POUVOIR JUDICIAIRE
C/1310/2015 ACJC/1729/2016
ARRÊT
DE LA COUR DE JUSTICE
Chambre civile
du MERCREDI 21 DECEMBRE 2016
Entre
A______ SA (anciennement : B______ SA), sise ______ (GE), appelante d'un jugement rendu par la 8ème Chambre du Tribunal de première instance de ce canton le 29 février 2016, comparant par Me Guy Vermeil et Me Michael Fischer, avocats, 30, route de Chêne, 1211 Genève 17, en l'étude desquels elle fait élection de domicile,
et
Monsieur C______, domicilié ______ (GE), intimé, comparant par Me Christian de Preux, avocat, 2, rue Pedro-Meylan, case postale 409, 1211 Genève 17, en l'étude duquel il fait élection de domicile.
EN FAIT
A. a. Par jugement du 29 février 2016, notifié à A______ SA (anciennement : B______ SA, ci-après : B______ ou la banque) le 3 mars 2016, le Tribunal de première instance a dit que le fait pour B______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à C______ et/ou pouvant l'identifier constituait une atteinte illicite aux droits de la personnalité de ce dernier (ch. 1 du dispositif), interdit en conséquence à B______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à C______ et/ou pouvant l'identifier (ch. 2), prononcé cette interdiction sous la menace de la peine de l'art. 292 CP qui dispose que celui qui ne se sera pas conformé à une décision à lui signifiée, sous la menace de la peine prévue audit article, par une autorité ou un fonctionnaire compétents, sera puni de l'amende (ch. 3), mis les frais judiciaires, arrêtés à 10'000 fr., à la charge de B______, les a compensés avec l'avance de frais fournie par C______ à hauteur de 2'000 fr., condamné B______ à verser 2'000 fr. à C______ et 8'000 fr. à l'Etat de Genève, soit au Services financiers du Pouvoir judiciaire (ch. 4), condamné B______ à verser à C______ un montant de 10'000 fr. à titre de dépens (ch. 5) et débouté les parties de toutes autres conclusions (ch. 6).
b. Par acte déposé au greffe de la Cour de justice le 18 avril 2016, B______ appelle de ce jugement, dont elle sollicite l'annulation, concluant au rejet de l'action formée par sa partie adverse en vue d'interdire une atteinte à sa personnalité.
Elle produit des pièces nouvelles, à savoir une ordonnance de production de l'Administration fédérale des contributions dont la date et les noms y figurant ont été caviardés, l'accord de non-poursuite pénale (Non-Prosecution Agreement) conclu le 15 décembre 2015 entre B______ et le Ministère de la justice des États-Unis (U.S. Department of Justice, ci-après : DoJ), ainsi qu'une décision du Tribunal du district de D______ (Tessin) du 21 décembre 2015.
c. C______ conclut au rejet de l'appel et à la confirmation du jugement entrepris.
Il verse à la procédure plusieurs documents, dont des communiqués de presse de ______ 2016 en provenance du DoJ et de sa Procureure générale adjointe ("") E, qui conseillaient aux personnes physiques ayant facilité l'évasion fiscale de contribuables du fisc américain de s'auto-dénoncer volontairement avant de faire l'objet d'une poursuite pénale les concernant personnellement, un communiqué de presse du Procureur fédéral de l'Etat de F______ (USA) du ______ 2015 - déjà produit en première instance-, une communication du Secrétaire d'Etat aux questions financières internationales du ______ 2016, la liste des Etats ayant une législation assurant un niveau de protection adéquat des données, état au 3 décembre 2015, et un jugement du 9 juillet 2015 du Tribunal du district de G______ (Zurich), avec sa traduction.
B. Les éléments pertinents suivants ressortent de la procédure :
a. B______, qui fait notoirement partie d'un groupe bancaire étranger, a son siège à Genève où elle exploite une banque.
b. Du 1er avril 2007 au 28 février 2013, C______ a été employé par la banque comme responsable de comptes avec le titre de membre de la direction au sein du département Banque privée, zone Moyen-Orient.
Il a été en charge du suivi et du développement d'un portefeuille de clients fortunés domiciliés au Moyen-Orient, et plus particulièrement aux Emirats Arabes Unis, en Arabie Saoudite, ainsi qu'au Liban et en Syrie.
Le certificat de travail établi par la banque relève que C______ est doté d'une grande capacité à comprendre et anticiper les besoins des clients. Il était également doté de bonnes connaissances professionnelles et des produits. Son sens de la négociation, sa systématique de travail et son enthousiasme avaient été des atouts qui lui avaient permis de répondre aux attentes de la banque à son entière satisfaction.
c. La clientèle de C______ était essentiellement située dans les Emirats Arabes Unis et en Arabie saoudite. Il n'a jamais travaillé pour le marché américain.
d. En février 2008, deux comptes joints, pour un montant total compris entre 1'500'000 $ et 2'000'0000 $, détenus par un client saoudien et son épouse américaine, ouverts en juillet 1997, soit avant que ne débute la relation contractuelle entre C______ et la banque, ont été transférés à ce dernier, après avoir été gérés par un autre gérant interne.
e. Dès 2008, les autorités américaines se sont intéressés aux établissements bancaires suisses suspectant certains d'entre eux, de par leurs activités transfrontalières, d'avoir aidé les clients de nationalité américaine ou les résidents américains à éluder l'impôt américain.
En 2010, le DoJ et l'autorité américaine de réglementation et de contrôle des marchés financiers (U.S. Securities and Exchange Commission, ci-après : SEC) ont ouvert des enquêtes contre onze banques suisses et déposé en Suisse des demandes d'entraide administratives en vue d'obtenir des renseignements sur les activités transfrontalières aux Etats-Unis menées par lesdites banques.
A fin 2013, quatorze enquêtes pénales étaient ouvertes par le DoJ à l'encontre de différentes banques, appelés les banques de catégorie 1.
Dans ce cadre, les autorités américaines ont sollicité une collaboration totale des établissements bancaires concernés et la livraison de toutes les données dont elles disposaient, leur permettant d'examiner la situation, étant précisé qu'elles poursuivaient les banques sous le chef d'inculpation de conspiration contre les Etats-Unis.
Depuis lors, certaines de ces banques de catégorie 1 ont conclu des accords avec les autorités américaines (Deferred Prosecution Agreement), par lesquelles elles reconnaissent avoir violé le droit américain, s'engagent à livrer certaines données concernant les clients, à continuer à collaborer avec les autorités américaines et ont payé, dans ce contexte, des sommes importantes de plusieurs centaines de millions de dollars aux Etats-Unis à titre de dommages-intérêts et/ou d'amende.
f. Le 14 février 2013, les autorités suisses et américaines ont signé un accord, entré en vigueur le 2 juin 2014, visant à faciliter la mise en oeuvre par les établissements financiers suisses de la loi fiscale américaine (Foreign Account Tax Compliance Act, ci-après : FATCA). La loi d'application est entrée en vigueur le 30 juin 2014. Cet accord exige des établissements financiers étrangers qu'ils s'enregistrent auprès de l'International Revenue Service (IRS) et qu'ils concluent un contrat avec celle-ci (FFI Agreement) afin que les renseignements sur les comptes des personnes soumises à l'impôt aux Etats-Unis lui soient transmis, soit directement par l'établissement financier avec le consentement du titulaire du compte, soit, en l'absence d'un tel consentement, par l'intermédiaire d'une procédure d'assistance administrative spécialement réglementée reposant sur des demandes groupées.
Dans son message du 29 mai 2013, le Conseil fédéral a soumis pour adoption au Parlement suisse un projet de Loi fédérale sur des mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis (ci-après : lex USA).
Ce projet prévoyait notamment que les banques étaient autorisées à respecter toutes les exigences liées à la coopération entre les banques et les Etats-Unis en vue de régler le différend fiscal. Cette autorisation incluait les renseignements sur des relations d'affaires impliquant une personne américaine au sens de l'accord du 14 février 2013 visant à faciliter la mise en oeuvre du FATCA, y compris le nom et la fonction des personnes qui, au sein de la banque, avaient organisé, suivi ou surveillé ces relations d'affaires, ainsi que le nom et la fonction de tiers ayant agi de manière semblable avec ces relations d'affaires. Toute banque qui s'acquittait de ces obligations devait veiller à protéger le mieux possible les membres de son personnel, en concluant avec les associations du personnel des accords comprenant notamment la prise en charge des frais d'avocat liés à la défense des intérêts des membres du personnel ainsi qu'une réglementation particulière pour les membres du personnel que le respect des exigences américaines mettait dans une situation difficile sur le plan personnel, financier ou professionnel.
Le Parlement suisse a, le 19 juin 2013, refusé d'entrer en matière sur la lex USA, en considérant qu'il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur.
g. L'Association suisse des employés de banque, l'Association patronale des banques en Suisse et l'Association suisse des banquiers ont conclu, en date du 29 mai 2013, une convention portant sur les conséquences, pour les collaborateurs des établissements bancaires suisses, de livraisons de documents aux autorités américaines, prévoyant que les banques s'engageaient à prendre en charge les frais d'avocat des collaborateurs poursuivis aux Etats-Unis, sauf en cas de faute grave du collaborateur. En vue d'atténuer les cas de rigueur, un fonds spécial d'un montant de 2.5 millions de francs était mis en place pour une durée de trois ans. Etaient considérés comme cas de rigueur les cas des collaborateurs actuels et anciens qui se trouvaient dans une situation personnelle, économique ou financière difficile à la suite des livraisons de documents aux autorités américaines.
h. Le 20 juin 2013, le Préposé fédéral à la protection des données (ci-après : PFPDT) a émis une note à l'attention des banques récapitulant les principes de la Loi sur la Protection des données (ci-après : LPD) à observer en cas de transmission de données personnelles d'employés et de tiers aux autorités américaines. Il a notamment relevé les éléments suivants :
"Principe de proportionnalité : en vertu de ce principe, seules peuvent être traitées les données nécessaires à l'atteinte d'un but précis (art. 4 al. 2 LPD). Le PFPDT estime que cette définition s'applique aux personnes ayant organisé, suivi ou surveillé des relations d'affaires concernant des personnes américaines.
Motifs justificatifs : si une personne concernée s'oppose à ce que la banque transmette des documents contenant son nom, la banque doit peser les intérêts en présence dans le cas concret. Elle doit alors, en vertu de l'article 13 LPD, faire valoir des motifs justificatifs pour pouvoir procéder à la transmission et doit, par ailleurs, remplir les conditions de l'article 6 LPD pour pouvoir transmettre des données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat.
Prétentions : si, après avoir pesé les intérêts en présence, la banque décide de transmettre des données contre la volonté de la personne concernée, cette dernière peut intenter une action en protection de la personnalité auprès d'un tribunal civil, conformément à l'article 15 LPD."
i. Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler le différend fiscal et a donné aux banques la possibilité de demander une autorisation individuelle au sens de l'art. 271 du Code pénale suisse (ci-après: CP), réprimant les actes exécutés sans droit pour un Etat étranger.
Il a publié une décision modèle, ainsi qu'une note explicative à l'attention des banques qui participeraient au programme volontaire du DoJ et feraient une demande d'autorisation au sens de l'art. 271 CP ou qui avaient déjà obtenu une autorisation le 4 avril 2012, laquelle devrait être remplacée par une nouvelle autorisation.
La décision modèle précise notamment :
"La collecte et la transmission de renseignements aux autorités américaines du fait des relations d'affaires de la banque qui a requis l'autorisation avec des personnes assujetties à l'impôt aux Etats-Unis et en lien avec une possible violation du droit américain ne constituent pas des atteintes excessives à la souveraineté de la Suisse. En outre, l'intérêt de la banque à coopérer avec les autorités américaines est important. En fin de compte, la collecte et la transmission des renseignements vise à éviter une plainte du DoJ à l'encontre de la banque. Pour celle-ci, le dépôt d'une plainte aurait des conséquences majeures sur ses relations économiques avec les Etats-Unis. La banque risque de ne plus pouvoir effectuer des transactions en dollars américains. Les problèmes opérationnels et financiers qui résulteraient d'une telle situation pourraient nuire considérablement à la banque, voire menacer son existence.
L'autorisation prévue à l'article 271 ch. 1 CP exclut uniquement une punissabilité en vertu de cette disposition. Elle ne dispense cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. L'autorisation ne permet donc aux banques de coopérer avec les autorités américaines que dans le cadre de la législation suisse.
Lors de la pesée des intérêts, il y a lieu de tenir compte des droits de la personnalité des actuels et anciens membres du personnel de la banque, ainsi que des tiers potentiellement concernés en prévoyant une obligation d'informer et un droit d'obtenir des renseignements. Des devoirs d'assistance étendus et une protection appropriée contre la discrimination doivent de plus être prévus pour les actuels et les anciens membres du personnel. [...]
La présente autorisation n'englobe pas les données de clients. Celles-ci peuvent être transmises uniquement par la voie de l'assistance administrative."
Cette décision ajoute, concernant les données personnelles des membres du personnel, que ne peuvent être transmises que des données personnelles de membres du personnel (actuels ou anciens) qui, au sein de la banque, ont organisé, suivi ou surveillé les relations d'affaires impliquant une "personne américaine".
Elle dispose également qu'un accord avec les associations du personnel doit être conclu avant la transmission des données afin de garantir la meilleure protection possible de ceux-ci.
j. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entres les banques suisses et les Etats-Unis.
La solution se compose de trois éléments, la déclaration commune (Joint Statement) signé entre le Conseil fédéral et le DoJ, le programme volontaire américain auquel les banques peuvent participer dans un délai donné et l'autorisation modèle du Conseil fédéral du 3 juillet 2013 régissant la coopération des banques avec les autorités américaines.
Le Joint Statement a notamment la teneur suivante :
" 1. The DoJ has been and continues to be engaged in law enforcement action against individuals and entities that use foreign bank accounts to evade U.S. taxes and reporting requirements, and individuals and entities that facilitate the evasion of U.S. taxes and reporting requirements. In announcing today the Program for Swiss banks the DoJ intends to provide a path for Swiss Banks that are not currently the target of a criminal investigation authorized by the DoJ, Tax Division, to obtain resolution concerning their status in connection with the Department's overall investigations, and to assist the DoJ in its law enforcement efforts. The Program does not apply to individuals and is not available to any Swiss bank as to which the Tax Division has authorized a formal criminal investigation concerning its operations.
Switzerland welcomes the efforts of the DoJ to provide the Program and intends to draw the attention of the Swiss Banks to the terms of the Program and encourages them to consider participating therein. Switzerland notes that the Swiss Parliament by Declaration of 19 June 2013 stated its expectation that the Swiss Federal Council will take all measures within existing legal framework to put Swiss banks in a position to cooperate with the DoJ. Switzerland represents that applicable Swiss law will permit effective participation by the Swiss Banks on the terms set out in the Program.
Switzerland intends to process treaty requests according to the Convention between the United States of America and the Swiss Confederation for the Avoidance of Double Taxation with Respect to Taxes on Income, signed at Washington on October 2, 1996, and the Protocol Amending the Convention, signed at Washington on Septembre 23, 2009, if and when it is in force and applicable, as may be amended, and intends to do so on an expedited basis, including by providing additional personnel and the other necessary resources to process the requests.
Noting the importance attached by both sides to providing a high level of personal data and privacy protection for all individuals as provided in their laws, the signatories understand that, if personal data are provided, they should only be used for purposes of law enforcement (which may include regulatory action) in the United States or as otherwise permitted by U.S. law. Personal data should only be retained for so long as necessary for these purposes."
k. Le programme volontaire américain classe les banques suisses dans quatre catégories. Les banques qui font l'objet d'une enquête pénale du DoJ sont formellement exclues dudit programme (catégorie 1). Les autres banques qui estiment avoir violé le droit fiscal américain peuvent se mettre à l'abri de poursuites pénales en échange de leur participation, en concluant un accord de non-poursuite pénale (Non-Prosecution Agreement) (catégorie 2). Celles qui, au contraire, estiment ne pas avoir violé le droit fiscal américain ou qui ont une activité purement locale, peuvent solliciter un Non-Target Letter (catégories 3 et 4).
Le Programme américain précisait notamment:
"The terms of a Non-Prosecution Agreement will include that the Swiss Bank agrees to retain all records relating to its U.S. cross-border business, including records relating to all U.S. Related Accounts closed during the Applicable Period, for a period of 10 years from the termination date of the Non-Prosecution Agreement.
The terms of a Non-Prosecution Agreement will include that the Swiss Bank, upon request, will provide: testimony of a competent witness or information as needed to enable the United States to use the information and evidence obtained pursuant to a provision of this Program or separate treaty request in any criminal or other proceeding.
The personal data provided by the Swiss Banks under this Program will be used and disclosed only for purposes of law enforcement (which may include regulatory action) in the United States or as otherwise permitted by U.S. law.
This program is conditioned on the intention of Switzerland, as stated in the Joint Statement between the DoJ and the Swiss Federal Department of Finance dated August 29, 2013, to encourage Swiss Banks to consider participation in the Program. Should Switzerland fail to provide or act to withdraw such encouragement, or should legal barriers prevent effective participation by the Swiss Banks on the terms set out in this Program, this Program may be terminated by the Department."
Selon le paragraphe II. D.1 du programme volontaire américain, les banques de catégorie 2 doivent communiquer au DoJ le nom et la fonction de leurs employés ou ex-employés et organes ayant structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les États-Unis.
De plus, d'après le paragraphe II.D.2, les banques de catégorie 2 doivent communiquer au DoJ le nom et la fonction de toute personne, dont ses employés ou ex-employés, ayant été en relation avec un Closed US Related Account. Cette deuxième catégorie de renseignements doit toutefois être uniquement mentionnée dans un document synthétique offrant une simple vue d'ensemble des comptes avec indication des dates d'ouverture et de clôture de compte, le montant en compte, le nombre de personnes américaines en lien avec la relation, les différents intervenants et les transferts intervenus.
Ainsi, afin d'obtenir un Non-Prosecution Agreement, l'établissement bancaire doit coopérer et fournir l'ensemble des preuves et informations requises aux termes du Programme en lien avec ses activités transfrontalières aux États-Unis et certains comptes présentant un indice d'américanité (US Related Accounts) ouverts dans ses livres au 1er août 2008 et clôturés depuis lors (Closed US Related Accounts).
Un compte est considéré, aux termes de l'accord FATCA, comme un US Related Account lorsqu'un indice existe qu'une personne américaine, soit une personne de nationalité américaine ou une personne physique résident aux Etats-Unis ou une société constituée aux Etats-Unis ou selon le droit américain ou le droit d'un des États américains, un trust ou la succession d'un défunt qui était citoyen américain en était titulaire, bénéficiaire, avait un pouvoir de signature ou un autre pouvoir sur un compte et lorsque sa valeur était supérieur à 50'000 USD. Les indices à prendre en considération pour déterminer la présence d'un US Related Account sont indiqués de manière précise à l'annexe I de l'accord FATCA. Ils sont très larges et englobent des éléments allant au-delà de la simple nationalité ou résidence comme également le lieu de naissance, un numéro de téléphone, un ordre de virement permanent sur un compte aux États-Unis, une procuration ou un droit de signature en faveur d'une personne dont l'adresse est située aux États-Unis, la présence d'un seul indice étant suffisante.
A condition que la banque concernée respecte l'ensemble des obligations définies par le programme volontaire américain, le DoJ ne la poursuivra pas en justice pour les infractions fiscales en lien avec les US Related Accounts qui se trouvent en ses livres mais le DoJ se réserve le droit de refuser de conclure un Non-Prosecution Agreement, ou de revenir sur les termes de celui-ci, s'il estime que la banque a fourni des informations fausses, incomplètes ou pouvant l'induire en erreur.
l. La FINMA a adressé un courrier aux banques suisses, le 30 août 2013, par lequel elle indiquait qu'il appartenait à chaque banque de mesurer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au Programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté.
Elle a ajouté que les banques participant au Programme américain étaient tenues de respecter le droit suisse et notamment les réglementations relatives à la protection des secrets d'affaires et bancaires en vigueur, ainsi que la législation sur la protection des données.
m. B______ a décidé de participer au programme volontaire américain, s'est annoncée comme banque de catégorie 2 auprès du DoJ en date du 30 décembre 2013 et a procédé, avec l'aide de deux Etudes d'avocats et d'une société d'audit, à une procédure de due diligence en son sein afin d'identifier l'ensemble des comptes visés aux termes du Programme, en vue de la transmission des données requises.
n. Par décision du 8 janvier 2014, le Département fédéral des finances (DFF), reprenant les termes de la décision modèle du 3 juin 2013, a autorisé B______ à coopérer avec les autorités américaines.
o. Le 26 février 2014, le Procureur général adjoint au sein du DoJ, H______, a déclaré devant une sous-commission du Sénat américain : " We're going to get - number one - a lot of information from these banks that will help us prosecute their employees and their officers. [...] A lot of discussions that we had with the Swiss were about getting the internal bank records - not account records - about [...] who the employees were in those banks who were [...] facilitating the tax evasion [...], so that we can bring criminal charges here in the United States against [...] their officers and employees [...]"
p. Dans un bilan intermédiaire du 12 juin 2014, l'Association suisse des employés de banque a estimé que dans mesure où un employé n'avait pas démarché activement des citoyens américains, avait géré des comptes de moins de un million de francs et avait effectué des transactions ne relevant pas de l'évasion fiscale, les risques d'inculpation par les Etats-Unis étaient minimes. Une fois que l'accord entre la banque et les Etats-Unis était conclu, les risques d'être retenu comme témoin se réduisent aussi drastiquement. Les risques marginaux qui existeraient encore pour des employés seraient causés par des clients de la banque qui n'auraient pas réglé leur situation fiscale.
q. Par courrier du 17 juin 2014, B______ a informé C______ de son intention de communiquer une liste complète selon le paragraphe II.D.2 du programme volontaire américain, comportant son nom et sa fonction en lien avec deux comptes qui, aux yeux de B______, remplissaient les conditions de Closed US related Accounts, telles que définies par le DoJ. B______ a indiqué à C______ qu'il pouvait obtenir des renseignements complémentaires en lien avec la transmission des données, consulter les informations le concernant dans les locaux de la banque et s'opposer à la transmission dans un délai de vingt jours.
r. C______ a consulté lesdits documents en juillet 2014.
s. Par courrier du 19 juin 2014 adressé à la banque, C______ s'est opposé à la transmission de son nom et de ses données aux autorités américaines aux motifs qu'il ne serait jamais intervenu dans le démarchage ou l'entrée en relation avec les clients de comptes US et qu'il n'aurait jamais travaillé pour le marché américain ni contacté des clients liés à ce marché.
Par courrier de son conseil du 9 juillet 2014, C______ a encore indiqué n'avoir jamais eu de pouvoir décisionnel quant à l'existence de ces comptes et que la transmission des données pertinentes aurait de graves conséquences pour sa vie privée et professionnelle.
t. B______ indique avoir procédé, à la suite de cette correspondance, à un nouvel examen de la situation ainsi qu'à une pesée des intérêts en présence, conformément aux recommandations du PFPDT, de la Convention des associations et de la décision modèle du Conseil fédéral, et être arrivée à la conclusion que l'intérêt à la transmission des données était prépondérant.
u. Le 15 juillet 2014, sur requête de C______, le Président du Tribunal de première instance de Genève, statuant sur mesures superprovisionnelles, a fait interdiction à B______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à C______ et/ou pouvant l'identifier, sous menace de la peine prévue à l'art. 292 CP.
Puis, par ordonnance du 22 décembre 2014 (OTPI/1691/14), statuant sur mesures provisionnelles, le Président du Tribunal de première instance a fait interdiction à B______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à C______ et/ou pouvant l'identifier, sous menace de la peine prévue à l'art. 292 CP et lui a fixé un délai de 30 jours dès notification de cette ordonnance, notifiée aux parties le 5 janvier 2015, pour faire valoir son droit en justice.
C. a. Le 21 janvier 2015, C______ a déposé une action auprès du Tribunal de première instance en prenant notamment les conclusions suivantes :
interdire formellement à B______ de transmettre, de communiquer ou porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à C______ et/ou pouvant l'identifier, sous menace de la peine prévue à l'art. 292 CP.
dire et constater que le fait pour B______ de transmettre, de communiquer ou porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à C______ et/ou pouvant l'identifier constitue une atteinte illicite aux droits de sa personnalité.
ordonner à B______ de publier à ses frais le jugement ou un extrait de ses considérants constatant le caractère illicite de l'atteinte dans un journal, quotidien ou hebdomadaire au choix de C______.
A l'appui de sa demande, C______ a invoqué les art. 6 al.1 LPD et 328 al. 1 et 328b CO.
b. B______ s'est opposée à cette demande.
c. Entendu le 2 décembre 2015, C______ a confirmé que tous les gestionnaires seniors de la banque portaient le titre de directeur. Il a affirmé qu'il n'était qu'un exécutant. Il n'avait jamais travaillé pour le marché américain. Il n'avait pas eu son mot à dire s'agissant du rattachement sous sa responsabilité des deux comptes détenus par un client saoudien et son épouse américaine. Il ne portait pas la responsabilité du choix de travailler avec des clients américains non déclarés fiscalement.
C______ a expliqué qu'il travaillait aujourd'hui pour une entreprise qui appartenait à 100% au groupe I______, sur le point d'être vendue à ses directeurs. Il négociait avec la banque I______ la possibilité de la rejoindre et ne voulait pas être impacté par la problématique américaine. Son employeur actuel ignorait que B______ voulait transmettre ses coordonnées aux Etats-Unis. Il souhaitait poursuivre sa carrière professionnelle dans la finance. Il avait de la famille aux Etats-Unis. Il craignait enfin de violer le secret bancaire.
C______ a confirmé que son rôle au sein de la banque était de gérer un portefeuille de relations. Il a contesté que sa rémunération dépende des avoirs sous gestion. Il bénéficiait de bonus discrétionnaires dont il ignorait les conditions.
Il craignait de se rendre aux Etats-Unis, notamment car la banque ne s'était pas engagée à le protéger et que le Département de justice américain ne s'était pas engagé à ne pas le poursuivre. Il n'avait pas de raisons objectives d'être inquiété en raison de ses activités au sein de la banque, mais craignait que les autorités américaines fassent des déductions un peu hâtives.
d. Lors de la même audience, J______, membre du Département Gouvernance et projets transversaux de B______, a confirmé que la banque avait décidé de participer volontairement au programme américain, en procédant à une pesée des risques. B______ n'avait jamais eu pour territoire cible les Etats-Unis. Les clients américains de la banque relevaient en fait du hasard. La banque s'était d'ores et déjà présentée devant les autorités américaines.
J______ a confirmé que dans le cadre de l'application du paragraphe II.D.1, les noms qui avaient été transmis n'avaient fait l'objet d'aucunes oppositions. S'agissant des noms qui devaient être transmis dans le cadre du paragraphe II.D.2, le taux d'opposition était extrêmement faible, inférieur à 5% à sa connaissance. Les oppositions étaient traitées en interne par un comité constitué de cadres et d'avocats. Pour le cas de C______, ce comité avait considéré que ses coordonnées devaient être transmises, car les conditions requises étaient réunies. Ce comité avait pris en considération son activité irréprochable.
J______ ignorait si les coordonnées de C______ avaient d'ores et déjà été communiquées par les clients de la banque dans le cadre d'un offshore voluntary disclosure. Aucun gérant ou collaborateur de B______ n'avait été inquiété par les autorités américaines. A son avis, le risque encouru était plus important pour la banque si elle ne respectait pas ses engagements dans le cadre de programme américain. Le risque le plus important était qu'elle ne signe pas d'accord de non-poursuite pénale ou que celui-ci lui soit retiré si les autorités américaines se rendaient compte qu'elle n'avait pas coopéré à la hauteur de leurs attentes.
Selon J______, la banque était convaincue que les informations transmises aux autorités américaines ne serviraient pas pour introduire des poursuites directement contre les gérants, mais pour motiver des demandes d'entraide adressées à la Suisse. Le comité avait considéré que C______ ne risquait pas d'être arrêté ou inquiété. La banque n'avait rien à lui reprocher. Les négociations avec les autorités américaines n'étaient pas interrompues du fait des procédures judiciaires engagées.
e. C______ a produit des articles de presse concernant notamment deux anciens cadres de banques suisses, arrêtés respectivement en Italie et aux Etats-Unis en 2013.
f. La cause a été gardée à juger à l'issue de l'audience du 2 décembre 2015.
D. a. Dans le jugement entrepris, le Tribunal a considéré que la communication des données de C______ aux États-Unis, soit dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat, constituait une violation de l'art. 6 LPD et, partant, une atteinte à la personnalité de C______, en l'absence de l'un des motifs justificatifs prévus par l'art. 6 al. 2 LPD, dont la preuve appartenait à B______ qui s'en prévalait. Concernant la nécessité, pour B______, de défendre ses propres droits en justice, il existait un risque important que les données de C______ soient utilisées ultérieurement, par les autorités américaines, à d'autres fins qu'à celle de décider du sort qu'elles entendaient réserver à B______. Concernant l'intérêt public prépondérant, B______, qui n'occupait pas une place systémique dans le monde bancaire et l'économie suisses, n'avait pas prouvé un risque concret de poursuite pénale à son égard, en cas de non transmission des données de C______ aux autorités américaines. Il convenait donc d'interdire la transmission de ces données. En revanche, une publication d'un extrait du jugement n'apportait rien de plus à C______, l'atteinte à sa personnalité étant justement empêchée par l'interdiction de transmettre ses données.
b. Le 15 décembre 2015, B______ et la DoJ ont conclu un accord de non-poursuite pénale.
A teneur de son libellé, cet accord ne protège que B_____ elle-même contre des poursuites pénales, à l'exclusion d'autres personnes morales ou physiques ("any other entities or any individuals"). Par ailleurs, B______ reste tenue, en accord avec les règles applicables ("consistent with applicable laws or régulations"), de collaborer pleinement avec les autorités américaines et de leur fournir toutes les informations et tous les documents qu'elles pourraient réclamer en lien avec les "US Related Accounts". En cas de non-respect de cette obligation de collaborer, les autorités américaines pourront poursuivre B______ pénalement, à leur seule discrétion.
L'annexe à cet accord relate les agissements de B_______ qui étaient contraires au droit américain, ainsi que les efforts de collaboration ultérieurs de cette banque. Sous le titre "Non-transparent exits and the concealment of US Related Account Assets" figure notamment la description du comportement de B______, consistant à transférer des avoirs sur d'autres comptes auprès d'elle-même, en documentant ces transferts comme donations.
Pour avoir reconnu ces agissements punissables selon le droit américain, B______ devait d'ores et déjà payer au DoJ, en l'absence de toute poursuite pénale qui restait réservée en cas de non-respect des obligations découlant de l'accord en question, la somme de 99'211'000 $ à titre d'amende ("penalty").
EN DROIT
Les affaires portant sur la protection de la personnalité sont de nature non patrimoniale, sauf si la demande porte exclusivement sur des dommages-intérêts (ATF 142 III 145 consid. 6; 127 III 481 consid. 1; 110 II 411 consid. 1; arrêt du Tribunal fédéral 5A_328/2008 du 26 novembre 2008 consid. 1; Jeandin, in Bohnet et al. [éd.], CPC, Code de procédure civile, 2011, n° 12 ad art. 308 CPC et les réf. citées). Tel n'est pas le cas en l'espèce, de sorte que la voie de l'appel est ouverte.
1.2 Interjeté dans le délai utile et suivant la forme prescrite par la loi (art. 130, 131, 145 al. 1 let. a et 311 al. 1 CPC), l'appel est recevable.
1.3 La compétence ratione materiae des juridictions civiles ordinaires - dont celle de la Cour de céans - pour statuer sur la présente action n'est à juste titre pas remise en cause par les parties, dès lors que la présente action est fondée principalement sur les art. 28 ss CC, ainsi que sur les dispositions particulières de la loi fédérale sur la protection des données du 19 juin 1992 (LPD; cf. art. 86 al. 1 et al. 3 let. b, art. 120 al. 1 LOJ). Par ailleurs, l'action tend également à la validation de mesures provisionnelles prononcées par les juridictions ordinaires sur la base des mêmes dispositions (cf. art. 263 CPC).
1.4 La Cour revoit la cause avec un plein pouvoir d'examen (art. 310 CPC).
1.5 Les parties ont produit des pièces nouvelles.
1.5.1. Selon l'art. 317 al. 1 CPC, les faits et les moyens de preuves nouveaux ne sont pris en considération en appel que s'ils sont invoqués ou produits sans retard (let. a) et s'ils ne pouvaient pas être invoqués ou produits devant la première instance bien que la partie qui s'en prévaut ait fait preuve de diligence (let. b).
La Cour a déjà eu l'occasion de préciser (ACJC/699/2014 du 20 mai 2014 consid. 3.1 et ACJC/444/2015 du 24 avril 2015 consid. 2.1) que sont toutefois admis, pour autant qu'ils soient produits dans le délai de recours, les précédents et avis de droit visant uniquement à renforcer et à développer le point de vue d'une partie (cf. arrêts du Tribunal fédéral 4A_170/2015 du 28 octobre 2015 consid. 1, 4A_86/2013 du 1er juillet 2013 consid. 1.2.3; 6B_638/2012 du 10 décembre 2012 consid. 2; 4A_332/2010 du 22 février 2011 consid. 3; cf. déjà, sous l'ancienne OJ, ATF 126 I 95 consid. 4b; 108 II 69 consid. 1).
1.5.2. En l'espèce, les décisions judiciaires produites sont recevables, dès lors qu'il s'agit de documents tendant à étoffer l'argumentaire juridique des parties. L'appelante n'a pas établi qu'elle n'avait pas connaissance, devant le premier juge déjà, de l'ordonnance de production de l'administration fédérale des contributions dont elle entend se prévaloir en appel, la date figurant sur ce document ayant été caviardée. Ce nouveau moyen de preuve sera donc écarté de la procédure. Les autres pièces concernent en revanche des faits survenus après le 2 décembre 2015, date de la clôture des débats de première instance, de sorte qu'elles sont admises.
2.1.1 La LPD régit le traitement de données concernant des personnes physiques et morales effectué par des personnes privées et des organes fédéraux (art. 2 al. 1 LPD) à l'exception, notamment, des procédures d'entraide judiciaire internationale (art. 2 al. 2 let. c LPD).
Les actions concernant la protection de la personnalité sont régies par les art. 28, 28a et 28l CC. Le demandeur peut requérir en particulier que la communication des données à des tiers soit interdite (art. 15 al. 1 LPD).
A teneur de l'art. 28 al. 1 CC, celui qui subit une atteinte illicite à sa personnalité peut agir en justice pour sa protection contre toute personne qui y participe.
Une atteinte est illicite, à moins qu'elle ne soit justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi (art. 28 al. 2 CC). Il appartient au demandeur de prouver l'atteinte à la personnalité et au défendeur l'existence des faits justificatifs (Meili, in Basler Kommentar, ZGB I, 2014, n° 56 ad art. 28 CC).
2.1.2 Dans le cadre du droit du travail, les principes généraux de protection de la personnalité découlant des art. 28 ss CC sont repris et concrétisés par les art. 328 et 328b CO (cf. Meier, Protection des données, Berne 2011, p. 645, n° 2018).
La première de ces dispositions prévoit que l'employeur protège et respecte, dans les rapports de travail, la personnalité du travailleur (art. 328 al. 1 CO).
L'art. 328b CO énonce que l'employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail. En outre, les dispositions de la LPD sont applicables.
Ces dispositions trouvent application non seulement pendant les rapports de travail, mais également après la fin de ceux-ci, sans limitation de temps (ATF 135 III 405; ATF 130 III 699; Streiff/Von Kaenel/Rudolph, Arbeitsvertrag Praxiskommentar zu Art. 319-362 OR, Zürich 2012, p. 580 s.).
La portée de l'art. 328b CO est controversée en doctrine, certains auteurs étant d'avis que cette disposition ne fait que répéter des principes déjà prévus par la LPD, laquelle s'applique à l'employeur en sa qualité de personne privée (cf. Meier, op. cit., p. 650, n° 2032 s et réf. citées; Wyler/Heinzer, Droit du travail, 3e éd., Berne 2014, p. 339). Il est en tous les cas admis que le renvoi à la LPD prévu à l'art. 328b CO s'étend à l'ensemble des principes généraux de la LPD, y compris aux moyens de droit prévus à l'art. 15 LPD (Meier, op. cit., p. 658 s, n° 2060 et réf. citées).
2.1.3 L'art. 4 al. 1 LPD prévoit que tout traitement de données doit être licite. Il ne doit ainsi violer aucune norme légale, en particulier de droit pénal ou de droit de protection des données (Maurer-Lambrou/Steiner, in Maurer-Lambrou/ Blechta [éd.], Datenschutzgesetz Öffentlichkeitsgesetz, 3ème éd. 2014, n° 6 ad art. 4 LPD).
Les données visées par la LPD sont les données personnelles, soit toutes les informations qui se rapportent à une personne identifiée ou identifiable (art. 3 let. a LPD; ATF 136 II 508 consid. 3.2). Presque toutes les informations peuvent constituer des données personnelles au sens de la loi. Même les données de base, comme le nom, le prénom, l'adresse ou la date de naissance méritent protection selon le contexte dans lequel elles sont utilisées (Meier, op. cit., p. 199, n° 423).
Le traitement consiste en toute opération relative à de telles données, dont notamment leur communication à des tiers (art. 3 let. e LPD).
2.1.4 Selon l'art. 12 LPD, quiconque traite des données personnelles ne doit pas porter une atteinte illicite à la personnalité des personnes concernées (al. 1). Personne n'est en droit notamment de traiter des données personnelles en violation des principes définis aux art. 4, 5 al. 1, et 7 al. 1 LPD (al. 2 let. a), de traiter des données contre la volonté expresse de la personne concernée sans motifs justificatifs (al. 2 let. b) ou de communiquer à des tiers des données sensibles ou des profils de la personnalité sans motifs justificatifs (al. 2 let. c).
Les motifs justificatifs permettant d'outrepasser l'opposition expresse de la personne concernée sont énumérés à l'art. 13 al. 1 LPD. En l'absence d'une norme légale permettant de faire abstraction de la volonté de la personne concernée, seuls un intérêt prépondérant privé et/ou un intérêt prépondérant public entrent en considération.
2.1.5 Selon l'art. 6 LPD, aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité de la personne concernée devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat (al. 1).
La communication de données dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat entraîne de par la loi - comme une présomption irréfragable - une grave menace de la personnalité (Maurer-Lambrou/Steiner, op. cit., n° 11 ad art. 6 LPD; Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, Berne 2014, n° 706b ad art. 6 LPD; Epiney/Fasnacht, in: Datenschutzrecht, Grundlagen und öffentliches Recht, Belser/Epiney/Waldmann [éd]., Berne 2011, § 10 n° 10; Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Zurich, 2008, ad art. 6 LPD n° 27).
En dépit de l'absence d'une législation assurant un niveau de protection adéquat à l'étranger, des données personnelles peuvent être communiquées à l'étranger, pour autant qu'au moins l'une des conditions énumérées à l'art. 6 al. 2 LPD soit remplie; parmi celles-ci figurent notamment les cas où la communication est, en l'espèce, indispensable soit à la sauvegarde d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la défense d'un droit en justice (al. 2 let. d).
Les conditions énumérées à l'art. 6 al. 2 LPD sont alternatives et exhaustives, d'autres motifs justificatifs ne pouvant pas être invoqués (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.4.3; Message du Conseil fédéral du 19 février 2003 relatif à la révision de la loi fédérale sur la protection des données, in FF 2003 1915, p. 1941; Maurer-Lambrou/Steiner, op. cit., n° 22c ad art. 6 LPD).
S'agissant du cas particulier du transfert de données à l'étranger, dans un pays n'assurant pas un niveau de protection adéquat, l'art. 6 al. 2 LPD est donc une lex specialis par rapport à la teneur plus générale et plus large de l'art. 13 LPD.
Il s'ensuit, en particulier, qu'une communication de données à l'étranger, dans un pays dont la législation n'assure pas un niveau de protection adéquat, ne peut jamais être justifié par un intérêt privé, à moins qu'il ne s'agisse de la constatation, de l'exercice ou de la défense d'un droit en justice de celui qui traite ainsi les données personnelles d'autrui. Par ailleurs, la transmission des données peut être justifiée par un intérêt public prépondérant.
2.1.6 Le PFPDT publie une liste des États qui disposent d'une législation assurant un niveau de protection adéquat (art. 7 OLPD, RS 235.11).
Cette liste (cf. http://www.edoeb.admin.ch/datenschutz/00626/00753/index.html) indique, dans sa dernière version mise à jour au 30 juin 2016, que les États-Unis offrent un niveau de protection insuffisant, y compris d'ailleurs dans le cadre du U.S.- Swiss Safe Harbor Framework, selon l'Échange de lettres des 1er et 9 décembre 2008 entre la Suisse et les États-Unis concernant l'établissement d'un cadre de protection des données pour la transmission de données personnelles aux États-Unis (RS 0.235.233.6).
2.2 En l'espèce, l'appelante, qui est une société privée, souhaite transmettre aux autorités américaines des documents indiquant l'identité de l'intimé, ainsi que son ancienne fonction auprès d'elle en rapport avec des US Related Accounts ou Closed US Related Accounts.
Ce pays n'offre pas un niveau de protection des données adéquat, au sens des dispositions et principes rappelés ci-dessus.
De par ce seul fait, la transmission des données envisagée constitue une grave atteinte à la personnalité au sens de l'art. 6 al. 1 LPD. Elle est donc en principe illicite, sauf si l'un des motifs justificatifs prévus à l'art. 6 al. 2 LPD est réalisé.
3.1 En ce qui concerne la défense en justice d'un droit de celui qui transfère les données d'autrui dans un pays n'offrant pas un niveau de protection suffisant, le transfert n'est justifié que si les données ne seront en aucun cas utilisées à d'autres fins que la procédure prévue ou engagée contre le transférant. Si des doutes existent à ce sujet, le transfert des données d'autrui, sans consentement de celui-ci, ne doit pas avoir lieu (arrêt de l'Obergericht du canton de Zurich LB150052-O/U du 8 février 2016 consid. 4.4.2.3; ACJC/1529/2015 du 11 décembre 2015 consid. 6.1 et les réf. citées; CAPH/204/2015 du 11 décembre 2015 consid. 2.2.2 et les réf. citées).
3.2 L'appelante, qui estime avoir violé le droit fiscal américain, a conclu avec le Ministère de la justice des États-Unis un accord pour se mettre à l'abri de poursuites pénales (Non-Prosecution Agreement), en échange du transfert préalable d'un certain nombre de données, du paiement d'une forte amende (penalty) et de son engagement de continuer à coopérer pleinement avec les autorités américaines et de leur fournir toutes les informations et tous les documents qu'elles pourraient encore réclamer en lien avec les "US Related Accounts", ouverts ou fermés.
Cet accord de non-poursuite pénale réserve par ailleurs une poursuite pénale ultérieure, à la seule discrétion du Ministère de la justice des États-Unis, en cas de non-respect de l'obligation de collaborer, par l'appelante. Ainsi, l'appelante demeure notamment tenue de communiquer aux autorités américaines le nom de toute personne ayant effectué pour elle une quelconque tâche en relation avec les comptes bancaires visés, sous peine d'une éventuelle poursuite pénale future à son encontre.
Il n'est toutefois nullement établi que les documents que l'appelante entend transmettre au Ministère de la justice des États-Unis ne seront utilisés que dans le cadre d'une future poursuite pénale dirigée contre l'appelante elle-même, respectivement aux seules fins de s'assurer de son respect de l'accord de non-poursuite pénale conclu avec ledit Ministère.
Premièrement, cet accord individuel précise qu'il ne protège que l'appelante elle-même, à l'exclusion d'autres personnes morales ou physiques ("any other entities or any individuals").
Deuxièmement, la déclaration commune (Joint Statement) signée entre le Conseil fédéral et le Ministère de la justice des États-Unis précise que les données personnelles transmises aux autorités américaines ne seront utilisées qu'en conformité avec la législation américaine ("...as otherwise permitted by U.S. law"), ce qui permet une éventuelle poursuite pénale contre l'intimé, sur la base des données que l'appelante entend transférer et en vertu du seul droit américain.
Troisièmement, l'Association suisse des employés de banque a certes estimé que pour un employé n'ayant pas démarché activement des citoyens américains, ayant géré des comptes de moins d'un million de francs et ayant effectué des transactions ne relevant pas de l'évasion fiscale, les risques d'une inculpation par les autorités américaines étaient minimes, mais que des risques marginaux pouvaient subsister si des clients de la banque n'avaient pas réglé leur situation fiscale. Or, tel pourrait être le cas pour la cliente américaine, co-titulaire des deux comptes gérés par l'intimé, qui dépassaient au demeurant 1,5 million de dollars américains d'avoirs sous gestion.
Quatrièmement, le Procureur général adjoint au sein du Ministère de la justice des États-Unis a déclaré devant une sous-commission du Sénat américain que ledit Ministère entendait poursuivre les employés et cadres des banques suisses ayant facilité l'évasion fiscale de contribuables américains, sur la base des données obtenues préalablement des banques, et plus récemment, la Procureure générale adjointe de ce Ministère a conseillé aux personnes physiques ayant facilité l'évasion fiscale de contribuables du fisc américain de s'auto-dénoncer volontairement avant de faire l'objet d'une poursuite pénale les concernant personnellement.
Il apparaît ainsi que les Etats-Unis exigent la transmission des données litigieuses afin d'individualiser les personnes ayant eu des rapports avec des clients américains en vue de leur inculpation éventuelle.
Dans ces conditions, il existe un risque que les données de l'intimé que l'appelante entend transférer aux États-Unis ne soient pas seulement utilisées pour s'assurer du respect, par l'appelante, de l'accord de non-poursuite pénale la concernant, respectivement dans le cadre d'une éventuelle poursuite pénale ultérieure dirigée contre l'appelante. Bien au contraire, ces données pourraient également être utilisées pour engager une poursuite pénale dirigée contre l'intimé, en vertu du droit américain. Au demeurant, ainsi qu'il sera exposé ci-après (consid. 4.2), ce risque est concret, alors que celui pour l'appelante de voir l'accord de non-poursuite pénale révoqué n'est pas rendu vraisemblable.
Il s'ensuit que la banque ne saurait justifier la communication envisagée par la nécessité de défendre ses droits en justice, selon l'art. 6 al. 2 let. d LPD.
4.1 Dans un arrêt récent en lien avec le Programme américain, le Tribunal fédéral a relevé que l'intérêt de la banque à sa survie n'est pas suffisant pour admettre l'application de l'art. 6 al. 2 let. d LPD, dès lors qu'il s'agit d'un intérêt privé et non d'un intérêt public (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.4.3).
Il existe, de manière générale, un intérêt public à ce que les banques suisses assurent la stabilité juridique et économique de la place financière suisse en participant au programme volontaire de règlement fiscal mis en place par les autorités américaines et en assurant ainsi leur propre réputation et leur pérennité.
Cet intérêt public a amené le Conseil fédéral à négocier un accord avec le Ministère de la justice des États-Unis, pour mettre fin au différend fiscal entre les banques suisses et les autorités américaines, et il a amené la FINMA à encourager les banques suisses à participer au programme américain, leur processus de décision devant être documenté à cet égard.
L'existence de cet intérêt public a également été relevée dans le préambule de la convention conclue le 29 mai 2013 entre par l'Association suisse des employés de banque, l'Association patronale des banques en Suisse et l'Association suisse des banquiers.
Toutefois, cet intérêt public ne prévaut pas automatiquement et nécessairement sur l'intérêt privé qu'un ex-employé de banque peut avoir, dans un cas concret, à empêcher le transfert de ses données personnelles aux autorités américaines, dans le cadre du programme volontaire américain.
Ainsi, le Conseil fédéral a précisé dans sa décision modèle du 13 juillet 2013 que son autorisation selon l'art. 271 ch. 1 CP ne dispensait pas les banques du respect des dispositions sur la protection des données et des obligations de l'employeur, selon le droit suisse. Dans son courrier aux banques suisses du 30 août 2013, la FINMA a ajouté à son encouragement à participer au programme la mise en garde que les banques participantes restaient tenues de respecter le droit suisse et notamment la législation sur la protection des données. Enfin, le PFPDT a relevé dans sa note à l'attention des banques, du 20 juin 2013, que les principes de la LPD devaient être observés en cas de transmission de données personnelles d'employés aux autorités américaines et qu'en cas d'opposition d'un employé à la transmission de ses données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat, la banque devait remplir les conditions de l'article 6 LPD.
Pour savoir si l'intérêt public à la stabilité juridique et économique de la place financière suisse prévaut, dans un cas particulier, sur l'intérêt privé d'un ancien employé d'une banque à empêcher une atteinte imminente à sa personnalité, il est donc nécessaire de procéder à une pesée des intérêts in concreto (cf. arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.3.4), sans perdre de vue que la charge de la preuve du fait justificatif de l'intérêt public prépondérant incombe à la banque qui entend transmettre aux États-Unis les données de son (ex-) employé, contre la volonté de celui-ci (art. 8 CC).
4.2 En l'espèce, dans le cadre de sa participation au programme volontaire américain et après avoir avoué ses agissements non conformes au droit fiscal américain et fourni des informations y relatives, l'appelante a conclu avec le Ministère de la justice des États-Unis un accord de non-poursuite pénale aux termes duquel elle s'est engagée à continuer à coopérer pleinement avec les autorités américaines et à leur fournir toutes les informations et tous les documents qu'elles pourraient encore réclamer, sous peine de révocation de l'accord et d'une poursuite pénale future à son encontre.
En se référant à son obligation (selon l'accord de non-poursuite pénale) de continuer à coopérer pleinement avec les autorités américaines, l'appelante affirme craindre une poursuite pénale ultérieure, en cas de non-transmission du nom de l'intimé.
La banque relève toutefois elle-même que l'intimé n'a eu qu'une importance très réduite, s'agissant des comptes de contribuables américains, alors qu'elle n'avait jamais démarché des ressortissants américains ni développé le marché américain, et elle n'allègue pas qu'un nombre plus ou moins important de ses employés ou cadres, actuels ou anciens, se seraient opposés avec succès à la transmission de leurs données. Dans ces conditions, la révocation de l'accord de non-poursuite pénale, en cas de non-transmission du nom de l'intimé pour cause d'une interdiction judiciaire dans le cas particulier, apparaît peu vraisemblable.
Au demeurant, même dans l'hypothèse d'une poursuite pénale par les autorités américaines, pouvant conduire à la faillite de la banque, l'intérêt de cette dernière à sa survie ne serait pertinent dans le cadre de l'art. 6 al. 2 LPD que si l'on devait admettre que sa faillite aurait des répercussions importantes sur la place financière suisse.
Or, l'appelante, qui fait notoirement partie d'un groupe bancaire étranger, n'allègue rien au sujet de son importance personnelle pour la place financière suisse. En particulier, elle ne soutient pas qu'elle serait une banque d'importance systémique pour toute la Suisse (comme cela avait été admis pour l'une des deux très grandes banques suisses dans l'ATF 137 II 431, concernant l'intervention de la FINMA en sa faveur), ni que sa disparition entraînerait, à tout le moins, de graves répercussions sur l'économie cantonale. Elle n'allègue, ni ne prouve rien au sujet d'une dépendance de nombreux employés, fournisseurs et clients locaux de sa propre existence. Enfin, elle n'allègue aucun élément concret en vue de prouver que la transmission des données litigieuses serait indispensable pour éviter que le différend fiscal avec les autorités américaines se ravive et mette en péril la place financière suisse dans son ensemble.
De son côté, l'intimé dispose d'un intérêt privé important à ce que les documents bancaires contenant ses données personnelles ne soient pas transmis aux autorités américaines. C'est en vain que l'appelante tente de minimiser cet intérêt et les risques encourus en cas de transmission.
Il est en effet établi que les individus dont les données figurent sur les documents transmis aux autorités américaines courent le risque d'être retenus pour être interrogés, voire inculpés, au cas où ils se rendraient sur sol américain. S'il devait y avoir une poursuite pénale contre l'intimé, celui-ci pourrait par ailleurs être arrêté non seulement aux États-Unis mais également dans un pays tiers, comme cela a été le cas, selon les articles de presse produits par l'intimé, pour un ancien cadre d'une banque suisse, arrêté en Italie en 2013.
Même si ce risque est ténu, vu le rôle minime joué par l'intimé dans la relation avec une seule contribuable américaine détenant par ailleurs moins de 2'000'000 $ auprès de l'appelante, il ne peut être considéré comme purement théorique, compte tenu de la détermination des autorités américaines de poursuivre toutes les personnes impliquées de près ou de loin dans l'évasion fiscale de contribuables du fisc américain.
En cas de transmission des données litigieuses et au vu des circonstances du cas d'espèce, un risque concret de poursuite pénale aux États-Unis ne pourrait ainsi pas être complètement exclu pour l'intimé, en dépit du fait que sa situation financière personnelle le prédispose probablement moins à se faire poursuivre par les autorités américaines que cela n'a été le cas pour son employeur.
La communication envisagée porterait ainsi gravement atteinte à sa personnalité, sans égard aux difficultés, contestées par l'appelante, qu'elle pourrait en sus lui causer au niveau professionnel.
L'intérêt de l'intimé à une non-transmission de ses données par une société privée (et non pas par les autorités suisses dans le cadre d'une procédure d'entraide internationale) aux autorités américaines, ne disparaîtrait pas si ces dernières connaissaient déjà son identité et son activité passée au sein de l'appelante, par le biais d'une auto-dénonciation ("voluntary disclosure") de la contribuable américaine, titulaire des comptes en question auprès de la banque. Qui plus est, une telle connaissance actuelle des autorités américaines n'est pas établie par les pièces produites, ni même alléguée comme un fait certain par l'appelante.
Enfin, l'appelante se prévaut en vain du fait qu'elle sera obligée de transmettre à l'administration fédérale des contributions le nom de l'intimé si les Etats-Unis formaient une demande d'entraide qui viserait les comptes litigieux, une telle demande n'étant en tout état de cause pas pendante.
Dans ces conditions et compte tenu de la maxime des débats applicable en procédure civile (art. 55 al. 1 CPC), l'appelante n'a pas établi l'existence d'un intérêt public prépondérant. La transmission des données de l'intimé n'est ainsi pas justifiée non plus selon la 1ère alternative prévue par l'art. 6 al. 2 let. d LPD.
En tant que lex specialis, l'art. 6 al. 2 LPD exclut par ailleurs de recourir au motif justificatif d'un éventuel intérêt privé prépondérant, en vertu de l'art. 13 LPD.
Il s'ensuit que c'est à juste titre que le premier juge a interdit la transmission en question, sous la menace de la peine de l'art. 292 CP.
Le jugement entrepris sera donc confirmé.
Ils seront mis à la charge de l'appelante qui succombe (art. 106 al. 1 CPC).
L'appelante sera en outre condamnée aux dépens de sa partie adverse, arrêtés à 8'000 fr., débours et TVA compris (art. 95 al. 3, art. 96 CPC, art. 84, 86, 90 RTFMC, art. 25, 26 al. 1 LaCC), en tenant compte, notamment, de l'ampleur du travail de l'avocat de l'intimé qui n'a dû rédiger qu'une seule écriture de trente pages.
PAR CES MOTIFS, La Chambre civile :
A la forme :
Déclare recevable l'appel interjeté par A______ SA contre le jugement JTPI/2694/2016 rendu le 29 février 2016 par le Tribunal de première instance dans la cause C/1310/2015.
Au fond :
Confirme le jugement entrepris.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Arrête les frais judiciaires d'appelà 7'000 fr., les met à la charge de A______ SA et les compense avec l'avance fournie par elle, qui reste acquise à l'Etat de Genève.
Condamne A______ SA à payer à C______ la somme de 8'000 fr. à titre de dépens d'appel.
Siégeant :
Monsieur Laurent RIEBEN, président; Monsieur Patrick CHENAUX, Madame Fabienne GEISINGER-MARIETHOZ, juges; Madame Anne-Lise JAQUIER, greffière.
Le président :
Laurent RIEBEN
La greffière :
Anne-Lise JAQUIER
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.