et de la nécessité qui en découle, confirmée par le Message du Conseil fédéral y relatif, d'interpréter limitativement les motifs de refus et de restriction prévus à l'art. 9 LPD (cf. supra consid. 4.3.1).
La banque ayant fait le choix de communiquer les données en cause aux autorités américaines, qui plus est sans obtenir de garanties au sujet d'une limitation de leur utilisation et de leur diffusion, elle ne peut plus opposer son intérêt propre au droit d'accès de l'intimée.
4.3.4 En tout état de cause, même à admettre la prise en considération des intérêts propres de l'appelante, le moyen qui en est tiré devrait être rejeté au motif que de tels intérêts, par hypothèse concrets, ne l'emportent pas sur ceux de l'intimée.
Cette dernière peut en effet se prévaloir du besoin non seulement de prendre connaissance, mais également d'être en possession des documents transmis aux autorités américaines, pour, d'une part, avec l'assistance d'un conseil si nécessaire, évaluer les chances d'être inquiétée ou simplement sollicitée par les autorités américaines, le cas échéant pour se défendre, et, d'autre part, pour évaluer l'opportunité d'assigner la banque en responsabilité dans le cadre civil, le cas échéant pour constituer un dossier contre cette dernière. Il est rappelé à cet égard que l'autorisation du Conseil fédéral du 4 avril 2012, tout comme celle octroyée à d'autres banques à partir du 3 juillet 2013, n'a pas exempté les établissements concernés d'une éventuelle responsabilité civile ni, de manière plus générale, de leurs obligations à l'égard de leurs (ex-)employés.
Au sujet de possibles poursuites aux Etats-Unis, on ne saurait attendre de l'intimée, du moins tant que la procédure américaine ouverte contre l'appelante n'est pas terminée, qu'elle se contente des assurances de la banque selon lesquelles "elle n'a pas de soupçon concernant l'activité des employés dont les noms ont été transmis" et du fait qu'il n'existe encore aucune procédure dirigée contre elle à teneur du dossier. Le droit d'accès à ses données personnelles a précisément pour but de lui permettre d'évaluer elle-même une telle éventualité.
Les intérêts de l'intimée ne sont ainsi pas abstraits et sa requête n'a pas une vocation purement chicanière ainsi que le fait valoir l'appelante.
La banque reconnaît au surplus que l'intimée a déjà pris connaissance du contenu des documents, aussi bien à travers son ancienne activité que par le biais de sa consultation du 24 juillet 2012, et que les éventuelles informations confidentielles de la banque qui y sont contenues lui sont déjà connues. En ce qui concerne le risque qu'elle divulgue les documents en dehors d'une procédure judiciaire, ainsi que l'a relevé le Tribunal, il est relativisé par les obligations de l'intimée vis-à-vis de son ancien employeur, en particulier celles relatives au secret bancaire, lesquelles l'exposeraient le cas échéant à des poursuites pénales.
Les intérêts de l'appelante sont ainsi limités au risque précité, de sorte que même dans l'hypothèse où la banque serait fondée à s'en prévaloir, ces intérêts ne sont pas prépondérants.
4.3.5 Au vu de ce qui précède, l'appelante ne peut ni refuser ni restreindre le droit d'accès de l'intimée aux documents.
4.4 L'appelante considère en outre pouvoir en tous les cas s'opposer à la remise d'une copie écrite des documents.
4.4.1 Les renseignements sont, en règle générale, fournis gratuitement et par écrit, sous forme d'imprimé ou de photocopie, sous réserve des exceptions prévues par le Conseil fédéral (art. 8 al. 5 LPD).
D'entente avec le maître du fichier ou sur proposition de celui-ci, la personne concernée peut également consulter ses données sur place. Si elle y a consenti et qu'elle a été identifiée, les renseignements peuvent également lui être fournis oralement (art. 1 al. 3 OLPD).
Cette disposition constitue la seule exception expresse au principe de la transmission écrite des données requises, et, selon le sens littéral de ladite exception, elle ne s'applique qu'avec le consentement de la personne intéressée. La question de savoir si d'autres exceptions peuvent être admises a été laissée ouverte par le Tribunal fédéral, avec la précision qu'il doit de toute manière s'agir de circonstances particulières, à invoquer par le maître du fichier, faisant apparaître la communication écrite inappropriée; le maître du fichier ne peut pas se prévaloir à cet égard de la seule charge administrative que représente une telle communication (ATF 125 II 321 consid. 3b et 123 II 534 consid. 3c).
La doctrine est d'avis qu'une dérogation doit également être admise lorsque les données personnelles n'ont pas été conservées sur papier ou ne sont pas imprimables. Dans un tel cas, le maître du fichier peut exceptionnellement imposer la remise d'une copie image ou audio, mais il n'a pas l'obligation de fournir une transcription écrite de l'enregistrement (Meier, op. cit., N. 1078; Gramigna/Maurer-Lambru, op. cit., n. 49 ad art. 8 LPD).
4.4.2 Le PFPDT établit les faits d'office ou à la demande de tiers notamment lorsqu'une méthode de traitement est susceptible de porter atteinte à la personnalité d'un nombre important de personnes (art. 29 al. 1 let. a LPD). Il peut ensuite recommander de modifier ou de cesser le traitement (art. 29 al. 3 LPD).
Si la recommandation du préposé est rejetée ou n'est pas suivie, il peut porter l'affaire devant le Tribunal administratif fédéral pour décision. Il a qualité pour recourir contre cette décision (art. 29 al. 4 LPD).
La recommandation du PFPDT n'acquiert toutefois pas la force de chose jugée, même si elle est acceptée par son destinataire (Meier, op. cit., N. 1925; Huber, Basler Kommentar, Datenschutzgesetz, 2006, 2ème éd., N. 30 ad art. 29 LPD).
4.4.3 En l'espèce, l'application de l'une des deux exceptions expressément prévues par le Conseil fédéral au principe de la remise d'une copie écrite des documents (art. 1 al. 3 OLPD) est exclue par l'absence de consentement de l'intimée.
On a vu que la jurisprudence a laissé ouverte la possibilité d'envisager d'autres exceptions, en précisant qu'il devait s'agir de circonstances particulières, et la doctrine évoque à ce titre le cas de données contenues sur un support audio ou photographique, dont la personne concernée ne peut pas exiger une retranscription écrite (cf. supra consid. 4.4.1).
Le cas d'espèce ne concerne cependant pas une telle hypothèse. Non seulement les données en cause sont contenues sur un support papier, mais en outre, elles ont déjà été triées, réunies et même partiellement caviardées dans le cadre de leur transmission aux autorités américaines, ce qui exclut toute impossibilité ou difficulté disproportionnée d'ordre pratique liées à la remise d'une copie des documents à l'intimée.
L'appelante argue vainement que les documents ne concerneraient que très indirectement et très partiellement l'intimée et contiendraient des noms de tiers et d'autres informations de nature commerciale nécessitant "entre autres" un caviardage quasi intégral. Cet argument ne peut être suivi, dès lors que le nom de l'intimée y est cité ou qu'il y est fait référence de manière reconnaissable, et qu'elle a ainsi le droit d'accéder aux données traitées. En outre, comme vu ci-avant, la banque n'est, d'une part, pas fondée à s'opposer à un tel droit en se prévalant des secrets contenus dans les documents en cause et elle ne peut corollairement pas invoquer la nécessité de caviarder de telles informations. D'autre part, elle a déjà été autorisée par le premier juge à caviarder tous les noms et autres données permettant d'identifier des tiers.
4.4.4 L'appelante se réfère également aux recommandations du PFPDT du 15 octobre 2012 pour s'opposer à la remise d'une copie écrite des documents en cause, en rappelant que lesdites recommandations ont cautionné, en ce qui concernait l'accès aux données déjà transmises aux autorités américaines, la forme de la simple consultation des documents sur place, compte tenu de leur sensibilité, des règles de sécurité de la banque, ainsi que du secret bancaire et des règles internes interdisant aux employés d'emporter des documents chez eux.
Les conclusions du PFPDT ne lient cependant pas les juridictions civiles, faute de revêtir l'autorité de chose jugée. Elles ne sont au demeurant même pas obligatoires vis-à-vis de l'appelante, qui aurait pu les rejeter ou ne pas les suivre (art. 29 al. 4 LPD).
Comme vu ci-avant (cf. supra consid. 4.3.4), la Cour retient en l'espèce que les intérêts de la banque pris en considération par le PFPDT, pour autant qu'ils puissent être invoqués en dépit de ce que les documents ont déjà été communiqués à un tiers, ne prennent pas le pas sur ceux de l'intimée, expressément prévus par le droit de la protection des données, à recevoir une copie écrite des données traitées et ne justifient dès lors aucune restriction aux droits de cette dernière.
En ce qui concerne les intérêts des tiers, également pris en compte par le PFPDT, ils sont déjà suffisamment protégés par le caviardage des éléments permettant d'identifier ces derniers.
4.5 Au vu de ce qui précède, l'appelante n'est pas fondée à contester sur le principe le droit d'accès de l'intimée aux données personnelles en cause, ni à s'opposer à la remise d'une copie écrite des documents, conformément aux modalités définies par le Tribunal.
L'obligation supplémentaire prévue par le premier juge d'indiquer à quelles date et à quelles autorités américaines les documents ont été transmis n'est au surplus pas contestée.
L'appel sera dès lors rejeté et le jugement querellé confirmé.
L'appelante sera également condamnée aux dépens d'appel de son adverse partie, arrêtés à 7'000 fr., TVA et débours compris (art. 95, 104 al. 1, 105 et 106 CPC; art. 25 et 26 al. 1 LaCC; art. 25 al. 1 LTVA; art. 84 et 86 RTFMC).
PAR CES MOTIFS, La Chambre civile :
A la forme :
Déclare recevable l'appel interjeté le 27 novembre 2013 par A______ contre le jugement JTPI/14186/2013 rendu le 24 octobre 2013 par le Tribunal de première instance dans la cause C/19512/2012-7.
Au fond :
Confirme le jugement entrepris.
Déboute les parties de toutes autres conclusions.
Sur les frais de première instance et d'appel :
Confirme les chiffres 4 à 9 du jugement entrepris.
Arrête les frais judiciaires à 7'000 fr.
Les met à la charge de A______ et les compense à hauteur de 2'000 fr. avec l'avance de frais opérée par cette dernière, laquelle reste acquise à l'Etat.
Condamne A______ à verser à l'Etat le solde des frais judiciaires de 5'000 fr.
Condamne A______ à verser à B______ 7'000 fr. au titre de dépens.
Siégeant :
Madame Valérie LAEMMEL-JUILLARD, présidente; Madame Nathalie LANDRY-BARTHE, Monsieur Laurent RIEBEN, juges; Madame Audrey MARASCO, greffière.
La présidente :
Valérie LAEMMEL-JUILLARD
La greffière :
Audrey MARASCO
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.
Sans valeur litigieuse.