POUVOIR JUDICIAIRE
C/2006/2015 ACJC/1169/2016
ARRÊT
DE LA COUR DE JUSTICE
Chambre civile
du VENDREDI 9 SEPTEMBRE 2016
Entre
A______, ayant son siège ______, appelante d'un jugement rendu par la 20ème Chambre du Tribunal de première instance de ce canton le 11 janvier 2016, comparant par Me Michèle Wassmer, avocate, rue Jargonnant 2, case postale 6045, 1211 Genève 6, en l'étude de laquelle elle fait élection de domicile aux fins des présentes,
et
Madame B______, domiciliée _____, intimée, comparant par Me Douglas Hornung, avocat, rue du Général Dufour 22, case postale 5539, 1211 Genève 11, en l'étude duquel elle fait élection de domicile aux fins des présentes.
EN FAIT
A. Par jugement JTPI/266/2016 du 11 janvier 2016, notifié aux parties le 13 janvier 2016, le Tribunal de première instance a constaté l'illicéité de la communication par A______ aux autorités américaines, hors d'une procédure d'entraide internationale, des documents contenant des données de B______, soit des informations qui l'identifient ou qui permettent de l'identifier (chiffre 1 du dispositif), et a interdit à A______ de communiquer de tels documents aux autorités américaines, hors d'une procédure d'entraide internationale (ch. 2), sous la menace de la peine de l'article 292 CP (ch. 3).
Pour le surplus, le Tribunal a arrêté les frais judiciaires à 10'000 fr., les a compensés avec l'avance fournie et les a mis à la charge de A______, condamnant en conséquence cette dernière à verser 8'000 fr. à l'Etat de Genève, soit pour lui aux Services financiers du Pouvoir judicaire et 2'000 fr. à B______ à titre de restitution de l'avance fournie, ainsi que 10'000 fr. à titre de dépens (ch. 4 et 5), les parties étant déboutées de toutes autres conclusions (ch. 6).
B. a. Par acte déposé au greffe de la Cour de justice le 12 février 2016, A______ appelle de ce jugement, dont elle sollicite l'annulation.
Elle conclut à ce que B______ soit déboutée de toutes ses conclusions prises dans le cadre de son action en constatation et interdiction de transmettre des données la concernant aux Etats-Unis, avec suite de frais et dépens.
b. B______ conclut au rejet de l'appel, avec suite de dépens.
Elle produit un chargé de pièces complémentaires comprenant des décisions rendues dans des affaires cantonales les 16 décembre 2015, 22 janvier et 8 février 2016 (pièces 40 à 42), des déclarations publiques datées de janvier 2016 (pièces 46 et 47) et d'autres documents établis ou publiés avant le mois de décembre 2015 (pièces 39, 43, 44, 45 et 48 à 61).
c. Par réplique et duplique, les parties ont persisté dans leurs conclusions respectives. B______ a encore produit un article de presse du 23 mars 2016 (pièce 62).
d. Les parties ont été informées de ce que la cause était gardée à juger par avis du greffe de la Cour du 29 avril 2016.
C. Les faits pertinents suivants, non contestés par les parties, résultent de la procédure.
a. A______ est un établissement bancaire ayant son siège à ______.
b. B______ est gestionnaire de fortune de profession, externe à la banque. Elle a disposé d'un droit de regard sur le compte d'un proche, client américain de la banque, lequel a participé au programme de dénonciation volontaire (Offshore Voluntary Disclosure Program).
c. En 2010, dans le cadre du différend fiscal, notoire, opposant les États-Unis à la Suisse ainsi qu'à certaines banques y ayant leur siège, les autorités américaines ont ouvert des enquêtes contre plusieurs établissements bancaires, suspectés d'avoir aidé des clients américains à éluder l'impôt américain.
Dans ce contexte, les banques suisses concernées pouvaient requérir une autorisation délivrée par le Conseil fédéral leur permettant, si la défense de leurs intérêts l'exigeait, de transmettre des données aux autorités américaines, sans pour autant enfreindre l'art. 271 du Code pénal (CP). L'appréciation de la responsabilité civile demeurait du ressort de chaque banque. A ce titre, les prescriptions relatives à la protection des données et au droit du travail figuraient au premier plan.
A______ n'a pas été visée par ces enquêtes pénales.
d. Afin de clarifier la question de la conformité de la transmission de ces documents avec la législation suisse en matière de protection des données, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert une procédure d'éclaircissement et émis une recommandation le 15 octobre 2012, laquelle a été précisée par une note complémentaire en juin 2013.
Il a relevé que toute transmission future de données effectuée de la part des banques devra être conforme au procédé prévu par la loi fédérale sur la protection des données (LPD). Les Etats-Unis ne disposant pas d'une législation assurant un niveau de protection adéquat, au sens de l'art. 6 LPD, la transmission de données aux autorités de ce pays ne pourrait dès lors être envisagée que dans le cadre d'une dérogation prévue à l'al. 2 de cette disposition.
A ce propos, sur la base des explications des banques concernées, le Préposé a retenu qu'il existait d'une manière générale un intérêt public à la transmission des données concernées; toutefois, le traitement de ces données devait respecter les principes posés par la LPD, en particulier ceux de la bonne foi, de la proportionnalité et de la transparence. En pratique, il convenait donc de procéder dans chaque cas à une pesée des intérêts entre l'intérêt public généralement reconnu et l'intérêt concret mentionné par la personne concernée au regard des documents considérés.
e. Le 29 août 2013, le Conseil fédéral et les autorités américaines, soit pour elles le Department of Justice (ci-après : le DoJ) ont trouvé un accord visant à mettre un terme au différend fiscal entre les banques suisses et les Etats-Unis.
Ils ont ainsi signé un accord (Joint Statement) et annoncé la mise sur pied d'un programme volontaire, intitulé US Program for Non-Prosecution Agreements ou Non-Target Letters for Swiss Banks (ci-après : le Programme), permettant aux banques suisses de régulariser leur situation liée à leurs activités passées en relation avec la clientèle américaine, en communiquant spontanément aux autorités américaines les données y relatives.
Ce Programme était réservé aux banques suisses ne faisant pas l'objet d'une enquête pénale aux Etats-Unis au 29 août 2013 (dites banques de catégorie 2) et leur permettait d'éviter des poursuites pénales et une éventuelle inculpation en négociant leur sanction financière. Les banques suisses faisant l'objet d'une enquête pénale à la date susvisée (dites banques de catégorie 1) sont exclues de ce Programme.
Le Programme prévoit une coopération complète des banques en matière de communication d'informations.
Avant son exécution, la banque doit notamment communiquer aux autorités américaines les noms et fonctions des personnes qui ont structuré, opéré ou supervisé des opérations financières transfrontalières avec les Etats-Unis entre le 1er août 2008 et le 31 décembre 2014 (chapitre II, lettre D chiffre 1 let. a).
Lors de l'exécution de l'accord, pour tous les comptes ayant un lien avec les Etats-Unis clôturés pendant la période précitée, la banque doit notamment transmettre le nom et la fonction de tout gestionnaire de la relation client, conseiller à la clientèle, gestionnaire d'actifs, conseiller financier, trustee, fiduciaire, agent, avocat, comptable, et autre individu ou entité agissant de façon similaire et étant en lien avec ledit compte à la connaissance de la banque durant la période applicable (chapitre II, let. D ch. 2, let. b).
La let. J du chapitre II de ce Programme précise que, s'il constate qu'une information transmise par une banque est fausse, incomplète ou source d'erreur, le DoJ peut refuser de conclure un accord de non poursuite. Si celui-ci a déjà été conclu, il peut intenter une action judiciaire, notamment pénale.
Il est de plus prévu que les informations personnelles transmises par les banques seront utilisées uniquement en vue de faire appliquer le droit américain, ce qui peut inclure des actions fondées sur des mesures de réglementation (chapitre V let. B).
f. Le communiqué de presse du DoJ du 29 août 2013, accompagnant la publication de ce Programme, indique que celui-ci améliorera de manière significative ses efforts visant à poursuivre de manière agressive ceux qui ont tenté d'échapper à la loi en cachant leurs biens en dehors des Etats-Unis.
Le DoJ relève en outre que ce Programme lui permettra d'obtenir des informations supplémentaires sur les personnes ayant utilisé des comptes bancaires offshore secrets et sur ceux, aux Etats-Unis et à l'étranger, qui ont mis en place et facilité l'utilisation de ces comptes.
g. Le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler leur différend fiscal, et a donné la possibilité aux banques de demander une autorisation individuelle au sens de l'art. 271 CP ou de renouveler celle déjà reçue (Décision-modèle du 3 juillet 2013 et la note explicative y relative).
Il est notamment précisé qu'une telle autorisation excluait uniquement une punissabilité en vertu de cette disposition, mais qu'elle ne dispensait cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. L'autorisation ne permet donc aux banques de coopérer avec les autorités américaines que dans le cadre de la législation suisse (chapitre II chiffre 8).
Le Conseil fédéral relève l'intérêt important des banques à coopérer avec les autorités américaines, ainsi que la nécessité, lors de la pesée des intérêts, de tenir compte des droits de la personnalité des membres du personnel de la banque et des tiers potentiellement concernés en prévoyant une obligation d'informer et un droit d'obtenir des renseignements (chapitre II chiffres 7 et 9). Seules peuvent être transmises les données personnelles des membres du personnel qui, au sein de la banque, ont organisé, suivi ou surveillé les relations d'affaires impliquant une personne américaine, ainsi que de tiers qui ont agi de manière similaire pour des relations d'affaires de ce genre (chiffre 1.4 du dispositif).
h. Le 30 août 2013, la FINMA a adressé un courrier aux banques suisses dans lequel elle indiquait notamment qu'il appartenait à toutes les banques de mesurer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au Programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté.
Elle a ajouté que les banques participant au Programme américain étaient tenues de respecter le droit suisse et notamment les réglementations relatives à la protection des secrets d'affaires et bancaire en vigueur, ainsi que la législation sur la protection des données.
i. A______ a décidé de participer en qualité de banque de catégorie 2 au Programme susmentionné.
Elle a ainsi requis et obtenu de la Confédération suisse, soit pour elle le Département fédéral des finances, l'autorisation de coopérer avec les autorités américaines compétentes dans le cadre de la législation suisse.
Conformément à la décision-modèle du 3 juillet 2013, ledit Département a toutefois précisé que l'autorisation excluait uniquement une punissabilité en vertu de l'art. 271 ch. 1 CP, mais ne dispensait pas du respect des autres dispositions du droit suisse.
Il était également indiqué que seules pouvaient être transmises des données personnelles de membres du personnel (actuels ou anciens) qui, au sein de la banque, ont organisé, suivi ou surveillé les relations d'affaires impliquant une personne américaine ainsi que de tiers qui ont agi d'une manière similaire pour des relations d'affaires de ce genre.
j. Dans le cadre de sa participation volontaire au Programme avec les Etats-Unis, la banque a informé B______, le 27 juin 2014, de ce qu'elle allait transmettre des données la concernant au DoJ.
B______ s'y est opposée après avoir consulté la documentation en question. Selon elle, les autorités américaines n'exigeaient aucunement de connaître le nom des personnes qui avaient uniquement disposé d'un droit de regard. Elle a également invoqué le respect de son secret d'affaires.
k. Par courrier du 17 septembre 2014, la banque a confirmé à B______ son intention de transmettre ses données aux autorités américaines.
l. Statuant sur requête en mesures superprovisionnelles formée par B______, le Tribunal de première instance, par ordonnance du 24 septembre 2014, confirmée par ordonnance sur mesures provisionnelles du 12 janvier 2015, a fait interdiction à la banque de transmettre, communiquer ou porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations, ou des documents comportant le nom et/ou des données ou informations relatives à B______ et/ou pouvant l'identifier, sous la menace de la peine prévue à l'art. 292 CP et a imparti un délai de 30 jours à B______ pour faire valoir ses droits en justice.
D. a. Par acte déposé au greffe du Tribunal le 30 janvier 2015, B______ a assigné A______ en constatation du caractère illicite d'une communication par la banque aux autorités américaines d'informations ou de données la concernant, et en interdiction de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit, des données, informations ou des documents comportant son nom et/ou des données ou informations la concernant. En outre, elle a conclu à ce que l'intégralité du jugement soit publiée, sans son nom ni son adresse, dans quatre journaux suisses et quatre journaux américains de son choix, aux frais de la banque, sous la menace des sanctions prévues à l'art. 292 CP.
b. A______ s'est opposée à la demande de B______, concluant à ce qu'elle soit déboutée de toutes ses conclusions.
c. Le ______ 2015, la banque a conclu un Non Prosecution Agreement avec le DoJ en vertu duquel elle a notamment accepté de s'acquitter d'une amende de 17'807'000.- USD. Il est notamment précisé, d'une part, que cet accord ne s'applique pas à d'autres entités ni aux individus et, d'autre part, que la banque avait fourni la liste des noms et les fonctions des individus ayant structuré, géré et supervisé les relations transfrontalières de la banque concernant les comptes américains ainsi que les noms des personnes visées par le chiffre II D 2 let. b du Programme. Il y est encore indiqué que la Division Fiscalité du DoJ déterminerait librement si la banque avait violé une des clauses de cet accord ou du Programme et si elle décidait de poursuivre la banque. Dans ce cas, cette entité l'en informera par écrit. Finalement, il ressort de cet accord que les conseillers à la clientèle et les gestionnaires externes étaient en contact avec les clients américains et qu'ils les avaient aidés à mettre en place et à maintenir des comptes non déclarés.
d. Lors de l'audience de plaidoiries finales du 7 décembre 2015, les parties ont plaidé et persisté dans leurs conclusions. La cause a été gardée à juger à l'issue de cette audience.
e. Selon un article de presse du 23 mars 2016, le DoJ a déclaré qu'il examinait activement les informations obtenues par les banques suisses, dont celles dites de catégorie 2, afin d'identifier les personnes ayant utilisé des comptes bancaires offshore secrets ainsi que ceux qui ont facilité l'utilisation de ces comptes et qu'il en ferait une "top priority".
E. Dans le jugement entrepris, le Tribunal a considéré que la communication de données relatives à B______ aux Etats-Unis menaçait gravement la personnalité de celle-ci, vu l'absence de législation assurant un niveau de protection adéquat dans cet Etat. Une telle communication ne reposait pas sur un motif justificatif prévu par la loi. B______ n'y avait pas consenti et les Etats-Unis n'avaient pas donné de garanties particulières pour assurer sa protection. Cette communication n'était pas non plus strictement nécessaire à la banque pour exercer ou défendre ses droits en justice.
Il existait certes un intérêt public à ce que les accords conclus avec les autorités américaines soient respectés, afin notamment de régler le conflit fiscal dans son ensemble et d'assurer la sécurité juridique de la place financière suisse. En outre, une procédure pénale à l'encontre de la banque et une possible mise en accusation de celle-ci entraînerait un risque important pour son avenir et pourrait la mener à la faillite. Ces intérêts n'étaient toutefois pas à eux seuls supérieurs à l'intérêt de B______ à s'opposer à la communication de ses données. Si le risque que celle-ci soit personnellement recherchée, puis condamnée par les Tribunaux américains était ténu, il n'était toutefois pas possible d'exclure que les autorités américaines aient la volonté, si ce n'est de procéder à la mise en accusation de B______, à tout le moins de procéder à son interpellation et à son audition. Compte tenu de sa profession de gestionnaire de fortune, elle risquait d'être interrogée sur son métier et sur le rôle qu'elle avait pu jouer grâce à son droit de regard sur un compte de client ayant un lien avec les Etats-Unis. Outre les frais, l'indisponibilité et l'angoisse qui pouvaient en résulter, elle risquait une condamnation voire une amende qui pourrait non seulement avoir un impact financier important mais également porter atteinte à sa réputation professionnelle. Compte tenu de ces risques, la transmission de données par la banque contraindrait B______ à ne pas voyager aux Etats-Unis, restreignant ainsi sa liberté de mouvement. Cette atteinte constituait une privation de liberté personnelle qui était de rang prioritaire par rapport aux droits économiques invoqués par la banque dans le cadre de l'intérêt public.
L'illicéité de la communication de données concernant B______, hors d'une procédure d'entraide internationale, devait dès lors être constatée et toute communication de telles données interdite. La publication du jugement n'était pas nécessaire, faute d'être propre à faire cesser l'atteinte subie.
EN DROIT
Il est ainsi recevable.
1.2 La Cour revoit la cause avec un plein pouvoir d'examen, tant en fait qu'en droit (art. 310 CPC).
2.1 Selon l'art. 317 al. 1 CPC, les faits et moyens de preuve nouveaux ne sont pris en considération devant la Cour que s'ils sont invoqués ou produits sans retard (let. a) ou s'ils ne pouvaient l'être devant la première instance, bien que la partie qui s'en prévaut ait fait preuve de la diligence requise (let. b). Cette diligence suppose qu'au stade de la première instance déjà, chaque partie expose l'état de fait de manière soigneuse et complète et qu'elle amène tous les éléments propres à établir les faits jugés importants. Ainsi, la partie qui aura été négligente devant le premier juge en subira les conséquences, puisque le fait ou moyen de preuve tardivement présenté sera déclaré irrecevable (arrêt du Tribunal fédéral 4A_334/2012 du 16 octobre 2012 consid. 3.1 in SJ 2013 I p. 311 et les références citées; Jeandin, in CPC, Code de procédure civile commenté, 2011, n° 4 s. ad art. 317 CPC).
2.2 En l'espèce, les pièces 40, 41, 42, 46 et 47 nouvellement versées par l'intimée en appel concernent des faits ayant eu lieu postérieurement au 7 décembre 2015, date à laquelle la cause a été gardée à juger par le Tribunal, de sorte que, produites avec la diligence requise, elles sont recevables.
En revanche, ses pièces 39, 43, 44, 45 et 48 à 61 ont été établies ou publiées avant le mois de décembre 2015. L'intimée n'explique pas pour quelle raison elle n'aurait pas été en mesure de produire ces pièces devant le Tribunal. Par conséquent, elles sont irrecevables, sous réserve des pièces 58 et 61 qui figurent déjà au dossier.
En ce qui concerne les déclarations publiques relatées dans la réponse de l'intimée, celles-ci ne font qu'alimenter le contexte général. Elles ne sont ainsi pas pertinentes en l'espèce dans la mesure où le dossier soumis à la Cour contient déjà suffisamment d'éléments sur le sujet.
3.1 A teneur de l'art. 28 al. 1 CC, celui qui subit une atteinte illicite à sa personnalité peut agir en justice pour sa protection contre toute personne qui y participe.
Une atteinte est illicite, à moins qu'elle ne soit justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi (art. 28 al. 2 CC). Il appartient au demandeur de prouver l'atteinte à la personnalité et au défendeur l'existence des faits justificatifs (Meili, Basler Kommentar, 2010, n. 56 ad art. 28 CC).
Aux termes de l'art. 28a al. 1 CC, le demandeur peut notamment requérir du juge d'interdire l'atteinte, si elle est imminente (ch. 1), de la faire cesser, si elle dure encore (ch. 2), ou d'en constater le caractère illicite, si le trouble qu'elle a créé subsiste.
3.1.1 En matière de traitement de données, la loi fédérale sur la protection des données (LPD; RS 235.1) concrétise et complète l'art. 28 CC (arrêt du Tribunal fédéral 5A_22/2013 du 30 juin 2014 consid. 2.4.2 et les références doctrinales citées).
L'art. 4 al. 1 LPD prévoit que tout traitement de données doit être licite. Leur traitement doit être effectué conformément aux principes de la bonne foi et de la proportionnalité (al. 2). Les données personnelles ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par une loi, ou qui ressort des circonstances (al. 3).
Le principe de proportionnalité implique notamment que le traitement de données doit être apte à atteindre le but visé, doit être nécessaire, en ce sens que, parmi plusieurs moyens adaptés, il est celui qui porte l'atteinte la moins grave aux intérêts en cause et doit être proportionnel, au sens strict, c'est-à-dire se justifier au vu d'une comparaison entre les intérêts de l'auteur du traitement et de ceux de la personne concernée (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 458; Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, 2014, n. 702). Dans ce cadre, il faut toujours procéder à une pondération des intérêts entre le but du traitement et l'atteinte nécessaire à la personnalité (Message précité, FF 1988 II 421, p. 458).
3.1.2 La communication transfrontière de données est régie par l'art. 6 LPD, qui prévoit qu'aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat (art. 6 al. 1 LPD).
Les Etats-Unis ne disposent pas d'une législation assurant un niveau de protection adéquat des données au sens de l'art. 6 al. 1 LPD (Recommandation du Préposé fédéral à la protection des données et à la transparence du 15 octobre 2012).
La Cour de justice de l'Union européenne, dans un arrêt du 6 octobre 2015, a confirmé ce qui précède. Elle a souligné à cet égard que le régime américain assurant les garanties quant à la protection des données est uniquement applicable aux entreprises américaines qui y souscrivent, sans que les autorités publiques n'y soient soumises. En outre, la législation américaine consacre la primauté des "exigences relatives à la sécurité nationale, [à] l'intérêt public et [au] respect des lois des Etats-Unis" sur les principes de la sphère de sécurité, si bien que les règles de protection prévues peuvent à ce titre être écartées, sans limitation. Le régime américain de la sphère de sécurité rend ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, sans qu'il n'existe de règles à caractère étatique destinée à limiter ces éventuelles ingérences ni de protection juridique efficace contre celles-ci (arrêt de la CJUE dans l'affaire C-362/2014 du 6 octobre 2015 consid. 86 s.).
Une communication transfrontière vers un Etat qui ne possède pas un niveau de protection adéquat constitue un traitement illicite, à moins que l'un des motifs justificatifs prévu par l'art. 6 al. 2 LPD ne soit réalisé. D'autres motifs justificatifs, tels que ceux prévus à l'art. 13 LPD, ne peuvent pas être invoqués (Message du Conseil fédéral du 19 février 2003 relatif à la révision de la loi fédérale sur la protection des données, FF 2003 1915, p. 1941; Maurer-Lambrou/Steiner, in Basler Kommentar, Datenschutzgesetz Öffentlichkeitsgesetz, 3e éd, Bâle 2014, ad art. 6 LPD n. 22c; Steinauer/ Fountoulakis, op. cit., n. 706c; Epiney/Fasnacht, in Datenschutzrecht, Grundlagen und öffentliches Recht, Belser/Epiney/Waldmann [éd]., Berne 2011, § 10 n. 15).
La preuve de l'existence d'un motif justificatif au sens de l'art. 6 al. 2 LPD appartient à celui qui exporte les données (art. 8 CC; Meier, Protection des données, Berne 2011, n. 1311; Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Zurich 2008, ad art. 6 LPD n. 36 i.f.).
3.2 Selon l'art. 6 al. 2 LPD, en dépit de l'absence d'une législation assurant un niveau de protection adéquat à l'étranger, des données personnelles peuvent être communiquées à l'étranger dans certains cas, notamment lorsque la communication est indispensable soit à la sauvegarde d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la défense d'un droit en justice (let. d).
3.2.1 Par intérêt public, on entend l'intérêt de la Suisse, qui comprend l'image du pays à l'étranger, notamment du fait de sa coopération avec d'autres Etats ou des organismes internationaux, par exemple en matière de lutte contre le terrorisme ou le blanchiment d'argent (Meier, op. cit., n. 1368). On entend également les cas où les intérêts d'Etats étrangers ont un effet réflexe sur la Suisse et par là coïncident indirectement avec l'intérêt public de la Suisse, notamment lorsqu'il s'agit de protéger une certaine branche de l'économie ou certains consommateurs en Suisse de sanctions explicites ou implicites de la part d'Etats étrangers, auxquelles ils seraient directement ou indirectement exposés en cas de coopération défaillante (Rosenthal/Jöhri, op. cit., ad art. 6 LPD n. 60).
En exigeant que l'intérêt public soit prépondérant, l'art. 6 al. 2 let. d LPD implique une pesée entre les intérêts privés des personnes concernées et l'intérêt public retenu (Meier, op. cit., n. 1370; Epiney/Fasnacht, op. cit., § 10 n. 23; Rosenthal/Jöhri, op. cit., ad art. 6 LPD n. 62).
L'existence de l'intérêt public prépondérant doit être évaluée dans chaque cas concret, en fonction de l'ensemble des circonstances en présence, notamment les garanties offertes par l'Etat de destination. L'intérêt public ne permet pas de justifier la communication de données de manière générale ou permanente pour une catégorie de cas. Il faut en particulier tenir compte de l'intérêt de la personne concernée à ce que ses données ne soient pas communiquées vers un Etat sans protection des données adéquate (évaluation notamment du risque de détournement de finalité ou de publication des données, Walter, Communication de données personnelles à l'étranger, in La révision de la Loi sur la protection des données, Epiney/Hobi [éd.], Zürich 2009, p. 132; cf. ég. Maurer-Lambrou/Steiner, op. cit., ad art. 6 LPD n. 32; Epiney/ Fasnacht, op. cit., § 10 n. 23; Meier, op. cit., n. 1372; Rosenthal/Jöhri, op. cit., ad art. 6 LPD n. 62).
La dérogation fondée sur l'intérêt public doit être interprétée restrictivement, de sorte à ne pas encourager des communications transfrontières dans des conditions qui ne répondent pas à celles prévues par les traités d'entraide (Meier, op. cit., n. 1374).
3.2.2 La communication peut encore être admise pour l'exercice d'un droit en justice à l'étranger, quelle qu'en soit la nature (civile, pénale, administrative, disciplinaire, arbitrale). Tel peut être le cas de la remise d'informations nécessaires pour éviter à une personne des sanctions d'une autorité (Meier, op. cit., n. 1376).
Le pouvoir d'appréciation est relativement large car la question se juge à l'aune du droit procédural et matériel étranger, et non suisse. L'examen tiendra compte des exigences du droit étranger et des risques qu'un refus peut entraîner pour l'exportateur potentiel au regard de l'ensemble des circonstances du cas. On prendra cependant aussi garde à ce que ces procédures n'aient pas pour effet de réduire à néant les garanties fournies par les conventions d'entraide judiciaire ou administrative (Meier, op. cit., n. 1380).
En outre, pour que leur communication soit autorisée, les données doivent être en lien étroit avec la procédure prévue ou engagée et elles ne doivent en aucun cas être utilisées à d'autres fins que ladite procédure (Maurer-Lambrou/Steiner, op. cit., ad art. 6 LPD n. 33; Rosenthal/Jöhri, op. cit., ad art. 6 LPD n. 64; Meier, op. cit., n. 1382). Si des doutes existent quant à l'utilisation des données uniquement aux fins de la procédure devant un tribunal, notamment si un risque existe que les données soient utilisées à d'autres fins, il convient de s'abstenir de les communiquer (Walter, op. cit., p. 132 s.).
3.3 En l'espèce, l'appelante entend transmettre aux autorités américaines, dans le cadre de sa participation volontaire au Programme américain, des données comportant le nom de l'intimée, ainsi que diverses informations concernant cette dernière. Il est acquis et non contesté que ces informations constituent des données personnelles au sens de la LPD et que la licéité de leur éventuelle transmission doit être examinée avant tout au regard des dispositions prévues par la LPD.
Il n'est pas non plus contesté que la législation américaine n'offre pas un niveau de protection des données adéquat au sens des dispositions et principes rappelés ci-dessus, de sorte que la transmission transfrontière de données vers ce pays porte gravement atteinte à la personnalité de l'intimée et est en principe illicite (art. 6 al. 1 LPD), sauf si l'un des motifs justificatif prévu à l'art. 6 al. 2 LPD est réalisé.
3.3.1 L'appelante invoque au titre de motif justificatif l'existence d'un intérêt public prépondérant au sens de l'art. 6 al. 2 let. d LPD, à savoir l'intérêt de la Suisse à coopérer avec les autorités américaines pour la protection de la place financière suisse et celle de ses employés. Elle souligne que cet intérêt est non seulement économique, mais également social, juridique et politique et prime l'intérêt de l'intimée, lequel doit être examiné indirectement sous le seul angle d'un éventuel risque de subir une atteinte du fait de la législation américaine.
Contrairement à ce que soutient l'appelante, l'application de l'art. 6 al. 2 let. d LPD ne se limite pas à l'examen des intérêts publics en jeu, mais inclut aussi les intérêts privés de la personne concernée par la transmission de données. La décision-modèle du Conseil fédéral du 3 juillet 2013, qui comporte les principes de coopération en la matière, fait d'ailleurs expressément état de la nécessité à prendre en compte les droits de la personnalité des membres du personnel des banques et des tiers potentiellement concernés lors de la pesée des intérêts à effectuer. En outre, le PFPDT a indiqué dans le cadre de sa recommandation du 15 octobre 2012 que le traitement de données devait respecter le principe général de proportionnalité consacré à l'art. 4 al. 1 LPD, lequel implique lui aussi une pondération des intérêts entre le but du traitement et l'atteinte nécessaire à la personnalité des personnes concernées. Partant, c'est à bon droit que le Tribunal a procédé à une pesée des intérêts entre l'intérêt public invoqué par la banque et l'intérêt privé de l'intimée.
3.3.2 L'intimée dispose d'un intérêt privé important à ce que les documents bancaires contenant ses données personnelles ne soient pas transmis aux autorités américaines. C'est en vain que l'appelante tente de minimiser cet intérêt et les risques encourus en cas de transmission.
Il est en effet établi que les individus dont les données figuraient sur les documents transmis aux autorités américaines courent le risque d'être retenus pour être interrogés, voire inculpés, au cas où ils se rendraient sur sol américain, ces situations s'étant concrètement présentées pour certains d'entre eux. Même si ce risque est ténu vu le seul droit de regard dont disposait l'intimée, il ne peut être considéré comme purement théorique, compte tenu de la détermination des autorités américaines à identifier et poursuivre toutes les personnes ayant participé et/ou facilité la mise en place de comptes offshore. Les Etats-Unis ont en effet constamment affirmé qu'ils déploieraient tous les efforts pour identifier et poursuivre les personnes impliquées. Le DoJ a encore réitéré au mois de mars 2016 son intention d'examiner scrupuleusement l'ensemble des documents reçus de la part des banques suisses pour arriver à ses fins. Il n'est dès lors pas exclu que l'intimée puisse paraître aux yeux d'enquêteurs américains impliquée et/ou renseignée sur les activités du client américain, compte tenu de sa profession de gestionnaire de fortune et de l'accès dont elle disposait sur le compte en question. Le fait que le client ait participé au programme de dénonciation volontaire (Offshore Voluntary Disclosure Program) n'y change rien. Contrairement à l'avis de l'appelante, le fait que l'intimée ne disposait que d'un droit de regard, sans aucun pouvoir décisionnel, ne lui garantit pas d'être exemptée de toute investigation à son égard, dès lors que les autorités américaines entendent poursuivre activement toutes les personnes impliquées de près ou de loin.
Par ailleurs, l'appelante se méprend lorsqu'elle prétend que l'intimée ne subirait aucun risque d'atteinte à sa personnalité de par la législation américaine. Comme la Cour de justice de l'Union européenne a eu l'occasion de le relever, le droit américain consacre la primauté de la sécurité nationale, de l'intérêt public et du respect des lois des Etats-Unis et permet, à ce titre, des ingérences par les autorités publiques américaines dans les droits fondamentaux des personnes. Il n'est dès lors nullement établi que les documents litigieux ne seront utilisés que dans le strict cadre de l'accord passé entre l'appelante et les autorités américaines. Ces dernières n'ont au contraire cessé d'affirmer que les informations obtenues d'établissements tels que l'appelante devraient leur permettre d'engager ou de continuer des poursuites dirigées contre d'autres personnes, notamment contre des employés de banques ou contre des tiers impliqués. Le Non prosecution Agreement du ______ 2015 indique d'ailleurs que l'accord ne limite pas le droit des Etats-Unis de poursuivre d'autres entités ou individus impliqués dans les faits reprochés. Le Programme américain, auquel renvoie notamment le Non prosecution Agreement, prévoit lui aussi expressément que les informations obtenues par les banques seront utilisées en vue de faire appliquer le droit américain, ce qui peut inclure des actions fondées sur des mesures de règlement. Dans ces conditions, il existe un risque, de par le système légal américain, que l'intimée soit inquiétée par la justice américaine, à tout le moins interrogée, avec toutes les contraintes que cela implique.
3.3.3 Concernant l'intérêt public invoqué par l'appelante, comme l'a relevé le Tribunal, il existe certes un intérêt à ce que la banque transmette les données litigieuses aux Etats-Unis afin de permettre une bonne coopération et mettre un terme au conflit fiscal, non seulement en ce qui concerne l'appelante, mais également avec les autres banques suisses en vue d'assurer la stabilité juridique et économique de la place financière suisse. Bien que l'appelante ait signé un Non Prosecution Agreement le ______ 2015, elle demeure soumise à une pleine et entière coopération, les autorités américaines ayant subordonné l'abandon de poursuite pénale au respect des exigences du Programme, soit notamment à la remise par la banque de l'ensemble de la documentation relative à ses activités aux Etats-Unis. Le Tribunal a, en outre, reconnu un intérêt de la banque à la transmission des données en ce sens qu'à défaut, elle risquerait des mesures de rétorsion de nature à mettre en péril son activité. Avec lui, il faut admettre que l'ouverture d'une instruction pénale contre la banque pourrait avoir de graves conséquences sur les activités de celle-ci, susceptibles de provoquer sa faillite et certaines répercussions tant sur le plan de l'emploi que sur celui de l'économie.
3.3.4 Bien qu'il existe un intérêt public à la transmission de la documentation litigieuse, il n'est cependant pas démontré que cet intérêt est prépondérant à celui de l'intimée.
L'appelante, à qui il incombe d'établir le caractère prépondérant de l'intérêt public qu'elle invoque, ne démontre en effet pas quel risque elle encourrait concrètement si elle ne transmettait pas la documentation litigieuse dans le cas d'espèce. Il est aujourd'hui établi que l'appelante a pu parvenir à un accord de non poursuite sans transmettre la documentation litigieuse. Si les autorités américaines se réservent certes le droit de revenir sur cet accord en cas de documentation fausse ou incomplète, rien ne permet d'établir qu'elle considère que ce soit en l'occurrence le cas. Au contraire, à teneur de l'accord du ______ 2015, l'appelante a pour l'heure satisfait son obligation de collaboration en communiquant la liste des noms et les fonctions des individus ayant structuré, géré et supervisé les opérations transfrontière en lien avec les Etats-Unis (chapitre II lettre D chiffre 1 let. a du Programme) ainsi que les personnes ayant géré, conseillé ou ayant agi de façon similaire en lien avec ledit compte (chapitre II lettre D chiffre 2 let. b du Programme). Il n'est ainsi ni allégué ni établi que les autorités américaines seraient dans l'attente de documentation complémentaire ou de documents concernant l'intimée en particulier. Par ailleurs, au vu de la position de l'intimée, qui est une gestionnaire externe à la banque et qui ne détenait qu'un seul droit de regard sur le compte, on peut raisonnablement douter que la non-transmission de documents la concernant puisse concrètement remettre en cause les négociations de l'appelante avec les autorités américaines, ou l'accord trouvé avec celles-ci. En effet, l'obligation de communication porte sur des personnes ayant structuré, opéré et/ou supervisé des opérations bancaires ou ayant agi en qualité de gestionnaire, conseiller ou de façon similaire. Or, aucun élément ne permet de retenir que l'intimée ait agi de la sorte.
Il n'est ainsi pas démontré qu'il existe un risque concret que la non-transmission des données litigieuses puisse en l'espèce entraîner la mise en péril de l'accord conclu par l'appelante et son inculpation.
Au vu de ce qui précède, l'appelante conteste en vain les risques encourus par l'intimée en relation avec la transmission de ses données personnelles, sans pour autant établir qu'elle s'exposerait elle-même à des risques concrets plus élevés, au cas où ces mêmes données n'étaient pas transmises. Par ailleurs, elle n'établit pas la nécessité stricte et concrète de transmettre les données en question au regard de l'intérêt public qu'elle invoque.
Dans la mesure où une dérogation fondée sur l'intérêt public doit être admise avec retenue, la transmission de données litigieuse ne saurait par conséquent être justifiée par l'existence d'un intérêt public invoqué par l'appelante, lequel ne peut être tenu comme étant prépondérant. Le moyen sera dès lors rejeté.
3.4 L'appelante ne se prévaut pas d'un autre motif justificatif prévu à l'art. 6 al. 2 LPD.
Il s'ensuit que la communication des données personnelles de l'intimée aux autorités américaines est en l'espèce prohibée par l'art. 6 al. 1 LPD. Conformément aux principes rappelés ci-dessus, ladite communication constitue une atteinte illicite à la personnalité de l'intimée, au sens de l'art. 28 CC, et n'est justifiée par aucune dérogation au sens de l'art. 6 al. 2 LPD. L'argument de l'appelante selon lequel le Tribunal n'aurait pas examiné l'art. 13 LPD tombe à faux, dès lors qu'un motif justificatif autre que ceux prévus à l'art. 6 al. 2 LPD ne peut entrer en ligne de compte en matière de communication transfrontière de données (cf. consid. 3.1.2 supra).
Comme l'a d'ailleurs relevé, à juste titre, l'appelante, le PFPDT a indiqué à cet égard que si une personne concernée s'oppose à ce que la banque transmette des documents concernant son nom, la banque doit alors peser les intérêts en présence dans le cas concret. Dans ce cadre, elle doit, en vertu de l'art. 13 LPD, faire valoir des motifs justificatifs pour pouvoir procéder à la transmission et doit, par ailleurs, remplir les conditions de l'art. 6 LPD pour pouvoir transmettre des données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat (note du PFPDT du 20 juin 2013). Il en découle que les conditions de l'art. 6 LPD, et par conséquent un motif justificatif au sens de l'al. 2 de cette disposition, doivent nécessairement être réalisées pour une communication transfrontière vers un pays qui, comme en l'espèce, ne dispose pas d'une législation offrant une protection adéquate. L'appelante reconnaît du reste elle-même que la communication transfrontière de données n'est licite qu'aux conditions cumulatives des art. 6 et 13 LPD. Or, il découle des considérants qui précèdent qu'aucun motif justificatif au sens de l'art. 6 al. 2 n'est réalisé en l'espèce. Il n'est dès lors pas nécessaire d'examiner les conditions de l'art. 13 LPD. En tout état de cause, pour les mêmes motifs que ceux déjà examinés au considérant précédant, l'appelante ne démontre pas que son intérêt privé, lequel se confond avec l'intérêt public invoqué, serait prépondérant à celui de l'intimée.
En conséquence, c'est à bon droit que le Tribunal a constaté l'illicéité de la communication de données personnelles que l'appelante entendait transmettre aux autorités américaines et fait interdiction à cette dernière de communiquer à l'avenir de telles données auxdites autorités. Le jugement entrepris sera dès lors confirmé.
L'appelante sera condamnée à payer à l'intimée la somme de 8'000 fr. à titre de dépens d'appel (art. 105 al. 2 et 111 al. 2 CPC; art. 86 et 90 RTFMC).
PAR CES MOTIFS, La Chambre civile :
A la forme :
Déclare recevable l'appel interjeté le 12 février 2016 par A______ contre le jugement JTPI/266/2016 rendu le 11 janvier 2016 par le Tribunal de première instance dans la cause C/2006/2015-20.
Au fond :
Confirme le jugement entrepris.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Arrête les frais judiciaires d'appel à 7'000 fr., les met à la charge de A______ et les compense avec l'avance de frais versée, laquelle reste acquise à l'Etat de Genève.
Condamne A______ à verser à B______ la somme de 8'000 fr. à titre de dépens d'appel.
Siégeant :
Monsieur Jean-Marc STRUBIN, président; Monsieur Laurent RIEBEN et Madame Fabienne GEISINGER-MARIETHOZ, juges; Madame Anne-Lise JAQUIER, greffière.
Le président :
Jean-Marc STRUBIN
La greffière :
Anne-Lise JAQUIER
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.
Valeur litigieuse des conclusions pécuniaires au sens de la LTF indéterminée.